Política de privacidade do Lastro
Esta política explica quais dados o Lastro trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).
1. Quem trata os dados
Gustavo Phadua Silva da Costa, CPF 206.178.187-03, Rua Feira Grande, 279, RIo de Janeiro, contato phaduamagno@gmail.com. Encarregado de dados (art. 41 da LGPD): Gustavo Phadua, no mesmo e-mail.
O Lastro tem dois papéis diferentes:
- Controlador dos dados da sua conta: cadastro, pagamento e uso do sistema.
- Operador dos dados dos clientes do seu escritório. Quem decide sobre esses dados é o escritório, que é o controlador; o Lastro só os trata para gerar os cálculos e os relatórios que o escritório pede, conforme o acordo de tratamento nos termos de uso.
2. Que dados tratamos e por quê
| Dado | Para quê | Base legal (LGPD) |
|---|---|---|
| Nome, e-mail, telefone, nome do escritório | Criar e manter a conta, falar com você sobre ela | Execução de contrato (art. 7º, V) |
| CPF ou CNPJ de quem paga | Emitir a nota fiscal e cumprir a guarda fiscal | Obrigação legal (art. 7º, II) |
| Senha | Proteger o acesso. Guardamos só um resumo criptográfico (scrypt); ninguém, nem nós, consegue ler a senha | Execução de contrato |
| Dados do pagamento | Cobrar a assinatura. O número do cartão é digitado no formulário do Mercado Pago e nunca chega ao Lastro; recebemos só o resultado e o identificador do pagamento | Execução de contrato |
| Registro de atividades e endereço IP no cadastro e no login | Segurança: limitar tentativas, investigar acesso indevido | Legítimo interesse (art. 7º, IX) e segurança (art. 46) |
| Dados dos clientes do escritório: razão social, CNPJ, nome e telefone do contato, totais por nota e por mês extraídos dos XMLs | Calcular o impacto da CBS e gerar o relatório que o escritório envia | Definida pelo escritório, que é o controlador |
O XML da nota não é guardado. O Lastro lê o arquivo, guarda só a chave da nota, a competência e os valores somados que o cálculo usa, e descarta o resto.
3. Com quem compartilhamos
- Mercado Pago: processa o pagamento (Pix e cartão).
- Provedor de hospedagem: HostGator (VPS), onde o sistema e o banco de dados ficam.
- Anthropic (Estados Unidos), só se a IA do agente estiver ligada: quando você faz uma pergunta ao agente, vão a pergunta, o nome curto da empresa cliente, o primeiro nome do contato e os números médios do cálculo. Não vão CNPJ, razão social completa, telefone nem notas. É uma transferência internacional de dados (art. 33 da LGPD), feita para executar o serviço que você pediu.
Não vendemos dados, não usamos dados dos clientes do escritório para publicidade e não os usamos para treinar modelos.
4. Por quanto tempo guardamos
- Conta ativa: enquanto o plano estiver em vigor.
- Plano vencido: os dados dos clientes do escritório são apagados 180 dias depois do vencimento, se o plano não for renovado.
- Pedido de assinatura não pago: apagado em 7 dias.
- Cópias de segurança: diárias, guardadas por até 35 dias e depois substituídas.
- Registros de pagamento e nota fiscal: pelo prazo da legislação fiscal (5 anos), mesmo depois de a conta ser apagada.
5. Seus direitos
Você pode pedir confirmação, acesso, correção, portabilidade, eliminação e informações sobre compartilhamento (art. 18 da LGPD). Dentro do Lastro, no menu do escritório:
- Exportar dados: baixa tudo o que o escritório tem no sistema, em um arquivo.
- Apagar escritório: apaga a conta, os usuários, os clientes, os cálculos e os links, na hora.
Para o resto, escreva para phaduamagno@gmail.com. Respondemos em até 15 dias.
Se você é cliente de um escritório que usa o Lastro, fale primeiro com o seu contador, que é o controlador dos seus dados. Se precisar, escreva para nós e encaminhamos ao escritório.
6. Segurança
Conexão sempre por HTTPS; senha e PIN guardados como resumo criptográfico; sessão em cookie protegido; limite de tentativas no login e no PIN; cada escritório só enxerga os próprios clientes; registro das ações; cópias de segurança diárias e criptografadas. Em caso de incidente com risco relevante, avisamos você e a Autoridade Nacional de Proteção de Dados (art. 48 da LGPD).
Versão 2026-11-05.