Política de Privacidade

1. Quem somos

ResidFacil é uma ferramenta de gestão de cobrança de aluguel usada por administradores (gerentes) de residenciais estudantis para enviar lembretes, registrar pagamentos e gerar relatórios. Esta política descreve como tratamos os dados pessoais dos moradores e administradores que usam o sistema.

2. Quais dados coletamos

Coletamos os dados estritamente necessários para operar a cobrança:

• Do morador: nome completo, e-mail, telefone, unidade que ocupa, valor do aluguel, CPF (opcional), endereço atual (opcional). Informações de pagamento (data, método, valor, comprovante).
• Ficha preenchida pelo próprio cliente (por link ou QR code): quando a administração do empreendimento envia um link ou o cliente lê o QR code da recepção, ele mesmo informa nome, WhatsApp e/ou e-mail, CPF ou CNPJ (ou passaporte, se for estrangeiro), data de nascimento, endereço, contato de emergência, uma observação e, se quiser, a foto do documento. Registramos também o IP e o navegador do envio, a data do aceite desta política e qual versão dela foi aceita. Quem vê esses dados é só a administração daquele empreendimento, que decide se aprova o cadastro. A base legal é o consentimento (LGPD, art. 7º, I). Nunca pedimos valor de aluguel, senha ou dados de cartão nessa ficha.
• Do administrador (gerente): nome, e-mail, senha (armazenada com hash bcrypt), preferências de configuração do residencial.
• De quem bate ponto pelo app (funcionário, zelador, prestador): a hora de cada marcação e a hora em que ela chegou ao servidor, a sua localização naquele instante (latitude, longitude e a precisão informada pelo aparelho), a distância até o local de trabalho cadastrado, qual aparelho foi usado e, se você cadastrar o rosto, um código numérico do seu rosto — vetores de 128 números lidos de vários ângulos no cadastro, mais até 5 leituras guardadas depois, a cada ponto confirmado —, que é dado pessoal sensível (LGPD, art. 11). Nenhuma fotografia é gravada em lugar nenhum: a leitura acontece dentro do seu próprio aparelho, a imagem é descartada ali e só o código sai de lá, cifrado. A localização é lida quando você abre a tela do ponto e no momento em que você bate, e só é guardada quando você bate — fora das marcações, o app não acompanha você. Detalhes na seção 10.
• Técnicos: IP, user-agent e timestamps das sessões para auditoria e proteção contra abuso.

3. Para que usamos esses dados

• Gerar e enviar cobranças por e-mail e WhatsApp.
• Registrar pagamentos e emitir recibos / relatórios fiscais (DIMOB).
• Permitir que o morador consulte seu histórico via área pública.
• Atender obrigações fiscais e legais relacionadas à locação.
• Registrar a jornada de quem bate ponto pelo app, conferir se a marcação saiu do local de trabalho e, quando o rosto está cadastrado, conferir se quem marcou é a própria pessoa.

Não usamos os dados para publicidade, perfilamento ou venda a terceiros.

4. Base legal (LGPD)

• Execução de contrato (Art. 7º, V) — necessário para cobrar o aluguel.
• Cumprimento de obrigação legal (Art. 7º, II) — guarda fiscal de comprovantes.
• Legítimo interesse (Art. 7º, IX) — proteção contra fraude e abuso (audit log).
• Consentimento específico e destacado (Art. 11, I) — para o código do rosto de quem bate ponto, que é dado sensível. O cadastro é sempre voluntário: sem o seu aceite registrado, nenhum código é gravado.
• Execução de contrato (Art. 7º, V) — para a hora, a localização do momento da marcação e o aparelho usado no ponto.

5. Com quem compartilhamos

Compartilhamos dados apenas com os provedores de infraestrutura abaixo, todos sob contrato de processamento de dados:

• Vercel — hospedagem da aplicação.
• Supabase — banco de dados (Postgres com criptografia em repouso).
• Resend — envio de e-mails transacionais (apenas e-mail e nome do destinatário).
• Worker próprio de WhatsApp (Baileys, hospedado no Render) — envio de WhatsApp (apenas telefone e mensagem). Opcional.
• Banco Inter — emissão de boleto e Pix e leitura do extrato da conta do empreendimento (nome, e-mail, CPF/CNPJ, valor). Opcional.
• Mercado Pago — pagamento por cartão e assinatura (nome, e-mail, CPF, valor). Opcional.
• Stripe — assinatura do próprio ResidFacil, paga pelo administrador (nome, e-mail, dados do cartão tratados pela Stripe, nunca por nós).
• Anthropic — provedor de IA do assistente e da importação de cadastros, nos casos descritos na seção 6.
• Z-API — envio de WhatsApp. Legado: só recebe dados no empreendimento que ainda tiver essa integração configurada.
• Asaas — emissão de boleto. Legado: só recebe dados no empreendimento que ainda tiver essa integração configurada.

Não vendemos nem compartilhamos seus dados com terceiros para fins de marketing. O administrador do empreendimento onde você mora ou aluga continua enxergando os seus dados de cadastro — ele é quem mantém a relação com você, e isso inclui poder retomar contato depois da saída, no prazo descrito abaixo.

6. Por quanto tempo guardamos

• Cadastro do morador: enquanto a locação estiver ativa e por até 12 meses após o encerramento.
• Contato de quem já foi morador: nome e contato ficam disponíveis ao administrador do empreendimento por 12 meses após a saída, para que ele possa retomar contato — por exemplo, avisar quando uma unidade vagar. Passado esse prazo, o dado deixa de aparecer. Quem pedir exclusão sai dessa lista imediatamente.
• Histórico de cobranças e comprovantes: 5 anos após o pagamento (prazo prescricional civil).
• Logs de envio de e-mail/WhatsApp: 200 entradas mais recentes (rotativo).
• Logs de auditoria: 12 meses.
• Perguntas ao assistente de IA (Jorge): registradas de forma anonimizada (CPF, e-mail e telefone mascarados) e categorizadas por tema, por até 12 meses, para melhorar o produto. O texto da pergunta pode ser enviado a um provedor de IA (Anthropic) para gerar a resposta.
• Importação de clientes por IA: quando o administrador envia contratos em PDF ou fotos de listas, o documento é enviado a um provedor de IA (Anthropic) só para extrair os dados do cadastro, sem ser guardado lá. Numa planilha (Excel, Numbers, CSV), a leitura é feita nos nossos servidores; a IA só recebe, quando os títulos das colunas são ambíguos, os títulos e 3 linhas de amostra com CPF, telefone, e-mail e nomes mascarados (também quando a planilha os guarda como número); valores, datas e números de unidade seguem como estão, e a leitura só acontece se nenhuma amostra parecer dado pessoal.
• Marcações de ponto: no mínimo 5 anos (prazo trabalhista). Diferente dos outros itens desta lista, este não é um prazo de descarte: não existe apagamento automático de marcação de ponto. São registro de jornada e não são apagadas a pedido, nem por nós nem pelo responsável pelo empreendimento. A guarda protege quem trabalhou.
• A coordenada exata de uma marcação de ponto: 90 dias. Passado esse prazo, a latitude e a longitude são zeradas automaticamente e sobram só a distância até o local e o resultado da conferência.
• Código do rosto (ponto): é apagado no dia em que seu acesso ao sistema for encerrado e quando sua conta é excluída — nos dois casos, automaticamente, e junto com ele as leituras guardadas depois do cadastro. Antes disso, você mesmo apaga quando quiser, na própria tela do ponto, sem pedir a ninguém. O registro de que houve consentimento — quando, e qual versão desta política você leu — permanece; o código some. Suas marcações de ponto continuam.
• Magic links de acesso público: expiram em 1 hora.
• Ficha preenchida por link ou QR code: o link individual vence em 7 dias. A ficha enviada e ainda não aprovada (ou recusada) fica disponível à administração por até 90 dias; depois disso é marcada como expirada e anonimizada: os dados pessoais (nome completo, contato, CPF, endereço, nascimento, contato de emergência e a foto do documento) são apagados, restando só o registro de que uma ficha chegou e foi expirada. Aprovada, os dados passam a fazer parte do cadastro do cliente e seguem o prazo do cadastro.

7. Seus direitos (LGPD Art. 18)

Você tem direito a:

• Confirmar a existência de tratamento dos seus dados.
• Acessar e corrigir dados.
• Solicitar a exclusão (ressalvadas obrigações legais como guarda fiscal).
• Solicitar a portabilidade dos dados.
• Revogar o consentimento.

Para exercer qualquer um desses direitos, peça ao administrador do seu residencial (gerente) ou solicite via formulário de exclusão de dados. Também é possível solicitar diretamente pelo e-mail de contato da administração do residencial onde você é morador.

8. Segurança

• Senhas armazenadas com hash bcrypt (10 rounds).
• Conexões protegidas por TLS (HTTPS).
• Banco de dados com criptografia em repouso (Supabase / AWS RDS).
• Autenticação de dois fatores (TOTP) opcional para gerentes.
• Audit log de ações sensíveis.
• Rate limiting nos endpoints públicos.

Apesar dessas medidas, nenhum sistema é 100% seguro. Em caso de incidente que envolva dados pessoais, comunicaremos os afetados e a ANPD conforme a LGPD.

9. Cookies

Usamos cookies estritamente necessários (sessão de login, preferência de tema dark/light). Não usamos cookies de marketing, analytics de terceiros ou rastreamento entre sites.

10. Se você bate ponto pelo app

O ponto eletrônico é um módulo opcional, que o responsável pelo empreendimento liga ou desliga. Quando ele está ligado e você foi incluído na escala, vale o que está aqui.

A conferência de rosto é opcional e pessoa por pessoa. Ela só acontece se você tiver cadastrado o seu rosto — e cadastrar depende de você ler um aviso próprio e marcar o seu aceite. Sem cadastro, a marcação é registrada sem conferência de rosto.

O que a conferência de rosto alcança. Na hora de bater, o app sorteia um gesto (virar a cabeça) e confere o movimento entre os quadros. Isso distingue uma pessoa de uma única foto parada — impressa ou na tela de outro aparelho. Não distingue de duas fotos suas em poses diferentes trocadas na frente da câmera, nem de um vídeo seu tocando em outro celular. É proteção contra o descuido do dia a dia, e nós preferimos dizer isso a prometer o que não entregamos.

Isto é controle interno de jornada. Não é registrador eletrônico de ponto da Portaria MTP 671/2021: não gera arquivo AFD assinado, não tem numeração sequencial certificada e o programa não é registrado no MTE. Para quem tem carteira assinada, isto não substitui o ponto oficial.

• O que é guardado a cada marcação. A hora que o seu aparelho marcou e a hora em que o servidor recebeu, a sua localização naquele instante, a distância até o local cadastrado, qual aparelho foi usado e — se você cadastrou o rosto — se a conferência bateu e o quanto a leitura se aproximou do seu cadastro (um número, nunca uma imagem). O endereço de internet é guardado embaralhado (sha256 com sal), nunca o endereço em si.
• Nenhuma foto sua é gravada. A câmera abre dentro do seu aparelho, a imagem vira um vetor de 128 números ali mesmo e é descartada. Só esse vetor sai de lá, cifrado com uma chave dedicada. Ele nunca volta para a tela de ninguém — nem para a sua, nem para a do responsável.
• O reconhecimento aprende com o tempo. No cadastro você gira a cabeça e a câmera lê o rosto de vários ângulos. Depois, a cada ponto confirmado com folga, o sistema guarda até 5 medidas novas do seu rosto (as mais antigas saem primeiro), pra continuar te reconhecendo se você mudar o cabelo, a barba ou os óculos. Elas só entram se ainda parecerem com o rosto que você cadastrou, seguem as mesmas regras do cadastro e são apagadas junto com ele.
• A localização é lida quando você abre a tela do ponto e quando você bate — e só é guardada quando você bate. Se você abrir a tela e for embora sem bater, nada é gravado nem enviado. Não há rastreamento em segundo plano: fora o instante de cada marcação, o app não sabe onde você está, e a coordenada de cada marcação é apagada em 90 dias.
• Quem vê o quê. O responsável pelo empreendimento vê suas entradas, suas saídas, a distância até o local e, se você cadastrou o rosto, se a conferência bateu. O código do seu rosto ninguém vê — nem ele, nem nós.
• Sua marcação não é recusada por causa da localização. Se o GPS não pegar ou se você estiver fora do local, a marcação é registrada assim mesmo, marcada em amarelo e com o motivo escrito, e o responsável decide. No rosto vale o mesmo: se a conferência ficar na dúvida, a tela pede outra tentativa; se ainda assim não confirmar, a marcação é registrada em amarelo. Sistema que se recusa a registrar quem trabalhou prejudica quem trabalhou.
• Cadastrar o rosto é opcional, e apagar também é com você. Nenhum código é gravado sem o seu aceite. Se você preferir não cadastrar, toque em “Não quero cadastrar meu rosto” na tela do ponto: o responsável é avisado da sua escolha, a exigência de rosto sai do seu ponto e você continua batendo normalmente, só com a localização. Você pode apagar o código do seu rosto quando quiser, na própria tela do ponto, a qualquer hora. Suas marcações continuam.
• Se você pedir exclusão dos seus dados pelo formulário, o pedido é registrado com um número de protocolo e o responsável pelo seu empreendimento é avisado por e-mail (não havendo empreendimento identificado, o aviso vai para a administração da plataforma). A resposta vem no e-mail que você informou, em até 15 dias (Art. 19). As marcações de ponto ficam pelos 5 anos, porque são prova de jornada.

11. Mudanças

Esta política pode ser atualizada. Avisaremos os usuários ativos por e-mail quando houver mudança material. A data da última atualização está no topo desta página.

12. Contato

Para qualquer dúvida sobre privacidade ou para exercer seus direitos, escreva para o administrador do residencial onde você é morador (e-mail no rodapé da cobrança que você recebe). O administrador é o controlador dos seus dados nesta plataforma.