Aviso de Privacidade do serviço pago
Versão v7 · 15/11/2026 · em vigor
A versão v8 foi publicada. Ler a versão v8.
1. Quem trata seus dados
A controladora dos dados pessoais tratados no serviço pago é DEJO ATIVOS DIGITAIS E SERVICOS FINANCEIROS LTDA., nome fantasia DEJO Digital Assets, inscrita no CNPJ sob o nº 60.350.288/0001-56, com sede na Av. Padre Cacique, 2703, Sala 2305, Edifício Pontal Office, bairro Cristal, Porto Alegre/RS, CEP 90810-240.
Para qualquer assunto de privacidade, inclusive o exercício dos seus direitos, escreva para privacidade@dejodigital.com.br.
Encarregado pelo tratamento de dados pessoais: Joel dos Santos Lopes. Contato: privacidade@dejodigital.com.br.
2. A quem este aviso se aplica
Este aviso vale para a área do cliente (app.dejodigital.com.br/cliente) e para o serviço pago de cálculo de reajuste de contratos. O serviço inclui:
- o cadastro de contratos pela empresa cliente;
- o cálculo do reajuste por índice, com memória de cálculo e PDF;
- os avisos de aniversário de contrato (Radar);
- a assinatura e a cobrança dos planos.
O serviço é destinado a clientes empresariais. Os dados pessoais tratados pertencem às pessoas que representam ou utilizam o serviço em nome do cliente, como sócios, administradores, empregados e demais usuários autorizados.
O boletim gratuito GovWatch tem aviso próprio, em app.dejodigital.com.br/govwatch/privacidade.
3. Quais dados tratamos
Tratamos apenas os dados necessários para dar acesso, prestar o serviço e cobrar por ele.
| Categoria | O que inclui | De onde vem |
|---|---|---|
| Conta de acesso | E-mail, senha (protegida por função criptográfica de derivação de chave, com salt individual, sem armazenamento em texto claro), empresa, papel na empresa e data do convite | Do convite feito pela DEJO ou pela empresa, ou do cadastro feito por você na página de cadastro; e de você ao definir a senha |
| Registros de acesso e segurança | Registro de acesso à aplicação: data e hora, endereço IP de origem, porta lógica quando necessária para a identificação inequívoca do acesso, funcionalidade utilizada, método e resultado técnico da requisição. Trilha de segurança, separada: tentativas de autenticação e pedidos de troca de senha, com o usuário e o resultado | Gerados pelo uso |
| Contratos cadastrados | Número do contrato, nome e CNPJ do contratante, objeto, valor-base, data-base, índice e regras de reajuste | Informados pela empresa cliente |
| Cálculos e PDFs | Memória de cada cálculo, quem pediu, data e o PDF gerado | Gerados pelo serviço a partir dos dados acima |
| Histórico de ações | Quem cadastrou, corrigiu, arquivou, calculou ou baixou, e quando | Gerado pelo uso |
| Cobrança | Razão social, CNPJ, e-mail de cobrança e celular; plano, situação da assinatura e identificadores do Asaas | Informados por você no checkout e recebidos do Asaas |
| Comunicações | E-mail de destino e registro de entrega dos e-mails de acesso, dos avisos do Radar, das confirmações de pedidos de privacidade e dos avisos de mudança deste aviso | Gerados pelo serviço |
| Pedidos de privacidade | Tipo do pedido, datas, situação, resultado e a descrição que você escrever no formulário | De você, pelo formulário da área do cliente ou pelo e-mail de privacidade |
| Pedido de cadastro | E-mail, nome da empresa e CNPJ informados no formulário de cadastro, a versão deste aviso, a origem do pedido (página de cadastro ou link do GovWatch) e as datas do pedido e da confirmação | Informados por você no cadastro |
| Tentativas de cadastro | Código derivado do endereço IP e horário de cada envio do formulário de cadastro | Gerados pelo servidor a cada envio |
| Preferência de idioma | Idioma escolhido para as telas e os e-mails (português ou inglês) | Informada por você: o idioma da página em que você se cadastrou e, depois, o que você escolher no seletor de idioma |
| Planilhas da repactuação | Arquivo enviado (.xlsx, .xlsm ou .xls), com nome, tamanho, formato e SHA-256; resultado da verificação contra vírus; e os valores lidos de cada célula | Enviados pela empresa cliente; a verificação e a leitura são geradas pelo serviço |
Dados de terceiros nos contratos. O contratante costuma ser órgão público ou empresa. O campo "objeto" não deve conter CPF, nome de fiscal, dados de contato ou outras informações de pessoas naturais. A empresa cliente é responsável pela origem e pela licitude dos dados cadastrados, e a DEJO poderá orientar, restringir ou remover conteúdo incompatível com a finalidade do serviço.
Dados de cobrança. Razão social, CNPJ, e-mail de cobrança e celular não ficam no nosso banco de dados. Eles ficam cifrados só até o envio ao Asaas e são apagados em seguida. O celular é pedido porque o Asaas só devolve um pagamento por boleto com ele no cadastro; as notificações do Asaas por SMS, WhatsApp e ligação ficam desligadas. Não recebemos nem guardamos dados de cartão. No cadastro pela página de cadastro, o e-mail, o nome da empresa e o CNPJ ficam cifrados até você confirmar o e-mail pelo link que enviamos; nada é criado antes disso. Confirmado o e-mail, criamos a conta, a empresa (com você como responsável), o acompanhamento do CNPJ no Radar e o teste grátis, e apagamos os dados do pedido. Se você chegou pelo convite do resumo do GovWatch, o e-mail do boletim vem preenchido no formulário, e nada é enviado sem você conferir e enviar o formulário. Para prevenir abuso do formulário de cadastro, tratamos temporariamente um código derivado do endereço IP e o horário da tentativa. Nesse controle, não armazenamos o endereço IP em claro.
Dados de pessoas nas planilhas. As planilhas de custos tratam de postos, categorias, salários e encargos, e não devem conter nome, CPF ou outros dados de empregados ou de outras pessoas naturais. Se contiverem, esses dados são lidos só para o cálculo e seguem os mesmos prazos da planilha. A empresa cliente é responsável pela origem e pela licitude do que envia.
4. Para que usamos e com qual base legal
Cada uso tem uma base legal da LGPD (Lei nº 13.709/2018, art. 7º). Não usamos os dados do serviço pago para publicidade, não os vendemos e não os usamos para treinar modelos de inteligência artificial.
| Finalidade | Dados usados | Base legal |
|---|---|---|
| Criar e manter o acesso, identificar o vínculo do usuário com a empresa cliente, convidar usuários e recuperar senha | Conta de acesso, comunicações | Legítimo interesse da DEJO e da empresa cliente em disponibilizar e administrar o acesso ao serviço aos seus representantes e usuários autorizados (art. 7º, IX). Quando o próprio titular for parte do contrato, aplica-se também a execução do contrato (art. 7º, V) |
| Cadastrar contratos, calcular o reajuste e gerar o PDF | Contratos, cálculos e PDFs | Execução do contrato (art. 7º, V) |
| Avisar o aniversário do contrato (Radar) por e-mail e no painel | Contratos, conta de acesso, comunicações | Execução do contrato (art. 7º, V) |
| Cobrar a assinatura e controlar o plano | Cobrança | Execução do contrato (art. 7º, V) |
| Emitir documentos fiscais e guardar os registros exigidos por lei | Cobrança | Cumprimento de obrigação legal (art. 7º, II) |
| Proteger as contas, investigar incidentes e registrar quem fez o quê | Registros de acesso, histórico de ações | Legítimo interesse em proteger o serviço e os clientes, prevenir fraude, atribuir a autoria das operações e resolver contestações (art. 7º, IX) |
| Responder a contestações sobre um cálculo ou uma cobrança | Cálculos, histórico de ações, cobrança | Exercício regular de direitos (art. 7º, VI) |
| Atender aos pedidos dos titulares e comprovar o atendimento | Pedidos de privacidade, conta de acesso, comunicações | Cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI) |
| Receber o pedido de cadastro, confirmar o e-mail e criar a conta, a empresa e o teste grátis | Pedido de cadastro, conta de acesso, comunicações | Legítimo interesse da DEJO e da empresa cliente em disponibilizar o acesso ao serviço aos seus representantes e usuários autorizados (art. 7º, IX). Quando o próprio titular for parte do contrato, aplica-se também a execução do contrato e de procedimentos preliminares a pedido do titular (art. 7º, V) |
| Limitar as tentativas do formulário de cadastro, para prevenir abuso | Código derivado do endereço IP e horário da tentativa | Legítimo interesse da DEJO em proteger o serviço (art. 7º, IX), com uso restrito à segurança |
| Mostrar a área do cliente e enviar os e-mails no idioma escolhido | Preferência de idioma | Legítimo interesse da DEJO em atender você no idioma que escolheu (art. 7º, IX) |
| Receber as planilhas da repactuação, verificar se trazem vírus, ler os valores e calcular os valores devidos e o saldo | Planilhas da repactuação, contratos, cálculos | Execução do contrato (art. 7º, V) |
A empresa cliente define quem pode acessar sua conta e deve convidar somente pessoas autorizadas. A DEJO trata os dados desses usuários para disponibilizar o serviço contratado, controlar permissões, manter a segurança das contas e registrar as operações realizadas.
O aviso do Radar pelo Telegram ainda não está disponível. Quando estiver, será opcional, terá aviso próprio e só começará depois da sua escolha.
5. Com quem compartilhamos
Usamos três fornecedores. Hostinger e IAGENTE tratam os dados só para prestar o serviço à DEJO; o papel do Asaas está descrito abaixo da tabela.
| Fornecedor | O que faz | O que recebe |
|---|---|---|
| Hostinger | Hospedagem do servidor, do banco de dados e dos PDFs, no Brasil; e as caixas de e-mail da DEJO (como privacidade@dejodigital.com.br), na França ou na Alemanha | Todos os dados do serviço, guardados no servidor; as mensagens que você enviar à DEJO por e-mail; e os alertas internos da operação, que citam o nome, a razão social e o CNPJ da empresa quando ela assina um plano |
| IAGENTE (IAGENTE TECNOLOGIA LTDA., Porto Alegre/RS) | Envio dos e-mails do serviço (acesso, avisos do Radar, pedidos de privacidade e mudanças deste aviso), com servidores no Brasil; guarda o registro de cada envio por até 30 dias | E-mail de destino e conteúdo da mensagem |
| Asaas Gestão Financeira Instituição de Pagamento S.A., CNPJ 19.540.550/0001-21, com sede em Joinville/SC | Cobrança da assinatura por Pix, boleto ou cartão | Razão social, CNPJ, e-mail de cobrança, celular, plano e valor |
Utilizamos o Asaas para processar cobranças por Pix, boleto e cartão, administrar a situação da assinatura, receber eventos de pagamento e fazer estornos. A DEJO envia razão social, CNPJ, e-mail de cobrança, celular, plano e valor. O celular serve ao estorno de boleto; a DEJO desliga as notificações do Asaas por SMS, WhatsApp e ligação. Não recebemos nem armazenamos os dados completos de cartão.
Nas operações realizadas segundo instruções da DEJO, o Asaas atua como operador. Nas operações em que define finalidades e meios de tratamento para cumprir obrigações legais e regulatórias, prevenir fraude, proteger a segurança do sistema financeiro, prevenir a lavagem de dinheiro e operar seus serviços financeiros, atua como controlador independente. Para esses tratamentos, consulte a política de privacidade do Asaas.
A equipe da DEJO também recebe alertas internos da operação pelo Telegram, serviço de outra empresa, com tratamento fora do Brasil. Esses alertas não levam nome, razão social, CNPJ, e-mail nem outro dado que identifique a empresa cliente ou uma pessoa: quem é o cliente fica nos sistemas da DEJO e nas caixas de e-mail da operação.
Também podemos fornecer dados a autoridades quando a lei ou uma ordem judicial exigir.
6. Onde os dados ficam
A infraestrutura principal utilizada diretamente pela DEJO e pela IAGENTE está localizada no Brasil. O processamento de pagamentos é realizado pelo Asaas, que utiliza fornecedores e suboperadores próprios. O Asaas informou que pode transferir dados para fora do Brasil, inclusive para provedores de nuvem, em conformidade com a LGPD e com cláusulas contratuais específicas quando aplicável. A lista de suboperadores, os países e o mecanismo usado em cada transferência foram solicitados ao Asaas e serão informados neste aviso quando recebidos.
As mensagens que você enviar à DEJO por e-mail, inclusive pedidos de privacidade, e os alertas internos da operação ficam nas caixas de e-mail da Hostinger, guardadas em data centers na França ou na Alemanha, com a localização atribuída automaticamente e sujeita a mudança entre esses dois países. A Hostinger não confirmou em que país ficam as cópias de segurança dessas caixas. Consultada pela DEJO em novembro de 2026, a Hostinger também não confirmou qual mecanismo, entre os previstos no art. 33 da LGPD, se aplica aos dados enviados a partir do Brasil, e não oferece as cláusulas-padrão da ANPD (Resolução CD/ANPD nº 19/2024): o contrato público dela prevê apenas as cláusulas-padrão da Comissão Europeia, pensadas para dados que saem da Europa. A DEJO pediu a confirmação formal e informará neste aviso o resultado.
7. Por quanto tempo guardamos
Se o plano vencer ou for cancelado, nada é apagado: a empresa continua vendo seus contratos e cálculos. Cada prazo conta do evento indicado na tabela, e não genericamente do encerramento da conta.
| Dados | Prazo |
|---|---|
| Conta de um usuário removido pela empresa | 30 dias após a remoção. Depois disso, os dados identificadores da conta são eliminados ou anonimizados; o histórico de ações conserva um identificador interno quando necessário à auditoria e à defesa de direitos |
| Contratos cadastrados | Enquanto a conta da empresa estiver ativa e por 5 anos após a exclusão do contrato ou o encerramento da conta, prevalecendo o evento mais recente, salvo pedido de eliminação juridicamente aplicável ou necessidade de guarda por prazo maior |
| Cálculos e PDFs | 5 anos a partir da geração de cada cálculo, ou enquanto estiver vinculado a contrato ativo, prevalecendo o período mais longo. Havendo contestação, até o encerramento definitivo dela |
| Histórico de ações | Mantido com a identificação do usuário por 5 anos contados de cada ação. Depois desse período, são removidos o e-mail, o endereço IP e os demais identificadores diretos; o evento minimizado poderá ser mantido por mais 4 anos, vinculado à empresa cliente, para preservação da integridade da trilha de auditoria e defesa de direitos. Ao completar 9 anos, o registro será eliminado, salvo se sua conservação for necessária em processo administrativo, judicial ou arbitral em curso |
| Registros fiscais e de cobrança | 5 anos após o término do exercício a que o documento se refere, ou o prazo maior exigido pela legislação tributária aplicável |
| Registros de acesso à aplicação | 6 meses (Marco Civil da Internet, Lei nº 12.965/2014, art. 15) |
| Registros de entrega de e-mails | 3 meses nos registros da DEJO; até 30 dias na IAGENTE |
| Checkout pendente | 24 horas após a criação, se o pedido não for processado. Após o envio ao Asaas, a DEJO elimina a cópia temporária da razão social, do CNPJ, do e-mail de cobrança e do celular mantida para o checkout |
| Cópias de segurança | Até 4 semanas, em ciclo de sobrescrita. Um dado eliminado do ambiente ativo pode permanecer em cópia até o fim desse ciclo, sem uso para finalidade ordinária |
| Pedidos de privacidade | Mantidos com a identificação do titular e a descrição por 5 anos contados do encerramento de cada pedido. Depois desse período, são removidos a descrição e os identificadores diretos; o registro minimizado poderá ser mantido por mais 4 anos, para comprovar o atendimento e para a defesa de direitos. Ao completar 9 anos, o registro será eliminado, salvo se sua conservação for necessária em processo administrativo, judicial ou arbitral em curso |
| Registro do serviço de login | Entradas, saídas, trocas de senha e convites, com e-mail e endereço IP: 6 meses |
| Pedido de cadastro | 48 horas após o pedido, se o e-mail não for confirmado. Confirmado, o pedido perde e-mail, nome da empresa e CNPJ, e fica só o registro do evento (datas, versão do aviso e origem), pelo mesmo prazo do histórico de ações |
| Registro técnico de tentativas de cadastro | 24 horas |
| Preferência de idioma | Enquanto a conta existir; o cookie de preferência, até 1 ano depois da escolha |
| Planilhas da repactuação | O arquivo original é apagado 90 dias depois do envio ou da última memória de cálculo feita com ele, o que ocorrer por último; o arquivo em que o antivírus encontrar ameaça é apagado na hora. O SHA-256, o nome, o tamanho, o resultado da verificação e os valores lidos seguem o prazo de "Cálculos e PDFs" |
Encerrado o prazo, os dados são eliminados ou anonimizados. Processo administrativo ou judicial, ou contestação em curso, suspende a eliminação apenas dos dados relacionados, até o fim dele.
A empresa pode solicitar a exclusão de contratos e dados cadastrados, observados os prazos legais e a necessidade de conservação para cumprimento de obrigações ou exercício regular de direitos.
8. Como protegemos os dados
- Cada empresa só vê os próprios dados. A separação é feita no próprio banco de dados e testada a cada mudança.
- Só dono, administrador e editor da empresa cadastram contratos e calculam. Cada ação fica registrada.
- As senhas são protegidas por função criptográfica de derivação de chave, com salt individual, sem armazenamento em texto claro. A conexão é sempre cifrada (HTTPS).
- Os PDFs ficam em área privada, sem endereço público. O download passa pela área do cliente, que confere a empresa e a integridade do arquivo.
- Os dados de checkout ficam cifrados até o envio ao Asaas.
- O acesso administrativo ao servidor exige chave criptográfica, e as cópias de segurança são restauradas em teste.
- As planilhas enviadas ficam primeiro numa área de quarentena, sem endereço público, e passam por antivírus no próprio servidor da DEJO: o arquivo não é enviado a terceiros para a verificação. A leitura é feita num processo separado e não executa nenhuma fórmula, macro ou link do arquivo.
Se ocorrer incidente de segurança capaz de acarretar risco ou dano relevante aos titulares, adotaremos as medidas de contenção e avaliação aplicáveis e realizaremos as comunicações exigidas pela LGPD e pela regulamentação da ANPD.
9. Seus direitos
Você pode exercer os direitos previstos na LGPD (art. 18) pelo formulário "Privacidade" da área do cliente (app.dejodigital.com.br/cliente/privacidade) ou pelo e-mail privacidade@dejodigital.com.br:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- portabilidade;
- informação sobre com quem compartilhamos;
- oposição a tratamento baseado em legítimo interesse.
Para proteger seus dados, confirmamos que o pedido vem do titular. No formulário, a sua sessão na área do cliente faz essa confirmação, e o pedido vale para a conta conectada. Pelo e-mail, enviamos um link ao e-mail cadastrado. Nos dois casos, confirmaremos o recebimento do pedido no e-mail cadastrado e responderemos nos prazos previstos na LGPD e na regulamentação da ANPD. Quando a resposta completa não puder ser fornecida imediatamente, informaremos as razões e as providências adotadas.
No formulário, a descrição é opcional. Escreva nela só o necessário para entendermos o pedido, por exemplo qual dado corrigir. Ela fica guardada com o pedido, nos prazos da seção 7.
Alguns dados podem ser mantidos mesmo após um pedido de eliminação, quando a lei exigir ou para a defesa de direitos, nos prazos da seção 7.
Cálculos. Cada cálculo é um registro que não se altera, porque prova o que foi calculado e quando. A correção de dados pessoais ou contratuais não altera retroativamente cálculos já emitidos. Quando houver erro, o cadastro será corrigido e um novo cálculo poderá ser gerado, mantendo-se o anterior como evidência histórica, relacionado à correção.
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
10. Cookies e registros do servidor
A área do cliente usa os cookies de sessão necessários para manter você conectado, que acabam quando você sai ou quando a sessão expira, e, se você escolher o idioma no seletor, um cookie de preferência de idioma, que não identifica você e dura até 1 ano. Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros.
Os e-mails da plataforma mostram o símbolo da marca, carregado de getsupplierpassport.com por um endereço igual para todos os destinatários. O endereço não identifica você, e a DEJO não usa o carregamento da imagem para saber se ou quando o e-mail foi aberto. Se o seu programa de e-mail bloquear imagens, a mensagem continua completa.
O servidor de entrada mantém registros técnicos temporários, com o endereço IP mascarado e sem cabeçalhos do navegador, para diagnosticar falhas; eles são substituídos automaticamente.
Além desses registros técnicos temporários, mantemos os registros de acesso à aplicação exigidos pelo Marco Civil da Internet pelo prazo de seis meses. Esses registros incluem a data e a hora, o endereço IP de origem, a porta lógica quando necessária, a funcionalidade utilizada e o resultado técnico da requisição. São mantidos sob sigilo, em ambiente controlado e seguro, separados da trilha de segurança e auditoria, e somente são disponibilizados nas hipóteses previstas em lei. Eles não incluem o conteúdo digitado nos formulários, a senha ou o conteúdo das comunicações.
11. Alterações deste aviso
Versão v7, de 2026-11-15. Uma mudança relevante gera nova versão, avisada por e-mail aos usuários da área do cliente, em regra 7 dias antes de valer. A v7 passou a valer na publicação, sem esse prazo, porque descreve práticas que já existiam: os alertas internos da operação e o símbolo da marca nos e-mails. A área do cliente registra a versão vigente quando cada usuário define a senha e quando a empresa assina um plano.