Esta Política descreve como a plataforma onBIM coleta, utiliza, armazena, compartilha e protege dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD).

Ela se aplica a todos que utilizam a plataforma: clientes que contratam projetos, escritórios e profissionais que os elaboram, visitantes das páginas públicas e pessoas cujos dados sejam inseridos na plataforma por terceiros.

A Política de Cookies, documento separado, detalha o uso de cookies e tecnologias de rastreamento.

Canal para assuntos de privacidade e exercício de direitos: contato@onbim.com.br

A onBIM não tem um papel único. Ele muda conforme o dado e o contexto, e isso determina a quem você deve dirigir uma solicitação.

Quando a onBIM é controladora. A onBIM decide sobre o tratamento — e responde diretamente a você — nos dados que existem porque a plataforma existe:

cadastro, autenticação e gestão de conta;

pedidos, propostas, contratos e assinaturas eletrônicas formalizados na plataforma;

pagamentos processados pela plataforma;

comunicações operacionais que a onBIM envia;

registros de acesso, segurança e prevenção a fraudes;

dados de navegação nas páginas próprias da onBIM.

Quando a onBIM é operadora de um escritório. Em outras situações, o escritório é quem decide sobre o tratamento, e a onBIM apenas executa por conta dele, seguindo suas instruções. Nesses casos, o escritório é o controlador, e é a ele que você deve dirigir suas solicitações — embora possamos encaminhá-las. É o que ocorre com:

conversas e contatos da caixa de entrada do escritório (WhatsApp, Instagram);

leads, clientes e registros do CRM do escritório;

conteúdo de conversa enviado a provedor de inteligência artificial com chave contratada pelo próprio escritório;

dados enviados pelo escritório a sistemas externos dele, por automações e webhooks de saída — a onBIM é operadora até a entrega; a partir dela, o tratamento é do escritório e de seus prestadores;

página pública do escritório, quanto ao conteúdo, textos e imagens publicados por ele.

No rastreamento que o escritório configura na página pública dele (Meta Pixel, Google Analytics, Google Tag Manager), a onBIM não tem papel algum sobre os dados coletados por esses terceiros: apenas disponibiliza o campo de configuração.

Os Termos do Projetista detalham as obrigações do escritório nessa condição, incluindo a de possuir base legal própria e atender às solicitações de titulares.

Dados que terceiros inserem sobre você. Se um escritório inserir seus dados na plataforma — por exemplo, ao cadastrá-lo como lead ou ao importar contatos —, o controlador desse tratamento é o escritório. Se você não sabe qual escritório é, escreva para contato@onbim.com.br e ajudaremos a identificar e encaminhar.

Cadastrais e de identificação: nome, razão social, CPF, CNPJ, e-mail, telefone, WhatsApp, profissão, empresa, cargo, endereço, registro em conselho de classe (CREA/CAU) para escritórios.

De autenticação: credenciais de acesso (senha armazenada apenas em forma cifrada, nunca em texto claro), códigos de uso único em forma resumida, identificadores de sessão, histórico de autenticação e configuração de verificação em duas etapas.

Contratuais e transacionais: pedidos, propostas, contratos, escopo, prazos, valores, condições de pagamento, status de cobrança, comprovantes e histórico de tramitação.

De assinatura eletrônica: identificação do signatário, canal e horário de envio e validação do código de uso único, tentativas de validação, endereço IP, identificação do navegador, versão do documento, resumo criptográfico do aceite, cadeia encadeada de eventos e carimbo do tempo.

Enviados por você: documentos, plantas, arquivos técnicos, modelos, imagens, formulários, mensagens, informações da obra e demais conteúdos inseridos na plataforma.

De comunicação e atendimento: mensagens trocadas na plataforma, e-mails, conversas de WhatsApp e Instagram integradas à caixa de entrada, notas internas e registros de atendimento.

De navegação e dispositivo: endereço IP, data e hora de acesso, registros de eventos, navegador, sistema operacional, identificadores de sessão e cookies (ver Política de Cookies).

Não solicitamos dados pessoais sensíveis. Caso você os insira espontaneamente em campos livres ou arquivos, eles serão tratados apenas para a finalidade a que se destinam.

Criar e manter sua conta e autenticar acessos: execução de contrato (art. 7º, V).

Registrar pedidos, viabilizar propostas e formalizar contratações: execução de contrato e procedimentos preliminares (art. 7º, V).

Processar pagamentos, repasses, estornos e confirmações: execução de contrato (art. 7º, V) e obrigação legal (art. 7º, II).

Formalizar instrumentos por assinatura eletrônica e conservar as evidências: execução de contrato (art. 7º, V) e exercício regular de direitos (art. 7º, VI).

Enviar comunicações operacionais sobre suas demandas: execução de contrato (art. 7º, V).

Prestar suporte e atendimento: execução de contrato (art. 7º, V).

Prevenir fraudes e proteger a segurança da plataforma e dos usuários: legítimo interesse (art. 7º, IX) e proteção ao crédito (art. 7º, X), quando aplicável.

Guardar registros de acesso a aplicações de internet: obrigação legal (art. 7º, II, e art. 15 do Marco Civil da Internet).

Cumprir obrigações fiscais, contábeis e regulatórias: obrigação legal (art. 7º, II).

Exercer direitos em processo judicial, administrativo ou arbitral: art. 7º, VI.

Medir audiência e desempenho das páginas públicas: consentimento (art. 7º, I) — ver Política de Cookies.

Enviar comunicações de marketing, quando houver: consentimento (art. 7º, I).

Melhorar a plataforma e produzir estatísticas: legítimo interesse (art. 7º, IX), preferencialmente com dados agregados ou anonimizados.

Quando o tratamento se apoiar em consentimento, ele será solicitado de forma destacada e poderá ser revogado a qualquer momento, sem prejuízo dos tratamentos já realizados. Quando se apoiar em legítimo interesse, avaliamos previamente a necessidade, a finalidade e o equilíbrio com seus direitos e expectativas.

Entre usuários da plataforma. Ao registrar um pedido, seus dados de contato e as informações da demanda são disponibilizados aos escritórios envolvidos, na medida necessária para elaborar proposta e executar o serviço. Ao emitir proposta, os dados do escritório são disponibilizados ao cliente. Escritórios têm perfil público na plataforma, com as informações que eles próprios publicam.

Prestadores que tratam dados por nossa conta. Utilizamos prestadores para operar a plataforma. Eles tratam dados apenas conforme nossas instruções e nas finalidades descritas nesta Política:

Supabase, sobre infraestrutura Amazon Web Services: banco de dados, autenticação e armazenamento de arquivos, tratados nos Estados Unidos, região us-east-1.

Vercel: hospedagem e execução da aplicação, tratadas no Brasil, região gru1 (São Paulo).

Asaas: emissão de cobranças e processamento de pagamentos, no Brasil.

Resend: envio de e-mails transacionais, nos Estados Unidos.

Google (reCAPTCHA): prevenção a fraudes e automação abusiva no login e no cadastro, nos Estados Unidos.

Google (Fonts): fontes tipográficas na geração de propostas em PDF, nos Estados Unidos.

Meta (WhatsApp Business Cloud API): mensageria de WhatsApp, nos Estados Unidos e na Irlanda.

Meta (Instagram Graph API): mensagens diretas e comentários do Instagram, nos Estados Unidos e na Irlanda.

Evolution API: conexão de WhatsApp por leitura de código QR, conforme a instância configurada.

SERPRO: carimbo do tempo das assinaturas eletrônicas (RFC 3161), no Brasil.

Provedores de inteligência artificial (Anthropic, OpenAI, Google): assistente de atendimento, quando o escritório o habilita com chave própria, nos Estados Unidos.

YouTube, Vimeo, Sketchfab e Matterport: conteúdos incorporados às páginas públicas dos escritórios, quando o escritório os utiliza, nos Estados Unidos.

Esta lista é mantida atualizada. Mudanças relevantes serão refletidas aqui com a respectiva data.

Outras hipóteses. Também podemos compartilhar dados com autoridades públicas e órgãos reguladores, mediante obrigação legal ou requisição válida; e com advogados, contadores e auditores, quando necessário ao exercício regular de direitos ou ao cumprimento de obrigações da empresa.

Em caso de reorganização societária, os dados poderão ser transferidos ao sucessor, mantidas as finalidades e as garantias desta Política, com comunicação prévia aos titulares.

Não vendemos dados pessoais.

A aplicação é executada em servidores no Brasil (São Paulo), e o processamento de pagamentos e o carimbo do tempo das assinaturas também ocorrem em território nacional.

Parte da infraestrutura, porém, está fora do país. Conforme a lista da seção 6, isso alcança o banco de dados e o armazenamento de arquivos (Estados Unidos), o envio de e-mails, a prevenção a fraudes e a mensageria de WhatsApp e Instagram.

Portanto, há transferência internacional de dados pessoais no funcionamento normal da plataforma. Ela ocorre com fundamento na execução do contrato com você e na adoção de salvaguardas contratuais junto aos prestadores, nos termos dos arts. 33 e seguintes da LGPD.

Prazos definidos:

Registros na lixeira do módulo de gestão (projetos, leads, fornecedores, indicações): excluídos definitivamente 30 dias após o envio à lixeira.

Registros de entrega de webhooks configurados pelo escritório: 30 dias.

Registros de controle de repetição de chamadas de API: 24 horas.

Sua decisão sobre cookies de medição: 6 meses, quando então voltamos a perguntar.

Registros de acesso a aplicações de internet: no mínimo 6 meses, conforme o art. 15 do Marco Civil da Internet.

Demais dados. Os demais dados são mantidos enquanto durar a relação com a plataforma e, após seu término, pelo prazo necessário ao cumprimento de obrigações legais e regulatórias e ao exercício regular de direitos — notadamente os prazos prescricionais aplicáveis e os prazos de guarda fiscal e contábil.

Isso alcança, em especial, contratos, propostas, evidências de assinatura eletrônica e registros de pagamento, cuja conservação é o que permite comprovar a validade dos atos praticados.

Ao encerrar sua conta. O encerramento da conta interrompe o uso ativo dos dados, mas não implica exclusão imediata de tudo. Permanecem conservados os dados sujeitos aos prazos acima, bem como os necessários a obrigações contratuais ainda em curso. Dados que não estejam sujeitos a prazo de guarda são eliminados ou anonimizados.

Adotamos medidas técnicas e administrativas para proteger os dados pessoais. Entre as que estão em operação:

controle de acesso no banco de dados, com regras que restringem cada registro ao usuário ou à organização a que pertence;

segregação por perfil de acesso, com verificação no servidor a cada operação;

verificação em duas etapas (aplicativo autenticador), disponível para perfis administrativos e de escritório;

senhas armazenadas apenas em forma cifrada, nunca em texto claro;

códigos de uso único e tokens de sessão armazenados em forma resumida, com prazo de validade e limite de tentativas;

criptografia dos dados em repouso: a infraestrutura de banco de dados e armazenamento que utilizamos (Supabase) aplica AES-256 sobre os dados armazenados;

comunicação por canais criptografados (TLS) entre seu navegador, a plataforma e os prestadores;

verificação de assinatura criptográfica nas notificações recebidas de provedores externos;

encadeamento criptográfico dos eventos de assinatura eletrônica, que permite detectar alteração posterior do histórico;

proteção contra automação abusiva no login e no cadastro.

Ainda assim, nenhum sistema é integralmente invulnerável, e não é possível garantir segurança absoluta.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados, na forma do art. 48 da LGPD.

Algumas funcionalidades geram endereços que podem ser abertos sem login, sempre protegidos por credencial:

propostas compartilhadas por link, que exigem código de acesso enviado ao destinatário;

acesso do cliente ao acompanhamento do projeto, mediante código de uso único enviado por e-mail, válido por 24 horas, que estabelece sessão temporária;

páginas públicas dos escritórios, que exibem apenas o que o escritório opta por publicar.

Trate esses links como confidenciais e não os encaminhe a terceiros.

Nos termos do art. 18 da LGPD, você pode solicitar:

confirmação da existência de tratamento;

acesso aos seus dados;

correção de dados incompletos, inexatos ou desatualizados;

anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;

portabilidade a outro fornecedor, observados os segredos comercial e industrial;

eliminação dos dados tratados com base em consentimento;

informação sobre com quem compartilhamos seus dados;

informação sobre a possibilidade de não consentir e as consequências da recusa;

revogação do consentimento;

revisão de decisões automatizadas que afetem seus interesses.

Como exercer. Escreva para contato@onbim.com.br. Responderemos no menor prazo possível e, nas hipóteses de confirmação e acesso, nos prazos do art. 19 da LGPD.

Podemos solicitar informações adicionais para confirmar sua identidade — medida de segurança que evita revelar dados a quem não é o titular.

Se a solicitação disser respeito a dados em que a onBIM atua como operadora, encaminharemos ao escritório controlador e informaremos você.

Reclamação à autoridade. Você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), pelos canais oficiais em gov.br/anpd.

O uso de cookies e tecnologias semelhantes está descrito na Política de Cookies. Em resumo: cookies estritamente necessários ao funcionamento são utilizados sempre; cookies de medição só são ativados após seu consentimento, manifestado no aviso exibido nas páginas públicas.

A plataforma destina-se a maiores de 18 anos e a pessoas juridicamente capazes, ou a representantes de pessoas jurídicas. Não coletamos intencionalmente dados de crianças e adolescentes.

Caso identifiquemos tratamento de dados de criança ou adolescente sem o devido amparo legal, adotaremos as providências para interrompê-lo e eliminar os dados, salvo obrigação legal de conservação.

Se você é responsável legal e identificou dados de um menor sob sua guarda na plataforma, escreva para contato@onbim.com.br.

Esta Política poderá ser alterada para refletir mudanças legais, regulatórias, tecnológicas ou operacionais — inclusive a inclusão ou substituição de prestadores relacionados na seção 6.

A versão vigente estará sempre disponível na plataforma, com a respectiva data de atualização. Alterações relevantes serão comunicadas pelos canais de contato cadastrados.