Política de privacidade

O Allt VDR é um data room virtual para due diligence de fusões e aquisições, operado por [razão social], inscrita no CNPJ [CNPJ], com sede em [endereço completo].

Encarregado pelo tratamento de dados pessoais (DPO): [nome do encarregado], pelo e-mail [e-mail do encarregado].

A LGPD distingue quem decide sobre o tratamento (controlador) de quem executa por conta de outro (operador). A distinção muda a quem você deve dirigir cada pedido, e no nosso caso ela cai em dois blocos bem separados:

• Somos controladores dos dados de quem escreve pelo formulário deste site e dos dados cadastrais de quem tem conta na plataforma — nome, e-mail corporativo, empresa, telefone e registros de acesso.
• Somos operadores do conteúdo que a sua empresa carrega na plataforma. Os documentos da negociação são seus; nós os armazenamos, processamos e servimos conforme as suas instruções, e não decidimos o que fazer com eles.

Se um dado pessoal seu está dentro de um documento que uma empresa carregou, quem responde pelo tratamento é essa empresa. Encaminhamos o pedido a ela e avisamos você.

No formulário deste site: nome, e-mail, empresa, telefone (opcional) e a mensagem que você escreve. Junto com eles, o endereço IP e o identificador do navegador de onde o envio partiu.

O IP e o navegador não são coletados para conhecer você: existem para reconhecer envio automatizado em massa e para aplicar os limites que impedem o formulário de ser usado como canal de abuso. São mostrados apenas a quem administra a plataforma, junto da própria mensagem, e apagados junto com ela.

Na plataforma: nome, e-mail corporativo, senha (guardada apenas como resumo criptográfico, nunca em texto), configuração do segundo fator, e o registro de cada acesso a documento — quem abriu, quando e qual versão.

Não coletamos dado de navegação para publicidade, não usamos pixel de rastreamento e não há ferramenta de analytics neste site.

• Responder ao seu contato — legítimo interesse, sobre um contato que você mesmo iniciou. Você pode pedir a exclusão a qualquer momento.
• Dar e controlar acesso à plataforma — execução do contrato com a empresa que contratou o serviço.
• Registrar acessos e ações — cumprimento de obrigação legal e legítimo interesse na segurança da informação. Numa due diligence, saber quem leu qual versão de qual documento é parte do serviço, não subproduto dele.
• Cobrança e comunicação contratual — execução do contrato.

Não vendemos dado pessoal, e não o cedemos para uso de terceiro em proveito próprio. Compartilhamos apenas com quem é necessário para o serviço funcionar:

• Provedor de infraestrutura em nuvem, onde a plataforma roda e os arquivos ficam armazenados — [provedor e região].
• Provedores de certidão, quando a sua empresa solicita um background check: recebem apenas o identificador da empresa alvo consultada, nunca documentos da negociação.
• Provedor de envio de e-mail, para as mensagens transacionais (convite, redefinição de senha).
• Autoridade pública, quando houver ordem legal, e nos limites dela.

Lista completa de suboperadores e as respectivas finalidades: [lista de suboperadores].

• Mensagem enviada pelo formulário deste site: 24 meses a partir da última interação. Depois disso, ela e os dados técnicos que a acompanham são eliminados.
• Documentos e dados da negociação: pelo prazo que a empresa contratante configura, e enquanto durar o contrato dela conosco. Quem define é ela, não nós.
• Registros de acesso e trilha de auditoria: preservados como registro do que aconteceu, mesmo depois de a conta ser encerrada. Ver a seção seguinte sobre como isso convive com o direito ao esquecimento.

• Separação por empresa no banco de dados. Cada organização tem um espaço próprio, e não uma coluna de filtro numa tabela compartilhada. O acervo de uma empresa está em outro lugar do banco, não em outra linha da mesma tabela.
• Autenticação em dois fatores, com sessão única e reconfirmação pontual para o acervo marcado como sensível.
• Criptografia em trânsito e em repouso; senha guardada como resumo criptográfico; segredos de segundo fator cifrados.
• Trilha que o próprio banco recusa alterar, por gatilho — não por convenção de código.
• Acesso por documento em três camadas que só se estreitam, com marca d’água identificando quem está lendo.

A plataforma foi arquitetada para atender aos padrões ISO 27001 e SOC 2 desde a primeira linha. Ainda não passamos por auditoria de certificação, e preferimos dizer isso a exibir um selo que ninguém emitiu.

A LGPD garante a você confirmar a existência de tratamento, acessar seus dados, corrigi-los, pedir anonimização, bloqueio ou eliminação, pedir portabilidade, saber com quem compartilhamos e revogar consentimento.

Escreva para [e-mail do encarregado]. Respondemos em [prazo de resposta].

Sobre a eliminação e a trilha: registros de auditoria não são apagados, porque a integridade deles é o que dá valor probatório ao serviço. O direito ao esquecimento é atendido por anonimização — o registro do que aconteceu permanece, e o dado que identifica você é substituído por um pseudônimo estável. Na prática: continua registrado que um documento foi aberto naquele instante; deixa de ser possível dizer que foi você.

Este site não usa cookie algum. Não há cookie de análise, de publicidade ou de terceiro — e é por isso que você não encontra aqui um banner de consentimento.

Dentro da plataforma, depois de você entrar, existe um cookie estritamente necessário: o que mantém a sua sessão. Sem ele não há como continuar logado.

A sua escolha de tema (claro ou escuro) fica guardada no armazenamento local do navegador, não é enviada para nós e não identifica você.

A infraestrutura fica em [região de hospedagem]. Havendo transferência internacional de dados, ela se dá nos termos do art. 33 da LGPD, com [salvaguardas contratuais adotadas].

Podemos atualizar este documento. A data de última atualização, no topo, sempre reflete a versão vigente. Mudança que altere de forma relevante como tratamos seus dados é comunicada por [canal de comunicação de mudanças] antes de entrar em vigor.