# Política de Privacidade > Política de Privacidade do Comando1, em conformidade com a LGPD: quais dados são tratados, com que finalidade, por quanto tempo, com quem são compartilhados e como exercer seus direitos. Fonte: https://comando.one/politica-de-privacidade · Atualizado em 2026-09-11 · Comando.One (ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA, CNPJ 29.383.276/0001-88) --- Documento legal # Política de Privacidade Última atualização: 2 de setembro de 2026 Esta Política descreve como a ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA coleta, usa, armazena e protege os dados pessoais tratados na plataforma Comando1, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Índice - 1. Introdução - 2. Definições - 3. Nossos Papéis: Controlador e Operador - 4. Dados Coletados - 5. Finalidades e Base Legal - 6. Uso de Inteligência Artificial - 7. Compartilhamento de Dados - 8. Transferência Internacional - 9. Cookies e Armazenamento Local - 10. Retenção e Eliminação - 11. Segurança - 12. Direitos dos Titulares - 13. Alterações desta Política - 14. Encarregado (DPO) e Contato ## 1. Introdução Esta Política de Privacidade descreve como a ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA, inscrita no CNPJ sob o nº 29.383.276/0001-88 ("Comando1", "nós" ou "Empresa"), coleta, usa, armazena, compartilha e protege dados pessoais tratados por meio da plataforma Comando1 ("Plataforma"), em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD). "Comando1" é a marca e o nome comercial sob os quais a ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA explora a Plataforma; o controlador dos dados é sempre essa pessoa jurídica. A Plataforma é um sistema de gestão (ERP) em nuvem para empresas de serviços. Isso significa que tratamos dois conjuntos distintos de dados pessoais, com papéis jurídicos diferentes — a distinção está detalhada na seção 3 e determina a quem você deve dirigir cada solicitação. Leia esta Política atentamente antes de utilizar a Plataforma. ## 2. Definições Para fins desta Política: • Dados Pessoais: qualquer informação relacionada a uma pessoa natural identificada ou identificável. • Dados Pessoais Sensíveis: dados de origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde, vida sexual, dado genético ou biométrico. • Titular: pessoa natural a quem os dados pessoais se referem. • Controlador: quem decide sobre o tratamento dos dados pessoais. • Operador: quem realiza o tratamento em nome do controlador, seguindo suas instruções. • Tratamento: toda operação realizada com dados pessoais (coleta, uso, armazenamento, compartilhamento, exclusão etc.). • Usuário: a pessoa física que acessa a Plataforma e a pessoa jurídica que a contrata. • ANPD: Autoridade Nacional de Proteção de Dados. ## 3. Nossos Papéis: Controlador e Operador A Plataforma trata dados pessoais em duas qualidades diferentes. Entender qual delas se aplica ao seu caso é o que define a quem dirigir uma solicitação de direitos. 3.1. Somos CONTROLADORES dos dados dos usuários da Plataforma — as pessoas que criam conta, acessam o sistema e se relacionam diretamente conosco. Isso inclui nome, e-mail, credenciais de autenticação, registros de acesso, dados de faturamento da conta e o histórico de uso da Plataforma. Nessa qualidade, decidimos as finalidades do tratamento e respondemos diretamente ao Titular. 3.2. Somos OPERADORES dos dados que o Usuário insere na Plataforma sobre terceiros — seus clientes, fornecedores, contatos, sócios e demais pessoas cadastradas. Esses dados pertencem ao Usuário e são tratados exclusivamente conforme as instruções dele. Nessa qualidade, não decidimos as finalidades do tratamento, não usamos esses dados para fins próprios e não os comercializamos. 3.3. Consequência prática: se você é cliente ou fornecedor de uma empresa que usa o Comando1 e quer exercer direitos sobre os seus dados (acesso, correção, exclusão), a solicitação deve ser dirigida a essa empresa, que é a controladora. Podemos encaminhá-la, mas não temos autoridade para atender diretamente sem instrução dela. 3.4. O Usuário, na condição de controlador dos dados que insere, é responsável por possuir base legal adequada para esse tratamento e por informar seus próprios titulares, nos termos da LGPD. ## 4. Dados Coletados 4.1. Dados de conta e identificação (tratados na qualidade de controlador): • Nome completo, e-mail e senha (armazenada apenas como hash) para autenticação • Foto de perfil, quando o Usuário fornece ou quando obtida por serviço de avatar a partir do hash do e-mail • Dados da empresa contratante: razão social, nome fantasia, CNPJ, inscrições estadual e municipal, regime tributário, CNAE, endereço, telefone, WhatsApp e e-mail • Vínculo do usuário com a empresa e seu nível de permissão (administrador, operador ou visualizador) • Fatores de autenticação: segredos de 2FA (TOTP), códigos de recuperação armazenados como hash e chaves públicas de passkeys (WebAuthn) 4.2. Dados que o Usuário insere sobre terceiros (tratados na qualidade de operador): • Clientes e fornecedores: nome, razão social, CPF/CNPJ, e-mail, telefone, endereços, contatos, inscrições e anotações internas • Fornecedores pessoa física: data de nascimento e número de passaporte, quando informados • Dados bancários para repasse: chave Pix, banco, agência, conta, tipo de conta, nome e documento do titular • Dados de cadastro de recebedores em serviços de pagamento (quando o Usuário utiliza split de pagamentos): documento, data de nascimento, nome da mãe, renda ou faturamento declarado, ocupação profissional e sócios administradores — informações exigidas pela instituição de pagamento para verificação cadastral • Documentos fiscais, propostas, contratos, faturas, despesas e seus anexos • Certificados digitais (arquivo .pfx) e respectivas senhas, quando o Usuário configura a emissão de NFS-e, bem como credenciais de acesso a portais fiscais. Senhas e credenciais são armazenadas cifradas • Mensagens de e-mail recebidas na Caixa de Entrada da empresa e os documentos delas extraídos 4.3. Dados coletados automaticamente durante o uso: • Endereço IP, informações do dispositivo e do navegador • Registros de acesso e de atividade (data, hora, ação realizada, usuário responsável e diferença entre o estado anterior e posterior do registro alterado), mantidos em log de auditoria que inclui o e-mail do usuário • Registro de aceite dos documentos legais: versão aceita, data e hora, endereço IP e identificação do navegador • Conteúdo das conversas mantidas com o assistente de inteligência artificial da Plataforma e o registro das ações executadas por ele • Dados de entrega e de abertura de e-mails enviados pela Plataforma. Os e-mails podem conter um pixel de rastreamento que, ao ser carregado, registra data, hora, endereço IP e identificação do navegador de quem abriu a mensagem • Inscrições de notificação push do navegador, quando o Usuário autoriza • Cookies e armazenamento local de sessão e preferências (ver seção 9) 4.4. Dados obtidos de terceiros: • Dados cadastrais públicos consultados em APIs de terceiros a pedido do Usuário, como consulta de CNPJ e de CEP • Extratos, transações e comprovantes obtidos das instituições financeiras que o Usuário conecta à Plataforma • Retornos de órgãos fiscais sobre documentos emitidos 4.5. Dados sensíveis. Não solicitamos dados pessoais sensíveis e a Plataforma não possui campos destinados a eles. Campos de texto livre e anexos, contudo, aceitam qualquer conteúdo: o Usuário não deve inserir neles dados sensíveis — como informações de saúde, biometria ou convicção religiosa — e é responsável por essa decisão caso o faça. 4.6. Menores. A Plataforma não é destinada a menores de 18 anos e não coletamos intencionalmente dados de menores como titulares de conta. ## 5. Finalidades e Base Legal Tratamos dados pessoais com as seguintes finalidades e bases legais (art. 7º da LGPD): • Prestação do serviço contratado — execução do contrato (art. 7º, V): autenticar usuários, processar operações, emitir documentos fiscais, realizar cobranças e pagamentos por meio das instituições integradas e enviar comunicações operacionais. • Cobrança pelo uso da Plataforma — execução do contrato (art. 7º, V): apurar os eventos consumidos, movimentar a carteira de créditos, processar recargas e emitir os respectivos comprovantes. • Segurança e prevenção a fraude — legítimo interesse (art. 7º, IX): registrar acessos, aplicar limites de uso, autenticar em duplo fator e investigar uso indevido. • Comprovação do aceite dos documentos legais — cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI): registrar qual versão dos Termos e desta Política foi aceita, quando e a partir de qual endereço IP. • Suporte ao Usuário — legítimo interesse (art. 7º, IX): responder dúvidas e resolver problemas técnicos. • Cumprimento de obrigações legais — obrigação legal (art. 7º, II): manter registros de acesso conforme o Marco Civil da Internet (Lei nº 12.965/2014) e atender à legislação fiscal e tributária. • Melhoria da Plataforma — legítimo interesse (art. 7º, IX): analisar padrões de uso e diagnosticar erros. • Comunicações de marketing — consentimento (art. 7º, I): enviar novidades e conteúdos. O Usuário pode cancelar a qualquer momento, sem prejuízo das comunicações operacionais, que são inerentes ao serviço. Quanto aos dados tratados na qualidade de operador (seção 3.2), a finalidade e a base legal são determinadas pelo Usuário controlador, e nós os tratamos apenas para executar o serviço contratado. ## 6. Uso de Inteligência Artificial A Plataforma usa inteligência artificial em funcionalidades específicas. É importante que você saiba exatamente o que isso implica para os dados. 6.1. O que é enviado. Quando o Usuário utiliza uma dessas funcionalidades, o conteúdo necessário para executá-la é transmitido ao provedor de IA. Isso ocorre em: • Leitura automática de documentos anexados (boletos, notas fiscais, faturas de cartão), incluindo o conteúdo do arquivo • Processamento das mensagens recebidas na Caixa de Entrada, incluindo texto do e-mail e anexos • Assistente conversacional da Plataforma, incluindo as perguntas do Usuário e os dados consultados para respondê-las • Sugestões de classificação e categorização de lançamentos 6.2. Quem processa. O provedor de inteligência artificial utilizado é o Google, por meio da API Gemini. Os dados enviados podem ser processados fora do Brasil (ver seção 8). 6.3. O que não fazemos. Não utilizamos o conteúdo dos Usuários para treinar modelos próprios de inteligência artificial e não o disponibilizamos a terceiros para essa finalidade. 6.4. Decisões automatizadas. A inteligência artificial da Plataforma propõe, mas não decide sozinha: ações com efeito financeiro, fiscal ou destrutivo exigem confirmação explícita do Usuário antes de serem executadas. Os resultados gerados por IA podem conter imprecisões e devem ser revisados. Nos termos do art. 20 da LGPD, o Titular pode solicitar revisão de decisões tomadas exclusivamente com base em tratamento automatizado pelo canal indicado na seção 13. 6.5. Se o Usuário não desejar que determinado conteúdo seja submetido a processamento por IA, basta não utilizar as funcionalidades descritas em 6.1 para esse conteúdo. ## 7. Compartilhamento de Dados Não vendemos dados pessoais e não os cedemos para fins publicitários de terceiros. O compartilhamento ocorre nas situações abaixo. 7.1. Operadores e prestadores de serviço. Para operar a Plataforma, contamos com os seguintes terceiros, cada um recebendo apenas os dados necessários à sua finalidade: Infraestrutura e comunicação • Infraestrutura própria de banco de dados, autenticação e armazenamento de arquivos, hospedada em servidor dedicado sob nossa administração • Cloudflare — entrega de conteúdo, proteção da aplicação e roteamento de e-mails recebidos • Amazon Web Services (AWS SES) — envio de e-mails transacionais • Meta Platforms (WhatsApp Cloud API) — envio e recebimento de mensagens de WhatsApp • Sentry — registro de erros da aplicação. Configurado para não enviar dados pessoais: transmite apenas o identificador interno do usuário, o identificador da empresa e o papel de acesso, sem nome, e-mail ou conteúdo de tela • Gravatar — obtenção de imagem de perfil a partir do hash do e-mail Inteligência artificial • Google (API Gemini) — funcionalidades descritas na seção 6 Serviços financeiros (acionados conforme as integrações que o Usuário habilita) • C6 Bank — boletos, Pix, extratos, DDA e ordens de pagamento • Banco Inter — boletos, Pix, extratos e cobrança recorrente • Pagar.me — pagamentos com cartão, cartão em arquivo e cadastro de recebedores para split • Mercado Pago — pagamentos com cartão • Banco Central do Brasil — consulta de índices oficiais de reajuste Serviços fiscais e cadastrais • Sefin Nacional / Ambiente Nacional da NFS-e — emissão, cancelamento e consulta de notas fiscais de serviço • Prestador de intermediação técnica para transmissão dos documentos fiscais assinados ao ambiente nacional • BrasilAPI — consulta de dados públicos de CNPJ e CEP Todos os operadores são obrigados a adotar medidas de segurança compatíveis com esta Política e a tratar os dados apenas conforme nossas instruções. 7.2. Obrigação legal. Quando exigido por lei, ordem judicial ou autoridade competente. 7.3. Proteção de direitos. Quando necessário para apurar fraude ou proteger direitos, propriedade ou segurança da Empresa, dos Usuários ou de terceiros. 7.4. Operações societárias. Em caso de fusão, aquisição ou reorganização societária, os dados poderão ser transferidos ao sucessor, mantidas as condições desta Política, com comunicação prévia aos Usuários. ## 8. Transferência Internacional A infraestrutura principal da Plataforma — banco de dados, autenticação e armazenamento de arquivos — está hospedada em território brasileiro, em servidor sob nossa administração. Alguns operadores listados na seção 7.1, contudo, processam dados fora do Brasil. São eles: Google (inteligência artificial), Amazon Web Services (e-mail transacional), Cloudflare (entrega de conteúdo e roteamento de e-mail), Meta Platforms (WhatsApp) e Sentry (monitoramento de erros). Essas transferências ocorrem com fundamento no art. 33 da LGPD, para a execução do contrato firmado com o Usuário e mediante cláusulas contratuais de proteção oferecidas por esses fornecedores. Transferimos apenas os dados necessários a cada finalidade. ## 9. Cookies e Armazenamento Local A Plataforma e o site utilizam cookies e armazenamento local do navegador apenas para o funcionamento do serviço: • Cookies e tokens de sessão: mantêm o Usuário autenticado entre as páginas. Sem eles a Plataforma não funciona. • Preferências de uso: armazenam localmente escolhas como tema visual, empresa ativa e visibilidade de valores. • Registro de aceite pendente: armazena localmente, por poucos instantes, a indicação de que o Usuário aceitou os documentos legais, para que o registro seja concluído após a autenticação. Não utilizamos cookies de publicidade, de rastreamento entre sites ou ferramentas de analytics de terceiros — não há Google Analytics, Google Tag Manager, Meta Pixel ou equivalentes no site ou na Plataforma. Por essa razão, não exibimos banner de consentimento de cookies: os cookies empregados são estritamente necessários, dispensando consentimento nos termos da LGPD. O Usuário pode gerenciar cookies nas configurações do navegador, ciente de que bloquear os cookies essenciais impede o funcionamento da Plataforma. Observação separada: os e-mails enviados pela Plataforma podem conter pixel de rastreamento de abertura, descrito na seção 4.3. Ele opera no e-mail, não no site, e pode ser neutralizado bloqueando o carregamento automático de imagens no seu cliente de e-mail. ## 10. Retenção e Eliminação 10.1. Conta ativa. Os dados são mantidos enquanto a conta existir, pois constituem o próprio conteúdo do serviço contratado — o histórico financeiro, fiscal e contratual da empresa Usuária. 10.2. Exclusão a pedido. A Plataforma oferece exclusão de dados por categoria diretamente nas configurações da conta, em área específica para essa finalidade, permitindo ao Usuário apagar clientes, fornecedores, faturas, contratos, despesas e anexos, inclusive os arquivos armazenados. A exclusão da conta como um todo pode ser solicitada pelo canal da seção 13 e é processada em até 30 dias, ressalvados os dados sujeitos a retenção obrigatória descrita em 10.4. 10.3. Após o encerramento. Encerrada a conta, o Usuário pode solicitar a exportação de seus dados antes da eliminação. Recomendamos fazê-lo previamente, pois a Plataforma também oferece exportação em formato aberto a qualquer momento durante a vigência. 10.4. Retenção obrigatória. Independentemente de solicitação de exclusão, determinados dados são retidos pelos prazos exigidos por lei: • Registros de acesso à aplicação: 6 (seis) meses, nos termos do art. 15 do Marco Civil da Internet • Documentos e registros fiscais e as informações necessárias à sua comprovação: pelos prazos da legislação tributária aplicável • Registro de aceite dos documentos legais e dados necessários à defesa em processo: enquanto perdurar o prazo prescricional aplicável • Dados cuja guarda seja determinada por autoridade competente 10.5. Marketing. Dados usados exclusivamente para comunicações de marketing são eliminados dessa base ao cancelamento do consentimento. 10.6. Encerrados os prazos acima, os dados são eliminados ou anonimizados de forma irreversível. A eliminação em nossos sistemas de backup ocorre conforme o ciclo de rotação das cópias de segurança. ## 11. Segurança Adotamos medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, perda, alteração ou destruição, entre elas: • Criptografia de dados em trânsito por HTTPS/TLS em todas as comunicações • Isolamento entre empresas aplicado na própria camada de banco de dados, por meio de políticas de segurança em nível de linha, de modo que uma empresa não alcança os dados de outra • Armazenamento cifrado de segredos e credenciais de integração em cofre dedicado, com acesso restrito a rotinas internas autorizadas • Cifragem específica das senhas de certificados digitais e de credenciais de portais fiscais • Senhas armazenadas apenas como hash, nunca em texto legível • Autenticação em duplo fator (TOTP) com códigos de recuperação armazenados como hash, e suporte a passkeys (WebAuthn) • Possibilidade de a empresa exigir duplo fator de todos os seus membros e reautenticação adicional no momento de aprovar pagamentos • Chaves de API armazenadas apenas como hash, com escopos de permissão e limite de requisições • Controle de acesso por papel (administrador, operador, visualizador) • Registro de auditoria das alterações relevantes, com identificação do responsável • Assinatura criptográfica dos webhooks enviados a sistemas do Usuário • Cópias de segurança regulares e processos internos de revisão de segurança Nenhum sistema é imune a incidentes. Ocorrendo incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, comunicaremos a ANPD e os afetados nos prazos da LGPD, informando o que ocorreu, quais dados foram atingidos e quais medidas foram adotadas. O Usuário também tem responsabilidade nessa cadeia: manter suas credenciais em sigilo, ativar o duplo fator e revogar prontamente acessos de pessoas desligadas. ## 12. Direitos dos Titulares Nos termos do art. 18 da LGPD, o Titular tem direito a: • Confirmação da existência de tratamento • Acesso aos dados • Correção de dados incompletos, inexatos ou desatualizados • Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD • Portabilidade dos dados a outro fornecedor • Eliminação dos dados tratados com base no consentimento • Informação sobre as entidades com as quais compartilhamos dados • Informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa • Revogação do consentimento, sem prejuízo do tratamento já realizado • Oposição a tratamento realizado com base em hipótese de dispensa de consentimento • Revisão de decisões tomadas exclusivamente com base em tratamento automatizado Como exercer: • Usuário da Plataforma: além do canal da seção 13, boa parte desses direitos pode ser exercida diretamente no sistema — corrigindo dados no próprio cadastro, exportando informações em formato aberto pelos módulos e excluindo registros pela área de exclusão de dados nas configurações. • Cliente, fornecedor ou contato cadastrado por uma empresa que usa a Plataforma: sua solicitação deve ser dirigida a essa empresa, que é a controladora dos seus dados (ver seção 3.3). Se nos for endereçada, encaminharemos a ela. Responderemos às requisições de direitos em até 15 dias. Podemos solicitar informações adicionais para confirmar sua identidade antes de atender, medida necessária para não entregar dados a quem não é o titular. O Titular pode ainda peticionar à ANPD. ## 13. Alterações desta Política Podemos atualizar esta Política para refletir mudanças nas nossas práticas, na legislação ou nos serviços prestados. Alterações relevantes serão comunicadas por e-mail ou por aviso na Plataforma com antecedência mínima de 15 (quinze) dias. A data da última atualização é sempre indicada no topo deste documento. O uso continuado da Plataforma após a vigência das alterações constitui aceite da Política revisada. Registramos qual versão foi aceita por cada usuário, com data, hora e endereço IP. ## 14. Encarregado (DPO) e Contato Nos termos do art. 41 da LGPD, o canal do Encarregado pelo Tratamento de Dados Pessoais é o e-mail privacidade@comando.one. O Encarregado recebe comunicações dos Titulares e da ANPD, presta esclarecimentos e orienta as práticas internas de proteção de dados. Controlador: ORBITAL TECNOLOGIA E DESENVOLVIMENTO LTDA Marca/nome comercial: Comando1 CNPJ: 29.383.276/0001-88 E-mail de privacidade / Encarregado: privacidade@comando.one E-mail geral: contato@comando.one Telefone e WhatsApp: +55 (41) 9280-2394 Site: comando.one Prazos de resposta: até 5 dias úteis para dúvidas gerais e até 15 dias para requisições de direitos de Titulares. Exercer seus direitos ou tirar dúvidas? Entre em contato com nosso encarregado de dados (DPO). [privacidade@comando.one](mailto:privacidade@comando.one) Consulte também nossos [Termos de Uso](https://comando.one/termos-de-uso).