Política de Privacidade

Esta Política de Privacidade descreve como a ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA, inscrita no CNPJ sob o nº 29.383.276/0001-88 ("Comando1", "nós" ou "Empresa"), coleta, usa, armazena, compartilha e protege dados pessoais tratados por meio da plataforma Comando1 ("Plataforma"), em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD). "Comando1" é a marca e o nome comercial sob os quais a ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA explora a Plataforma; o controlador dos dados é sempre essa pessoa jurídica. A Plataforma é um sistema de gestão (ERP) em nuvem para empresas de serviços. Isso significa que tratamos dois conjuntos distintos de dados pessoais, com papéis jurídicos diferentes — a distinção está detalhada na seção 3 e determina a quem você deve dirigir cada solicitação. Leia esta Política atentamente antes de utilizar a Plataforma.

Para fins desta Política: • Dados Pessoais: qualquer informação relacionada a uma pessoa natural identificada ou identificável. • Dados Pessoais Sensíveis: dados de origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde, vida sexual, dado genético ou biométrico. • Titular: pessoa natural a quem os dados pessoais se referem. • Controlador: quem decide sobre o tratamento dos dados pessoais. • Operador: quem realiza o tratamento em nome do controlador, seguindo suas instruções. • Tratamento: toda operação realizada com dados pessoais (coleta, uso, armazenamento, compartilhamento, exclusão etc.). • Usuário: a pessoa física que acessa a Plataforma e a pessoa jurídica que a contrata. • ANPD: Autoridade Nacional de Proteção de Dados.

A Plataforma trata dados pessoais em duas qualidades diferentes. Entender qual delas se aplica ao seu caso é o que define a quem dirigir uma solicitação de direitos. 3.1. Somos CONTROLADORES dos dados dos usuários da Plataforma — as pessoas que criam conta, acessam o sistema e se relacionam diretamente conosco. Isso inclui nome, e-mail, credenciais de autenticação, registros de acesso, dados de faturamento da conta e o histórico de uso da Plataforma. Nessa qualidade, decidimos as finalidades do tratamento e respondemos diretamente ao Titular. 3.2. Somos OPERADORES dos dados que o Usuário insere na Plataforma sobre terceiros — seus clientes, fornecedores, contatos, sócios e demais pessoas cadastradas. Esses dados pertencem ao Usuário e são tratados exclusivamente conforme as instruções dele. Nessa qualidade, não decidimos as finalidades do tratamento, não usamos esses dados para fins próprios e não os comercializamos. 3.3. Consequência prática: se você é cliente ou fornecedor de uma empresa que usa o Comando1 e quer exercer direitos sobre os seus dados (acesso, correção, exclusão), a solicitação deve ser dirigida a essa empresa, que é a controladora. Podemos encaminhá-la, mas não temos autoridade para atender diretamente sem instrução dela. 3.4. O Usuário, na condição de controlador dos dados que insere, é responsável por possuir base legal adequada para esse tratamento e por informar seus próprios titulares, nos termos da LGPD.

4.1. Dados de conta e identificação (tratados na qualidade de controlador): • Nome completo, e-mail e senha (armazenada apenas como hash) para autenticação • Foto de perfil, quando o Usuário fornece ou quando obtida por serviço de avatar a partir do hash do e-mail • Dados da empresa contratante: razão social, nome fantasia, CNPJ, inscrições estadual e municipal, regime tributário, CNAE, endereço, telefone, WhatsApp e e-mail • Vínculo do usuário com a empresa e seu nível de permissão (administrador, operador ou visualizador) • Fatores de autenticação: segredos de 2FA (TOTP), códigos de recuperação armazenados como hash e chaves públicas de passkeys (WebAuthn) 4.2. Dados que o Usuário insere sobre terceiros (tratados na qualidade de operador): • Clientes e fornecedores: nome, razão social, CPF/CNPJ, e-mail, telefone, endereços, contatos, inscrições e anotações internas • Fornecedores pessoa física: data de nascimento e número de passaporte, quando informados • Dados bancários para repasse: chave Pix, banco, agência, conta, tipo de conta, nome e documento do titular • Dados de cadastro de recebedores em serviços de pagamento (quando o Usuário utiliza split de pagamentos): documento, data de nascimento, nome da mãe, renda ou faturamento declarado, ocupação profissional e sócios administradores — informações exigidas pela instituição de pagamento para verificação cadastral • Documentos fiscais, propostas, contratos, faturas, despesas e seus anexos • Certificados digitais (arquivo .pfx) e respectivas senhas, quando o Usuário configura a emissão de NFS-e, bem como credenciais de acesso a portais fiscais. Senhas e credenciais são armazenadas cifradas • Mensagens de e-mail recebidas na Caixa de Entrada da empresa e os documentos delas extraídos 4.3. Dados coletados automaticamente durante o uso: • Endereço IP, informações do dispositivo e do navegador • Registros de acesso e de atividade (data, hora, ação realizada, usuário responsável e diferença entre o estado anterior e posterior do registro alterado), mantidos em log de auditoria que inclui o e-mail do usuário • Registro de aceite dos documentos legais: versão aceita, data e hora, endereço IP e identificação do navegador • Conteúdo das conversas mantidas com o assistente de inteligência artificial da Plataforma e o registro das ações executadas por ele • Dados de entrega e de abertura de e-mails enviados pela Plataforma. Os e-mails podem conter um pixel de rastreamento que, ao ser carregado, registra data, hora, endereço IP e identificação do navegador de quem abriu a mensagem • Inscrições de notificação push do navegador, quando o Usuário autoriza • Origem da visita que levou ao cadastro: parâmetros de campanha da URL (utm_source, utm_medium, utm_campaign, utm_term, utm_content), identificadores de clique de anúncio do Google (gclid, gbraid, wbraid) e da Meta (fbclid), o identificador do seu navegador no Google Analytics (cookie _ga, de primeira parte), página de entrada e site de origem. Ficam no navegador até o cadastro e então são gravados na nossa própria base, vinculados à conta (ver seção 9) • Cookies e armazenamento local de sessão e preferências; no site, cookie de primeira parte do Google Analytics (ver seção 9.2); e, somente com o seu consentimento, cookies de medição de anúncios do Google Ads e da Meta (ver seção 9.3) 4.4. Dados obtidos de terceiros: • Dados cadastrais públicos consultados em APIs de terceiros a pedido do Usuário, como consulta de CNPJ e de CEP • Extratos, transações e comprovantes obtidos das instituições financeiras que o Usuário conecta à Plataforma • Retornos de órgãos fiscais sobre documentos emitidos 4.5. Dados sensíveis. Não solicitamos dados pessoais sensíveis e a Plataforma não possui campos destinados a eles. Campos de texto livre e anexos, contudo, aceitam qualquer conteúdo: o Usuário não deve inserir neles dados sensíveis — como informações de saúde, biometria ou convicção religiosa — e é responsável por essa decisão caso o faça. 4.6. Menores. A Plataforma não é destinada a menores de 18 anos e não coletamos intencionalmente dados de menores como titulares de conta.

Tratamos dados pessoais com as seguintes finalidades e bases legais (art. 7º da LGPD): • Prestação do serviço contratado — execução do contrato (art. 7º, V): autenticar usuários, processar operações, emitir documentos fiscais, realizar cobranças e pagamentos por meio das instituições integradas e enviar comunicações operacionais. • Cobrança pelo uso da Plataforma — execução do contrato (art. 7º, V): apurar os eventos consumidos, movimentar a carteira de créditos, processar recargas e emitir os respectivos comprovantes. • Segurança e prevenção a fraude — legítimo interesse (art. 7º, IX): registrar acessos, aplicar limites de uso, autenticar em duplo fator, investigar uso indevido e analisar o risco de cadastros com um serviço antifraude (seção 9.6). • Comprovação do aceite dos documentos legais — cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI): registrar qual versão dos Termos e desta Política foi aceita, quando e a partir de qual endereço IP. • Suporte ao Usuário — legítimo interesse (art. 7º, IX): responder dúvidas e resolver problemas técnicos. • Cumprimento de obrigações legais — obrigação legal (art. 7º, II): manter registros de acesso conforme o Marco Civil da Internet (Lei nº 12.965/2014) e atender à legislação fiscal e tributária. • Melhoria da Plataforma — legítimo interesse (art. 7º, IX): analisar padrões de uso e diagnosticar erros. • Medição de uso do site — legítimo interesse (art. 7º, IX), com direito de recusa: Google Analytics nas páginas públicas, pelo nosso servidor de marcação (seção 9.2). • Medição de campanhas de anúncios — consentimento (art. 7º, I): Google Ads e Meta Pixel, descritos na seção 9.3, para saber quais anúncios trazem visitas e cadastros. Sem o consentimento, essas ferramentas não são carregadas. • Registro da origem do cadastro em nossa própria base — legítimo interesse (art. 7º, IX): saber por qual canal (anúncio, busca, indicação ou acesso direto) cada conta chegou, para decidir onde investir em divulgação. Esse registro não é compartilhado com terceiros. • Comunicações de marketing — consentimento (art. 7º, I): enviar novidades e conteúdos. O Usuário pode cancelar a qualquer momento, sem prejuízo das comunicações operacionais, que são inerentes ao serviço. Quanto aos dados tratados na qualidade de operador (seção 3.2), a finalidade e a base legal são determinadas pelo Usuário controlador, e nós os tratamos apenas para executar o serviço contratado.

A Plataforma usa inteligência artificial em funcionalidades específicas. É importante que você saiba exatamente o que isso implica para os dados. 6.1. O que é enviado. Quando o Usuário utiliza uma dessas funcionalidades, o conteúdo necessário para executá-la é transmitido ao provedor de IA. Isso ocorre em: • Leitura automática de documentos anexados (boletos, notas fiscais, faturas de cartão), incluindo o conteúdo do arquivo • Processamento das mensagens recebidas na Caixa de Entrada, incluindo texto do e-mail e anexos • Assistente conversacional da Plataforma, incluindo as perguntas do Usuário e os dados consultados para respondê-las • Sugestões de classificação e categorização de lançamentos 6.2. Quem processa. O provedor de inteligência artificial utilizado é o Google, por meio da API Gemini. Os dados enviados podem ser processados fora do Brasil (ver seção 8). 6.3. O que não fazemos. Não utilizamos o conteúdo dos Usuários para treinar modelos próprios de inteligência artificial e não o disponibilizamos a terceiros para essa finalidade. 6.4. Decisões automatizadas. A inteligência artificial da Plataforma propõe, mas não decide sozinha: ações com efeito financeiro, fiscal ou destrutivo exigem confirmação explícita do Usuário antes de serem executadas. Os resultados gerados por IA podem conter imprecisões e devem ser revisados. Nos termos do art. 20 da LGPD, o Titular pode solicitar revisão de decisões tomadas exclusivamente com base em tratamento automatizado pelo canal indicado na seção 13. 6.5. Se o Usuário não desejar que determinado conteúdo seja submetido a processamento por IA, basta não utilizar as funcionalidades descritas em 6.1 para esse conteúdo.

Não vendemos dados pessoais. O compartilhamento ocorre nas situações abaixo — inclusive com o Google para medição de uso do site (seção 9.2) e, somente se você consentir, com o Google e a Meta para medição de anúncios (seção 9.3). 7.1. Operadores e prestadores de serviço. Para operar a Plataforma, contamos com os seguintes terceiros, cada um recebendo apenas os dados necessários à sua finalidade: Infraestrutura e comunicação • Infraestrutura própria de banco de dados, autenticação e armazenamento de arquivos, hospedada em servidor dedicado sob nossa administração • Cloudflare — entrega de conteúdo, proteção da aplicação e roteamento de e-mails recebidos • Amazon Web Services (AWS SES) — envio de e-mails transacionais • Meta Platforms (WhatsApp Cloud API) — envio de mensagens de WhatsApp e confirmação de entrega • getByte — envio dos códigos de acesso por WhatsApp, recebimento dos eventos do número de WhatsApp da plataforma (entrega, leitura e respostas) e hospedagem do servidor de marcação usado na medição do site (seção 9.2) • Sentry — registro de erros da aplicação. Configurado para não enviar dados pessoais: transmite apenas o identificador interno do usuário, o identificador da empresa e o papel de acesso, sem nome, e-mail ou conteúdo de tela • Gravatar — obtenção de imagem de perfil a partir do hash do e-mail Inteligência artificial • Google (API Gemini) — funcionalidades descritas na seção 6 Serviços financeiros (acionados conforme as integrações que o Usuário habilita) • C6 Bank — boletos, Pix, extratos, DDA e ordens de pagamento • Banco Inter — boletos, Pix, extratos e cobrança recorrente • Cora — extrato, saldo, cobranças e pagamentos, quando a conta Cora é conectada • Pagar.me — pagamentos com cartão, cartão em arquivo e cadastro de recebedores para split • Mercado Pago — pagamentos com Pix e cartão • Banco Central do Brasil — consulta de índices oficiais de reajuste Serviços fiscais e cadastrais • Sefin Nacional / Ambiente Nacional da NFS-e — emissão, cancelamento e consulta de notas fiscais de serviço • Prestador de intermediação técnica para transmissão dos documentos fiscais assinados ao ambiente nacional • BrasilAPI — consulta de dados públicos de CNPJ e CEP Medição de uso do site (legítimo interesse, com recusa — ver seção 9.2) • Google (Google Analytics, servido pelo nosso servidor de marcação, hospedado pela getByte) — medição de visitas às páginas públicas Prevenção a fraude (legítimo interesse — ver seção 9.6) • getByte (antifraude) — análise de risco de cadastros e sinais agregados de comportamento nas páginas públicas, no cadastro e na criação da empresa Medição de anúncios (somente com consentimento — ver seção 9.3) • Google (Google Ads) — medição de visitas e de conversões vindas de anúncios • Meta Platforms (Meta Pixel) — medição de visitas e de conversões vindas de anúncios no Instagram e no Facebook Todos os operadores são obrigados a adotar medidas de segurança compatíveis com esta Política e a tratar os dados apenas conforme nossas instruções. 7.2. Obrigação legal. Quando exigido por lei, ordem judicial ou autoridade competente. 7.3. Proteção de direitos. Quando necessário para apurar fraude ou proteger direitos, propriedade ou segurança da Empresa, dos Usuários ou de terceiros. 7.4. Operações societárias. Em caso de fusão, aquisição ou reorganização societária, os dados poderão ser transferidos ao sucessor, mantidas as condições desta Política, com comunicação prévia aos Usuários.

A infraestrutura principal da Plataforma — banco de dados, autenticação e armazenamento de arquivos — está hospedada em território brasileiro, em servidor sob nossa administração. Alguns operadores listados na seção 7.1, contudo, processam dados fora do Brasil. São eles: Google (inteligência artificial, medição de uso do site e, com consentimento, medição de anúncios), Amazon Web Services (e-mail transacional), Cloudflare (entrega de conteúdo e roteamento de e-mail), Meta Platforms (WhatsApp e, com consentimento, medição de anúncios) e Sentry (monitoramento de erros). Essas transferências ocorrem com fundamento no art. 33 da LGPD, para a execução do contrato firmado com o Usuário e mediante cláusulas contratuais de proteção oferecidas por esses fornecedores; no caso da medição de anúncios, com base no consentimento específico dado no aviso de cookies (art. 33, VIII). Transferimos apenas os dados necessários a cada finalidade.

O site e a Plataforma usam cookies e armazenamento local do navegador em três níveis, cada um com sua base legal. Um único aviso, exibido na primeira visita, informa os dois últimos e permite escolher. A escolha pode ser mudada a qualquer momento pelo link "Preferências de cookies", no rodapé do site e ao final desta Política. 9.1. Necessários (sempre ativos, dispensam consentimento): • Cookies e tokens de sessão: mantêm o Usuário autenticado entre as páginas. Sem eles a Plataforma não funciona. • Preferências de uso: armazenam localmente escolhas como tema visual, empresa ativa e visibilidade de valores. • Registro de aceite pendente: armazena localmente, por poucos instantes, a indicação de que o Usuário aceitou os documentos legais, para que o registro seja concluído após a autenticação. • Suas escolhas sobre medição e anúncios: guardadas no navegador para não perguntar de novo a cada página. • Origem da visita: os parâmetros de campanha e de clique de anúncio descritos na seção 4.3 ficam guardados no seu navegador por até 90 dias e, se você criar uma conta, são gravados na nossa própria base junto dela, para sabermos por qual canal a conta chegou. É um registro nosso, que não é enviado a terceiros por esse caminho. 9.2. Medição de uso do SITE, por legítimo interesse (com direito de recusa): Utilizamos o Google Analytics para entender por onde as pessoas chegam ao site e quais páginas leem. A coleta é servida pelo nosso próprio servidor de marcação, em domínio nosso — o dado passa por nós antes de ir ao Google, e o cookie é de primeira parte. Esta medição vale apenas para as páginas públicas do site. Ela NÃO roda dentro da Plataforma: o que o Usuário faz nas telas autenticadas, com dados dos clientes dele, não é medido pelo Google Analytics. Três desfechos, porém, são contados ao Google Analytics PELO NOSSO SERVIDOR, e não pelo seu navegador: cadastro concluído, primeira empresa criada e recarga de saldo (com o valor). Nada do Google é executado nas telas autenticadas — quem monta e envia o evento somos nós, e o que sai é apenas o nome do desfecho, o identificador do navegador que já visitava o site e, na recarga, o identificador e o valor da transação. Não enviamos seu nome, e-mail, telefone, CPF/CNPJ, as telas que você abriu, nem qualquer dado das empresas, clientes ou documentos cadastrados. A finalidade é uma só e é a mesma do parágrafo acima: saber quais visitas ao site se transformam em conta. Quem recusou a medição não tem esses eventos enviados. Base legal e escolha: a medição do site se apoia em legítimo interesse (art. 7º, IX, da LGPD) e por isso começa quando o site abre. O aviso informa isso, com um botão de RECUSAR de mesmo peso que o de prosseguir — a recusa é registrada no seu navegador e a medição para. Isso é diferente de consentimento prévio: nós avisamos e permitimos sair, não bloqueamos a página até você escolher. 9.3. Medição de anúncios — Google Ads e Meta, SOMENTE com o seu consentimento: Se você clicar em "Aceitar anúncios" no aviso (ou ligar a opção em "Preferências de cookies"), carregamos: • Google Ads (Google LLC), pela mesma Google tag do item 9.2: registra as visitas às páginas do site e as conversões "cadastro concluído", "empresa criada" e "recarga de saldo" (com o valor), para medirmos o resultado dos anúncios no Google. • Meta Pixel (Meta Platforms, Inc.): registra as mesmas visitas e conversões para medirmos os anúncios no Instagram e no Facebook. Sem esse aceite, o Meta Pixel não é carregado e as categorias de anúncio do Google (ad_storage, ad_user_data, ad_personalization do Modo de Consentimento) permanecem desativadas até você aceitar anúncios. Dentro da Plataforma, e apenas para quem aceitou anúncios, saem somente aqueles três eventos pontuais de conversão — não enviamos as páginas visitadas nem o conteúdo das telas. Essas ferramentas gravam cookies próprios (como _gcl_au, _fbp e _fbc) e recebem dados técnicos da visita: endereço IP, identificação do navegador e do dispositivo, página visitada e o identificador do clique no anúncio. Não enviamos a elas seu nome, e-mail, telefone, CPF/CNPJ nem qualquer dado das empresas, clientes ou documentos cadastrados na Plataforma. O Google e a Meta tratam esses dados também conforme as próprias políticas de privacidade, inclusive para fins de publicidade. 9.4. Como mudar de ideia. Pelo link "Preferências de cookies" você pode recusar a medição do site e aceitar ou revogar os anúncios, de forma independente. Ao revogar os anúncios, eles deixam de registrar eventos, as categorias de anúncio do Google voltam a negadas e os cookies do Google Ads e da Meta são apagados deste domínio. Também é possível apagar cookies nas configurações do navegador, ciente de que bloquear os necessários impede o funcionamento da Plataforma. 9.5. Pixel em e-mails. Os e-mails enviados pela Plataforma podem conter pixel de rastreamento de abertura, descrito na seção 4.3. Ele opera no e-mail, não no site, e pode ser neutralizado bloqueando o carregamento automático de imagens no seu cliente de e-mail. 9.6. Prevenção a fraude no cadastro, por legítimo interesse. Nas páginas públicas do site, na tela de entrada/cadastro e na criação da primeira empresa, carregamos um script de antifraude do nosso operador getByte. Ele conta sinais agregados da visita — quantidade de teclas e de movimentos do mouse ou toques, ritmo médio de digitação, trocas de foco da janela, se houve colagem em campos de CPF ou de cartão e marcas de navegação automatizada (robôs). Ele NÃO registra o que você digita, quais teclas aperta, a posição do mouse nem uma impressão digital do seu aparelho. Para reconhecer o mesmo aparelho em visitas diferentes, grava um cookie de primeira parte (_gbaf) com um identificador aleatório, válido por 1 ano, que não é derivado de dados do navegador. Ao criar a empresa, o CPF do responsável (campo opcional), nome, e-mail, telefone, endereço IP e a data do cadastro são enviados à getByte, que devolve uma avaliação de risco. Por ora essa avaliação é usada apenas para acompanhamento: ela não bloqueia nem nega o acesso de ninguém. A coleta é interrompida assim que você entra na Plataforma autenticada. Você pode pedir informações sobre essa análise e contestá-la pelos canais da seção de direitos do titular.

10.1. Conta ativa. Os dados são mantidos enquanto a conta existir, pois constituem o próprio conteúdo do serviço contratado — o histórico financeiro, fiscal e contratual da empresa Usuária. 10.2. Exclusão a pedido. A Plataforma oferece exclusão de dados por categoria diretamente nas configurações da conta, em área específica para essa finalidade, permitindo ao Usuário apagar clientes, fornecedores, faturas, contratos, despesas e anexos, inclusive os arquivos armazenados. A exclusão da conta como um todo pode ser solicitada pelo canal da seção 13 e é processada em até 30 dias, ressalvados os dados sujeitos a retenção obrigatória descrita em 10.4. 10.3. Após o encerramento. Encerrada a conta, o Usuário pode solicitar a exportação de seus dados antes da eliminação. Recomendamos fazê-lo previamente, pois a Plataforma também oferece exportação em formato aberto a qualquer momento durante a vigência. 10.4. Retenção obrigatória. Independentemente de solicitação de exclusão, determinados dados são retidos pelos prazos exigidos por lei: • Registros de acesso à aplicação: 6 (seis) meses, nos termos do art. 15 do Marco Civil da Internet • Documentos e registros fiscais e as informações necessárias à sua comprovação: pelos prazos da legislação tributária aplicável • Registro de aceite dos documentos legais e dados necessários à defesa em processo: enquanto perdurar o prazo prescricional aplicável • Dados cuja guarda seja determinada por autoridade competente 10.5. Marketing. Dados usados exclusivamente para comunicações de marketing são eliminados dessa base ao cancelamento do consentimento. O registro da origem do cadastro (seção 9.1) é mantido enquanto a conta existir. Os dados de medição do site ficam 14 meses no Google Analytics, prazo que configuramos na ferramenta. Os cookies de medição do Google e da Meta seguem os prazos dessas empresas (em geral, até 90 dias no navegador para os de anúncio); os de anúncio são apagados deste domínio quando você revoga o consentimento. 10.6. Encerrados os prazos acima, os dados são eliminados ou anonimizados de forma irreversível. A eliminação em nossos sistemas de backup ocorre conforme o ciclo de rotação das cópias de segurança.

Adotamos medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, perda, alteração ou destruição, entre elas: • Criptografia de dados em trânsito por HTTPS/TLS em todas as comunicações • Isolamento entre empresas aplicado na própria camada de banco de dados, por meio de políticas de segurança em nível de linha, de modo que uma empresa não alcança os dados de outra • Armazenamento cifrado de segredos e credenciais de integração em cofre dedicado, com acesso restrito a rotinas internas autorizadas • Cifragem específica das senhas de certificados digitais e de credenciais de portais fiscais • Senhas armazenadas apenas como hash, nunca em texto legível • Autenticação em duplo fator (TOTP) com códigos de recuperação armazenados como hash, e suporte a passkeys (WebAuthn) • Possibilidade de a empresa exigir duplo fator de todos os seus membros e reautenticação adicional no momento de aprovar pagamentos • Chaves de API armazenadas apenas como hash, com escopos de permissão e limite de requisições • Controle de acesso por papel (administrador, operador, visualizador) • Registro de auditoria das alterações relevantes, com identificação do responsável • Assinatura criptográfica dos webhooks enviados a sistemas do Usuário • Cópias de segurança regulares e processos internos de revisão de segurança Nenhum sistema é imune a incidentes. Ocorrendo incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, comunicaremos a ANPD e os afetados nos prazos da LGPD, informando o que ocorreu, quais dados foram atingidos e quais medidas foram adotadas. O Usuário também tem responsabilidade nessa cadeia: manter suas credenciais em sigilo, ativar o duplo fator e revogar prontamente acessos de pessoas desligadas.

Nos termos do art. 18 da LGPD, o Titular tem direito a: • Confirmação da existência de tratamento • Acesso aos dados • Correção de dados incompletos, inexatos ou desatualizados • Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD • Portabilidade dos dados a outro fornecedor • Eliminação dos dados tratados com base no consentimento • Informação sobre as entidades com as quais compartilhamos dados • Informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa • Revogação do consentimento, sem prejuízo do tratamento já realizado • Oposição a tratamento realizado com base em hipótese de dispensa de consentimento • Revisão de decisões tomadas exclusivamente com base em tratamento automatizado Como exercer: • Usuário da Plataforma: além do canal da seção 13, boa parte desses direitos pode ser exercida diretamente no sistema — corrigindo dados no próprio cadastro, exportando informações em formato aberto pelos módulos e excluindo registros pela área de exclusão de dados nas configurações. • Cliente, fornecedor ou contato cadastrado por uma empresa que usa a Plataforma: sua solicitação deve ser dirigida a essa empresa, que é a controladora dos seus dados (ver seção 3.3). Se nos for endereçada, encaminharemos a ela. Responderemos às requisições de direitos em até 15 dias. Podemos solicitar informações adicionais para confirmar sua identidade antes de atender, medida necessária para não entregar dados a quem não é o titular. O Titular pode ainda peticionar à ANPD.

Podemos atualizar esta Política para refletir mudanças nas nossas práticas, na legislação ou nos serviços prestados. Alterações relevantes serão comunicadas por e-mail ou por aviso na Plataforma com antecedência mínima de 15 (quinze) dias. A data da última atualização é sempre indicada no topo deste documento. O uso continuado da Plataforma após a vigência das alterações constitui aceite da Política revisada. Registramos qual versão foi aceita por cada usuário, com data, hora e endereço IP.

Nos termos do art. 41 da LGPD, o canal do Encarregado pelo Tratamento de Dados Pessoais é o e-mail privacidade@comando.one. O Encarregado recebe comunicações dos Titulares e da ANPD, presta esclarecimentos e orienta as práticas internas de proteção de dados. Controlador: ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA Marca/nome comercial: Comando1 CNPJ: 29.383.276/0001-88 E-mail de privacidade / Encarregado: privacidade@comando.one E-mail geral: contato@comando.one Telefone e WhatsApp: +55 (41) 9280-2394 Site: comando.one Prazos de resposta: até 5 dias úteis para dúvidas gerais e até 15 dias para requisições de direitos de Titulares.