Política de Privacidade da Plataforma

A Giff Tech, nome fantasia de Giff Tecnologia e Inteligencia Financeira LTDA, inscrita no CNPJ sob o nº 69.539.304/0001-28, com sede na Rua Francisco Rocha, 198, Batel, Curitiba/PR, CEP 80420-130, é uma plataforma SaaS B2B multi-tenant voltada a operações de crédito de importação, gestão de garantias marítimas e rastreio de embarques. Ela é oferecida a parceiros (instituições e empresas que concedem ou intermedeiam crédito ao comércio exterior), que por sua vez atendem os próprios clientes importadores dentro de ambientes isolados por parceiro.

Esta Política de Privacidade explica quais dados pessoais a plataforma Giff Tech coleta, com quais finalidades os trata, com quem os compartilha e quais direitos assistem aos titulares. Aplica-se a todos que interagem com a plataforma: parceiros, seus colaboradores, clientes importadores dos parceiros e os usuários que os representam, visitantes das superfícies web e quem envia contato pelo site.

A Giff Tech atua em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), adotando medidas técnicas e organizacionais adequadas para proteger as informações pessoais tratadas.

Como plataforma multi-tenant, a Giff Tech assume papéis distintos conforme a categoria de dado tratado. É importante entender essa separação:

• Dados dos usuários da própria plataforma. Em relação aos dados de cadastro, autenticação, cobrança e uso dos parceiros e de seus colaboradores, a Giff Tech é a controladora: decide as finalidades e os meios do tratamento necessário para operar o serviço contratado.
• Dados dos clientes importadores do parceiro. Cada parceiro é o controlador dos dados dos seus próprios clientes titulares (importadores, sócios, garantidores, signatários) e dos usuários que acessam o ambiente em nome desses clientes. Nesse recorte, a Giff Tech atua como operadora, tratando esses dados por conta e ordem do parceiro, apenas para entregar as funcionalidades contratadas e conforme instruções documentadas.
• Registros de acesso e contatos do site. Os registros de acesso à aplicação, que a lei obriga o provedor a guardar (art. 15 da Lei 12.965/2014), e os dados de quem envia contato pelo site são tratados pela Giff Tech como controladora, qualquer que seja o usuário.

Na prática: quando um cliente importador de um parceiro tem seus dados analisados para uma operação de crédito, quem responde como controlador é o parceiro; a Giff Tech processa esses dados como operadora. Já quando o parceiro se cadastra, contrata um plano e usa o painel, a Giff Tech responde como controladora daquele relacionamento.

• Plataforma: o software Giff Tech e suas superfícies web, incluindo o ambiente próprio de cada parceiro.
• Parceiro: pessoa jurídica que contrata a Giff Tech para conceder ou intermediar crédito de importação aos seus clientes.
• Colaborador: pessoa física autorizada por um parceiro a acessar o ambiente com credenciais e permissões.
• Cliente titular: importador, sócio, garantidor ou signatário cujos dados pessoais são tratados dentro do ambiente de um parceiro.
• Titular: pessoa física a quem os dados pessoais se referem.
• Controlador: quem decide as finalidades e os meios do tratamento.
• Operador: quem trata dados pessoais em nome do controlador.
• Subprocessador: terceiro contratado pela plataforma para apoiar o tratamento, listado na página de Subprocessadores.

4.1 Dados de conta e cadastro

• Nome, e-mail, telefone e cargo dos colaboradores do parceiro e dos usuários dos clientes.
• Senha, armazenada apenas como hash forte.
• Configuração de acesso, papéis e permissões.
• Razão social, CNPJ, endereço e dados públicos de identificação do parceiro.

4.2 Dados de cobrança

Identificação do parceiro, plano contratado, faturas, boletos e comprovantes de pagamento enviados pelo parceiro.

4.3 Dados de clientes importadores e operações de crédito

Para viabilizar as análises e operações contratadas pelo parceiro, a plataforma trata, como operadora, dados dos clientes titulares e os documentos da solicitação de crédito: razão social, CNPJ e dados cadastrais da importadora; contrato social e procurações; balanço, DRE, faturamento e relação de dívidas; declarações de imposto de renda dos sócios; documentos de sócios, representantes e garantidores, com nome e CPF; relatórios de crédito obtidos pela mesa do parceiro (Serasa e SCR do Banco Central, este com a autorização do cliente); relatório de importações; e informações de grupo econômico.

4.4 Documentos do Kit de garantia

Documentos de embarque e comerciais enviados como garantia da operação, por exemplo conhecimento de embarque (Bill of Lading), invoice e packing list, além de dados extraídos desses documentos (números de contêiner, booking, portos, valores). Esses documentos podem conter dados pessoais de representantes e são tratados por conta do parceiro controlador.

4.5 Dados de rastreio de embarques

Números de Bill of Lading, contêiner e booking, eventos de movimentação, portos, datas estimadas de chegada e demais metadados logísticos usados para rastrear a carga vinculada a uma garantia.

4.6 Dados de contratos

Nome, e-mail e CPF/CNPJ de signatários e conteúdo dos contratos de crédito e garantia, inclusive as vias assinadas anexadas na formalização das operações.

4.7 Dados de integração

Credenciais e tokens de integração com serviços externos usados pela plataforma. Segredos sensíveis são cifrados em repouso e não aparecem em logs.

4.8 Dados de uso, logs e auditoria

• Registros de acesso: endereço IP, user agent, data e hora de cada sessão.
• Trilha de auditoria de operações sensíveis.
• Métricas de uso, erros e desempenho.

4.9 Dados tratados por inteligência artificial

Os recursos de IA enviam ao provedor de modelos páginas de documentos, não só trechos de dados: na análise de crédito, todas as páginas de todos os documentos da solicitação; no Kit de garantia, as páginas dos documentos de embarque; no assistente, o resultado das consultas feitas ao banco. Detalhes na Seção 13.

4.10 Contatos enviados pelo site

Nome, e-mail, telefone, empresa e mensagem de quem preenche o formulário de contato do site, com o endereço IP e o user agent do envio.

• Permitir cadastro, autenticação e uso da plataforma.
• Provisionar e operar o ambiente isolado de cada parceiro (multi-tenant).
• Processar análises e operações de crédito de importação contratadas pelo parceiro.
• Gerir garantias, extrair e validar documentos do Kit e rastrear os embarques vinculados.
• Formalizar os contratos de crédito e garantia das operações.
• Cobrar a fatura mensal dos parceiros.
• Prevenir fraude, abuso e violações de segurança.
• Guardar os registros de acesso à aplicação pelo prazo legal.
• Cumprir obrigações legais e regulatórias.
• Responder a contatos enviados pelo formulário do site.
• Melhorar e desenvolver novas funcionalidades.
• Comunicar mudanças relevantes do serviço, com base no legítimo interesse de manter o parceiro informado.

A base legal depende da finalidade. Quando a Giff Tech é a controladora:

• Cadastro, acesso e uso da plataforma: execução de contrato (art. 7º, V, da LGPD).
• Cobrança da fatura mensal do parceiro: execução de contrato e cumprimento de obrigação legal fiscal (art. 7º, V e II).
• Registros de acesso à aplicação: cumprimento de obrigação legal (art. 7º, II, da LGPD e art. 15 da Lei 12.965/2014).
• Segurança, prevenção de fraude e trilha de auditoria: legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI).
• Atendimento aos titulares e prova de consentimento: cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI).
• Resposta a contatos enviados pelo site: legítimo interesse de responder a quem pediu o contato (art. 7º, IX).
• Avisos sobre o serviço e melhoria do produto: legítimo interesse (art. 7º, IX).
• Cookies opcionais: consentimento (art. 7º, I).

Nas análises e operações de crédito dos clientes do parceiro, a Giff Tech atua como operadora e a base legal é definida pelo parceiro controlador, em geral a execução de contrato e a proteção do crédito (art. 7º, V e X). Na solicitação de crédito, a plataforma pede ao cliente a autorização de consulta ao SCR do Banco Central e a guarda como prova.

A plataforma usa cookies para manter a sessão e lembrar preferências; hoje não usa ferramenta de analytics nem de marketing. Cookies essenciais não dependem de consentimento; cookies funcionais, analíticos e de marketing exigem opt-in. Os detalhes estão na Política de Cookies.

A Giff Tech não vende dados pessoais. O compartilhamento acontece apenas quando necessário para operar o serviço, cumprir obrigação legal ou atender solicitação do parceiro. Os terceiros recorrentes que apoiam o tratamento estão listados na página de Subprocessadores.

Esses subprocessadores são a hospedagem da plataforma, o e-mail, o login com Google, o rastreio marítimo, o provedor de modelos de IA, a consulta pública de CNPJ e os mapas do rastreio. Cada um recebe só os dados da tarefa que executa, descritos naquela página.

Alguns subprocessadores tratam dados fora do Brasil. Para cada um, o país é:

• Google (e-mail do Google Workspace e login com Google): Estados Unidos e outros países onde o Google mantém data centers.
• OpenRouter (provedor de IA contratado), que repassa o pedido à Anthropic, dona dos modelos: Estados Unidos.
• ShipsGo (rastreio marítimo): fora do Brasil, na infraestrutura do fornecedor.
• BrasilAPI (consulta de CNPJ no cadastro): Estados Unidos, onde ficam os servidores que respondem à consulta.
• Fundação OpenStreetMap (mapas do rastreio): Reino Unido, com entrega por servidores em vários países.
• Esri (mapas e imagens de satélite do rastreio): Estados Unidos.

Essas transferências são feitas para prestar o serviço. Com os fornecedores contratados, valem os termos de proteção de dados que eles oferecem aos clientes. A BrasilAPI e os mapas são serviços públicos, usados nos termos de uso de cada um e sem contrato com a Giff Tech. A BrasilAPI recebe só o CNPJ consultado. Nos mapas, é o navegador de quem abre a tela que pede as imagens, e o serviço recebe o endereço IP, a região exibida e o endereço do site de origem.

A Giff Tech adota medidas técnicas e organizacionais para proteger os dados pessoais tratados:

• Criptografia em trânsito (TLS) e em repouso para segredos sensíveis.
• Hash forte de senhas com algoritmos modernos.
• Isolamento de dados por parceiro (multi-tenant) em cada consulta.
• Controle de acesso por papel, com permissões granulares.
• Trilha de auditoria de eventos críticos.
• Proteção contra abusos comuns de aplicação web.
• Monitoramento de erros e de acessos anômalos.
• Backups e plano de continuidade.

Nenhuma medida elimina por completo o risco. Em caso de incidente de segurança, a Giff Tech segue o seu plano de resposta a incidentes. Quando é a controladora dos dados afetados e o incidente pode causar risco ou dano relevante aos titulares, comunica a ANPD e os titulares em até 3 dias úteis (Resolução CD/ANPD nº 15/2024). Quando atua como operadora, avisa o parceiro controlador em até 48 horas e o apoia nessas comunicações.

Cada categoria de dado tem prazo próprio, ligado à finalidade e às obrigações legais:

• Conta de usuário: enquanto a conta existir. Pedida a exclusão, os dados pessoais da conta são anonimizados depois de uma carência de até 30 dias, e o que a lei obriga a guardar é preservado.
• Convites de acesso não aceitos: 90 dias depois de vencer.
• Registros de acesso à aplicação (data, hora e IP de cada sessão): 6 meses, como exige o art. 15 da Lei 12.965/2014 (Marco Civil da Internet).
• Operações de crédito, contratos, comissões e faturas: no mínimo 5 anos, pelas obrigações legais e para a defesa de direitos.
• Trilha de auditoria e prova de consentimento: no mínimo 5 anos.
• Documentos e análises das solicitações de crédito e do Kit de garantia: enquanto o parceiro mantiver o ambiente, ou 30 dias depois de excluídos; os que integram operação ou contrato seguem o prazo das operações.
• Notificações e registro de entrega de e-mails: 6 meses depois do último envio.
• Contatos enviados pelo site: 12 meses depois do envio ou do último atendimento.
• Pedidos de parceria e de teste que não viraram ambiente: 12 meses depois da última movimentação.
• Conversas com o assistente de IA: até a pessoa apagar a conversa.
• Pacotes de exportação pedidos pelo titular: 7 dias.
• Preferência de cookies de quem não tem conta: 12 meses.
• Cópias de segurança: até 7 dias. Se uma cópia for restaurada, os pedidos de exclusão atendidos depois dela são refeitos.

Quando a Giff Tech atua como operadora, esses prazos podem ser encurtados ou estendidos por instrução do parceiro controlador, respeitados os prazos legais. Dados sob ordem judicial ou bloqueio legal ficam guardados enquanto ele durar.

Os titulares podem exercer, a qualquer momento, os direitos da LGPD:

• Confirmar a existência de tratamento.
• Acessar seus dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários.
• Solicitar portabilidade.
• Obter informação sobre uso compartilhado.
• Revogar consentimentos.
• Opor-se a tratamentos baseados em legítimo interesse.

Quando a Giff Tech é a controladora (dados dos parceiros e colaboradores), o pedido pode ser enviado diretamente ao Encarregado pelo e-mail contato@gifftech.com. Quando o dado pertence a um cliente titular de um parceiro, a Giff Tech atua como operadora: o pedido deve ser dirigido ao parceiro controlador, e a plataforma apoia o atendimento conforme as instruções recebidas.

Antes de atender solicitações sensíveis, a Giff Tech pode pedir confirmação de identidade. Alguns pedidos podem ter prazo maior quando dependem de remoção em subprocessadores ou de retenção legal.

A plataforma usa modelos de IA, por meio do provedor listado na página de Subprocessadores, nestas tarefas:

• Parecer de crédito: todas as páginas de todos os documentos da solicitação vão ao modelo, como imagem e como texto, para leitura e análise. Isso inclui demonstrativos financeiros, declarações de imposto de renda dos sócios, documentos de sócios, representantes e garantidores e relatórios de crédito (Serasa e SCR). O documento vai inteiro, inclusive as partes que a análise não usa, e o texto lido fica guardado com a análise.
• Kit de garantia e análise do embarque: as páginas do conhecimento de embarque, da invoice e do packing list, com os nomes de empresas e de pessoas que constarem delas.
• Assistente de IA da mesa e do administrador: a pergunta, o histórico da conversa e o resultado das consultas que o assistente faz ao banco, que pode trazer nomes, e-mails e telefones de usuários, de clientes e de contatos do site.
• Os dados vão ao provedor só para executar a tarefa pedida. A Giff Tech não usa esses dados para treinar modelos de IA.
• A IA não decide: o parecer é uma recomendação, e a decisão de crédito é sempre de uma pessoa da mesa do parceiro.

A plataforma é destinada a pessoas jurídicas e a pessoas físicas maiores de 18 anos. A Giff Tech não direciona serviços a crianças e adolescentes nem trata conscientemente dados dessa faixa etária. Se identificar tratamento sem base adequada, removerá as informações.

Esta política pode ser atualizada para refletir mudanças no produto, na legislação ou em fornecedores. A versão vigente e a data de início aparecem no topo desta página. Mudanças que exijam novo aceite serão comunicadas aos parceiros e, quando aplicável, aos titulares.

A Giff Tech designa um Encarregado (DPO) como ponto de contato para titulares, parceiros e para a Autoridade Nacional de Proteção de Dados.

• Encarregado: Guilherme Belotto
• E-mail: contato@gifftech.com
• Prazo de resposta: até 15 dias, contados do pedido (art. 19, II, da LGPD).
• Pedidos complexos podem demandar prazo adicional, informado caso a caso.