Política de Privacidade | Área do Cliente

1. Identificação do controlador e contato

Esta Política de Privacidade é mantida por CONVEX GESTAO LTDA, inscrita no CNPJ 62.410.015/0001-85 ("Convex Power", "nós"), em relação à Área do Cliente e aos serviços digitais associados.

A CONVEX GESTAO LTDA atua como controladora dos dados pessoais relacionados à criação e gestão de conta, autenticação, segurança, auditoria de uso e relacionamento com titulares. Em relação a dados operacionais e documentos fornecidos por um cliente, a CONVEX GESTAO LTDA pode atuar como operadora e o cliente pode ser o controlador, conforme o contrato aplicável e a natureza do dado.

Encarregado pelo Tratamento de Dados Pessoais e canal para assuntos de privacidade: contato@convexpower.com.

2. Escopo desta Política

Esta Política descreve como tratamos dados pessoais no acesso e uso da Área do Cliente, incluindo autenticação, gestão de permissões, dashboards, relatórios, repositório de documentos e funcionalidades de operação. Ela não se aplica a sites, aplicativos ou serviços de terceiros acessados por links externos, que possuem seus próprios termos e políticas.

Para os fins desta Política, aplicam-se as definições da Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018), especialmente as de dado pessoal, titular, tratamento, controlador, operador e encarregado.

3. Dados pessoais tratados

Podemos tratar as seguintes categorias de dados, sempre de forma limitada às finalidades descritas nesta Política:

Identificação e conta: nome de exibição, e-mail corporativo, identificador único de usuário, papel atribuído no provedor de autenticação e vínculos com cliente, agente e unidade consumidora.
Autenticação e segurança: tokens de acesso e sessão, claims de autenticação (como expiração e nível de garantia), fator de autenticação em dois fatores (segredo, QR Code e URI durante o cadastro), tokens temporários de convite e recuperação de senha, cookie de sessão e token de proteção contra requisições falsas (CSRF), além de registros de tentativas e bloqueios de segurança.
Registros de uso: eventos de login e logout, área acessada (por exemplo, início, analytics, repositório e operação) e data/hora. O log próprio da aplicação não registra endereço IP, user-agent, nome de arquivo, relatório específico, unidade consumidora consultada ou conteúdo exportado.
Dados de rede: endereço IP e metadados de conexão processados para limitação de tentativas de acesso, prevenção a abuso e segurança, inclusive por componentes de infraestrutura e fornecedores externos.
Dados operacionais: consumo de energia em intervalos de 15 minutos, origem da medição (CCEE ou telemetria especializada), datas e horários, demanda registrada e contratada, modalidade tarifária, identificador de cliente e de unidade consumidora.
Documentos e metadados: nomes, caminhos, tamanhos, datas de modificação e conteúdo de arquivos armazenados no repositório. A aba "Documentos de Mercado" é acessível a qualquer usuário autenticado e deve conter apenas materiais compatíveis com essa abrangência.
Relatórios do Power BI: o e-mail corporativo é utilizado como identidade de filtragem de segurança (RLS) na geração do token de incorporação. O conteúdo do relatório é fornecido e controlado no ambiente Microsoft Power BI.
Recursos no navegador: cookie de sessão, armazenamento local e de sessão do navegador, além de metadados de rede enviados a recursos externos carregados pela interface.

4. Como os dados são obtidos

Os dados podem ser fornecidos diretamente pelo usuário, pelo cliente ou por seu administrador; gerados pelo uso da Plataforma; obtidos de bases e sistemas integrados de gestão, medição e documentos; ou recebidos de fornecedores de autenticação, hospedagem, armazenamento e visualização.

A aplicação não realiza a coleta primária de medições de energia nem o upload de documentos. Os dados operacionais e os arquivos são previamente disponibilizados por sistemas e equipes responsáveis e apenas consultados, organizados e apresentados na Área do Cliente.

5. Finalidades e bases legais do tratamento

O tratamento é realizado para finalidades específicas e com base legal adequada, conforme a LGPD:

Autenticação, criação e gestão de conta: execução de contrato ou de procedimentos preliminares, segurança da conta e legítimo interesse na prevenção a fraudes.
Autorização de acesso e exibição de dados, documentos e relatórios: execução de contrato e cumprimento das obrigações assumidas com o cliente.
Segurança da informação, limitação de tentativas, auditoria de uso e prevenção a abuso: legítimo interesse do controlador e, quando aplicável, cumprimento de obrigação legal ou regulatória.
Comunicações transacionais: convites, confirmação de e-mail, recuperação de senha, avisos de segurança e alterações relevantes, com base na execução de contrato e no legítimo interesse.
Cumprimento de obrigações legais, regulatórias ou de ordem judicial: cumprimento de obrigação legal ou regulatória e exercício regular de direitos.
Consentimento: quando exigido para finalidade específica, será coletado de forma destacada e poderá ser revogado a qualquer momento.

Não utilizamos os dados pessoais da Área do Cliente para publicidade comportamental ou venda de dados. Eventual melhoria da segurança e da experiência de uso é feita com dados agregados ou de uso, de forma compatível com as finalidades informadas.

6. Compartilhamento de dados e operadores

Os dados podem ser compartilhados, na medida necessária, com fornecedores que atuam como operadores ou suboperadores, obrigados a proteger as informações e a tratá-las apenas conforme nossas instruções e a legislação aplicável. Entre eles:

Supabase: autenticação, gestão de identidade, recuperação de senha, MFA e banco de dados PostgreSQL.
Amazon Web Services (AWS): hospedagem da aplicação e armazenamento de documentos.
Microsoft: autenticação de serviço no Microsoft Entra ID e visualização de relatórios no Power BI, incluindo o e-mail como identidade de RLS.
Provedores de e-mail e infraestrutura: envio de mensagens transacionais, hospedagem, proxy, segurança e observabilidade.

Também poderemos compartilhar dados para cumprir obrigação legal, regulatória ou ordem de autoridade competente, ou para exercer regularmente direitos em processos administrativos, arbitrais ou judiciais. Não vendemos dados pessoais.

7. Recursos de terceiros no navegador e links externos

A interface pode carregar recursos de terceiros, como Google Fonts, Tailwind CDN e jQuery CDN, além do iframe do Microsoft Power BI. Esses recursos podem receber metadados de conexão do navegador, como endereço IP, user-agent e origem da página, e podem utilizar cookies ou armazenamento próprio, sujeitos às políticas dos respectivos fornecedores.

A Área do Cliente pode conter links para serviços externos, como a plataforma SolarHub/Engecomp. O acesso a esses serviços é regido por seus próprios termos e políticas, e não há transferência automática da sessão da Área do Cliente para esses ambientes.

8. Cookies e armazenamento local

Utilizamos cookie de sessão estritamente necessário para manter o usuário autenticado e proteger as requisições. Esse cookie é configurado, por padrão, como HttpOnly, Secure e SameSite=Lax, contém o token de sessão e dados básicos de identificação e é eliminado ou invalidado no logout, na expiração da sessão ou na revogação do acesso.

Durante o fluxo de autenticação, o SDK do Supabase pode manter temporariamente a sessão no armazenamento local do navegador; após a criação da sessão no servidor, a aplicação realiza a limpeza dessas chaves. O cadastro de MFA pode manter temporariamente, no armazenamento de sessão do navegador, o identificador do fator, o QR Code e o segredo TOTP, com expiração de aproximadamente 10 minutos. Tokens temporários de convite e recuperação também podem ser mantidos no armazenamento de sessão durante o fluxo correspondente.

Não identificamos cookies próprios de publicidade ou de analytics de marketing. Recursos de terceiros podem utilizar cookies ou tecnologias equivalentes. Caso venham a ser implementados cookies não necessários, o consentimento será solicitado de forma adequada.

9. Registros de acesso e auditoria

Mantemos um log de acessos com identificador do usuário, e-mail, evento (login, logout ou atividade), área acessada e data/hora. A atividade é registrada de forma amortecida por usuário e por área, e o log não contém endereço IP, user-agent, nome de documento, relatório específico, unidade consumidora ou consulta realizada.

Esses registros são utilizados para segurança, auditoria de uso, solução de problemas e cumprimento de obrigações legais. O log próprio da aplicação não constitui auditoria forense completa e não substitui os registros de segurança do provedor de autenticação e da infraestrutura.

10. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Entre as medidas aplicáveis estão: uso de TLS e HSTS; cookies HttpOnly, Secure e SameSite; validação de tokens de sessão; autenticação em dois fatores quando exigida; limitação de tentativas de acesso; proteção contra CSRF; autorização server-side por cliente, agente e unidade consumidora; filtragem de segurança no Power BI; controle de escopo no repositório de documentos; e tratamento sanitizado de erros.

Nenhum ambiente digital é completamente livre de riscos. O usuário também é responsável por proteger suas credenciais, seu e-mail corporativo, seu aplicativo autenticador e os arquivos que baixar.

11. Retenção e eliminação

Os dados pessoais são mantidos apenas pelo tempo necessário ao cumprimento das finalidades desta Política, observados prazos legais, regulatórios, contratuais e de defesa de direitos. De forma geral:

Dados de conta e autenticação são mantidos enquanto a conta estiver ativa e, após o encerramento, pelo prazo necessário ao cumprimento de obrigações legais e contratuais.
O cookie de sessão permanece até o logout, a expiração ou a revogação do acesso.
O estado temporário de cadastro de MFA no navegador expira em aproximadamente 10 minutos.
Os registros de acesso da aplicação são mantidos por até 180 (cento e oitenta) dias, ressalvadas hipóteses de retenção legal, regulatória, de segurança ou de exercício regular de direitos.
Tokens revogados ou de uso único são mantidos até o término de sua validade para fins de segurança.
Documentos e dados operacionais do cliente seguem o contrato aplicável e as obrigações legais de guarda; após o encerramento, serão eliminados ou devolvidos conforme contratado, ressalvadas as hipóteses de retenção obrigatória.
Cópias baixadas ou exportadas pelo usuário para seu dispositivo ficam sob responsabilidade do usuário e não são controladas pela Plataforma.

12. Direitos do titular

Nos termos da LGPD, o titular pode solicitar, a qualquer momento e sem custo:

confirmação da existência de tratamento;
acesso aos dados pessoais;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
portabilidade, observados os segredos comercial e industrial e a regulamentação aplicável;
eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação;
informação sobre entidades com as quais houve compartilhamento de dados;
informação sobre a possibilidade de não fornecer consentimento e suas consequências;
revogação do consentimento, quando essa for a base legal.

As solicitações podem ser enviadas para contato@convexpower.com. Poderemos solicitar informações adicionais para confirmar a identidade do solicitante e proteger os dados. Pedidos de confirmação e acesso serão atendidos nos prazos previstos na LGPD; os demais serão atendidos sem custo e sem demora injustificada, observados os prazos e procedimentos aplicáveis.

Quando a solicitação se referir a dados controlados por um cliente, poderemos encaminhá-la ao cliente responsável, salvo se estivermos autorizados a responder diretamente. O titular também pode peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD).

13. Transferência internacional de dados

Alguns fornecedores podem processar ou armazenar dados no Brasil ou no exterior, inclusive nos Estados Unidos. Quando houver transferência internacional de dados pessoais, ela será realizada em conformidade com a LGPD e com mecanismos contratuais, técnicos e organizacionais adequados à proteção dos dados, observados os arts. 33 a 36 da lei.

14. Crianças e adolescentes

A Área do Cliente é destinada a usuários corporativos, maiores de 18 anos, no contexto de relações empresariais. Não coletamos intencionalmente dados de crianças ou adolescentes. Caso identifiquemos tratamento inadvertido, adotaremos medidas para eliminar os dados, salvo hipótese legal de conservação, e poderemos solicitar a atuação do cliente responsável.

15. Decisões automatizadas

A Plataforma não toma decisões unicamente automatizadas que afetem interesses jurídicos do titular nem realiza perfilamento pessoal, de consumo ou de crédito. Indicadores, comparações e alertas exibidos nas telas de operação são informativos e dependem de validação humana e das fontes contratuais aplicáveis. Caso novas funcionalidades impliquem decisões automatizadas relevantes, esta Política será atualizada e os direitos previstos na LGPD serão assegurados.

16. Incidentes de segurança

Mantemos procedimentos para identificar, avaliar e responder a incidentes de segurança. Quando um incidente puder acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos termos da LGPD e da regulamentação aplicável. Usuários e clientes podem comunicar suspeitas de incidente pelo canal contato@convexpower.com.

17. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças operacionais, tecnológicas, regulatórias ou contratuais. A versão vigente será sempre publicada nesta página, com data de atualização e número de versão. Alterações materiais serão comunicadas pelos canais de contato cadastrados ou por aviso na Área do Cliente, quando aplicável. Versões anteriores podem ser solicitadas pelo canal de privacidade.