Política de Privacidade

O FluxoPronto é uma plataforma de processamento inteligente de documentos (IDP) para escritórios de contabilidade: recebe documentos fiscais e financeiros (por upload ou por integração de e-mail autorizada), classifica-os, extrai campos estruturados e os disponibiliza para revisão e exportação pelo escritório contratante.

• Dados dos documentos processados (documentos dos clientes do escritório e os dados extraídos deles): o escritório contratante é o controlador; a Astra Technologies atua como operadora, tratando esses dados exclusivamente conforme o Contrato de Prestação de Serviços e seu Anexo de Operação de Dados (DPA). Se você é cliente de um escritório e quer exercer direitos sobre dados contidos em documentos, o caminho mais rápido é contatar o próprio escritório; também pode nos acionar pelo canal da seção 13, e encaminharemos ao escritório responsável.
• Dados de conta dos usuários da plataforma (nome, e-mail, credenciais) e dados de contato de quem fala conosco: a Astra Technologies é a controladora.

O que não coletamos: o corpo das mensagens de e-mail (nunca é armazenado), dados de navegação dentro da aplicação e dados de menores direcionados — o serviço é B2B, destinado a uso profissional. A medição do site institucional descrita na seção 10 não alcança a aplicação, os documentos nem os dados extraídos.

Não usamos dados pessoais para enriquecimento de perfil nem para venda a terceiros. Documentos, dados extraídos e dados de conta nunca são usados para publicidade: o tratamento com finalidade de marketing se limita aos dados de navegação no site institucional, descritos na seção 10.

A classificação e a extração de dados dos documentos são feitas por modelos de inteligência artificial executados em infraestrutura da AWS. Sobre esse uso:

• Os documentos são enviados ao modelo apenas para classificar e extrair; não são usados para treinar modelos de IA, conforme os compromissos contratuais da AWS;
• Extração automatizada não é 100% determinística: a plataforma sinaliza documentos que merecem revisão humana e oferece fluxo de revisão e correção pelo escritório;
• Nenhuma decisão automatizada com efeitos jurídicos sobre titulares é tomada pela plataforma — os resultados são insumos revisáveis para o trabalho do escritório.

A conexão de caixas de e-mail é opcional e ocorre somente mediante autorização expressa do usuário via OAuth do Google, com um único escopo, somente-leitura (gmail.readonly).

O que lemos: o remetente, o assunto e a data das mensagens recebidas na caixa conectada, e os anexos elegíveis para processamento (JPG, PNG ou PDF, dentro dos limites técnicos). Anexos decorativos, como imagens de assinatura, são ignorados.

O que não fazemos: não armazenamos o corpo das mensagens; não enviamos, alteramos nem excluímos e-mails; não usamos dados do Gmail para publicidade; não vendemos dados do Gmail; nenhuma pessoa lê esses dados, exceto com seu consentimento explícito, quando necessário por segurança (ex.: investigar abuso), para cumprir obrigação legal ou em operações internas agregadas/anonimizadas, conforme permitido pela política do Google.

Uso limitado (Limited Use): o uso que o FluxoPronto faz de informações recebidas das APIs do Google observará a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Como revogar: você pode desconectar a integração a qualquer momento nas configurações da plataforma — a partir daí, nenhuma nova mensagem é processada — e pode revogar a autorização concedida ao FluxoPronto diretamente no painel de permissões da sua conta Google, em myaccount.google.com/permissions.

• Documentos e dados extraídos: mantidos enquanto a conta do escritório estiver ativa, ou até que o escritório os exclua pela plataforma — a exclusão remove o arquivo e os dados extraídos correspondentes;
• Documentos não suportados: arquivos classificados como fora do escopo do serviço são excluídos do armazenamento em produção, permanecendo apenas o registro do evento;
• Arquivos de exportação: excluídos automaticamente em 1 dia;
• Registros técnicos (logs): mantidos por 3 meses;
• Encerramento da conta: aplicam-se os prazos de devolução/exclusão previstos no DPA (Anexo I do Contrato), ressalvadas guardas exigidas por lei;
• Registros de aceite dos termos: mantidos pelo prazo prescricional aplicável, como prova da relação contratual.

Não vendemos dados pessoais. Compartilhamos dados apenas com os fornecedores estritamente necessários à operação do serviço:

A AWS e o Google (Gmail) são suboperadores no tratamento dos documentos, sujeitos ao DPA firmado com o escritório contratante. O Google Analytics e o LinkedIn Insight Tag tratam apenas dados de navegação no site institucional, em que a Astra Technologies é a controladora: não têm acesso a documentos, a dados extraídos nem a dados de conta, não rodam na aplicação e, por isso, não são suboperadores para os fins do DPA.

Além disso, podemos compartilhar dados se exigido por lei, ordem judicial ou autoridade competente, ou para proteger direitos em processos, sempre no limite do necessário.

O armazenamento e o processamento principal ocorrem em infraestrutura da AWS nos Estados Unidos. A etapa de inferência de IA usa um perfil de roteamento global da AWS e pode ser executada em qualquer região da infraestrutura AWS. Essas transferências são amparadas por cláusulas contratuais padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), incorporadas aos contratos com nossos fornecedores, assegurando nível de proteção compatível com a LGPD.

As ferramentas de medição do site institucional (seção 10) também tratam dados fora do Brasil, e valem para elas as mesmas cláusulas contratuais padrão, incorporadas aos termos de tratamento de dados do Google e do LinkedIn.

O tratamento é diferente na aplicação e no site institucional, e a separação entre os dois é intencional.

Na aplicação (app.fluxopronto.com.br)

Não há cookies de publicidade nem ferramentas de analytics. Usamos apenas armazenamento local do navegador, estritamente funcional:

• Tokens de sessão de autenticação (para manter você conectado à aplicação);
• Preferências de interface (ex.: estado da barra lateral);
• Um valor temporário de segurança durante a autorização do Google (proteção anti-CSRF), descartado ao fim do fluxo.

Você pode limpar esses dados pelo navegador; ao fazê-lo, será necessário entrar novamente.

No site institucional (fluxopronto.com.br)

O site público — inclusive esta página — carrega duas ferramentas de terceiros que usam cookies:

Essas ferramentas servem a medição de audiência e a marketing e não alcançam a aplicação: não têm acesso a documentos, a dados extraídos nem a dados de conta. A base legal é o legítimo interesse (LGPD, art. 7º, IX) em conhecer o desempenho do site e das nossas campanhas — interesse ponderado contra um impacto que se restringe a dados de navegação no site público, sem decisão automatizada e sem efeito sobre a contratação ou o uso do serviço.

Como recusar. Você pode se opor a esse tratamento a qualquer momento, sem perder nada do site:

• bloquear ou apagar cookies nas configurações do navegador, ou navegar em janela anônima;
• instalar o complemento de desativação do Google Analytics;
• ajustar as preferências de anúncios na sua conta do LinkedIn (Configurações → Privacidade de dados → Preferências de anúncios);
• falar conosco pelo canal da seção 13: registramos a oposição e deixamos de tratar seus dados de navegação para essa finalidade.

Adotamos medidas técnicas e administrativas alinhadas ao art. 46 da LGPD, incluindo: criptografia em trânsito (TLS) e em repouso; isolamento de dados por conta, derivado exclusivamente do token de autenticação; contas provisionadas individualmente, sem cadastro público, com política de senha forte; permissões internas sob menor privilégio; bloqueio de acesso público aos repositórios de arquivos; e logs estruturados que nunca registram conteúdo de documentos, dados extraídos ou credenciais. Detalhes adicionais constam do DPA firmado com cada escritório.

Você pode solicitar: confirmação de tratamento e acesso aos seus dados; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação; portabilidade; informação sobre compartilhamentos; e revisão de decisões automatizadas. Para dados contidos em documentos processados por um escritório, atuamos como operadora e encaminharemos sua solicitação ao escritório responsável, apoiando o atendimento.

Para exercer qualquer direito, escreva para privacidade@astra-ai.solutions. Responderemos nos prazos da LGPD. Você também pode peticionar à ANPD (gov.br/anpd).

A encarregada pelo tratamento de dados pessoais é Natália Fernandes, que pode ser contatada em privacidade@astra-ai.solutions (LGPD, art. 41).

Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. A versão vigente, identificada pela data no topo, estará sempre publicada nesta página; alterações materiais serão comunicadas aos escritórios pelos canais cadastrados e, quando exigível, dependerão de novo aceite na plataforma.

Dúvidas sobre esta Política ou sobre privacidade no FluxoPronto: privacidade@astra-ai.solutions. Assuntos comerciais: planos@astra-ai.solutions.