Política de Privacidade

Deu Ruim no Comex

Documento interno, ainda não publicado.
Os campos marcados com <!-- PREENCHER --> dependem de dados que só o titular do negócio tem (razão social, CNPJ, endereço, encarregado).
Antes de publicar, é obrigatório executar o checklist de docs/juridico/lgpd-conformidade.md: esta política assume comportamentos que o código ainda não implementa.

Resumo em uma página

Se você não vai ler o resto, leia isto.

1. Quem somos e quem responde pelos seus dados

O Deu Ruim no Comex é uma consultoria de comércio exterior brasileiro.
Nosso trabalho é analisar operações de importação e exportação que deram errado - carga retida, demurrage correndo, canal vermelho, documento divergente, DUIMP travada - e dizer o que fazer.

Para fazer isso, precisamos que você nos conte o que aconteceu.
E o que você nos conta é, quase sempre, dado pessoal e informação comercial sensível.
Esta política existe para explicar, sem juridiquês, o que fazemos com isso.

Controlador dos dados (art. 5º, VI, da LGPD):

Encarregado pelo Tratamento de Dados Pessoais (DPO, art. 41 da LGPD):

O encarregado é o canal oficial para qualquer assunto de privacidade: exercer direitos, tirar dúvidas, reclamar.

2. Glossário rápido

Dois vocabulários se cruzam aqui. Vale alinhar.

Da lei (LGPD, Lei 13.709/2018):

• Titular - a pessoa natural a quem os dados se referem. Provavelmente você.
• Dado pessoal - qualquer informação que identifique ou possa identificar uma pessoa natural. Nome, e-mail, telefone. E também o número de um BL, se ele leva até você.
• Tratamento - qualquer coisa que se faça com o dado: coletar, guardar, usar, compartilhar, apagar.
• Controlador - quem decide o que fazer com o dado. Somos nós.
• Operador - quem trata o dado em nome do controlador. São nossos fornecedores de infraestrutura.
• Base legal - a justificativa jurídica que autoriza cada tratamento. Sem base legal, o tratamento é ilícito, mesmo que bem-intencionado.

Do comércio exterior:

• BL / AWB - Bill of Lading (marítimo) e Air Waybill (aéreo). O conhecimento de embarque. Traz consignatário, notify party, exportador, endereços.
• DUIMP / DUE - Declaração Única de Importação e Declaração Única de Exportação. Documentos fiscais aduaneiros no Portal Único Siscomex.
• Demurrage - sobrestadia. A multa diária pelo contêiner que não voltou no prazo.
• Canal vermelho - seleção para conferência física e documental pela Receita Federal.

Guardamos essa distinção porque ela importa: um BL não é "só um papel de logística". É um documento que carrega nome, CPF ou CNPJ e endereço de pessoas que não são você. Ver seção 5.

3. Dados que você nos fornece

3.1 Identificação e contato

Coletados no formulário da página inicial, na primeira etapa.

Não pedimos CPF, RG, data de nascimento, endereço residencial nem dado bancário no formulário.
Se um desses aparecer, foi porque você escreveu num campo livre ou anexou num documento - e nesse caso vale a seção 5.

3.2 Descrição do caso

O formulário pede que você descreva o que aconteceu, em texto livre, com até 2.000 caracteres.
Depois, em etapas opcionais, pergunta sobre a operação:

• Modal (aéreo ou marítimo) e sentido (importação ou exportação).
• País e local de origem e de destino - porto, aeroporto, recinto.
• Incoterm da operação.
• Quais problemas você está enfrentando, de uma lista fechada, com campo livre para "outro".
• Número do BL/AWB e número da DUIMP/DUE, se você tiver.
• Se o prejuízo já é real ou ainda é potencial.
• Se existe prazo crítico e qual a data.
• Detalhes adicionais, em texto livre, com até 2.000 caracteres.

Sobre os campos de texto livre.
Eles são o coração do diagnóstico: é ali que você conta a história.
Mas é também onde entra dado que você talvez não pretendesse nos dar.

Por isso, um pedido direto:

Não inclua nos campos livres dados pessoais sensíveis (art. 5º, II, da LGPD): origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico.
Nós não precisamos deles para analisar um caso de comex, não os solicitamos, e não temos base legal para tratá-los.
Se identificarmos dado sensível enviado por engano, vamos eliminá-lo.

Não envie senhas.
Nenhuma. Nem do Siscomex, nem do Portal Único, nem de e-mail, nem de sistema de despachante.
Nunca vamos pedir isso, em nenhum canal.

3.3 Documentos anexados

Ver a seção 5, inteira. É o ponto mais delicado desta política.

4. Dados gerados automaticamente

Além do que você digita, o sistema gera:

O que NÃO coletamos

Vale dizer explicitamente, porque é incomum:

• Nenhum cookie de rastreamento. O site não instala cookies de publicidade, analytics ou perfilamento.
• Nenhum rastreador de terceiros. Não há Google Analytics, Google Tag Manager, Meta Pixel, Hotjar, Clarity, nem equivalente.
• Nenhum perfil comportamental. Não construímos perfil seu, não te seguimos entre sites, não fazemos remarketing.
• Nenhuma venda ou cessão de base. Sua informação não é produto.

O único armazenamento no seu navegador é um rascunho do próprio formulário. Ver seção 14.

5. Documentos, anexos e o dado de terceiros

Esta é a seção que mais importa no nosso nicho. Leia com atenção.

5.1 O que aceitamos

Durante o preenchimento do caso, você pode anexar até quatro categorias de documento:

Limites técnicos: um arquivo por categoria, formato PDF, JPEG, PNG ou WebP, até 10 MB cada.

Anexar é sempre opcional.
Você consegue abrir um caso e receber retorno sem enviar nenhum arquivo.
Anexar acelera e qualifica o diagnóstico, mas não é condição para ser atendido.

5.2 O que esses documentos carregam de verdade

Um BL não é um dado da sua empresa. É um dado de várias pessoas.

Um conhecimento de embarque típico traz: nome e endereço do exportador, nome e endereço do consignatário, dados do notify party, nome do agente de carga, e frequentemente o CPF ou CNPJ e a assinatura de pessoas naturais envolvidas.
Uma DUIMP traz dados fiscais da operação, NCM, valores, e a identificação do responsável legal.
Uma proposta comercial traz o nome, o e-mail e o telefone de quem a assinou, além de preços que costumam ser confidenciais por contrato.

Ou seja: quando você anexa um documento, você quase sempre está nos entregando dado pessoal de terceiros - o despachante, o agente, o funcionário do exportador, o sócio da empresa parceira.

5.3 A sua responsabilidade ao anexar

Precisamos ser francos sobre o que isso significa juridicamente.

Ao anexar um documento, você declara que:

1. Tem legitimidade para compartilhá-lo conosco - seja porque o documento é seu, seja porque a sua empresa é parte da operação e possui base legal para o compartilhamento.
2. O compartilhamento conosco é compatível com as obrigações de confidencialidade que você tenha com terceiros.
3. Você não está nos enviando dado pessoal sensível nem documento de identificação pessoal (RG, CNH, passaporte) sem necessidade real para o caso.

Em relação aos dados de terceiros contidos nos documentos, você atua como controlador e nós atuamos como operador: tratamos esses dados exclusivamente para analisar o seu caso, seguindo a sua instrução, e para nada mais.
Não os usamos para prospectar terceiros, não os cruzamos com outras bases, não os enriquecemos e não os comercializamos.

Se você não tem certeza de que pode compartilhar um documento, não anexe.
Descreva o problema em texto, com os campos numéricos (número do BL, número da DUIMP), e conversamos a partir disso.
Tarja o que for necessário antes de enviar - um PDF com o valor da fatura ocultado ainda nos serve para analisar prazo e responsabilidade.

5.4 Onde os documentos ficam e quem os acessa

• Ficam em armazenamento de objetos privado (Cloudflare R2), em bucket não público, sem listagem e sem URL adivinhável.
• O nome do arquivo, o tamanho, o tipo e a data ficam registrados no banco de dados, junto ao seu caso.
• O acesso ao conteúdo é feito exclusivamente pelo painel interno, protegido por autenticação corporativa (Cloudflare Zero Trust), restrita a e-mails previamente autorizados na nossa base.
• Nenhum documento é indexado por buscadores, publicado, ou compartilhado com terceiros que não estejam na seção 8.

5.5 Você pode remover

Enquanto o caso está aberto, a própria interface permite remover um anexo que você tenha enviado.
A remoção apaga o arquivo do armazenamento e o registro correspondente no banco.
Depois de encerrado o caso, use o canal do encarregado (seção 13).

6. Para que usamos seus dados, e com que base legal

A LGPD exige que todo tratamento tenha uma base legal do art. 7º. Aqui está a nossa, finalidade por finalidade.

O que não fazemos, e portanto não precisa de base legal:
publicidade comportamental, venda de dados, enriquecimento de base, cruzamento com bases de terceiros, prospecção de pessoas cujos dados vieram nos seus documentos.

Sobre o consentimento

A caixa que você marca no formulário é um consentimento válido e específico.
Mas note: a maior parte do tratamento que fazemos não depende dele, e sim do art. 7º, V - você nos pediu uma análise, e não há como analisar sem tratar.

Isso tem uma consequência prática honesta: revogar o consentimento não apaga automaticamente o seu caso.
Se você revogar, paramos de te contatar. Para eliminar os dados, use o direito de eliminação (seção 13), que avaliamos caso a caso - podemos precisar reter o mínimo necessário para cumprir obrigação legal ou defender direito em processo (art. 16, I e II).

7. Decisão automatizada: como calculamos a prioridade

Quando você finaliza o formulário, o sistema calcula automaticamente uma prioridade de atendimento com base no que você informou - principalmente se o prejuízo já é real e se existe prazo crítico.
Isso define a ordem em que a equipe olha os casos.

Essa é uma decisão automatizada nos termos do art. 20 da LGPD.
Ela não nega, restringe ou condiciona o seu atendimento: todos os casos são analisados por uma pessoa.
Ela apenas ordena a fila.

Ainda assim, você tem o direito de:

• Solicitar informação clara sobre os critérios usados.
• Pedir a revisão humana da classificação, se achar que a urgência do seu caso foi subestimada.

Basta escrever para o encarregado (seção 13), ou responder o e-mail de protocolo.

8. Com quem compartilhamos

Não vendemos, não alugamos e não cedemos seus dados.
Compartilhamos apenas com os fornecedores estritamente necessários para o serviço funcionar, e só o mínimo que cada um precisa.

Todos atuam como operadores (art. 5º, VII), sob contrato e sob nossa instrução.

Além disso, podemos compartilhar dados:

• Com autoridades, mediante ordem judicial ou requisição legal válida (art. 7º, VI). Se acontecer, e se a lei permitir, avisamos você.
• Com nossos advogados, se necessário para defender direito em processo, sob sigilo profissional.
• Com órgãos públicos aduaneiros (Receita Federal, órgãos anuentes), somente se e quando você nos contratar para atuar em seu nome em um procedimento que exija isso, e sempre com o seu conhecimento. Isso não acontece na fase de diagnóstico.

9. Transferência internacional de dados

Sim, seus dados saem do Brasil. É importante que você saiba disso.

Todos os fornecedores da seção 8 processam dados fora do território nacional.
A infraestrutura do site, o banco de dados e os seus documentos anexados estão em rede global da Cloudflare; o e-mail sai pelo Zavu; o alerta interno vai pelo Telegram.

Essa transferência é feita com base no art. 33, II, da LGPD, mediante garantias contratuais de conformidade com os princípios e os direitos previstos na lei, na forma da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que regulamenta a transferência internacional e aprovou as cláusulas-padrão contratuais.

Na prática, isso significa que exigimos dos nossos operadores compromissos contratuais de:

• Tratar os dados apenas conforme nossa instrução e para a finalidade contratada.
• Aplicar medidas de segurança técnicas e administrativas adequadas.
• Nos notificar em caso de incidente de segurança.
• Não realizar transferência ulterior sem garantia equivalente.
• Reconhecer os direitos do titular previstos no art. 18 da LGPD.

Se você quiser saber mais sobre as garantias adotadas com um fornecedor específico, escreva para o encarregado.

10. WhatsApp, e-mail e o registro das conversas

Precisamos ser explícitos sobre isto, porque é a parte que costuma surpreender as pessoas.

Toda comunicação sua conosco sobre o seu caso fica registrada no nosso sistema, vinculada ao seu caso.

Isso inclui:

• O e-mail de protocolo que enviamos e as respostas trocadas.
• As mensagens de WhatsApp - tanto as que você nos manda quanto as que mandamos para você. O conteúdo é espelhado no nosso sistema interno de acompanhamento.
• As anotações internas que a equipe faz sobre o andamento do seu caso.

Por quê.
Um caso de comex se arrasta por semanas e passa por várias mãos.
Se a conversa vive só no celular de uma pessoa, o atendimento quebra.
O registro existe para que qualquer pessoa da equipe consiga retomar o seu caso sem te fazer repetir tudo, e para que exista rastreabilidade do que foi orientado e quando.

Base legal: art. 7º, V (execução do atendimento que você pediu) e art. 7º, IX (legítimo interesse na qualidade e rastreabilidade do serviço).

O que isso não é:
não gravamos chamadas de voz, não lemos conversas suas com terceiros, e não temos acesso a nada no seu WhatsApp além das mensagens trocadas diretamente conosco.

Não iniciamos contato por WhatsApp com quem não nos procurou.
Não fazemos disparo em massa. Não te colocamos em grupo. Não mandamos promoção.

11. Por quanto tempo guardamos

Não guardamos nada "para sempre". Cada categoria tem prazo e critério.

Após o prazo, o dado é eliminado ou anonimizado de forma irreversível (art. 16 da LGPD).
Dado anonimizado pode ser mantido para estatística agregada - por exemplo, "37% dos casos deste trimestre envolveram demurrage" - porque deixou de ser dado pessoal e não permite te identificar.

Podemos reter além do prazo apenas nas hipóteses do art. 16: cumprimento de obrigação legal, estudo por órgão de pesquisa com anonimização, transferência a terceiro com respeito à lei, ou uso exclusivo nosso com anonimização.

12. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados (art. 46 da LGPD):

• Trânsito criptografado. Todo o tráfego do site é servido exclusivamente por HTTPS/TLS.
• Armazenamento privado. Os documentos ficam em bucket privado, sem acesso público, sem listagem, com chave não adivinhável.
• Acesso restrito e autenticado. O painel interno exige autenticação corporativa (Cloudflare Zero Trust) e o e-mail precisa constar previamente na nossa lista de autorizados. Não existe cadastro aberto, não existe senha compartilhada.
• Endpoints de leitura de documento protegidos. O conteúdo de um anexo só é servido a uma sessão autenticada.
• Validação estrita de entrada. Todo dado recebido é validado no servidor antes de ser gravado (tipo de arquivo, tamanho, formato dos campos).
• Segregação de finalidade. O alerta interno recebe o mínimo - nome, e-mail e protocolo - e nunca os seus documentos.
• Trilha de auditoria. Eventos relevantes do caso ficam registrados, com autor e carimbo de tempo.
• Princípio do menor privilégio. Cada fornecedor recebe apenas o dado de que precisa para a função dele.

Nenhum sistema é perfeitamente seguro, e desconfie de quem disser o contrário.
O que garantimos é diligência, correção rápida e transparência.

Se acontecer um incidente

Em caso de incidente de segurança que possa acarretar risco ou dano relevante a você, vamos:

1. Conter o incidente e apurar a extensão.
2. Comunicar a ANPD e você, em prazo razoável, conforme o art. 48 da LGPD.
3. Informar, de forma clara: quais dados foram afetados, quais os riscos, o que já fizemos e o que você pode fazer.

Não vamos esconder, não vamos minimizar e não vamos esperar você descobrir sozinho.

Encontrou uma falha?

Se você identificou uma vulnerabilidade no nosso site, escreve para o encarregado.
Não vamos processar quem reporta de boa-fé, sem explorar o acesso além do necessário para demonstrar o problema, e sem divulgar antes da correção.

13. Seus direitos

O art. 18 da LGPD te dá os seguintes direitos sobre os seus dados. Todos são gratuitos.

Como exercer

Escreva para , do e-mail que você usou no formulário, dizendo qual direito quer exercer.
Se tiver o código de protocolo em mãos, inclua - acelera muito.

Prazo de resposta: até 15 dias da solicitação, conforme o art. 19, II, da LGPD.

Verificação de identidade.
Antes de entregar ou apagar dado, precisamos ter certeza de que é você mesmo.
Podemos pedir confirmação por um segundo canal - por exemplo, responder do e-mail cadastrado e confirmar pelo telefone do caso.
Isso protege você: sem essa checagem, qualquer pessoa poderia pedir cópia dos seus documentos se dizendo você.
Não vamos pedir documento de identidade sem necessidade, e o que for enviado para essa checagem é eliminado logo após a verificação.

Se a gente negar.
Se não pudermos atender a um pedido - por exemplo, eliminar um dado que a lei nos obriga a guardar por 5 anos - vamos dizer isso claramente, dizer por quê, e apontar a base legal. Não vamos simplesmente ignorar.

14. Cookies e armazenamento local

Não usamos cookies.
Nem próprios, nem de terceiros, nem de sessão, nem de rastreamento.
Não há banner de cookies neste site porque não há cookies para consentir.

O que existe é armazenamento local no seu próprio navegador (localStorage), com uma única função: salvar o rascunho do formulário enquanto você preenche.

• O que guarda: os campos que você já digitou - inclusive nome, e-mail, telefone e a descrição do caso.
• Onde fica: exclusivamente no seu dispositivo. Não é enviado a lugar nenhum enquanto você não clicar em enviar.
• Por quê: para você não perder o que escreveu se recarregar a página, cair a conexão, ou precisar sair e voltar.
• Como apagar: envie o formulário (o rascunho é descartado) ou limpe os dados do site no seu navegador.

Se você preenche o formulário num computador compartilhado, vale saber disso: o rascunho fica ali até você enviar ou limpar.

A hospedagem (Cloudflare) pode registrar dados técnicos de conexão para segurança e mitigação de ataque, como descrito na seção 4. Isso não é rastreamento publicitário e não constrói perfil seu.

15. Menores de idade

Nosso serviço é destinado a profissionais e empresas, e não a menores de 18 anos.
Não coletamos intencionalmente dados de crianças ou adolescentes.
Se identificarmos que recebemos dado de menor sem a base legal adequada (art. 14 da LGPD), vamos eliminá-lo.
Se você é responsável e acredita que isso aconteceu, escreve para o encarregado.

16. Alterações nesta política

Podemos atualizar esta política - a lei muda, os fornecedores mudam, o produto muda.

• A versão e a data da última atualização ficam sempre no topo do documento.
• Mudanças materiais - nova finalidade, novo fornecedor com acesso ao seu dado, mudança de prazo de retenção - serão comunicadas de forma destacada, e por e-mail a quem tiver caso ativo.
• Mudanças de redação, correção de erro e esclarecimento entram sem aviso individual.
• O histórico de versões fica no fim deste documento.

Continuar usando o serviço após uma alteração significa que você está ciente da versão vigente. Isso não substitui consentimento, quando ele for exigido - nesse caso, pedimos de novo, explicitamente.

17. Contato e reclamação

Para qualquer assunto de privacidade, fale com o encarregado:

Para assuntos gerais: contato@deuruimnocomex.com.br

Se você não ficar satisfeito com a nossa resposta, você pode reclamar à autoridade:

Autoridade Nacional de Proteção de Dados (ANPD)
https://www.gov.br/anpd
Canal de peticionamento do titular disponível no site da autoridade.

Preferimos resolver diretamente com você. Mas o direito de reclamar é seu, e está no art. 18, VI.

18. Lei aplicável

Esta política é regida pela legislação brasileira, em especial:

• Lei 13.709/2018 - Lei Geral de Proteção de Dados Pessoais (LGPD).
• Lei 12.965/2014 - Marco Civil da Internet.
• Lei 8.078/1990 - Código de Defesa do Consumidor, no que aplicável.
• Resolução CD/ANPD nº 19/2024 - Transferência internacional de dados.
• Resolução CD/ANPD nº 2/2022 - Aplicação da LGPD a agentes de tratamento de pequeno porte, se e enquanto aplicável.

Histórico de versões