1. Quem trata o quê
Dos dados do consultor — nome, e-mail, telefone, dados da assinatura e registros de uso do sistema — o controlador é Felipe Coelho Ramos Leandro (CPF 014.830.836-83), felipecrleandro@gmail.com, e os trata para manter a conta, cobrar a assinatura, dar suporte e cumprir obrigações legais.
Dos dados dos solicitantes, o controlador é o consultor: é ele quem decide coletá-los e para quê. O OrgaVisto é operador e trata esses dados conforme as instruções dele, dadas pelo uso do sistema.
2. Dados de solicitante
O sistema guarda o que o formulário oficial exige: identificação, contato, passaporte, viagem, família, trabalho, estudo e as respostas das perguntas de segurança, além de etapas, datas, pendências e cobranças do processo.
O sistema não recebe arquivos: nenhum documento, foto ou cópia de passaporte é armazenado. Os arquivos ficam com o consultor; aqui entram os dados extraídos deles.
As respostas do rascunho, o Application ID e as chaves de retomada do formulário oficial são cifrados na aplicação, com chave que não vive no banco. Um vazamento do banco, sozinho, não os abre.
3. Isolamento entre contas
Cada conta enxerga apenas os próprios dados, e isso é imposto pelo banco de dados, não apenas pela aplicação: toda consulta viaja com a conta fixada na transação, e o banco recusa linha de outra conta mesmo que o código erre.
O painel do administrador do OrgaVisto não alcança conteúdo de processo: ele lê apenas indicadores técnicos e números agregados, sem nome e sem e-mail de ninguém.
4. Link de acompanhamento
O titular do processo recebe um link sem senha, com um endereço aleatório guardado apenas como resumo criptográfico. A página mostra etapas, status, próximas datas, o contato do consultor e as pendências em linguagem do dia a dia.
Ela nunca mostra sobrenome, data de nascimento, passaporte, Application ID, resposta do formulário ou valor de cobrança. O link pode ser revogado pelo consultor a qualquer momento, e um link revogado passa a responder como inexistente.
5. Direitos do solicitante
Pelo link de acompanhamento, o solicitante pode pedir acesso, correção ou eliminação dos próprios dados. O pedido abre um prazo de 15 dias e aparece para o consultor, que é quem o executa — a página pública não apaga nada sozinha.
A eliminação anula os dados pessoais do solicitante e preserva o esqueleto do processo (datas, etapas, resultado, cobranças) pelo prazo de retenção, porque a trilha de alterações e as filas de e-mail nunca guardaram valor pessoal.
6. Suboperadores e transferência internacional
Hospedagem da aplicação: Vercel (Estados Unidos), com registros de requisição sem dado pessoal e desligados nas páginas públicas e no canal da extensão.
Banco de dados e autenticação: Supabase, região de São Paulo — não sai do Brasil.
Envio de e-mail: Amazon SES, região de São Paulo — não sai do Brasil.
Pagamento da assinatura: Asaas, no Brasil.
Agenda e videoconferência da orientação: Google Calendar (Estados Unidos), na conta do próprio consultor, com evento sem convidados e sem nome de solicitante.
Monitoramento de erros: Sentry (Estados Unidos ou União Europeia), sem dado pessoal, sem gravação de tela e com remoção de corpo de requisição, cookies, e-mail e endereços.
As transferências para fora do Brasil se apoiam em contrato de tratamento de dados e nas cláusulas-padrão da ANPD. Acrescentar um serviço a esta lista exige versão nova destes documentos e novo aceite.
7. Retenção e backup
Os dados ficam enquanto a conta existir e pelo prazo de retenção legal depois do encerramento do processo. Encerrada a conta, a exportação fica disponível pelo prazo informado na tela de cancelamento e, depois dele, os dados pessoais são anulados.
Há backup diário do banco. Um dado eliminado pode sobreviver nos backups por até 7 dias, que é a janela de retenção deles.
8. Contato
Pedidos sobre dados de um processo devem ser feitos ao consultor responsável, que é o controlador deles.
Pedidos sobre a conta do consultor, ou sobre este sistema, devem ser feitos a felipecrleandro@gmail.com, que é o endereço do controlador.