Política de Privacidade

O Quartzo é um software de monitoramento de produtividade corporativo. Para entender quem é responsável por quais dados, é importante distinguir três figuras:

• Cliente / Empresa Contratante — a pessoa jurídica (CNPJ) ou autônomo (CPF) que contrata o Quartzo. Para fins da LGPD, o Cliente é o Controlador dos dados dos usuários monitorados, pois decide a finalidade e os meios do tratamento.
• Quartzo — para fins da LGPD, atua como Operador: trata os dados em nome do Cliente, seguindo as instruções dele e os limites desta política.
• Usuário Monitorado — a pessoa física que utiliza o computador onde o agente está instalado (geralmente colaborador, contratado ou parceiro do Cliente).

Responsabilidade do Cliente: o Cliente é responsável por possuir base legal válida para o tratamento dos dados dos Usuários Monitorados — incluindo, quando aplicável, informar previamente os colaboradores sobre o monitoramento, conforme exigido pela legislação trabalhista e pela LGPD. O Quartzo não verifica essa conformidade e não se responsabiliza por uso indevido por parte do Cliente.

2.1 Do Cliente / Administrador do painel

• Nome e e-mail do(s) administrador(es)
• CPF ou CNPJ da empresa contratante
• Nome da empresa
• Senha (armazenada como hash criptográfico, nunca em texto plano)
• Endereço IP e horário de tentativas de login (proteção contra força bruta)
• Dados de pagamento e histórico de assinatura, quando aplicável

2.2 Do Usuário Monitorado (agente)

Quando o agente é instalado em um computador, ele coleta — somente dentro da política configurada pelo Cliente:

• Nome da máquina (hostname) e nome do usuário do Windows
• Versão do sistema operacional
• Título da janela ativa e nome do processo em uso
• URL da aba ativa em navegadores (apenas quando há política de bloqueio aplicável; nunca lê conteúdo de páginas, mensagens privadas ou senhas digitadas)
• Capturas de tela em intervalos definidos pelo Cliente (mínimo de 10 segundos, padrão 30 segundos)
• Tempo ativo / ocioso da sessão
• Data e hora de cada evento

2.3 O que o agente NÃO coleta

• Não há keylogger. Nenhuma tecla digitada é registrada.
• Não lê conteúdo de páginas web. Apenas a URL visível na barra do navegador, e mesmo assim só quando há regra de política configurada.
• Não acessa câmera, microfone, webcam ou arquivos pessoais.
• Não monitora fora do horário de uso do PC. Quando o computador está desligado ou o usuário deslogado, não há coleta.

• Operar o serviço contratado: exibir no painel do Cliente informações sobre uso de aplicativos e sites pelos Usuários Monitorados
• Aplicar políticas de bloqueio e alerta definidas pelo Cliente
• Faturar a assinatura e processar pagamentos
• Investigar incidentes de segurança (acesso indevido, abuso) e cumprir ordens judiciais
• Melhorar o produto (estatísticas agregadas, sem identificação pessoal)

Não usamos os dados dos Usuários Monitorados para nenhuma finalidade comercial nossa, não treinamos modelos de IA com eles, não vendemos para terceiros.

Os dados são armazenados em servidores no Brasil (infraestrutura Oracle Cloud — região São Paulo). Capturas de tela ficam em disco local do servidor; metadados em banco PostgreSQL.

Em trânsito entre o agente e o painel, os dados são enviados via HTTP/HTTPS para a API do Quartzo. Estamos em processo de migração completa para HTTPS — até que a transição se complete, recomendamos que Clientes acessem o painel apenas em redes de confiança.

• Dados de atividade e screenshots: retidos enquanto a assinatura estiver ativa. Dados com mais de 90 dias podem ser arquivados ou removidos automaticamente.
• Dispositivos movidos para Lixeira: ficam em modo restauração indefinidamente. Após 3 dias, dados pesados (capturas de tela, histórico de atividade, logs de auditoria) são arquivados automaticamente — apagados do banco e do disco. O registro do dispositivo e a licença permanecem vinculados, permitindo reuso. Para liberar a licença para outro PC, o administrador precisa clicar em "Excluir definitivamente" no painel.
• Cancelamento da assinatura: os dados são mantidos por 30 dias após o cancelamento (para permitir reativação) e em seguida apagados de forma irreversível, salvo obrigação legal de retenção.
• Logs de login e auditoria: 12 meses, para fins de segurança e investigação de incidentes.

Não vendemos, alugamos ou comercializamos dados. Compartilhamos apenas com:

• Operadores subcontratados: infraestrutura de nuvem (Oracle Cloud), processamento de pagamentos quando aplicável, serviço de e-mail transacional (Resend) — todos com contratos de tratamento de dados.
• Autoridades públicas: apenas mediante ordem judicial ou requisição legal vinculante.
• O próprio Cliente Contratante tem acesso aos dados dos Usuários Monitorados via painel — essa é a função principal do serviço.

Como titular dos dados, você tem direito a:

• Confirmar a existência de tratamento
• Acessar os dados
• Corrigir dados incompletos, inexatos ou desatualizados
• Anonimizar, bloquear ou eliminar dados desnecessários ou tratados de forma irregular
• Portar dados a outro fornecedor
• Eliminar dados tratados com base em consentimento
• Revogar consentimento

Para Usuários Monitorados: como o Controlador é o Cliente Contratante (sua empresa), o pedido deve ser feito a ele em primeiro lugar. Se o Cliente não responder em prazo razoável, você pode escrever diretamente para nós no canal de contato abaixo, e encaminharemos ao Controlador.

Para Clientes: envie a solicitação para o canal abaixo. Atendemos em até 15 dias.

Aplicamos medidas técnicas e organizacionais razoáveis para proteger os dados:

• Senhas armazenadas em hash criptográfico (nunca em texto plano)
• Configuração local do agente criptografada com DPAPI Windows
• Tokens de sessão em cookies httpOnly + atributo sameSite para mitigar XSS e CSRF
• Proteção contra força bruta no login (5 tentativas / 15 min)
• Headers de segurança HTTP (X-Frame-Options, X-Content-Type-Options etc.)
• Banco de dados em rede privada, sem exposição direta à internet
• Auditoria de logins e ações administrativas

Nenhum sistema é 100% seguro. Em caso de incidente envolvendo dados pessoais, notificaremos a ANPD e os titulares afetados nos prazos definidos pela LGPD.

Usamos um número mínimo de cookies, e nenhum para fins de publicidade ou rastreamento de terceiros:

• quartzo_session e quartzo_admin_session — autenticação. Cookies httpOnly de sessão (7 dias).
• theme — preferência de tema claro/escuro (localStorage, não é cookie).

Não utilizamos Google AdSense, Google Analytics, Facebook Pixel ou qualquer rastreador publicitário.

Para qualquer questão sobre privacidade, dados pessoais ou exercício de direitos LGPD:

• E-mail: privacidade@quartzo.com.br
• Encarregado (DPO): a ser nomeado quando aplicável conforme art. 41 da LGPD