Política de Privacidade

1. Quem somos e como entrar em contato

O Grine é uma plataforma de emissão de laudos técnicos de reforma operada por Marcos Vinícius Pereira Rodrigues ("Grine", "nós" ou "controlador").

Para exercer seus direitos ou esclarecer dúvidas sobre esta Política, entre em contato com nosso Encarregado de Dados (DPO) pelo e-mail dpo@grine.io ou pelo WhatsApp +55 (34) 98424-6837.

2. Dados coletados

Coletamos as seguintes categorias de dados pessoais:

Dados do profissional (engenheiro/arquiteto):

• Nome completo;
• Endereço de e-mail;
• CPF (informado voluntariamente para ART/RRT);
• Número de registro profissional (CREA ou CAU) e UF;
• Nome e CNPJ da empresa (quando informados);
• Data e hora de aceite dos termos legais (registro de consentimento);
• Foto de perfil (avatar) — dado pessoal de fornecimento facultativo, nos termos do Art. 5º, I da LGPD. Armazenado em bucket privado e acessível apenas pelo próprio titular. Pode ser removido a qualquer momento pelo titular;
• Assinatura digital — dado biométrico comportamental nos termos do Art. 5º, II da LGPD. Armazenado em bucket privado com acesso exclusivamente via URL assinada e autenticada. Hard delete disponível ao titular a qualquer momento; laudos já emitidos não são afetados, pois a imagem é incorporada ao PDF no momento da geração.

Dados de vistoria (inseridos pelo profissional):

• Nome e CPF/CNPJ do contratante da obra;
• Endereço completo da obra (logradouro, cidade, estado, CEP);
• Descrição técnica dos sistemas construtivos e patologias identificadas;
• Fotografias das inspeções de interiores e exteriores da edificação (podendo conter, incidentalmente, rostos de pessoas, documentos visíveis e outros elementos identificáveis);
• Localização e horário de captura das fotografias — latitude, longitude e data/hora, registrados por fotografia. Disponível apenas no plano Profissional. Duas origens: a coordenada já gravada pela câmera no próprio arquivo (EXIF), lida no envio; ou o GPS do aparelho no momento do envio, que só é consultado se o profissional ativar a opção "Registrar localização das fotos" — desativada por padrão em cada vistoria. A localização é impressa no laudo, sob a fotografia correspondente.

Registro de edificação (derivado dos dados de vistoria):

• Endereço estruturado do imóvel (logradouro, número, bairro, cidade, estado, CEP) e um rótulo de identificação, agrupando as vistorias feitas no mesmo endereço;
• Anotações técnicas de texto livre que o profissional registre sobre o imóvel, podendo conter, incidentalmente, nomes de moradores ou responsáveis;
• Datas das vistorias realizadas no imóvel e vínculo com os laudos emitidos.

Dados técnicos de uso:

• Endereço IP e informações de sessão (gerenciados pelo Supabase Auth);
• Métricas de geração de laudos (tempo de resposta, tokens utilizados) — sem vínculo a dados pessoais identificáveis.

3. Finalidade do tratamento

Tratamos seus dados para as seguintes finalidades:

• Prestação do serviço: autenticação, armazenamento e geração de laudos técnicos;
• Preenchimento de ART/RRT: geração de minuta auxiliar com dados do profissional conforme exigência da Lei n.º 6.496/1977;
• Faturamento e cobrança: gestão de assinaturas e emissão de cobranças;
• Suporte ao usuário: resposta a dúvidas e resolução de problemas;
• Segurança: prevenção a fraudes e cumprimento de obrigações legais;
• Melhoria do produto: análise anonimizada de métricas de uso.
• Histórico técnico por edificação: as vistorias de um mesmo endereço são agrupadas em um registro por imóvel, para que o responsável técnico consulte o que já foi vistoriado e emitido ali. O agrupamento é restrito ao próprio profissional: não há cruzamento entre profissionais diferentes, ainda que tenham vistoriado o mesmo imóvel.
• Verificação pública de autenticidade: laudos emitidos em plano pago recebem um QR Code que aponta para uma página pública de consulta (/verificar/<identificador do laudo>). Essa página exibe, a quem possua o identificador, apenas nome, título e número de registro profissional (CREA/CAU) e UF do responsável técnico, o número da ART/RRT, a data de emissão e o tipo de laudo. Não são publicados o conteúdo técnico do laudo, fotografias, dados do contratante nem o endereço do imóvel. É a mesma prática de consulta pública que CREA e CAU já mantêm para ART e RRT.

O responsável técnico que não deseje manter a verificação pública ativa para um laudo pode solicitar a remoção pelo e-mail de contato indicado na Seção 1.

4. Base legal do tratamento

O tratamento de dados pessoais no Grine é fundamentado nas seguintes hipóteses legais da Lei n.º 13.709/2018 (LGPD):

• Execução de contrato (Art. 7º, V): dados necessários para a prestação do serviço contratado;
• Cumprimento de obrigação legal (Art. 7º, II): dados para ART/RRT conforme Lei n.º 6.496/1977 e NBR 16280:2014;
• Legítimo interesse (Art. 7º, IX): métricas anonimizadas de uso para melhoria do produto, sem impacto desproporcional ao titular;
• Consentimento (Art. 7º, I): para o envio de fotografias de vistoria à API de inteligência artificial, conforme Seção 5 desta Política.
• Consentimento (Art. 7º, I) — localização das fotografias: a consulta ao GPS do aparelho depende de ativação expressa pelo profissional, por vistoria, e o consentimento não é herdado entre vistorias. A leitura da coordenada já contida no arquivo enviado (EXIF) segue a base de execução de contrato, por ser dado que o próprio titular gravou e transmitiu.
• Execução de contrato (Art. 7º, V) — histórico por edificação: o agrupamento das vistorias por endereço é parte da prestação do serviço contratado pelo profissional, usa os mesmos dados já coletados para o laudo e não os compartilha com terceiros nem com outros profissionais da plataforma.
• Legítimo interesse (Art. 7º, IX) — verificação pública: a publicação de nome e registro profissional na página de verificação atende ao interesse legítimo de terceiros de conferir a autoria de um laudo técnico que lhes foi apresentado. O tratamento observa a minimização do Art. 6º, III: apenas os campos necessários à conferência são exibidos, e a página não é indexável por mecanismos de busca.

5. Compartilhamento com terceiros (subprocessadores)

Compartilhamos dados pessoais com os seguintes operadores de tratamento, todos vinculados por contratos que garantem nível de proteção equivalente ao exigido pela LGPD:

• Supabase Inc. (EUA) — banco de dados, autenticação e armazenamento de arquivos. Dados processados nos servidores da AWS conforme Política de Privacidade do Supabase.
• Anthropic Inc. (EUA) — processamento de linguagem natural para geração de laudos e análise de imagens de vistoria (fotografias e texto do checklist, podendo conter dados pessoais do contratante e do imóvel). Subprocessador com Data Processing Addendum (DPA) vigente desde 24 de fevereiro de 2025.
• Stripe Payments do Brasil Atividades de Pagamentos Ltda. (Brasil + EUA) — processamento de pagamentos com cartão de crédito e gestão de assinaturas recorrentes. Dados de pagamento tratados conforme Política de Privacidade do Stripe. Stripe é certificado PCI DSS nível 1 — dados de cartão nunca transitam pelos servidores do Grine. Data Processing Agreement (DPA) disponível em stripe.com/legal/dpa.
• Sentry (Sentry Inc.) (EUA — transferência internacional) — monitoramento de erros e, mediante consentimento, gravação de sessão (Session Replay) com mascaramento de texto e mídia. Dados de erro são tratados sem e-mail/IP (removidos antes do envio). Ativado apenas após opt-in do usuário.
• PostHog (PostHog Inc.) (região Cloud UE) — métricas de produto anonimizadas para melhoria da Plataforma. Ativado apenas após opt-in do usuário e revogável em Perfil › Privacidade.

Não vendemos, alugamos ou compartilhamos dados pessoais com terceiros para fins publicitários ou comerciais.

6. Retenção de dados

Retemos os dados pessoais pelo período necessário para cumprir as finalidades descritas nesta Política ou por exigência legal:

• Laudos técnicos: retidos por mínimo de 10 anos, conforme NBR 13752 e prazo de garantia de obras previsto no Código Civil (Art. 618);
• Dados de contratante (CPF/CNPJ): retidos pelo mesmo prazo dos laudos aos quais estão associados;
• Dados do profissional: retidos durante a vigência da conta e por 5 anos após o cancelamento para fins de obrigações legais;
• Autoria do laudo (nome, título e registro profissional): gravada junto de cada laudo no momento da emissão e retida pelo mesmo prazo do laudo (10 anos), inclusive após a exclusão da conta. Um laudo técnico responde por responsabilidade profissional: sem o registro de quem o assinou, o documento retido por exigência da NBR 13752 perderia a função. A partir do pedido de exclusão da conta — e não apenas após a exclusão ser concluída — esse dado deixa de ser exibido na página pública de verificação e permanece somente como registro interno de autoria. Cancelar o pedido dentro do prazo restaura a exibição;
• Registro de edificação: retido pelo mesmo prazo dos laudos aos quais está associado. Na exclusão da conta, o vínculo com o profissional é anonimizado — o registro permanece sem identificar o titular excluído, pela mesma razão que preserva os laudos: apagá-lo deixaria os documentos retidos por exigência da NBR 13752 sem o histórico do imóvel a que se referem. As anotações técnicas de texto livre são eliminadas na exclusão da conta: elas não são necessárias para manter os laudos coerentes e podem conter nomes de terceiros;
• Registros de aceite de termos: retidos permanentemente como prova de cumprimento da obrigação de consentimento (LGPD Art. 8º, § 2º);
• Fotografias de vistoria: retidas durante a vigência da conta e excluídas mediante solicitação do titular, observado o prazo mínimo de retenção dos laudos.
• Localização e horário de captura: excluídos definitivamente na exclusão da conta, ainda que o laudo e a fotografia sejam retidos. A retenção obrigatória alcança o laudo, que já contém o endereço da obra; a coordenada não é necessária a esse fim e é descartada por minimização (Art. 6º, III).

7. Direitos do titular

Nos termos do Art. 18 da LGPD, você tem direito a solicitar a qualquer momento:

• Confirmação da existência de tratamento de seus dados;
• Acesso aos dados pessoais tratados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários;
• Portabilidade dos dados a outro fornecedor de serviço;
• Eliminação dos dados tratados com base no consentimento;
• Informação sobre os terceiros com quem os dados foram compartilhados;
• Revisão de decisões automatizadas que afetem seus interesses;
• Revogação do consentimento.

Para exercer esses direitos, envie solicitação a dpo@grine.io. Respondemos em até 15 dias úteis conforme orientação da ANPD.

8. Cookies e tecnologias de rastreamento

O Grine utiliza os seguintes cookies:

• Cookies de sessão (essenciais): gerenciados pelo Supabase Auth para manter a autenticação do usuário. Necessários para o funcionamento da Plataforma — não podem ser desativados.
• Cookies de análise (opcionais): quando ativos, coletam dados anonimizados de navegação para melhoria do produto. Sempre sujeitos a opt-in explícito do usuário — a Plataforma não ativa analytics sem consentimento. Utilizamos o PostHog (PostHog Inc., região Cloud UE) para métricas de produto e o Sentry (Sentry Inc., EUA — transferência internacional) para monitoramento de erros e, mediante consentimento, gravação de sessão (Session Replay). Ambos permanecem desativados até o aceite explícito no banner de consentimento, e podem ser revogados a qualquer momento em Perfil › Privacidade.