Política de Privacidade

1. Introdução

O MyCarsHub é uma plataforma SaaS operada por MyCarsHub, destinada a locadoras de veículos que precisam gerenciar contratos, motoristas, cobranças, vistorias e financiamentos em um único lugar.

Esta Política de Privacidade explica quais dados coletamos, por que coletamos, com quem compartilhamos e quais direitos você tem sobre essas informações. Ela se aplica a todos os usuários do MyCarsHub — donos e gestores de locadoras, e também aos motoristas cujos dados são cadastrados por essas empresas na plataforma.

O tratamento de dados pessoais segue a Lei Geral de Proteção de Dados (Lei 13.709/2018) e boas práticas internacionais de segurança da informação. Se algum ponto não estiver claro, escreva para mycarshubcompany@gmail.com — a gente responde.

2. Dados que coletamos

Coletamos apenas o necessário para operar o serviço. Os dados ficam agrupados assim:

2.1 Cadastro do usuário

• Nome completo, e-mail e telefone (11 dígitos, formato brasileiro).
• CPF ou CNPJ.
• Senha (armazenada apenas como hash BCrypt — nunca em texto puro).
• Identificador do Google (provider_id) quando o cadastro é feito via login com Google.

2.2 Motoristas

• Nome completo, e-mail e telefone.
• CNH: número, categoria e data de validade.
• Endereço completo: rua, número, complemento, bairro, cidade, CEP e UF.

2.3 Empresa (locadora)

• Razão social / nome fantasia.
• CNPJ.

2.4 Contratos e vistorias

• PDFs de contratos de aluguel assinados eletronicamente via Autentique.
• Fotos de vistoria do veículo em 14 ângulos padronizados (JPEG, PNG ou WEBP).
• Identificador de cliente no gateway de pagamento (asaas_customer_id e equivalentes).
• Quando a locadora usa o recurso opcional Ajustar o meu contrato: o arquivo do modelo de contrato enviado (.docx), guardado temporariamente (veja a seção 6).

Não coletamos RG, dados biométricos, geolocalização em tempo real, dados de dispositivos móveis nem informações sensíveis (origem racial, religião, saúde, orientação sexual etc.).

3. Base legal do tratamento

Cada dado é tratado com base em uma das hipóteses do art. 7º da LGPD:

• Consentimento (inciso I) — quando você cria a conta e aceita esta política e os Termos de Uso.
• Execução de contrato (inciso V) — para prestar o serviço contratado: emitir cobranças, gerar contratos, gerenciar motoristas e vistorias.
• Obrigação legal (inciso II) — para atender exigências fiscais e regulatórias (guarda de contratos, notas, comprovantes).
• Legítimo interesse (inciso IX) — para prevenir fraudes, proteger a segurança da plataforma e melhorar o produto de forma agregada.

4. Compartilhamento com terceiros

Não vendemos dados. Compartilhamos apenas o necessário com provedores que nos ajudam a operar o serviço. Todos são obrigados por contrato a proteger suas informações.

5. Transferência internacional

Alguns dos nossos provedores (Stripe, Google, Render e Anthropic) estão sediados nos Estados Unidos. Quando dados pessoais são processados por eles, ocorre uma transferência internacional.

Fazemos isso com base no art. 33 da LGPD, apoiados nas cláusulas contratuais padrão desses provedores e nos seus programas próprios de conformidade (Google/Stripe são certificados em frameworks reconhecidos como SOC 2 e ISO 27001). A base principal de dados — cadastros, contratos e fotos — fica armazenada no Brasil (Supabase, região sa-east-1).

6. Análise de contrato com inteligência artificial

O recurso Ajustar o meu contrato é opcional. Ele lê o modelo de contrato que a sua locadora já usa e sugere onde entram os campos preenchidos automaticamente. Você pode montar o contrato sem IA — a partir do contrato exemplo ou escrevendo sozinho — sem perder nenhuma funcionalidade.

6.1 Finalidade

Identificar, no texto do seu modelo de contrato, os trechos que devem virar campos (nome do motorista, placa, valores, datas etc.). O resultado é uma sugestão: você revisa cada campo antes de salvar. O texto não é usado para nenhuma outra finalidade (art. 6º, I e III, da LGPD).

6.2 O que é enviado e o que não é

• O arquivo fica no MyCarsHub. Sai apenas o texto, depois que o nosso servidor mascara os identificadores: CPF, CNPJ, telefone, e-mail, placa, CEP, chassi, RG, Renavam e as demais sequências de números (ficam em claro só datas, valores em R$, percentuais, numeração de cláusulas e quantidades como "30 dias"). Cada identificador vira um marcador, como [CPF_1]; o valor original nunca sai do nosso servidor. Esse mascaramento é uma das medidas de segurança que adotamos (art. 46 da LGPD).
• Não são mascarados: nomes de pessoas, nomes de empresas, endereços e qualquer outro dado pessoal escrito por extenso. A IA precisa desses trechos para reconhecer os campos. Se o seu modelo tiver dados reais de um cliente, recomendamos trocá-los por exemplos antes de enviar.
• Antes de qualquer envio, mostramos o texto exato, já mascarado, que vai sair, e a lista do que não é mascarado (art. 9º da LGPD).

6.3 Base legal

O envio só acontece com o seu consentimento específico (art. 7º, I, e art. 8º da LGPD), dado na própria tela, para aquele texto. Se você não autorizar, nada é enviado.

6.4 Quem processa o texto

A análise é feita pelo serviço de IA Claude, da Anthropic, PBC, com sede em San Francisco, Califórnia, Estados Unidos. A Anthropic atua como suboperadora: processa o texto só para devolver a análise, conforme os Termos Comerciais e o Adendo de Processamento de Dados (DPA) dela. A Anthropic, por sua vez, usa provedores de nuvem próprios (subprocessadores), que ela lista publicamente.

6.5 Transferência internacional

O texto mascarado é processado fora do Brasil: a Anthropic armazena os dados nos Estados Unidos e pode processar a requisição em infraestrutura nos Estados Unidos, na Europa, na Ásia ou na Austrália. A transferência se apoia no art. 33 da LGPD: no seu consentimento específico e destacado para este envio, dado depois desta informação (inciso VIII), e nas garantias contratuais de proteção e segurança do DPA da Anthropic.

6.6 Por quanto tempo os dados ficam guardados

• No MyCarsHub: o arquivo enviado e o rascunho da análise ficam guardados por até 24 horas, ou até você descartar, e depois são apagados. Se você salvar, o contrato ajustado passa a ser o modelo de contrato da sua locadora. Como prova do consentimento, a nossa trilha de auditoria guarda quem autorizou, quando, a versão do texto de autorização e uma impressão digital do texto mascarado — nunca o texto.
• Na Anthropic: o texto enviado e a resposta são apagados dos sistemas dela em até 30 dias. Pelas regras da própria Anthropic, a exceção é o conteúdo que a lei obrigue a guardar ou que os sistemas automáticos de segurança dela sinalizem como possível violação da política de uso, que pode ser guardado por até 2 anos.

6.7 Sem treinamento de IA

Pelos Termos Comerciais da Anthropic, o conteúdo que enviamos não é usado para treinar modelos de IA.

6.8 Como revogar

Você pode desistir antes do envio (Cancelar ou Descartar arquivo). Depois da análise, Descartar arquivo apaga o rascunho no MyCarsHub. A revogação do consentimento (art. 8º, § 5º, e art. 18, IX, da LGPD) vale para os próximos envios e para o que está guardado conosco; o processamento já feito pela Anthropic segue o prazo do item 6.6. Para revogar ou tirar dúvidas, use os canais da seção 11.

7. Armazenamento e segurança

Aplicamos camadas de proteção proporcionais à sensibilidade de cada dado:

• CPF e CNPJ são criptografados em repouso com AES-GCM e indexados por HMAC-SHA256 (blind index) para permitir buscas por igualdade sem expor o valor original. O sistema suporta rotação de chaves via coluna key_version.
• Senhas são armazenadas apenas como hash BCrypt, nunca em texto puro.
• Todo o tráfego entre app, backend e provedores usa TLS (HTTPS).
• O banco Supabase é protegido por Row Level Security (RLS), garantindo que cada empresa só enxerga os próprios dados.
• Backups automáticos e logs de auditoria são mantidos pelos provedores de hospedagem.

8. Cookies e armazenamento local

O MyCarsHub usa o Google Analytics 4 para entender como o site é usado — quais páginas são visitadas e por qual caminho — e assim decidir o que melhorar. Ele grava um cookie no seu navegador.

Esse cookie só é gravado se você aceitar. A tag é carregada com o consentimento negado por padrão: enquanto você não decidir, ou se você recusar, nada é gravado e nada é enviado. Recusar não limita nenhuma funcionalidade do site.

Você pode mudar de ideia quando quiser: rever minha escolha de cookies . Isso volta o consentimento para negado, apaga os cookies que o Google Analytics já tinha gravado neste navegador para este site e pergunta de novo.

Além do Google Analytics, não usamos outros trackers (não temos Amplitude, PostHog, Hotjar, Sentry ou similares).

Para manter você logado, guardamos algumas informações no sessionStorage do seu navegador — que é apagado quando você fecha a aba. São elas: token de autenticação (authToken), dados básicos do usuário, empresa selecionada (selectedCompanyId), papel ativo (selectedRole) e um marcador de onboarding concluído (onboardingCompleted).

A ferramenta de build (Angular CLI) coleta telemetria anônima de desenvolvimento, mas isso não envolve dados de usuários finais.

9. Retenção dos dados

Enquanto sua conta estiver ativa, os dados são mantidos para operar o serviço. Hoje, não temos rotinas automáticas de expiração — dados permanecem armazenados até que você (ou o responsável pela empresa) peça exclusão.

Após pedido de exclusão, alguns dados podem ser retidos por mais tempo quando houver obrigação legal ou fiscal (por exemplo, contratos, notas e comprovantes de pagamento — geralmente 5 anos, conforme Código Civil e legislação tributária).

10. Seus direitos

Como titular de dados, o art. 18 da LGPD garante a você:

• Confirmação de que tratamos seus dados.
• Acesso aos dados que temos sobre você.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Portabilidade para outro fornecedor.
• Informação sobre com quem seus dados são compartilhados.
• Revogação do consentimento a qualquer momento.

11. Como exercer seus direitos

Para exercer qualquer um dos direitos acima, escreva para mycarshubcompany@gmail.com ou fale no WhatsApp de suporte (+55 11 98788-5083) — dentro do app, no menu Suporte.

Respondemos em até 15 dias úteis, conforme o padrão adotado pela ANPD. Pode ser que a gente peça alguma informação para confirmar sua identidade antes de agir sobre os dados — é só para proteger você.

12. Alterações desta política

Podemos atualizar esta política quando mudarmos alguma prática relevante ou quando a lei exigir. A data no topo (última atualização) sempre reflete a versão vigente.

Se a mudança for material — por exemplo, novo provedor recebendo dados pessoais ou nova base legal — vamos avisar por e-mail ou por vídeo de anúncio no Instagram da MyCarsHub antes de a mudança entrar em vigor.

13. Contato