24 de agosto de 2026
Política de privacidade
O CotiMix é um orçamentista de concreto usinado para empresas. Esta política explica quais dados tratamos, por quê, quem mais pode vê-los e o que você pode fazer a respeito. Está escrita para ser entendida, não para nos proteger.
Este documento descreve com exatidão o que o sistema faz hoje, verificado contra o código e o banco de dados. Está pendente de revisão jurídica antes do lançamento comercial.
Quem responde pelos seus dados
O controlador dos dados é ZCORPIA E.I.R.L., inscrita sob o RUC 20616045106, com sede em Lot. Cieneguilla Etapa 3 Mz. 12 Lt. 2, Cieneguilla, Lima, Peru, que opera o serviço sob a marca CotiMix.
Para qualquer assunto relacionado a esta política, inclusive o exercício dos seus direitos, escreva para soporte@cotimix.com.
Dois papéis diferentes, e a diferença importa
Sobre os dados da sua conta e da sua empresa, o controlador somos nós: decidimos para que servem e respondemos por isso.
Sobre os dados dos seus clientes e das suas obras — os que você carrega para orçar —, o controlador é você. Nós apenas os hospedamos e operamos por sua conta e ordem. Não os usamos para nada próprio, não os cruzamos entre empresas e não os vendemos.
Isso tem uma consequência prática: se o cliente de uma concreteira quiser exercer seus direitos, quem deve atendê-lo é essa concreteira. Nós recebemos o pedido, encaminhamos e colaboramos, mas a decisão é de quem carregou os dados.
Quais dados coletamos e com que base legal
Cada dado tem um motivo concreto para estar aqui:
| Dado | Para quê | Base |
|---|---|---|
| Nome, e-mail, telefone | Criar e operar sua conta | Execução de contrato |
| Empresa e país | Moeda, imposto, terminologia e fuso | Execução de contrato |
| Senha (cifrada) | Autenticação | Execução de contrato |
| IP, cidade e país do cadastro | Detectar país mal configurado e contas duplicadas | Legítimo interesse |
| Fuso e idioma do navegador | Mostrar datas e textos corretos | Execução de contrato |
| Coordenadas de GPS | Localização da empresa no cadastro | Consentimento |
| Clientes, obras, preços, orçamentos | Prestar o serviço | Execução de contrato |
| Evidência da assinatura do cliente | Comprovar o aceite | Legítimo interesse |
| Token do dispositivo | Enviar avisos push | Consentimento |
| Dados de faturamento | Cobrar o plano | Execução de contrato |
Sobre a localização e o GPS
A localização é registrada uma única vez, no cadastro. Não é atualizada a cada login: não é rastreamento e não sabemos por onde você anda.
O IP e a cidade deduzida dele são observados pelo nosso servidor. As coordenadas de GPS só são guardadas se você conceder a permissão quando o navegador ou o celular pedir: se recusar, nada é guardado e o aplicativo funciona exatamente igual.
Serve para três coisas e nada mais: conferir se o país escolhido bate com o real — se não, a moeda e os impostos de todos os seus orçamentos ficariam errados —, saber em que cidades o produto cresce, e impedir que a mesma empresa abra várias contas gratuitas para burlar os limites do plano.
Sobre a assinatura do cliente
Se você envia um orçamento para assinatura, guardamos como prova: a imagem do traço, o nome e o documento declarados por quem assinou, a data e a hora, o endereço IP, o navegador e uma cópia congelada do orçamento tal como estava naquele instante — com a qual se reproduz exatamente o documento que a pessoa aceitou, mesmo que você o edite depois.
Esse conjunto é o que dá valor probatório à assinatura; o desenho sozinho não prova nada. Por isso fica guardado junto ao documento.
Se você assinou um orçamento e quer saber o que guardamos ou pedir que seja apagado, pode nos escrever mesmo sem ter conta.
Quem mais pode ver seus dados
O acesso é isolado por empresa no nível do banco de dados, não apenas no aplicativo: uma consulta feita pela conta de uma concreteira não consegue retornar linhas de outra, mesmo que o aplicativo tivesse uma falha.
Há uma exceção e nós a declaramos: existe um papel interno de supervisão da plataforma, que pode ler dados de todas as empresas para dar suporte e operar o serviço. Está limitado tecnicamente a somente leitura — não pode criar, alterar nem apagar nada — e essa limitação está imposta no próprio banco de dados, não no aplicativo.
Além de nós, estes fornecedores tratam dados por nossa conta, cada um para uma única finalidade:
| Fornecedor | Para quê | Onde |
|---|---|---|
| Supabase (sobre AWS) | Banco de dados e arquivos | São Paulo, Brasil |
| Resend | E-mails de convite, recuperação e suporte | Estados Unidos |
| Culqi | Processar pagamentos com cartão | Peru |
| Google (Firebase) | Entregar as notificações push | Estados Unidos |
| ipapi | Deduzir a cidade a partir do IP do cadastro | Estados Unidos |
Transferência internacional
Seus dados ficam hospedados no Brasil e alguns fornecedores operam a partir dos Estados Unidos. Para esses casos há transferência internacional de dados.
A base é a necessária para executar o contrato que você pediu: sem hospedagem e sem e-mail não há serviço. Com cada fornecedor existe um acordo de tratamento que os proíbe de usar os dados para fins próprios.
Os dados do seu cartão
Não os temos. Ao pagar, os dados do cartão vão direto do seu navegador para a Culqi. O CotiMix não vê, não recebe e não guarda o número do seu cartão. De uma cobrança guardamos apenas o valor, a data, o resultado e um identificador que nos permite reconhecer a operação.
O que fica guardado no seu dispositivo
Não usamos cookies de terceiros nem há publicidade. Para saber quanta gente visita o site medimos as páginas vistas com um contador servido do nosso próprio domínio: não deixa cookies, não guarda o seu IP e não permite identificar você nem segui-lo fora deste site. O resto do que fica guardado no seu navegador é funcional e não sai do seu aparelho:
- Sua sessão, para não pedir a senha a cada tela.
- O país escolhido no seletor deste site, para lembrar na próxima vez.
- Uma marca de que já perguntamos sobre notificações, para não perguntar de novo.
Nada disso permite seguir você por outros sites, e por isso não há aviso de cookies: não existe nenhuma a consentir.
Decisões automatizadas
Não tomamos decisões automatizadas que produzam efeitos jurídicos sobre você ou o afetem significativamente. O sistema calcula preços e volumes com os dados que você configura, mas não decide nada por conta própria sobre ninguém. Ainda assim, pelo artigo 20 da LGPD, você pode pedir revisão de qualquer decisão automatizada que entenda que o afeta.
Por quanto tempo conservamos
Você pode excluir sua conta pelo próprio aplicativo, em Conta → Excluir conta. Ao fazê-lo, sua credencial de acesso é apagada e seus dados pessoais são anonimizados.
O que não é apagado são os orçamentos já emitidos ou assinados: são documentos com efeitos perante terceiros e sua empresa pode precisar deles. Ficam sem poder ser vinculados à sua pessoa.
| Dado | Quanto tempo |
|---|---|
| Conta e dados da empresa | Enquanto a conta estiver ativa |
| Orçamentos emitidos | O prazo fiscal e comercial aplicável |
| Orçamentos assinados e sua evidência | Enquanto possam ter efeitos entre as partes |
| Procedência do cadastro (IP, cidade) | 24 meses desde o cadastro |
| Tokens de dispositivo | Até você sair ou desinstalar |
| Pedidos sobre dados pessoais | 3 anos, para comprovar o atendimento |
Seus direitos e como exercê-los
Pela LGPD você pode pedir confirmação do tratamento, acesso, correção, anonimização, portabilidade e eliminação dos seus dados, informação sobre com quem os compartilhamos, e revogar qualquer consentimento — por exemplo o do GPS ou o das notificações — sem que isso afete o que já foi feito.
Há dois caminhos, conforme quem você é:
- Se você tem conta: pelo formulário de suporte dentro do aplicativo. É o mais rápido porque já sabemos quem você é.
- Se você não tem conta — por exemplo, assinou um orçamento que seu fornecedor mandou —: pelo formulário público de pedidos sobre dados pessoais. Não é preciso se cadastrar.
Respondemos em no máximo 30 dias e não cobramos nada por atender um pedido. Se os dados foram carregados por uma concreteira, encaminharemos seu pedido a ela, porque é ela quem decide sobre eles.
Qual lei protege você
No Brasil aplica-se a LGPD (Lei 13.709/2018) e a autoridade é a ANPD, à qual você pode reclamar se não o atendermos bem.
Se você não estiver no Brasil, aplica-se a lei de proteção de dados do seu país de residência, e atendemos o pedido pelo mesmo canal.
Segurança
O isolamento entre empresas é imposto no banco de dados, não no aplicativo. É uma diferença importante: significa que uma falha da interface não consegue vazar dados de outra empresa.
As senhas são guardadas com funções de derivação de chave e ninguém do CotiMix consegue lê-las. As conexões são cifradas. Os arquivos privados — logotipos, assinaturas, PDFs assinados — não são acessíveis por URL pública.
Nenhum sistema é infalível. Se ocorrer um incidente que afete seus dados, comunicaremos você e notificaremos a ANPD nos prazos da LGPD.
Menores
O CotiMix é uma ferramenta de trabalho para empresas e não se dirige a menores de idade. Não coletamos dados de menores conscientemente. Se detectarmos uma conta de menor, nós a excluímos.
Alterações
Se alterarmos esta política de forma relevante, avisaremos dentro do aplicativo antes de a mudança entrar em vigor. A data da última revisão está no início deste documento.