Política de Privacidade

1. Quem somos e o alcance desta Política

1.1. A Flagr é a FLAGR LICENCIAMENTO, CONSULTORIA E TREINAMENTO LTDA., CNPJ 56.544.384/0001-68, com sede na Rua Dona Maria César, nº 170, Edifício Luciano Costa, Sala 203, Bairro do Recife, Recife/PE, CEP 50.030-140.

1.2. A Flagr é uma empresa de tecnologia. Não é sociedade de advogados e não presta serviços de advocacia, consultoria ou assessoria jurídica (art. 1º da Lei nº 8.906/1994). Seus relatórios e diagnósticos têm natureza técnica e documental.

1.3. Esta Política se aplica ao tratamento de dados pessoais feito no site (flagrdd.com.br), na plataforma (appflagr.com.br), nos canais de atendimento (e-mail, WhatsApp e reuniões), na prospecção comercial e nos seguintes produtos: Flagr Scan; Diagnóstico de Conformidade; Due Diligence (Diagnóstico Base Camp, DD por área e DD Completa); planos de assinatura (Ridge, Peak e Summit); contratações avulsas; Flagr Studio; Flagr Radar, nas versões para programas de inovação, investidores e escritórios de advocacia; e a API de integração.

1.4. O tratamento observa a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet (Lei nº 12.965/2014) e as normas da Autoridade Nacional de Proteção de Dados (ANPD), seguindo os princípios de finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e responsabilização.

1.5. Os serviços são oferecidos a clientes estabelecidos no Brasil. Se vierem a alcançar titulares na União Europeia, a Flagr adotará as medidas do Regulamento (UE) 2016/679 (GDPR), valendo-se do reconhecimento recíproco de adequação formalizado pela Resolução CD/ANPD nº 32/2026.

2. Nossos papéis: controladora e operadora

2.1. A LGPD distingue o controlador, que decide finalidades e meios do tratamento, do operador, que trata dados em nome do controlador. A Flagr exerce os dois papéis, em situações diferentes:

2.2. Como operadora, a Flagr trata os dados apenas conforme as instruções documentadas do controlador e para as finalidades do serviço contratado. São instruções documentadas: o contrato e a Ordem de Pedido, os Termos de Uso, as configurações feitas pelo cliente na plataforma (perfis de acesso, escopo por área, links de compartilhamento, chaves de API) e os pedidos escritos feitos pelos canais oficiais. A Flagr pode recusar instrução que considere ilícita, informando o motivo.

2.3. O cliente, como controlador do Conteúdo do Cliente, responde por ter base legal para tratar os dados de terceiros contidos nos documentos e respostas que envia (sócios, administradores, empregados, prestadores, inventores, clientes e pacientes) e por informar esses titulares, sem prejuízo das responsabilidades legais de cada agente (arts. 42 a 45 da LGPD).

2.4. Quando a DD é contratada por terceiro (investidor, escritório de advocacia ou outra empresa), a contratante declara ter base legal e poderes para compartilhar as informações das sociedades analisadas e, quando o contrato exigir, apresenta a autorização escrita de cada sociedade antes do início da coleta.

2.5. No Flagr Radar, a instituição contratante declara e comprova, quando solicitada, ter base legal e autorização das empresas acompanhadas para compartilhar seus dados e acessar os diagnósticos consolidados. A empresa acompanhada define na plataforma quais áreas a instituição vê e por quanto tempo; a revogação tem efeito imediato. Quando a Flagr define sozinha a metodologia e os critérios de classificação do diagnóstico, atua como controladora dessa camada de tratamento (art. 42, § 1º, II, da LGPD).

3. Quais dados tratamos

Dados que você nos informa

• Cadastro de empresa: razão social, nome fantasia, CNPJ, tipo societário, sede, telefone, e-mail de contato, fase e setor.
• Cadastro de pessoa física (quem contrata sem CNPJ): nome, CPF, RG e órgão emissor, data de nascimento, nacionalidade, estado civil, regime de bens, profissão, endereço, telefone e e-mail. Esses dados são exigidos para qualificar a parte nos contratos.
• Representantes e signatários: nome, CPF, RG, cargo e e-mail de quem assina pela empresa.
• Usuários da conta: nome, e-mail, perfil de acesso (Administrador, Editor ou Convidado) e áreas que cada pessoa pode ver.
• Contratação e cobrança: plano, preço, código de desconto, dia de vencimento, dados para emissão de nota fiscal e histórico de pagamentos. Pagamentos por boleto e PIX são processados por instituição de pagamento; a Flagr não armazena dados de cartão.
• Conteúdo do Cliente: documentos, respostas aos questionários de diagnóstico e de serviço, comentários, contratos, propostas, notas fiscais de fornecedores e demais informações inseridas na plataforma.
• Comunicações: mensagens trocadas pelo chat da plataforma, e-mail, WhatsApp e formulários.

Dados registrados pela plataforma

• Acesso e dispositivo: endereço IP, navegador, sistema operacional e data e hora de acesso.
• Uso: telas acessadas, ações realizadas e histórico de cada documento (envio, classificação, mudança de pasta, download e exclusão, com quem fez e quando).
• Aceites: aceite dos Termos de Uso e desta Política no cadastro e aceite de tratamento a cada envio de documento, com a versão do texto e a data e hora do servidor.
• Origem do cadastro: código de desconto ou de parceria usado, parâmetros de campanha (UTM) e o domínio do site de onde você veio. Não guardamos o endereço completo da página de origem.
• Assinatura eletrônica: as evidências registradas pela plataforma de assinatura (nome, e-mail, data, hora e IP de cada signatário).
• Links públicos do Data Room: tentativas de acesso, registradas apenas com o código do IP embaralhado (hash), nunca o IP em claro.

Dados obtidos em fontes públicas e oficiais

3.1. Para preencher a ficha cadastral, fazer diagnósticos, emitir certidões e acompanhar a regularidade das empresas, a Flagr consulta, entre outras: Receita Federal (dados abertos do CNPJ, inclusive o quadro de sócios e administradores, por meio de serviços que espelham esses dados), Procuradoria-Geral da Fazenda Nacional, fazendas estaduais e municipais, Caixa Econômica Federal (FGTS), Justiça do Trabalho, tribunais e distribuidores, diários oficiais, Juntas Comerciais, cartórios de protesto e de registro, Instituto Nacional da Propriedade Industrial (INPI), cadastros de endereçamento postal (CEP) e o Portal da Transparência da Controladoria-Geral da União, para os cadastros de empresas sancionadas (CEIS e CNEP).

3.2. Esses dados são, em regra, de pessoas jurídicas, mas podem incluir dados de sócios, administradores e representantes (nome, CPF parcial, participação, processos e regularidade fiscal). Nesse tratamento: (a) a consulta é feita a pedido do cliente e no âmbito do serviço contratado; (b) os dados são usados só para análise de risco, conformidade e organização documental, sem reuso incompatível com a finalidade da divulgação pública (art. 7º, § 3º, da LGPD); (c) os dados não são vendidos nem usados para formar cadastro de restrições; e (d) o titular pode pedir a origem dos dados e as fontes consultadas (cláusula 10.6).

3.3. A Flagr não consulta listas de pessoas politicamente expostas nem faz pesquisa de mídia negativa.

3.4. Consultas que exigem identificar o cliente perante o órgão dependem de termo de autorização assinado por ele, com poderes limitados a consultar e obter certidões. Ambientes que exigem certificado digital ou procuração eletrônica (como o e-CAC) dependem de instrumento próprio.

Dados de contatos profissionais e do Flagr Scan

3.5. Para prospecção, a Flagr pode coletar nome, cargo, empresa e contato profissional publicados em redes profissionais, sites institucionais, eventos e publicações do setor. Toda abordagem identifica a Flagr e oferece meio simples de recusa.

3.6. No Flagr Scan, tratamos nome, e-mail, WhatsApp, papel na empresa, as respostas ao formulário e, se você participar de concurso cultural, a frase enviada. Com base nas respostas, o Scan classifica o interesse e a maturidade jurídica da empresa para priorizar o contato comercial.

Crianças e adolescentes

3.7. A plataforma é destinada a maiores de 18 anos e a pessoas jurídicas. Como controladora, a Flagr não coleta de propósito dados de menores; se identificar coleta acidental, elimina os dados, salvo obrigação legal de guarda.

3.8. Como operadora, documentos do cliente podem conter dados de crianças e adolescentes, em especial nos setores de saúde e educação. Cabe ao cliente garantir que o tratamento atenda ao melhor interesse do menor (art. 14 da LGPD). A Flagr aplica a esses dados as salvaguardas da cláusula 3.10 e não os usa para melhorar produtos, nem anonimizados.

Dados sensíveis

3.9. Como controladora, a Flagr não coleta dados pessoais sensíveis.

3.10. Como operadora, documentos do cliente podem conter dados sensíveis, como dados de saúde em documentos de healthtechs. Ao enviar um documento, o cliente declara ter base legal para compartilhá-lo e indica se ele contém dados sensíveis. Nesses casos, a Flagr restringe o acesso, trata os dados só conforme as instruções do cliente e pode pedir confirmação da base legal antes de processá-los (art. 11 da LGPD).

Classificações e score

3.11. A plataforma gera classificações, pontuações (score) e sinalizações de risco a partir das respostas, dos documentos e das consultas públicas. Elas se referem à empresa analisada, mas podem mencionar pessoas ligadas a ela quando isso for relevante para a análise, como um processo em nome de sócio. Esses resultados podem ser revistos por pessoa da equipe a pedido do titular (cláusula 5.5).

4. Para que usamos os dados e com qual base legal

4.1. Nos tratamentos baseados em legítimo interesse, a Flagr faz e documenta o teste de balanceamento e garante meio de oposição. Você pode pedir as informações sobre o legítimo interesse aplicado a um tratamento específico (art. 10, § 2º, da LGPD).

5. Automação, inteligência artificial e revisão humana

5.1. A Flagr usa automação e sistemas de inteligência artificial nos diagnósticos, na DD, na geração de documentos a partir de modelos, no Flagr Scan e, quando disponível, na assistente virtual MarIA. Esse processamento pode envolver provedores de modelos de IA e de computação em nuvem, contratados com obrigações de sigilo e proteção de dados.

5.2. O Conteúdo do Cliente não é usado para treinar modelos de IA, próprios ou de terceiros. Os provedores de modelos contratados se comprometem a não usar os dados enviados para treinamento e a não retê-los além do necessário para responder à solicitação.

5.3. A Flagr pode usar dados estatísticos, anonimizados e agregados, que não permitam reidentificação, para operar e melhorar a plataforma (art. 12 da LGPD). Dados de crianças e adolescentes ficam fora desse uso.

5.4. Quando disponível, a função Conexões permitirá ao cliente ligar seus dados na Flagr a um assistente de IA escolhido por ele. Essa ligação só acontece por iniciativa do cliente, no escopo que ele definir, e o tratamento feito por esse assistente segue as regras do provedor escolhido pelo cliente.

5.5. Você pode pedir a revisão, por pessoa da equipe da Flagr, de resultado gerado unicamente por tratamento automatizado que afete seus interesses, como uma classificação de risco, e informações claras sobre os critérios usados, respeitados os segredos comercial e industrial (art. 20 da LGPD). O pedido é atendido nos prazos da cláusula 10.2.

6. Com quem compartilhamos dados

6.1. A Flagr não vende, aluga nem comercializa dados pessoais.

6.2. Fornecedores (suboperadores). Compartilhamos dados com fornecedores contratados para operar a plataforma, nas seguintes categorias: hospedagem da aplicação, banco de dados, armazenamento de arquivos e autenticação; envio de e-mails transacionais; assinatura eletrônica de contratos; cobrança e emissão de boletos e PIX; correio eletrônico e ferramentas de produtividade da equipe; modelos de inteligência artificial; e serviços públicos de consulta de CNPJ e CEP. Todos ficam obrigados a sigilo e a proteção de dados equivalente à desta Política e só podem usar os dados para o serviço contratado.

6.3. A lista atualizada de suboperadores, com finalidade e local do tratamento, é fornecida mediante pedido pelos canais da cláusula 14. Mudanças relevantes são comunicadas ao cliente com 30 dias de antecedência, prazo em que ele pode apresentar objeção fundamentada.

6.4. Compartilhamentos feitos por escolha do cliente. A plataforma permite ao cliente:

• gerar link de acesso ao Data Room para terceiros, como bancos, investidores e auditores, com escopo e prazo definidos por ele. Quem recebe o link vê e baixa os documentos do escopo durante a validade;
• convidar pessoas para a conta da empresa, com perfil e áreas definidos pelo Administrador;
• autorizar instituições parceiras, como investidores, aceleradoras e programas do Radar, a ver o score, a evolução e as áreas que ele escolher, revogando quando quiser;
• enviar documentos para assinatura eletrônica, que repassa à plataforma de assinatura os nomes e e-mails dos signatários indicados;
• criar chaves de API para que sistemas da empresa, como o ERP, leiam contratos, notas fiscais, certidões, propostas e a lista de documentos.

Nesses casos, a Flagr executa a instrução do cliente, que responde pela escolha dos destinatários.

6.5. Escritórios de advocacia em white label. Quando um escritório contrata a Flagr para atender seus clientes, a plataforma exibe a marca do escritório e os dados das empresas atendidas ficam acessíveis à Flagr e ao escritório. A Flagr não usa esses dados para oferecer serviços às empresas atendidas, salvo nos termos do contrato com o escritório.

6.6. Programas de parceria institucional. Quando a contratação ocorre por programa com instituição de apoio a empresas, hub ou incubadora, podemos compartilhar com a instituição o CPF e o CNPJ informados, para confirmar a participação e aplicar o benefício, e registros de uso das funcionalidades (data, hora e tipo de ação), para medir o impacto do programa. Não compartilhamos documentos, respostas nem o teor das análises. Você pode se opor, e nesse caso o benefício deixa de valer.

6.7. Outras hipóteses: (a) autoridades públicas, para cumprir obrigação legal ou ordem judicial, avisando você antes quando a lei permitir; (b) defesa de direitos da Flagr, dos usuários ou de terceiros; (c) operações societárias, em que o sucessor fica vinculado a esta Política ou a outra com proteção igual ou maior; (d) com seu consentimento específico; e (e) dados anonimizados e agregados, que deixam de ser dados pessoais, salvo se a anonimização puder ser revertida com esforço razoável (art. 12 da LGPD).

7. Transferência internacional de dados

7.1. Dados pessoais podem ser transferidos para fora do Brasil quando armazenados ou processados por fornecedores com infraestrutura no exterior, em especial nos Estados Unidos e na União Europeia.

7.2. As transferências seguem os arts. 33 a 36 da LGPD e a Resolução CD/ANPD nº 19/2024, por meio de ao menos um destes mecanismos: (i) país com proteção reconhecida como adequada pela ANPD, como os países da União Europeia e do Espaço Econômico Europeu (Resolução CD/ANPD nº 32/2026); (ii) cláusulas-padrão contratuais da ANPD; (iii) cláusulas contratuais específicas; (iv) normas corporativas globais; ou (v) selos, certificados e códigos de conduta reconhecidos.

7.3. Para fornecedores em países sem decisão de adequação, como os Estados Unidos, a Flagr adota as cláusulas-padrão da ANPD e avalia antes as garantias de sigilo, segurança e limitação de finalidade do fornecedor.

7.4. Os dados transferidos se limitam ao necessário. Você pode pedir informações sobre as salvaguardas aplicadas pelos canais da cláusula 14.

8. Como protegemos os dados

8.1. A Flagr adota medidas técnicas e administrativas compatíveis com a sensibilidade dos dados, entre elas: (i) criptografia em trânsito e em repouso; (ii) controle de acesso no banco de dados, por empresa, perfil e área, de modo que cada usuário veja só o que lhe foi liberado; (iii) registros imutáveis de aceites e do histórico de ações em documentos; (iv) arquivos em armazenamento privado, entregues por endereços de download temporários; (v) links públicos do Data Room com validade e limite de tentativas por origem; (vi) chaves de API guardadas apenas em forma cifrada (hash), com escopo e limite de chamadas; (vii) obrigação de troca de senha provisória no primeiro acesso; (viii) cópias de segurança e plano de recuperação; e (ix) equipe sujeita a sigilo e treinada em privacidade.

8.2. Para operações de risco elevado, como automação em larga escala, consultas sistemáticas a fontes públicas e documentos com dados sensíveis, a Flagr elabora e revisa o Relatório de Impacto à Proteção de Dados Pessoais (RIPD).

8.3. Você também protege seus dados: use senha forte, não compartilhe credenciais, revise periodicamente quem tem acesso à conta e revogue links e chaves que não usa mais.

9. Por quanto tempo guardamos os dados

9.1. Os dados ficam guardados apenas pelo tempo necessário às finalidades desta Política, ao serviço, às obrigações legais e à defesa de direitos (arts. 15 e 16 da LGPD).

9.2. Vencido o prazo, os dados são eliminados ou anonimizados. A eliminação começa pelo ambiente de produção; as cópias de segurança são apagadas no ciclo regular e, até lá, só servem para restaurar o sistema em caso de desastre.

10. Seus direitos como titular

10.1. A LGPD garante, gratuitamente e a qualquer momento: (i) confirmação de que tratamos seus dados; (ii) acesso; (iii) correção; (iv) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; (v) portabilidade, respeitados os segredos comercial e industrial; (vi) eliminação dos dados tratados com consentimento; (vii) informação sobre com quem compartilhamos; (viii) informação sobre a possibilidade de não consentir e suas consequências; (ix) revogação do consentimento; (x) oposição a tratamento baseado em outras hipóteses legais; (xi) revisão de decisão automatizada (cláusula 5.5); e (xii) petição à ANPD.

10.2. Prazos: a confirmação e o acesso em formato simplificado são imediatos (art. 19, I); o recebimento do pedido é confirmado em até 2 dias úteis; a resposta completa sai em até 15 dias corridos (art. 19, II); e, sendo procedente a eliminação, ela é feita em até 30 dias corridos, com aviso aos agentes com quem os dados foram compartilhados (art. 18, § 6º).

10.3. Podemos pedir informações para confirmar sua identidade, limitadas ao necessário. Sem confirmação, o pedido é recusado de forma fundamentada, e você pode tentar de novo.

10.4. Mesmo após pedido de eliminação, podemos guardar dados para cumprir obrigação legal, prevenir fraude, defender direitos em processos e continuar o serviço quando atuamos como operadora por instrução do cliente.

10.5. Quando a Flagr atua como operadora (cláusula 2), pedidos de titulares sobre dados do Conteúdo do Cliente ou de consultas feitas a pedido dele são encaminhados ao controlador em até 5 dias úteis, e você é informado do encaminhamento. A identidade do controlador é informada quando isso não violar dever de sigilo contratual ou profissional.

10.6. Se você é sócio, administrador ou representante de empresa analisada, pode pedir quais dados seus foram obtidos em fontes públicas, quais fontes foram consultadas e a quem foram disponibilizados, observada a cláusula 10.5.

11. Cookies e armazenamento no navegador

11.1. A plataforma (appflagr.com.br) usa armazenamento local do navegador para: (i) manter a sessão de login ativa e segura; (ii) lembrar a preferência de tema claro ou escuro; (iii) permitir o uso como aplicativo instalado (PWA); e (iv) guardar por até 60 dias a origem da visita (código de desconto ou parceria, parâmetros de campanha e o domínio do site de origem), para aplicar o desconto e registrar a origem no cadastro.

11.2. Os itens (i) a (iii) são essenciais e se baseiam na execução do contrato e no legítimo interesse. O item (iv) se baseia no legítimo interesse; você pode apagá-lo limpando os dados do site no navegador, e a recusa não impede o cadastro.

11.3. A plataforma não usa cookies de publicidade nem ferramentas de rastreamento de terceiros. As fontes tipográficas são carregadas de servidor do Google, que recebe o endereço IP do navegador para entregá-las.

11.4. No site institucional (flagrdd.com.br), cookies analíticos e de mensuração de campanhas só são ativados com seu consentimento, dado ou recusado no painel de preferências, com o mesmo destaque para aceitar e para recusar, e revisável a qualquer momento pelo link "Preferências de cookies" no rodapé.

12. Incidentes de segurança

12.1. Em caso de incidente que possa causar risco ou dano relevante aos titulares, a Flagr investiga causa e extensão, adota medidas de contenção e correção e registra o ocorrido.

12.2. Como controladora, a Flagr comunica o incidente com risco ou dano relevante à ANPD e aos titulares afetados em até 3 dias úteis do conhecimento (Resolução CD/ANPD nº 15/2024), podendo complementar a comunicação à ANPD em até 20 dias úteis. Os titulares são avisados de forma direta e em linguagem clara.

12.3. Como operadora, a Flagr comunica o incidente ao cliente controlador em até 48 horas do conhecimento, com as informações necessárias para que ele avalie a comunicação à ANPD e aos titulares, e coopera na mitigação.

12.4. A Flagr mantém registro de todos os incidentes de que tiver conhecimento, mesmo os que não exigem comunicação.

13. Alterações desta Política

13.1. A versão vigente fica sempre disponível no site e na plataforma, com número de versão e data.

13.2. Mudanças relevantes são comunicadas com antecedência razoável, por aviso na plataforma e por e-mail. Quando a mudança envolver nova finalidade ou novo compartilhamento que dependa de consentimento, ele será pedido de novo. A plataforma registra a versão aceita por cada usuário.

13.3. As versões anteriores ficam disponíveis para consulta, com o período de vigência de cada uma.

14. Encarregada pelo tratamento de dados pessoais e canais de atendimento

14.1. A Flagr mantém Encarregada pelo tratamento de dados pessoais designada por ato formal, responsável pela comunicação entre a Flagr, os titulares e a ANPD (art. 41 da LGPD e Resolução CD/ANPD nº 18/2024):

• Encarregada: Débora Leal
• E-mail: debora@flagrdd.com.br
• WhatsApp: (11) 91441-5130
• Correspondência: Rua Dona Maria César, nº 170, Edifício Luciano Costa, Sala 203, Bairro do Recife, Recife/PE, CEP 50.030-140

14.2. Use esses canais para exercer seus direitos, tirar dúvidas ou registrar reclamações. Respondemos nos prazos da cláusula 10.2.

14.3. Você também pode peticionar à ANPD pelos canais em gov.br/anpd (art. 18, § 1º, da LGPD).

15. Lei aplicável e foro

15.1. Esta Política é regida pelas leis brasileiras.

15.2. Fica eleito o foro da Comarca de Recife/PE, ressalvados o foro do domicílio do consumidor, nas relações de consumo, e o do titular, quando a lei aplicável assim determinar.

15.3. Esta Política tem natureza informativa. Ela complementa os Termos de Uso e os contratos firmados com os clientes e não reduz os direitos dos titulares previstos na LGPD, que podem ser exercidos com ou sem contrato com a Flagr. Havendo divergência entre esta Política e um contrato sobre o tratamento de dados pessoais, prevalece a regra mais protetiva ao titular.