Política de Privacidade

1. Introdução e Controlador

Esta Política de Privacidade ("Política") descreve de forma abrangente e detalhada como o iRota ("nós", "nosso", "empresa" ou "plataforma") acessa, coleta, utiliza, compartilha e protege dados pessoais, com especial ênfase no tratamento de dados de localização, em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018) e demais normas aplicáveis.

Ao utilizar nossos serviços, você reconhece e aceita a coleta e o uso abrangente dos seus dados de localização conforme descrito neste documento.

1.1 Controlador dos Dados

1.2 Sobre o iRota

O iRota é uma plataforma web moderna para otimização inteligente de rotas de entrega e logística, desenvolvida com tecnologias de ponta para oferecer uma experiência de usuário excepcional e funcionalidades avançadas de planejamento de rotas. Nossa missão é ajudar profissionais e empresas a reduzir custos operacionais, economizar tempo e maximizar a eficiência de suas operações logísticas.

1.3 Escopo desta Política

Esta Política se aplica a:

• Usuários que acessam e utilizam a plataforma iRota através do site, aplicativo web ou qualquer outro meio.
• Visitantes do site que interagem com nossos serviços, mesmo sem criar uma conta.
• Todos os dados pessoais coletados, processados e armazenados pelo iRota.
• Integrações e serviços de terceiros utilizados pelo iRota (conforme descrito na seção 4).

1.4 Consentimento e Aceitação

Ao utilizar nossos serviços de otimização inteligente de rotas, criar uma conta, ou acessar nossa plataforma, você concorda com as práticas descritas nesta Política. Se você não concorda com esta Política, por favor, não utilize nossos serviços.

Recomendamos a leitura atenta deste documento e o contato com nosso Encarregado de Proteção de Dados em caso de dúvidas sobre como tratamos seus dados pessoais.

Última atualização: Esta Política foi atualizada pela última vez em 5 de janeiro de 2026. Recomendamos que você revise esta Política periodicamente para se manter informado sobre como protegemos seus dados.

2. Dados Pessoais que Coletamos

Coletamos e tratamos os seguintes grupos de dados pessoais conforme a interação do titular com o iRota:

2.1 Dados de Cadastro e Autenticação

• Dados cadastrais obrigatórios: nome completo, email, senha (armazenada de forma criptografada com hash bcrypt).
• Dados cadastrais opcionais: telefone, CPF, empresa, cargo.
• Credenciais de acesso: identificadores únicos, tokens de autenticação, registros de sessão, logs de auditoria e dispositivos conectados.
• Autenticação multifator (MFA): códigos TOTP quando o usuário opta por habilitar MFA.

2.2 Dados de Otimização de Rotas

• Endereços de rota: endereços completos, coordenadas geográficas (latitude/longitude), pontos de origem, destino e waypoints intermediários.
• Dados de otimização: rotas otimizadas calculadas, distâncias, tempos estimados, economia calculada (distância, tempo, combustível), modo de otimização (linear ou circular).
• Histórico de rotas: todas as otimizações realizadas, incluindo endereços, resultados e métricas de economia, armazenadas para fins de histórico e analytics.
• Metadados de rota: data e hora da otimização, número de endereços, tipo de veículo utilizado (quando informado).

2.3 Dados de Rastreamento de Rotas (Tracking)

• Localização em tempo real (Foreground - Coleta em Primeiro Plano): acessamos e coletamos suas coordenadas GPS durante o uso da plataforma para geocodificação de endereços e rastreamento de rotas ativas (apenas quando o usuário inicia o tracking explicitamente).
• Localização em background (Coleta em Segundo Plano): durante sessões ativas de rastreamento de rotas iniciadas por você, o iRota acessa e coleta dados de localização GPS mesmo quando o aplicativo está fechado ou não está em uso. Esta coleta abrangente utiliza serviços em background (Service Workers, Background Sync no navegador, ou LocationTrackingService no Android) e é fundamental para o fornecimento do serviço, permitindo:
  • Detecção automática de chegada em cada parada da rota para automação logística
  • Envio de notificações de proximidade essenciais enquanto o app está em background
  • Sincronização em tempo real de dados de tracking com nossos servidores
  • Rastreamento contínuo, preciso e ininterrupto do progresso durante toda a execução da rota
• Eventos de rastreamento: eventos como início de rota, chegada a destinos, proximidade de pontos, pausas e conclusão de rotas.
• Pontos de rastreamento: histórico de localizações durante a execução de rotas (armazenado temporariamente para análise de performance).
• Dados de navegação: distância percorrida, tempo de viagem, velocidade média (quando disponível).

2.4 Dados de Veículos

• Informações do veículo: nome, marca, modelo, tipo de combustível, consumo médio (km/l ou km/kWh).
• Cálculos de economia: estimativas de economia de combustível baseadas nas rotas otimizadas e no consumo informado.

2.5 Dados de Créditos e Assinaturas

• Saldo de créditos: quantidade de créditos disponíveis, plano contratado (free, professional, business).
• Transações de créditos: histórico de consumo, concessão e ajustes de créditos, incluindo data, tipo de transação e metadados.
• Dados de assinatura: identificador da assinatura Stripe, status da assinatura, data de renovação, ciclo de cobrança.

2.6 Dados de Pagamento

• Informações processadas pela Stripe: dados de pagamento são processados exclusivamente pela Stripe (PCI-DSS compliant). O iRota recebe apenas informações resumidas como bandeira do cartão, últimos quatro dígitos e status da transação.
• Histórico de pagamentos: registros de transações, valores pagos, datas, status e identificadores de transação.
• Dados fiscais: informações necessárias para emissão de notas fiscais, quando aplicável.

Segurança: Dados sensíveis de cartão de crédito nunca são armazenados pelo iRota. Todo processamento de pagamento é realizado pela Stripe, empresa certificada PCI-DSS.

2.7 Dados de Uso e Analytics

• Dados técnicos: endereço IP, tipo de dispositivo, navegador, sistema operacional, resolução de tela.
• Eventos de navegação: páginas visitadas, funcionalidades utilizadas, tempo de sessão, cliques e interações.
• Métricas de performance: tempo de carregamento, erros de aplicação, logs de erro (quando ocorrem).
• Dados de analytics agregados: estatísticas de uso, padrões de comportamento (anonimizados quando possível).

2.8 Dados de Suporte e Comunicação

• Registros de atendimento: chamados, interações via chat, emails enviados ao time de suporte.
• Feedback e avaliações: comentários, sugestões e avaliações fornecidas voluntariamente.

2.9 Dados de Notificações Push

• Permissão de notificações: Em dispositivos Android 13 e superiores, solicitamos permissão para enviar notificações push.
• Finalidades:
  • Alertas durante rastreamento de rotas (chegada em destinos, proximidade de pontos)
  • Notificações sobre atualizações importantes do serviço
  • Avisos sobre sua conta e créditos
• Quando são enviadas: Notificações podem ser enviadas mesmo quando o aplicativo está em background ou fechado (durante sessões de tracking ativas).
• Gerenciamento: Você pode gerenciar preferências de notificações através das configurações do aplicativo ou do sistema operacional.

Observação: Caso seja necessário coletar dados sensíveis ou informações de terceiros, solicitaremos consentimento específico ou garantiremos a adoção de outra base legal adequada antes do tratamento, conforme previsto na LGPD.

3. Finalidades e Bases Legais

Tratamos dados pessoais somente quando possuímos fundamento legal previsto na LGPD. As principais finalidades e respectivas bases são:

• Prestação do serviço contratado: configurar contas, otimizar rotas, gerar relatórios e disponibilizar integrações com outros sistemas (execução de contrato).
• Acesso e Uso de Dados de Localização: acessar e coletar dados de localização GPS (incluindo em background quando o app está fechado) estritamente durante sessões ativas de tracking iniciadas por você para detecção automática de chegada, notificações de proximidade, sincronização de dados e acompanhamento contínuo do progresso (execução de contrato - necessário para funcionalidade de rastreamento contratada).
• Gestão de cobrança e prevenção a fraudes: processar pagamentos, emitir notas fiscais, analisar risco e prevenir uso indevido (execução de contrato e legítimo interesse).
• Melhoria contínua do produto: analisar métricas de uso, realizar testes de usabilidade, aplicar pesquisas de satisfação (legítimo interesse, com avaliação de impacto e possibilidade de oposição).
• Comunicações essenciais: alertas de disponibilidade, atualizações de segurança, mudanças contratuais ou legais (cumprimento de obrigação legal/regulatória).
• Campanhas e conteúdos opcionais: envio de newsletters, convites para eventos e materiais educativos (consentimento do titular, com opção de revogação a qualquer momento).
• Atendimento a solicitações da ANPD e demais autoridades: cumprir determinações legais e cooperar com investigações (obrigação legal).

4. Compartilhamento com Terceiros

Não comercializamos dados pessoais. Compartilhamos informações estritamente necessárias com parceiros estratégicos e operadores que atuam sob nossas instruções e com salvaguardas adequadas:

4.1 Google Maps Platform

• Dados compartilhados: endereços completos e coordenadas geográficas para geocodificação e otimização de rotas.
• Finalidade: cálculo de rotas otimizadas, geocodificação de endereços, visualização de mapas e cálculo de distâncias/tempos.
• Base legal: execução de contrato (necessário para prestação do serviço de otimização).
• Política de privacidade: Google Privacy Policy
• Localização dos servidores: Estados Unidos (com salvaguardas adequadas conforme LGPD).

4.2 Stripe

• Dados compartilhados: email, nome, identificador de assinatura e informações de pagamento (processadas exclusivamente pela Stripe).
• Finalidade: processamento de pagamentos, gestão de assinaturas, prevenção a fraudes e emissão de recibos.
• Base legal: execução de contrato.
• Certificações: PCI-DSS Level 1, SOC 1 Type II, SOC 2 Type II, GDPR e LGPD compliant.
• Política de privacidade: Stripe Privacy Policy
• Localização dos servidores: Estados Unidos e Irlanda (com salvaguardas adequadas).

4.3 Supabase

• Dados compartilhados: todos os dados da aplicação (perfis, rotas, créditos, veículos, etc.).
• Finalidade: hospedagem e infraestrutura de banco de dados, autenticação, armazenamento seguro e serviços de backend.
• Base legal: execução de contrato.
• Certificações: SOC 2 Type II, ISO 27001, GDPR e LGPD compliant.
• Política de privacidade: Supabase Privacy Policy
• Localização dos servidores: Estados Unidos (região us-east-1) com backups automáticos.

4.4 Ferramentas de Analytics e Monitoramento

4.5 Consultorias e Prestadores de Serviço

• Consultorias jurídicas e de auditoria: acesso limitado a dados necessários para suporte em conformidade regulatória, quando necessário.
• Provedores de infraestrutura: acesso técnico limitado para manutenção e operação dos serviços.

4.6 Compartilhamento por Obrigação Legal

Podemos compartilhar dados pessoais quando necessário para:

• Cumprir ordens judiciais, determinações da ANPD ou outras autoridades competentes.
• Defender direitos do iRota em processos judiciais ou administrativos.
• Proteger direitos, propriedade ou segurança do iRota, usuários ou terceiros.
• Cumprir obrigações legais ou regulatórias aplicáveis.

Garantias: Exigimos de todos os fornecedores e parceiros compromissos contratuais de confidencialidade, segurança e conformidade com a LGPD. Todos os parceiros assinam DPAs (Data Processing Agreements) com cláusulas de proteção de dados adequadas.

Transferências Internacionais: Alguns fornecedores operam infraestrutura fora do Brasil. Todas as transferências são realizadas com salvaguardas adequadas conforme artigo 33 da LGPD, incluindo cláusulas contratuais padrão (SCCs) e verificação de aderência a padrões de privacidade reconhecidos globalmente.

5. Retenção e Armazenamento

Mantemos dados pessoais apenas pelo período necessário ao cumprimento das finalidades descritas ou enquanto houver obrigações legais ou contratuais vigentes. Concluída a finalidade, adotamos processos de anonimização ou eliminação segura, observando os seguintes prazos de referência:

5.1 Prazos de Retenção por Tipo de Dado

5.2 Processo de Exclusão

Quando você solicita a exclusão de sua conta ou quando os prazos de retenção expiram:

• Exclusão imediata: dados são removidos do banco de dados principal imediatamente após confirmação.
• Backups: dados em backups são mantidos por até 30 dias para permitir recuperação em caso de exclusão acidental, após o qual são permanentemente removidos.
• Dados agregados e anonimizados: podem ser mantidos para fins de analytics e melhorias do produto, desde que não permitam identificação individual.
• Obrigações legais: alguns dados podem ser mantidos por períodos adicionais quando necessário para cumprir obrigações legais, regulatórias ou para defesa em processos judiciais.

5.3 Localização e Segurança do Armazenamento

• Localização principal: dados são armazenados em servidores do Supabase localizados na região us-east-1 (Virginia, Estados Unidos).
• Backups: backups automáticos são realizados diariamente e armazenados com criptografia.
• Criptografia: todos os dados são criptografados em trânsito (TLS 1.3) e em repouso (AES-256).
• Controles de acesso: acesso aos dados é restrito através de Row Level Security (RLS) e políticas de acesso baseadas em roles.

Observação: Dados armazenados em backups passam por ciclos de expurgo seguindo políticas internas de retenção e são protegidos por controles de acesso e criptografia. Você pode solicitar a exclusão antecipada de seus dados a qualquer momento através do perfil ou entrando em contato com nosso DPO.

6. Segurança da Informação

Adotamos medidas técnicas e administrativas rigorosas para proteger dados pessoais contra acessos não autorizados, incidentes de segurança e usos indevidos:

6.1 Medidas Técnicas de Segurança

• Criptografia: todos os dados são criptografados em trânsito (HTTPS/TLS 1.3) e em repouso (AES-256). Senhas são armazenadas com hash bcrypt com salt.
• Autenticação e autorização: autenticação multifator (MFA/TOTP) disponível para todos os usuários, controle de acesso baseado em roles (RBAC) e Row Level Security (RLS) ativo em 100% das tabelas do banco de dados.
• Controle de acesso: princípio do menor privilégio, segregação de ambientes (desenvolvimento, staging, produção), gestão de vulnerabilidades e testes periódicos de segurança (penetration tests e vulnerability scans).
• Monitoramento e detecção: monitoramento contínuo de acessos, logs de auditoria, detecção de anomalias e alertas em tempo real para atividades suspeitas.
• Proteção de infraestrutura: firewalls, proteção DDoS, atualizações regulares de segurança e políticas de zero-trust network.

6.2 Medidas Administrativas

• Treinamento: equipe treinada em segurança da informação e proteção de dados.
• Políticas internas: políticas de segurança documentadas, procedimentos de resposta a incidentes e plano de continuidade de negócios.
• Contratos e acordos: todos os fornecedores e parceiros assinam acordos de confidencialidade e processamento de dados (DPAs) com cláusulas de segurança adequadas.
• Auditoria: revisões periódicas de segurança, auditorias de acesso e avaliações de conformidade.

6.3 Proteção Específica por Tipo de Dado

• Dados de autenticação: senhas nunca são armazenadas em texto plano, tokens de sessão com expiração automática (24 horas), rate limiting para prevenção de ataques de força bruta (10 tentativas por minuto).
• Dados de pagamento: processamento exclusivo via Stripe (PCI-DSS Level 1), nenhum dado de cartão é armazenado pelo iRota.
• Dados de localização: rastreamento GPS apenas quando explicitamente ativado pelo usuário durante sessões de tracking ativas. Dados de tracking (incluindo localização em background) são protegidos com criptografia adicional durante transmissão e armazenamento. Os dados são coletados apenas durante sessões ativas e podem ser interrompidos pelo usuário a qualquer momento.
• Dados de rotas: isolamento por usuário através de RLS, acesso restrito apenas ao proprietário da rota.

6.4 Resposta a Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco aos titulares:

1. Detecção e análise: identificação imediata do incidente e avaliação do impacto e dados afetados.
2. Contenção: isolamento do problema e medidas para prevenir maior exposição.
3. Notificação: comunicação à ANPD dentro do prazo razoável (geralmente 72 horas) e aos titulares afetados quando houver risco relevante aos seus direitos.
4. Remediação: correção das vulnerabilidades e medidas para prevenir recorrência.
5. Documentação: registro completo do incidente para fins de auditoria e melhoria contínua.

Importante: Apesar dos esforços e medidas de segurança implementadas, nenhum sistema é totalmente imune a riscos. Em caso de incidentes que possam acarretar risco relevante aos titulares, notificaremos os afetados e a autoridade competente (ANPD), indicando as medidas adotadas e orientações sobre como proteger seus dados.

7. Cookies e Tecnologias Semelhantes

Utilizamos cookies, pixels, SDKs e tecnologias semelhantes para garantir funcionalidades essenciais, personalizar a experiência, analisar desempenho e oferecer conteúdos relevantes. Esta seção explica como utilizamos essas tecnologias e como você pode gerenciá-las.

7.1 O que são Cookies?

Cookies são pequenos arquivos de texto armazenados no seu dispositivo (computador, tablet ou smartphone) quando você visita nosso site. Eles nos ajudam a reconhecer seu dispositivo e a lembrar informações sobre sua visita, como suas preferências e ações.

7.2 Categorias de Cookies Utilizados

7.3 Outras Tecnologias Utilizadas

• Local Storage e Session Storage: armazenamento local no navegador para dados de sessão e preferências.
• IndexedDB: banco de dados local para persistência offline de rotas e dados de rastreamento.
• Service Workers: tecnologias para funcionalidades offline e melhor performance.
• Pixels e beacons: tecnologias de rastreamento utilizadas apenas com consentimento para analytics.

7.4 Como Gerenciar Cookies

Você tem controle sobre os cookies utilizados em nossa plataforma:

• Banner de consentimento: ao acessar nosso site pela primeira vez, você verá um banner permitindo que escolha quais categorias de cookies aceitar.
• Configurações do perfil: você pode alterar suas preferências de cookies a qualquer momento através das configurações do seu perfil.
• Configurações do navegador: a maioria dos navegadores permite que você gerencie cookies através das configurações de privacidade. Consulte a ajuda do seu navegador para mais informações.

7.5 Cookies de Terceiros

Alguns cookies são definidos por serviços de terceiros que utilizamos:

• Google Maps: cookies necessários para funcionamento de mapas e geocodificação (consulte a política de privacidade do Google).
• Ferramentas de analytics: cookies de terceiros para análise de uso (apenas com consentimento).

Para mais informações sobre cookies de terceiros, consulte as políticas de privacidade dos respectivos serviços.

8. Direitos dos Titulares

Os titulares de dados possuem, entre outros, os direitos previstos nos artigos 18 e 20 da LGPD:

• Confirmação da existência de tratamento e acesso facilitado aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
• Portabilidade para outro fornecedor, observados segredos comerciais e industriais.
• Eliminação dos dados tratados com consentimento, ressalvadas hipóteses de conservação legal.
• Informação sobre compartilhamento com entidades públicas e privadas.
• Revogação do consentimento a qualquer momento e oposição a tratamentos realizados com base em legítimo interesse.
• Revisão de decisões automatizadas que afetem seus interesses.

9. Como Exercer Seus Direitos

Para exercer qualquer direito previsto na LGPD, você pode utilizar uma das seguintes formas:

9.1 Formas de Solicitação

• Através do perfil: acesse /profile e utilize as funcionalidades de privacidade disponíveis (exportação de dados, exclusão de conta, etc.).
• Página de exclusão: acesse /delete-account para instruções sobre como excluir sua conta.
• Por email: envie uma solicitação para nosso Encarregado de Proteção de Dados (DPO) em contato@irota.com.br.
• Formulário online: utilize o formulário disponível em /privacy.
• Suporte: entre em contato através do canal de suporte oficial.

9.2 Informações Necessárias na Solicitação

Para processar sua solicitação de forma segura e eficiente, solicitamos que você forneça:

• Nome completo e email cadastrado na plataforma.
• Descrição clara do direito que deseja exercer.
• Comprovação de identidade (quando necessário para proteger seus dados).
• Informações adicionais que possam ajudar a localizar seus dados (quando aplicável).

9.3 Prazo de Resposta

Comprometemo-nos a responder suas solicitações em até 15 dias contados do recebimento, conforme previsto na LGPD. Em casos complexos, podemos solicitar prorrogação de mais 15 dias, sempre comunicando o motivo.

9.4 Contato do Encarregado de Proteção de Dados (DPO)

9.5 Funcionalidades Disponíveis no Perfil

Você pode exercer alguns direitos diretamente através do seu perfil:

• Visualizar dados: acesse todas as suas informações pessoais, rotas, créditos e veículos.
• Editar dados: atualize seu nome, email, telefone e informações de veículos.
• Exportar dados: solicite uma exportação completa de todos os seus dados em formato estruturado (JSON/CSV).
• Excluir conta: solicite a exclusão permanente de sua conta e todos os dados associados (irreversível).
• Gerenciar sessões: visualize e revogue sessões ativas em outros dispositivos.

Registro de Solicitações: Manteremos um registro de todas as solicitações recebidas para fins de auditoria, conformidade com a ANPD e melhoria contínua dos nossos processos de privacidade.

10. Transferências Internacionais

Alguns fornecedores operam infraestrutura situada fora do Brasil (como Estados Unidos e União Europeia). Quando houver transferência internacional de dados, adotamos salvaguardas previstas na LGPD, incluindo cláusulas contratuais específicas, verificação de aderência a padrões de privacidade reconhecidos globalmente e avaliações de impacto sempre que necessário.

11. Atualizações desta Política

Revisamos esta Política periodicamente para refletir mudanças regulatórias, evoluções do produto ou novos tratamentos de dados. Quando houver alterações materiais, notificaremos os titulares por canais adequados (email cadastrado, avisos na aplicação ou comunicações oficiais). Recomendamos que verifique a data de vigência indicada no início deste documento.

Caso exista conflito entre esta Política e termos específicos informados em contratos ou avisos complementares, prevalecerá o documento mais recente que trate do processamento específico envolvendo o titular.