Política de Privacidade

Versão 1.0 – vigente a partir da data de publicação.

1. Sobre esta Política

1.1. Esta Política de Privacidade ("Política") explica como a Hydra trata dados pessoais no site institucional hydraapp.com.br ("Site") e na plataforma SaaS de gestão de obras Hydra ("Plataforma"), conforme a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – "LGPD"), a Lei nº 12.965/2014 (Marco Civil da Internet) e, quando couber, a Lei nº 8.078/1990 (Código de Defesa do Consumidor).

1.2. Quem somos: Hydra App, CNPJ nº 48.844.406/0001-87, com sede em Serra/ES ("Hydra", "nós").

1.3. Esta Política complementa os Termos de Uso. Termos não definidos aqui têm o significado dado nos Termos de Uso. A Proposta Comercial aceita pelo Cliente prevalece apenas nos pontos comerciais. Nos demais assuntos, inclusive proteção de dados pessoais, prevalecem esta Política e os Termos de Uso (cláusula 17.4 dos Termos de Uso).

2. Papéis da Hydra: controladora e operadora

A LGPD distingue o controlador (quem decide sobre o tratamento) do operador (quem trata dados em nome do controlador). A Hydra atua nos dois papéis, conforme o tipo de dado:

• Contatos recebidos pelo Site (e-mail para [email protected]): a Hydra é controladora.
• Cadastro do Cliente e contas de Usuários (login, perfil, acesso): a Hydra é controladora.
• Contratação, cobrança e faturamento: a Hydra é controladora.
• Registros de acesso e segurança (Marco Civil): a Hydra é controladora.
• Suporte e atendimento: a Hydra é controladora.
• Dados inseridos pelo Cliente na Plataforma (funcionários, terceirizados, fornecedores, motoristas, fotos de obra, documentos etc.): a Hydra é operadora, e o Cliente é o controlador.

2.1. Quando a Hydra é operadora, o Cliente (a construtora, incorporadora, escritório de engenharia etc.) é o controlador. Cabe a ele definir as finalidades, ter base legal e informar os titulares. Se você for funcionário, fornecedor ou outra pessoa cujos dados foram cadastrados por um Cliente, dirija suas solicitações primeiro a esse Cliente. Se você nos procurar, encaminharemos o pedido ao Cliente responsável e o apoiaremos no atendimento, na forma do contrato e da lei.

2.2. As seções 3 a 6 tratam principalmente dos dados em que a Hydra é controladora. A seção 7 trata dos dados em que a Hydra é operadora.

3. Dados que coletamos como controladora

3.1. Site institucional (hydraapp.com.br)

• O Site não tem formulários de contato nem ferramentas de analytics ou publicidade. O único canal de contato é o e-mail [email protected].
• Quando você nos escreve, tratamos os dados que você decidir enviar: nome, endereço de e-mail, empresa, cargo, telefone e o conteúdo da mensagem.
• Dados técnicos de navegação: por ser hospedado em provedor de infraestrutura em nuvem, o acesso ao Site gera registros técnicos (como endereço IP, data e hora, navegador e páginas solicitadas), usados apenas para entrega do conteúdo, segurança e proteção contra ataques, pelo tempo necessário a essas finalidades.

3.2. Conta e uso da Plataforma

• Dados cadastrais do Cliente: razão social, CNPJ, endereço, nome e contatos dos responsáveis.
• Dados de Usuários: nome, e-mail, telefone (quando informado), cargo/função, credenciais de acesso (senha armazenada de forma protegida, com PBKDF2) e permissões.
• Registros de acesso e uso: endereço IP, data e hora de acesso, dispositivo/navegador, logs de ações relevantes para segurança e auditoria.
• Atendimento: conteúdo das mensagens trocadas com [email protected].

3.3. Contratação, cobrança e faturamento

• Dados de faturamento (razão social, CNPJ, endereço, e-mail de cobrança), histórico de pagamentos e notas fiscais.
• Dados de pagamento, conforme o meio de pagamento previsto na Proposta Comercial aceita pelo Cliente.
• Contatos: [email protected] (cobranças) e [email protected] (notas fiscais).

4. Finalidades e bases legais (art. 7º da LGPD)

• Responder contatos comerciais e enviar propostas (dados enviados por e-mail a [email protected]): procedimentos preliminares a contrato (art. 7º, V) e legítimo interesse (art. 7º, IX).
• Criar e gerir contas, autenticar Usuários e prestar o serviço (cadastro e dados de Usuários): execução de contrato (art. 7º, V).
• Suporte técnico (dados de contato e mensagens): execução de contrato (art. 7º, V).
• Cobrança, faturamento e emissão de notas fiscais (dados de faturamento e pagamento): execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II).
• Guarda de registros de acesso a aplicações (IP, data e hora): cumprimento de obrigação legal (art. 7º, II; art. 15 do Marco Civil).
• Segurança, prevenção a fraudes e proteção da Plataforma (registros técnicos e logs): legítimo interesse (art. 7º, IX) e proteção ao crédito, quando couber (art. 7º, X).
• Comunicações sobre o serviço (avisos de manutenção, incidentes, mudanças de Termos), por e-mail aos Usuários e ao Cliente: execução de contrato (art. 7º, V).
• Defesa em processos judiciais, administrativos ou arbitrais (dados pertinentes): exercício regular de direitos (art. 7º, VI).
• Comunicações de marketing: não enviamos marketing sem base legal. Se vierem a ser enviadas, terão como base o consentimento ou o legítimo interesse, conforme o caso, sempre com opção simples de descadastro.

4.1. Quando usarmos o legítimo interesse, observaremos o art. 10 da LGPD: só usaremos os dados estritamente necessários, respeitando as expectativas legítimas e os direitos dos titulares.

4.2. Não vendemos dados pessoais.

5. Compartilhamento de dados

5.1. Compartilhamos dados pessoais apenas quando necessário e com:

• Provedor de infraestrutura em nuvem: hospedagem, banco de dados, armazenamento de arquivos, rede de entrega de conteúdo (CDN), segurança, recebimento de e-mails e execução do Assistente de IA. Ele atua como suboperador/operador da Hydra.
• Provedor de envio de e-mails transacionais: envio de mensagens como as de suporte e de redefinição de senha.
• Serviços de consulta a dados públicos de CNPJ: consulta de dados cadastrais públicos de empresas, usada nas rotinas comerciais e de prospecção da Hydra.
• Serviço público de dados geográficos: fornece a malha do mapa do Brasil exibida nas rotinas comerciais da Hydra. Ela é carregada diretamente pelo navegador de quem a utiliza, de modo que esse serviço recebe os dados técnicos da conexão (como endereço IP) necessários para entregar o mapa.
• Autoridades públicas: quando exigido por lei, regulamento ou ordem judicial. Registros de acesso só são fornecidos mediante ordem judicial ou nas hipóteses legais (arts. 10 e 15 do Marco Civil).
• Operações societárias: em caso de reorganização, transferência do negócio ou alteração do enquadramento empresarial, observada esta Política.

5.2. Exigimos de nossos prestadores medidas de segurança e confidencialidade compatíveis com a LGPD.

5.3. A relação nominal dos suboperadores e das entidades com as quais compartilhamos dados pode ser solicitada ao Encarregado, pelo e-mail [email protected] (arts. 9º, V, e 18, VII, da LGPD).

6. Retenção e eliminação

6.1. Guardamos os dados apenas pelo tempo necessário às finalidades desta Política ou para cumprir obrigações legais, regulatórias ou o exercício regular de direitos (arts. 15 e 16 da LGPD). Em especial:

• E-mails de contato comercial que não resultaram em contratação: pelo tempo necessário ao atendimento da finalidade comercial e ao exercício regular de direitos.
• Dados de conta e de Usuários: durante o contrato e, depois dele, pelo tempo necessário para cumprir obrigações legais e regulatórias e para o exercício regular de direitos.
• Registros de acesso a aplicações: pelo tempo necessário às finalidades de segurança e para cumprir obrigações legais, observado o mínimo de 6 (seis) meses exigido pelo art. 15 do Marco Civil da Internet.
• Dados fiscais, de cobrança e faturamento: pelos prazos exigidos pela legislação fiscal, tributária e contábil aplicável.
• Mensagens de suporte: pelo tempo necessário ao atendimento e ao acompanhamento da relação contratual, e para cumprir obrigações legais ou exercer direitos.
• Prompts e respostas do Assistente de IA: não são guardados pela Plataforma (ver seção 8).
• Cópias de segurança (backups): por período limitado, conforme os ciclos de retenção da infraestrutura, após o qual são eliminadas.

6.2. Os Dados do Cliente (em que a Hydra é operadora) seguem as regras de exportação e eliminação da cláusula 13 dos Termos de Uso.

6.3. Ao fim do prazo, os dados serão eliminados ou anonimizados.

7. Dados inseridos pelos Clientes (Hydra como operadora)

7.1. Nos módulos da Plataforma (Página Inicial, Gestão em Contratos, Gestão de Ativos, Gestão de Pessoas, Gestão Comercial, Frotas, Almoxarifado, Gestão de Compras, Gestão Financeira, Fiscal, Auditoria, Implantação, Acessos e Primeiros Passos), no Assistente Online e no Suporte Hydra, os Clientes podem cadastrar dados pessoais de terceiros, como:

• funcionários, colaboradores e terceirizados (por exemplo, em Gestão de Pessoas e no Relatório Diário de Obra);
• representantes de fornecedores e prestadores (por exemplo, em Gestão de Compras, Almoxarifado e Gestão Financeira);
• motoristas e condutores (por exemplo, no módulo Frotas);
• imagens de pessoas que aparecem em fotos de obra;
• outros dados que o Cliente escolher registrar.

7.2. A Hydra trata esses dados somente em nome do Cliente, conforme as instruções dele e o contrato, para armazenar, processar e exibir as informações na Plataforma, bem como para mantê-la segura e prestar suporte. A Hydra não usa esses dados para finalidades próprias.

7.3. Dados sensíveis. O Cliente é responsável por ter base legal para o tratamento, informar os titulares e evitar dados pessoais sensíveis desnecessários. Se o Cliente inserir na Plataforma dados pessoais sensíveis (por exemplo, dados de saúde contidos em documentos anexados), ele o fará na condição de controlador, devendo ter base legal prevista no art. 11 da LGPD, limitar-se ao estritamente necessário e restringir o acesso a esses dados aos Usuários que precisem conhecê-los.

7.4. As solicitações de titulares relativas a esses dados devem ser dirigidas ao Cliente controlador. A Hydra prestará o apoio razoável para que ele as atenda.

8. Assistente de Inteligência Artificial

8.1. A Plataforma oferece um Assistente de IA, exibido no aplicativo como "Assistente Online", que processa as perguntas dos Usuários, o histórico da conversa em andamento e trechos de materiais de referência da Hydra (como POPs e fluxogramas) para gerar respostas, resumos e sugestões. O processamento é feito por modelos de IA executados pelo provedor de infraestrutura em nuvem contratado pela Hydra.

8.2. Limitações: os resultados podem conter erros, imprecisões ou informações incompletas. Eles devem ser revisados por uma pessoa antes de qualquer uso em decisões técnicas, financeiras, trabalhistas ou jurídicas.

8.3. Decisões automatizadas: a Plataforma não toma decisões finais exclusivamente automatizadas sobre titulares. Se houver decisão baseada unicamente em tratamento automatizado que afete interesses do titular, ele poderá pedir a revisão e informações sobre os critérios utilizados (art. 20 da LGPD).

8.4. Treinamento de modelos: conforme os termos do provedor que executa os modelos de IA, esse provedor não usa o conteúdo processado pelo Assistente (inclusive prompts, entradas e respostas) para treinar modelos de IA. A Hydra também não usa os dados dos Clientes para treinar modelos de IA.

8.5. Retenção de prompts e respostas: a Plataforma não guarda o texto das perguntas nem das respostas do Assistente.

8.6. Desativação: o Assistente de IA faz parte da Plataforma e não pode ser desativado por conta.

8.7. Recomendação: não insira no Assistente dados pessoais sensíveis nem informações desnecessárias à tarefa.

9. Transferência internacional de dados

9.1. A Hydra usa um provedor de infraestrutura em nuvem. O banco de dados e os arquivos da Plataforma ficam armazenados na região leste da América do Norte, fora do Brasil. Há, portanto, transferência internacional de dados pessoais. Além disso, esse provedor opera uma rede global de data centers, e o processamento, inclusive o do Assistente de IA, pode ocorrer em outros países.

9.2. Essas transferências são realizadas com base nos mecanismos previstos no art. 33 da LGPD, observada a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), em especial a Resolução CD/ANPD nº 19/2024.

9.3. Se o uso de outros serviços de terceiros mencionados na seção 5 envolver transferência internacional de dados pessoais, ela também observará o art. 33 da LGPD e a regulamentação da ANPD. A relação nominal dos suboperadores pode ser solicitada ao Encarregado (seção 14), nos termos dos arts. 9º, V, e 18, VII, da LGPD.

10. Cookies e tecnologias semelhantes

10.1. Usamos apenas os cookies e tecnologias estritamente necessários ao funcionamento e à segurança do Site e da Plataforma, como:

• cookies ou armazenamento local do navegador para sessão e autenticação, para manter o Usuário conectado na Plataforma;
• armazenamento local de preferências que o próprio Usuário escolhe na interface, como o tema claro ou escuro;
• cookies ou identificadores técnicos de segurança definidos pelo provedor de infraestrutura em nuvem (por exemplo, proteção contra robôs e ataques).

10.2. Não usamos cookies de analytics, publicidade ou rastreamento de terceiros. Por serem necessários, esses cookies e tecnologias não dependem de consentimento e se baseiam na execução do contrato e no legítimo interesse. Você pode bloqueá-los no navegador, mas partes do Site ou da Plataforma podem deixar de funcionar.

10.3. Se no futuro adotarmos cookies não essenciais (analytics, marketing), esta Política será atualizada antes e, quando exigido, pediremos seu consentimento, com opção de recusa.

11. Segurança da informação

11.1. Adotamos medidas técnicas e administrativas razoáveis para proteger os dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46 da LGPD), como: criptografia em trânsito (HTTPS/TLS), criptografia em repouso com AES-256 do banco de dados e dos arquivos armazenados no provedor de infraestrutura em nuvem, senhas protegidas com PBKDF2, controle de acesso por perfil, autenticação de Usuários e registros de acesso.

11.2. Nenhum sistema é totalmente imune a riscos. O Cliente e os Usuários também devem proteger suas credenciais e seus dispositivos.

12. Incidentes de segurança

12.1. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, a Hydra, como controladora, comunicará a ANPD e os titulares afetados nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024 (que prevê, em regra, comunicação em até 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais), informando, entre outros pontos, a natureza dos dados afetados, os riscos e as medidas adotadas.

12.2. Como operadora, a Hydra comunicará o Cliente controlador sem demora injustificada após tomar conhecimento do incidente, com as informações disponíveis para que ele cumpra suas próprias obrigações perante a ANPD e os titulares.

12.3. A Hydra mantém registro dos incidentes de segurança, conforme a regulamentação da ANPD.

12.4. Para relatar uma suspeita de incidente ou vulnerabilidade: [email protected] e [email protected].

13. Direitos do titular (art. 18 da LGPD)

13.1. Você pode pedir à Hydra, sobre os dados em que ela é controladora:

1. confirmação da existência de tratamento;
2. acesso aos dados;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. portabilidade dos dados a outro fornecedor de serviço ou produto, observada a regulamentação da ANPD e os segredos comercial e industrial;
6. eliminação dos dados tratados com base no consentimento, salvo as hipóteses de conservação do art. 16;
7. informação sobre as entidades públicas e privadas com as quais compartilhamos dados;
8. informação sobre a possibilidade de não dar consentimento e suas consequências;
9. revogação do consentimento, quando ele for a base legal;
10. oposição a tratamento feito com base em outra hipótese legal, em caso de descumprimento da LGPD;
11. revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

13.2. Como exercer: envie sua solicitação ao Encarregado pelo e-mail [email protected]. Poderemos pedir informações para confirmar sua identidade e evitar fraudes.

13.3. Prazos: a confirmação de existência ou o acesso em formato simplificado serão fornecidos imediatamente; a declaração completa, em até 15 (quinze) dias da solicitação (art. 19 da LGPD). Os demais pedidos serão respondidos em prazo razoável, observados os prazos previstos na LGPD e na regulamentação da ANPD.

13.4. Dados inseridos por Clientes: se a Hydra for operadora (seção 7), encaminharemos seu pedido ao Cliente controlador.

13.5. Você também pode peticionar à ANPD (art. 18, § 1º, da LGPD) e, se aplicável, a órgãos de defesa do consumidor.

14. Encarregado pelo tratamento de dados pessoais (DPO)

• Nome: Viniccius Rocha Duarte
• E-mail: [email protected]

15. Crianças e adolescentes

15.1. O Site e a Plataforma são destinados a uso profissional e empresarial e não se dirigem a crianças e adolescentes. Se o Cliente precisar registrar dados de adolescentes (por exemplo, jovens aprendizes), deverá observar o art. 14 da LGPD e o melhor interesse do titular.

16. Alterações desta Política

16.1. Esta Política pode ser atualizada. Alterações relevantes serão comunicadas pelo Site, pela Plataforma e/ou por e-mail aos Usuários e Clientes, com aviso prévio razoável quando possível. A versão vigente fica indicada no topo.

17. Contato

• Privacidade e direitos do titular (Encarregado): [email protected]
• Comercial: [email protected]
• Suporte e incidentes: [email protected]
• Cobranças: [email protected]
• Notas fiscais: [email protected]

Localização: Serra/ES.

18. Lei aplicável e foro

18.1. Esta Política é regida pelas leis brasileiras. Fica eleito o foro da Comarca de Serra/ES, salvo quando a lei garantir ao titular foro diverso.

Hydra App – CNPJ 48.844.406/0001-87 – Serra/ES

Veja também: Termos de Uso.