Política de Privacidade e LGPD

O controlador dos dados pessoais tratados no Sersys QR é [PREENCHER: razão social completa, como no cartão CNPJ], CNPJ nº [PREENCHER: 00.000.000/0001-00], com sede em [PREENCHER: logradouro, número, complemento, bairro, CEP], Florianópolis, SC.

Nosso Encarregado pela Proteção de Dados (LGPD, art. 41) atende em privacidade@sersys.com.br. É por esse endereço que você exerce os direitos da seção 12, e respondemos em até 15 dias.

Quase toda política de privacidade de QR Code fala de uma pessoa só — a que assina. Aqui existem duas, e a segunda é a que mais precisa ser respeitada, porque ela não escolheu nada:

• Quem contrata: cria conta, informa E-mail e dados de cobrança, usa o painel. Tratamos os dados dela para executar o contrato. É a seção 3.
• Quem lê um QR Code: apontou a câmera para um material impresso e foi levada a um destino. Não tem conta conosco e talvez nunca tenha ouvido nosso nome. Ainda assim é titular de dados, e tem direitos. É a seção 4.

Se você entrar com a conta Google, recebemos do Google apenas o seu E-mail e nome — nunca a sua senha.

Quando alguém lê um QR Code dinâmico, a leitura passa pelo nosso servidor de redirecionamento antes de chegar ao destino. É nesse instante — e só nele — que registramos algo.

Base legal: legítimo interesse (LGPD, art. 7º, IX). Quem imprime um material precisa saber se ele está sendo lido — sem isso o produto não existe. Pesamos esse interesse contra a privacidade de quem lê e chegamos ao desenho acima: agregado, sem identificação, com o IP inutilizado antes de ser guardado e sem qualquer possibilidade de acompanhar alguém ao longo do tempo. Você pode se opor a esse tratamento pelo endereço da seção 12.

Alguns clientes ativam, em QR Codes específicos, um recurso que pede ao seu aparelho a localização antes de levar você ao destino. Quando isso acontece, aparece a permissão do próprio navegador, e você pode recusar.

• Se você recusar — ou ignorar, ou estiver sem sinal — nada muda: você chega ao destino do mesmo jeito, em poucos instantes.
• Se você permitir, a coordenada é usada para uma única pergunta, respondida na hora: a cidade estimada pelo IP estava certa? Ela vira uma distância em quilômetros e é descartada na mesma requisição.

Base legal: consentimento (art. 7º, I), dado pela permissão do navegador e revogável a qualquer momento nas configurações dele.

• Não vendemos dados, nem os cedemos para publicidade de terceiros.
• Não montamos perfil de indivíduo. Não há dado de leitura ligado a uma pessoa, então não há o que perfilar.
• Não seguimos ninguém entre dias. O código que substitui o IP muda todo dia, de propósito.
• Não usamos cookie de publicidade nem rastreador de terceiros nas páginas de redirecionamento.
• Não guardamos coordenada de localização. Nunca, nem por pouco tempo.
• Não lemos o conteúdo dos destinos além do necessário para verificar segurança contra listas públicas de sites perigosos.

Usamos apenas cookies necessários ao funcionamento, todos no painel — nenhum na página que redireciona quem lê um QR Code:

• Sessão: mantém você conectada à sua conta entre as páginas.
• Organização e unidade ativas: lembram em qual organização (e unidade) você estava trabalhando, para o painel não voltar ao começo a cada tela.

Não há cookie de publicidade, de rede social ou de medição de terceiros. Como todos são estritamente necessários, não exibimos banner de consentimento: não haveria o que recusar sem desligar o próprio acesso.

Clientes podem hospedar conosco o conteúdo que será o destino de um QR Code — um V-Card com nome, telefone e E-mail, ou um arquivo em PDF. Quando esse conteúdo contém dados de outras pessoas, o cliente é o controlador e nós somos apenas operadores: guardamos e exibimos conforme as instruções dele, sem usar aqueles dados para nada mais.

Se os seus dados aparecem numa página publicada por um cliente nosso e você quer removê-los, fale primeiro com quem publicou. Se não conseguir, escreva para privacidade@sersys.com.br: encaminhamos o pedido e, quando cabível, removemos o conteúdo.

Não vendemos nem cedemos dados. Compartilhamos apenas com quem precisa tratá-los para o serviço existir, sempre limitado à finalidade:

Também compartilhamos quando a lei exigir, mediante ordem de autoridade competente, e para defender nossos direitos em processo.

O banco de dados e o painel ficam em São Paulo, no Brasil. Foi escolha deliberada: além da lei brasileira, é o que mantém a resposta rápida para quem está aqui.

O redirecionamento, porém, roda numa rede distribuída pelo mundo — é o que faz um QR Code lido em qualquer lugar abrir rápido. Nesses casos há transferência internacional, feita conforme o artigo 33 da LGPD, com fornecedores que oferecem garantias contratuais de proteção equivalentes às daqui. O envio de E-mails também pode ocorrer fora do Brasil.

A LGPD (art. 18) garante a você, seja cliente ou apenas alguém que leu um QR Code, o direito de:

• saber se tratamos dados seus, e obter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei;
• pedir a portabilidade a outro fornecedor;
• revogar consentimento, quando o tratamento se basear nele — é o caso da localização precisa;
• opor-se a tratamento feito com base em legítimo interesse;
• saber com quem compartilhamos seus dados.

Excluir sua conta não depende de pedido a ninguém. No painel, em Configurações → Segurança → Excluir minha conta, você vê antes o que acontece com cada organização em que está e confirma. A exclusão acontece 30 dias depois — até lá, dá para cancelar no mesmo lugar; se tiver certeza, o E-mail do pedido traz um link para excluir na hora —, e avisamos por E-mail no pedido e na conclusão. Ela vale para o Sersys QR: outro app da Sersys que você use continua como está, e é nele que se pede a exclusão de lá.

Para exercer qualquer um deles, escreva para privacidade@sersys.com.br. Respondemos em até 15 dias. Podemos pedir informações que confirmem sua identidade antes de atender — não é burocracia, é para não entregar dado seu a outra pessoa.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Todo o tráfego é criptografado. As senhas são guardadas com algoritmo próprio para senha, e nós mesmos não conseguimos lê-las. O acesso aos dados de cada organização é isolado no próprio banco, e não apenas na tela: mesmo uma falha no aplicativo não deixaria uma organização enxergar os dados de outra.

Se ocorrer incidente de segurança com risco relevante, comunicaremos você e a ANPD, nos prazos da lei.

Se mudarmos algo relevante — uma finalidade nova, uma base legal diferente, um novo destinatário —, avisaremos por E-mail e no painel com pelo menos 30 dias de antecedência. A data no topo da página indica a versão em vigor.

Esta Política integra os Termos de Uso.