LGPD · Lei 13.709/2018
Privacidade e dados
O que o FlowField guarda, por que guarda, com quem compartilha e como você exporta ou apaga tudo. Sem letra miúda.
Quem decide sobre cada dado
As vistorias pertencem à empresa que usa o FlowField. Ela é a controladora desses dados: decide o que inspecionar, quem acessa e por quanto tempo guardar. O FlowField é o operador e trata esses dados só para prestar o serviço, conforme as instruções da empresa.
Para os dados de cadastro da conta e dos pedidos de contato, o FlowField é o controlador.
O que guardamos
| Dado | Para quê | Base legal |
|---|---|---|
| Nome, e-mail e senha da conta | Entrar no app e identificar quem fez cada vistoria | Execução de contrato |
| Endereço IP e navegador de cada sessão aberta | Segurança da conta: saber de onde cada sessão foi aberta e investigar acesso indevido | Legítimo interesse (segurança) |
| Respostas, fotos, assinaturas e localização das vistorias | Registrar a inspeção e emitir o laudo | Instrução da empresa controladora |
| Data, local e aparelho de cada foto (EXIF e GPS) | Provar onde e quando a evidência foi capturada | Instrução da empresa controladora |
| Trilha de auditoria: quem mudou o quê e quando | Rastreabilidade exigida em laudo técnico | Obrigação legal e regulatória da controladora |
| Visitas à página inicial (e cliques nos botões, no laudo de exemplo e no vídeo): caminho, origem da campanha (UTM), domínio de onde veio e um identificador aleatório. Ao criar a organização, essa origem fica ligada a ela | Saber quais anúncios e canais trazem reuniões, contas e laudos emitidos | Legítimo interesse, sem cookie e sem endereço IP |
| E-mail, empresa e cargo (quando informados) na lista de contato, pelo formulário desta página | Responder ao pedido | Consentimento, registrado com data |
| Os dados que você preenche ao agendar a demonstração | Marcar e fazer a reunião de demonstração | Procedimentos preliminares ao contrato, a seu pedido |
A senha nunca é guardada em texto: fica só o resultado de um hash criptográfico. Tokens de integração também são guardados só como hash.
Cookies
Usamos só cookies estritamente necessários: o de sessão, que mantém você conectado por até 30 dias sem uso (cada dia de uso renova o prazo; sair da conta apaga), e, para quem tem verificação em duas etapas, um cookie temporário de 10 minutos que liga a senha ao código durante a entrada. O cadastro e cada entrada sem verificação em duas etapas, com a senha certa, gravam também um cookie de aparelho reconhecido, por 90 dias, com uma assinatura do e-mail da conta (o e-mail não fica legível nele): se alguém errar a senha da sua conta muitas vezes de vários lugares, a senha certa continua entrando por este aparelho. Trocar ou redefinir a senha e encerrar as sessões invalidam esse cookie nos outros aparelhos. Não há cookie de publicidade, rastreamento ou análise de comportamento. Para medir visitas, a origem da campanha (UTM) e um identificador aleatório ficam guardados no próprio navegador por até 30 dias, sem cookie e sem endereço IP; quando a organização é criada, essa origem passa a ficar ligada a ela. Para apagar antes, limpe os dados do site no navegador.
Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta (nome, e-mail e hash da senha) | Até você excluir a conta, em Mais › Conta. A exclusão é imediata |
| Sessão aberta num aparelho | Até 30 dias sem uso, até você sair ou até encerrar as sessões em Mais › Conta (trocar a senha encerra as dos outros aparelhos). A sessão vencida, com o IP e o navegador dela, é apagada pela limpeza diária |
| Vistorias, laudos, fotos e trilha de auditoria | Enquanto a organização existir. Quem decide quando apagar é a empresa controladora |
| Fotos e arquivos sem uso | As fotos de uma vistoria excluída são apagadas 30 dias depois da exclusão; arquivo avulso fora de uso (logo ou assinatura trocados), quando passa de 30 dias do envio; foto feita sem sinal, à espera da vistoria que não chegou do aparelho, 180 dias depois do envio. Fica o que algum laudo emitido cita |
| Registro mínimo de cada laudo emitido, depois da exclusão da organização | Número, revisão, data de emissão, os códigos de integridade (hash) do conteúdo e do PDF e o nome da empresa emissora ficam sem prazo de apagamento, para que o QR code continue confirmando o laudo a quem o recebeu |
| Registro da exclusão da organização | Quem excluiu (só o identificador interno da conta) e quando, sem prazo de apagamento |
| Visitas e cliques na página inicial | Os ligados a uma organização saem com ela. Os demais, que não identificam a pessoa, são apagados 13 meses depois da visita |
| Lista de contato | 24 meses depois do último pedido (pedir de novo renova o prazo), ou antes, se você pedir a exclusão pelo contato abaixo |
Com quem compartilhamos
- Railway: hospedagem do servidor, do banco de dados e dos arquivos. Os servidores podem ficar fora do Brasil, com as salvaguardas contratuais do provedor.
- Resend: envio dos e-mails da conta (convite para a equipe, link de senha nova, confirmação de e-mail e avisos de segurança, como senha trocada). Recebe o e-mail e o nome de quem recebe e o texto da mensagem, que pode levar o nome da organização e de quem convidou. Os servidores ficam fora do Brasil, com as salvaguardas contratuais do provedor.
- Anthropic: só quando alguém da equipe usa o preenchimento com IA. As fotos e a transcrição daquela vistoria vão para o modelo, que devolve sugestões. A IA não decide nada: o inspetor confirma cada valor.
- OpenStreetMap: fornece as imagens do mapa no app. Ao abrir o mapa, o aparelho pede ao servidor do OpenStreetMap a região mostrada, e ele recebe o endereço IP e a área consultada (não o conteúdo das vistorias). Os servidores ficam fora do Brasil.
- Destinos de webhook configurados pela própria empresa (ERP, n8n), que recebem os eventos de vistoria escolhidos por ela.
- RumoCRM: plataforma de agendamento do nosso parceiro comercial. O botão Agendar demonstração leva para a página dela com a origem da campanha (UTM) e o identificador aleatório da visita no endereço, para sabermos de qual anúncio veio a reunião, e o que você preenche lá vai para a RumoCRM e para a nossa equipe comercial, só para marcar e fazer a reunião.
- Automação interna do FlowField (n8n): quando alguém envia um pedido de implantação, recebe o e-mail, a empresa e o cargo (quando informados), a origem da campanha (UTM) e o identificador aleatório da visita, só para avisar a nossa equipe e responder ao pedido. O pedido sobre dados pessoais feito pelo formulário desta página não passa por ela.
Não vendemos dados e não usamos vistorias para treinar modelos.
Seus direitos, direto no app
- Exportar: gestores baixam todos os dados da organização em JSON em Mais › Gestão de dados.
- Corrigir: seu nome, em Mais › Conta; os dados de vistoria, no próprio app, com histórico preservado.
- Apagar a conta: em Mais › Conta. A exclusão é imediata.
- Apagar a organização: a pessoa responsável pela conta da empresa exclui a organização inteira, com vistorias, fotos e arquivos, em Mais › Gestão de dados. O apagamento é definitivo e inclui os arquivos no armazenamento. Fica só o registro mínimo de cada laudo emitido (veja os prazos acima), para o QR code continuar respondendo.
Membros de uma equipe pedem acesso, correção ou exclusão das vistorias à empresa controladora, que tem as ferramentas acima.
Laudo verificável
Todo laudo emitido traz um QR code. Quem tem o laudo e lê o código vê a página de verificação, com número, revisão, resultado, empresa emissora, contratante, local, inspetor, responsável técnico e o PDF original. São os mesmos dados que já estão no laudo, e o endereço não é indexado por buscadores.
Segurança
Conexão sempre criptografada (HTTPS com HSTS), verificação em duas etapas por app autenticador, espera obrigatória depois de várias tentativas com senha ou código errados, permissão por papel conferida em toda requisição, isolamento entre organizações, webhooks assinados e bloqueio de destinos em rede interna.
Para funcionar sem sinal, o app guarda no aparelho uma cópia separada por conta e organização: as vistorias que você acessa (o gestor, as da organização inteira; o inspetor, as dele), os formulários, a lista de clientes e obras, a equipe e as miniaturas das fotos. Essa cópia fica enquanto você tiver acesso e sai assim:
- Ao sair da conta pelo app, a cópia inteira é apagada, inclusive o que ainda não foi enviado (o app avisa antes).
- Quando a sessão termina (venceu, foi encerrada em outro aparelho ou a senha foi trocada), o app apaga a cópia assim que o servidor avisa, na próxima sincronização ou abertura com sinal. Ficam só as vistorias com alteração (inclusive exclusão ou conflito a resolver) ou foto que ainda não subiu, para enviar quando a mesma conta entrar de novo; a tela de entrada diz quantas ficaram.
- Quando você deixa de fazer parte da organização (removido da equipe ou organização excluída) e não tem outra no FlowField, tudo sai do aparelho, inclusive o que não foi enviado, porque não há mais para onde enviar; o app avisa quantas vistorias foram descartadas. Se você ainda tem outra organização, o mesmo vale para a cópia da que você deixou, e o aviso aparece no início.
Sem sinal, o app não sabe que o acesso acabou: a cópia fica até ele conseguir falar com o servidor.
Contato
Dúvidas e pedidos sobre dados pessoais: deixe o seu e-mail no formulário abaixo e respondemos por ele. Se você faz parte de uma equipe que usa o FlowField, fale também com o gestor dela.