Política de privacidade

1. Introdução

A Prospera Tecnologia Ltda, inscrita no CNPJ/MF sob nº 07.350.773/0001-47, com sede na Rua Maria Clara Badalotti Tormen, 145, Parque dos Imigrantes, Erechim/RS, CEP 99709-462 (doravante "Berga", "nós", "nosso" ou "Berga.app"), está comprometida em proteger a privacidade e os dados pessoais de nossos usuários. Esta Política descreve como tratamos as informações obtidas por meio do nosso site, aplicativo e serviços relacionados (coletivamente, a Plataforma).

Esta Política se aplica a visitantes do nosso site, candidatos e leads; representantes, sócios e colaboradores das empresas que contratam ou avaliam contratar a Berga; usuários autorizados das nossas Clientes que acessam a Plataforma; e qualquer titular de dados pessoais com quem nos relacionemos diretamente.

1.1 Dados dos clientes finais das nossas clientes

A Plataforma é utilizada por empresas Clientes para gerir seus próprios negócios. Quando uma Cliente insere, em nossa Plataforma, dados pessoais de seus colaboradores, clientes ou parceiros, a Cliente atua como Controladora desses dados e a Berga atua como Operadora, processando os dados em nome da Cliente. Nessa hipótese, a Política de Privacidade aplicável é a da própria Cliente, e o titular deve dirigir-se a ela para exercer seus direitos. A Berga colaborará com a Cliente na medida do necessário, conforme nossos contratos de Tratamento de Dados (DPA).

2. Conformidade legal

A Berga.app está em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), o Marco Civil da Internet (Lei nº 12.965/2014), as Resoluções da Autoridade Nacional de Proteção de Dados (ANPD), em especial a Resolução CD/ANPD nº 2/2022 (agentes de pequeno porte), Resolução CD/ANPD nº 4/2023 (sanções), Resolução CD/ANPD nº 15/2024 (comunicação de incidentes), Resolução CD/ANPD nº 19/2024 (transferência internacional) e Resolução CD/ANPD nº 32/2026 (decisão de adequação Brasil-União Europeia), e demais legislações aplicáveis.

3. Dados que coletamos

3.1 Dados fornecidos pelo usuário

Ao se cadastrar e utilizar nossos serviços, podemos coletar:

• Dados de identificação pessoal:
  • Pessoa física: nome completo, e-mail, número de telefone, CPF, data de nascimento, RG, endereço completo.
  • Pessoa jurídica: razão social, nome fantasia, CNPJ, inscrição estadual/municipal, endereço da sede, dados dos representantes legais.
• Dados de autenticação: nome de usuário, senha (armazenada com hash criptográfico irreversível), perguntas de segurança, registros de autenticação multifator (2FA).
• Dados financeiros e de pagamento:
  • Informações bancárias: banco, agência, conta, chave PIX.
  • Histórico de transações: valores, datas, contrapartes, descrições.
  • Dados de cartão de crédito: tokenizados por gateway de pagamento PCI-DSS Level 1 (a Berga não armazena PAN completo).
• Dados fiscais:
  • Informações para emissão de documentos fiscais (NFe, NFCe, CTe, MDFe, NFSe).
  • Regimes tributários, alíquotas, classificações fiscais (NCM, CFOP).
  • Certificados digitais A1, quando armazenados em nossa plataforma.
• Dados empresariais e operacionais:
  • Informações sobre sua empresa: segmento, porte, número de funcionários, faturamento (faixas).
  • Catálogo de produtos e serviços: descrições, preços, estoques, fornecedores.
  • Dados de clientes: contato, histórico de compras, preferências.
  • Dados de fornecedores: contato, produtos, condições comerciais.

3.2 Dados coletados automaticamente

Quando você utiliza nossa Plataforma, podemos coletar automaticamente:

• Dados de acesso: endereço IP, tipo de navegador, páginas visitadas, tempo de permanência.
• Dados de dispositivo: sistema operacional, modelo do dispositivo, identificadores únicos.
• Cookies e tecnologias semelhantes (ver Seção 11).
• Dados de uso: padrões de utilização, funcionalidades acessadas, frequência de uso, logs de auditoria.

3.3 Dados pessoais sensíveis

A Plataforma não foi projetada para tratar dados pessoais sensíveis (art. 5º, II, da LGPD). Caso uma Cliente insira tais dados, a responsabilidade pela base legal e tratamento adequado é exclusiva da Cliente, conforme nosso DPA.

4. Como utilizamos seus dados

Utilizamos seus dados pessoais para:

• Apresentar, comercializar, contratar e operar a Plataforma.
• Realizar atendimento, suporte técnico e onboarding.
• Processar pagamentos e transações financeiras (boletos, PIX, cartões), incluindo a integração com gateways de pagamento e instituições financeiras.
• Emitir documentos fiscais (NFe, NFCe, CTe, MDFe, NFSe) e atender obrigações perante autoridades fiscais.
• Autenticar acessos, garantir a segurança da conta e prevenir acesso não autorizado.
• Cumprir obrigações contratuais, fiscais, tributárias, contábeis e regulatórias.
• Realizar comunicações operacionais e, mediante consentimento, de marketing.
• Personalizar a experiência do usuário e sugerir funcionalidades relevantes.
• Desenvolver, testar e melhorar a Plataforma com base em métricas, dados anonimizados e dados agregados.
• Prevenir fraudes, lavagem de dinheiro e atividades ilícitas por meio de monitoramento automatizado.
• Atender solicitações de titulares e autoridades competentes.
• Defender direitos em processos judiciais, administrativos ou arbitrais.

5. Fundamentos legais para o tratamento de dados

Tratamos seus dados pessoais com base nos fundamentos previstos nos arts. 7º e 11 da LGPD, conforme a finalidade:

• Execução do contrato de prestação de serviços (art. 7º, V).
• Cumprimento de obrigação legal ou regulatória, especialmente fiscal e financeira (art. 7º, II).
• Legítimo interesse da Berga, especialmente para segurança da informação, prevenção a fraude, melhoria do produto e marketing direto B2B (art. 7º, IX).
• Consentimento do titular, para hipóteses específicas como newsletters e cookies não essenciais (art. 7º, I).
• Proteção ao crédito (art. 7º, X).
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI).

6. Compartilhamento e subprocessadores

6.1 Subprocessadores (provedores de tecnologia)

A operação da Plataforma envolve a utilização de provedores de infraestrutura tecnológica e serviços auxiliares. A lista nominal e atualizada de subprocessadores está disponível em berga.app/subprocessadores e pode ser solicitada a qualquer momento pelo canal oi@prosperatecnologia.com.br. Entre os principais subprocessadores estão:

• DigitalOcean LLC (Nova York/EUA) — hospedagem da Plataforma, banco de dados PostgreSQL e armazenamento.
• Twilio Inc. (SendGrid) (EUA) — envio de e-mails transacionais.
• Stripe, Inc. (EUA, com processamento local Stripe Brasil quando aplicável) — cobrança e processamento financeiro.
• Anthropic, PBC (EUA) — funcionalidades de inteligência artificial baseadas no Claude.
• Functional Software, Inc. (Sentry) (EUA) — detecção de erros e observabilidade técnica.
• Meta Platforms, Inc. (EUA) — comunicação via WhatsApp Business Cloud API.

6.2 Por obrigação legal

• Autoridades governamentais, órgãos reguladores, tribunais e outras entidades públicas, quando exigido por lei, regulamento ou ordem judicial.
• Autoridades fiscais para cumprimento de obrigações tributárias (Receita Federal, SEFAZ estaduais, prefeituras).

6.3 Outras hipóteses

• Investigar, prevenir ou tomar medidas relacionadas a atividades ilegais, suspeitas de fraude ou ameaças à segurança física de qualquer pessoa.
• Sucessores legais em caso de reorganização societária, fusão ou aquisição da Prospera Tecnologia Ltda.
• Assessores jurídicos, contábeis e auditores, sob obrigação de sigilo.

A Berga não vende dados pessoais.

7. Transferência internacional de dados

A operação da Plataforma envolve a utilização de infraestrutura tecnológica profissional, incluindo provedores localizados fora do Brasil, em especial nos Estados Unidos da América. Em particular, a hospedagem da Plataforma é realizada por DigitalOcean LLC, com servidores em Nova York (NYC).

Adotamos salvaguardas conforme o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024 (Regulamento de Transferência Internacional de Dados Pessoais), em especial:

• Cláusulas contratuais específicas, conforme art. 33, V, LGPD.
• Cláusulas-Padrão Contratuais (CPC) aprovadas pela ANPD, quando aplicáveis.
• Decisões de adequação reconhecidas pela ANPD (atualmente: União Europeia + EEE — Resolução CD/ANPD nº 32/2026).
• DPA (Data Processing Agreement) próprio dos subprocessadores, com conteúdo equivalente.

Adotamos, ainda, medidas técnicas adicionais como criptografia em trânsito (TLS 1.2+) e em repouso, gestão de chaves, controle de acesso baseado em perfil e isolamento lógico entre clientes (multi-tenant). Nossos principais subprocessadores possuem certificações reconhecidas internacionalmente (SOC 2 Type II, ISO 27001, PCI-DSS).

8. Segurança dos dados

Implementamos medidas técnicas e organizacionais apropriadas para proteger seus dados contra acesso não autorizado, perda, destruição, alteração ou divulgação. Nossas medidas incluem:

• Criptografia em trânsito (TLS 1.2+) e em repouso.
• Controle de acesso baseado em perfil (RBAC) e princípio do menor privilégio.
• Autenticação em duas etapas (2FA) disponível para usuários.
• Monitoramento contínuo, logging e detecção de anomalias.
• Isolamento lógico entre tenants (multi-tenant) por businessId.
• Backups regulares com testes periódicos de restauração.
• Políticas internas de segurança baseadas em padrões internacionais (ISO 27001).
• Treinamento periódico da equipe em LGPD e segurança da informação.
• Plano de resposta a incidentes e segregação de ambientes (dev/homolog/prod).

Apesar das proteções, nenhum sistema é completamente imune a riscos. Em caso de incidente de segurança que envolva risco relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo legal de 3 (três) dias úteis, conforme a Resolução CD/ANPD nº 15/2024. No caso de Clientes corporativas (B2B), comunicaremos formalmente a Cliente — na qualidade de Controladora — no prazo de 48 horas da efetiva ciência, para que esta possa cumprir seus deveres de notificação à ANPD e aos titulares.

9. Retenção de dados

Mantemos seus dados pessoais pelo tempo necessário para cumprir as finalidades para as quais foram coletados, observando os prazos legais aplicáveis:

9.1 Períodos de retenção

• Dados cadastrais básicos: enquanto a conta permanecer ativa, acrescido de 5 anos após o encerramento.
• Dados de transações financeiras: até 10 anos, conforme exigências fiscais e tributárias.
• Documentos fiscais eletrônicos: mínimo de 5 anos (Decreto nº 9.580/2018, Lei nº 8.846/94, CTN art. 174).
• Registros de acesso à aplicação: mínimo de 6 meses (Marco Civil da Internet, art. 15).
• Logs e registros de auditoria: 1 ano para fins de segurança e investigação.
• Dados de suporte técnico: 2 anos após a resolução.
• Dados de marketing e comunicações: até a revogação do consentimento.
• Backups: ciclo automatizado de retenção, com eliminação programada.

9.2 Após o encerramento de contrato

Encerrado o contrato com a Cliente:

• Durante 30 (trinta) dias após a rescisão, manteremos os dados acessíveis em modalidade de exportação self-service.
• Por mais 30 (trinta) dias, mediante taxa de retenção, os dados poderão permanecer em modo somente-leitura.
• Decorridos os prazos, os dados serão eliminados de forma definitiva, ressalvados:
  • retenções exigidas por lei;
  • dados anonimizados e estatísticas agregadas;
  • dados retidos para exercício regular de direitos em processo (art. 16, III, LGPD);
  • backups técnicos automatizados, em ciclo natural de retenção, mantidos sob as medidas de segurança aplicáveis.

Mediante solicitação formal, emitiremos declaração de eliminação indicando data e escopo.

10. Seus direitos como titular

De acordo com o art. 18 da LGPD, você possui os seguintes direitos em relação aos seus dados pessoais:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
• Portabilidade a outro fornecedor.
• Eliminação dos dados tratados com consentimento (ressalvadas hipóteses legais).
• Revogação do consentimento a qualquer momento.
• Informações sobre compartilhamento com entidades públicas e privadas.
• Informação sobre a possibilidade de não fornecer consentimento e suas consequências.
• Oposição a tratamento que viole a LGPD.
• Revisão de decisões automatizadas que afetem seus interesses.

11. Cookies e tecnologias semelhantes

Nosso site utiliza cookies e tecnologias semelhantes. Você pode gerenciar preferências de cookies por meio do banner de cookies ou das configurações do seu navegador.

11.1 Tipos de cookies que utilizamos

• Cookies essenciais: necessários para o funcionamento básico da Plataforma.
• Cookies analíticos / de desempenho: ajudam a entender como os visitantes interagem com o site.
• Cookies de funcionalidade: permitem que a Plataforma se lembre das suas escolhas.
• Cookies de publicidade: mediante consentimento, utilizados para entregar anúncios relevantes.

12. Crianças e adolescentes

13. Alterações nesta política

Podemos atualizar esta Política periodicamente para refletir mudanças legais, regulatórias ou operacionais. A versão vigente estará sempre disponível em berga.app/politica-de-privacidade, com data de atualização indicada no topo. Alterações significativas serão notificadas por e-mail ou através de avisos na Plataforma.

14. Contato

Para qualquer dúvida, solicitação ou exercício de direitos, entre em contato com nosso Encarregado pela Proteção de Dados (DPO):

15. Tratamento de dados de funcionários de clientes corporativos

Quando você utiliza a Berga.app como parte de uma assinatura corporativa, podemos processar dados de funcionários, colaboradores ou representantes da empresa contratante. Esclarecemos que:

- A empresa contratante é a Controladora desses dados pessoais e responsável por obter os consentimentos necessários e definir as bases legais aplicáveis.
- A Berga atua como Operadora, processando-os de acordo com as instruções da empresa contratante e conforme estabelecido em contrato específico (DPA).
- Disponibilizamos ferramentas e controles de acesso para que a empresa contratante possa gerenciar os dados de seus colaboradores em conformidade com a LGPD.

16. Uso de inteligência artificial

A Berga.app utiliza tecnologias de inteligência artificial para melhorar seus serviços, em especial por meio do modelo Claude da Anthropic, PBC. Em relação ao uso de IA:

• Adotamos opt-out de uso dos dados das Clientes para treinamento de modelos de terceiros, e modo zero data retention quando aplicável.
• Aplicamos minimização de prompt: apenas o estritamente necessário é enviado ao modelo, evitando identificadores únicos sempre que possível.
• Utilizamos dados anonimizados ou agregados para melhorar nossos algoritmos internos (art. 12 da LGPD — anonimização afasta a aplicação da Lei).
• Implementamos salvaguardas para mitigar vieses algorítmicos e garantir tratamento equitativo.
• Você tem o direito de solicitar revisão humana de decisões tomadas exclusivamente por meio de processos automatizados que afetem seus interesses (art. 20, LGPD).

17. Disposições finais

Esta Política de Privacidade integra os Termos de Uso da Berga.app. Em caso de conflito quanto ao tratamento de dados pessoais, prevalecem as disposições desta Política.

A nulidade ou invalidade de qualquer cláusula não prejudicará as demais disposições, que permanecerão válidas. Em caso de dúvidas sobre interpretação, prevalecerá a interpretação mais favorável à proteção dos dados pessoais.

18. Histórico de versões

• Versão 2.0 — 8 de maio de 2026: atualização completa para alinhamento com Resoluções CD/ANPD nº 15/2024, 19/2024 e 32/2026; nomeação dos subprocessadores principais; inclusão de seção sobre crianças e adolescentes; inclusão de seção específica sobre IA; consolidação de canal único de contato em oi@prosperatecnologia.com.br.
• Versão 1.0 — 26 de março de 2025: publicação inicial.