Política de privacidade
O que fazemos com os dados de quem usa o yHandshake, em linguagem direta.
Contato e encarregado
O yHandshake é um sistema de compras para empresas, oferecido pela internet. Esta política vale para quem visita o site, para os usuários de empresas compradoras e fornecedoras, para convidados e para as pessoas cujos dados aparecem nas compras feitas pelo sistema.
O canal de privacidade e do encarregado pelo tratamento de dados pessoais é privacidade@yhandshake.com. Por ele você faz pedidos sobre os seus dados, tira dúvidas e envia reclamações. Para o resto, fale com suporte@yhandshake.com.
Nosso papel
Somos controladores quando decidimos por que e como tratar os dados: o cadastro de usuários, o login, a cobrança da assinatura, o atendimento, a segurança do serviço e as nossas próprias comunicações.
Somos operadores quando tratamos os dados que uma empresa cliente coloca nas compras dela: pedidos de compra, aprovações, cotações, propostas, lances, pedidos, recebimentos, notas fiscais e a situação de cada fornecedor. Nesses casos, quem decide é a empresa cliente, e nós seguimos as instruções dela.
Comprador e fornecedor são controladores dos dados que trocam entre si, cada um com as suas obrigações. Se você nos procurar sobre um dado que é de responsabilidade de outra empresa, encaminhamos o pedido e dizemos a quem recorrer, sem deixar de atender a parte que cabe a nós.
Dados que tratamos
| Tipo | Exemplos e origem |
|---|---|
| Empresa | Nome, CNPJ, endereço, ramo de atividade e dados para cobrança, informados pela empresa ou obtidos de fonte pública, como a consulta de CNPJ da Receita Federal. |
| Usuários e representantes | Nome, e-mail de trabalho, cargo, telefone de trabalho quando necessário, empresa e permissões, informados pelo próprio usuário ou pelo administrador da empresa. |
| Acesso e segurança | E-mail, pedidos e confirmações do código de acesso, sessão, endereço IP, data e hora, navegador e tentativas de acesso. |
| Compras e vendas | Pedidos de compra, aprovações, cotações, propostas, lances, pedidos, recebimentos, mensagens e o histórico de cada decisão. |
| Situação dos fornecedores | Aprovado, pendente ou bloqueado, com o motivo escrito pelo comprador. |
| Notas fiscais | Arquivo e dados da NF-e: emitente, destinatário, itens, valores e protocolos, enviados pela empresa ou por uma integração que ela autorizou. |
| Cobrança da assinatura | Quem paga, plano, valores, pagamentos e situação de cada cobrança. |
| Convites | Nome e e-mail de trabalho de quem foi convidado, quem convidou, data e se o convite foi aceito ou recusado. |
| Perfil público | Os dados da empresa que o administrador escolhe mostrar no perfil público de fornecedor. |
| Atendimento | O que você nos escreve e o necessário para responder. |
Não pedimos dados sensíveis, como saúde, biometria, religião ou filiação sindical, nem dados de crianças ou adolescentes. Não envie esse tipo de informação pelo sistema.
O acesso é só por e-mail e um código enviado para esse e-mail. Não existe senha do yHandshake, login social nem login corporativo (SSO).
Para que usamos e com que base legal
| Para quê | Base na LGPD |
|---|---|
| Criar e manter a conta, identificar quem representa a empresa e dar suporte | Execução de contrato quando você é parte dele (art. 7º, V); legítimo interesse para contatos de representantes (art. 7º, IX). |
| Enviar o código de acesso e proteger as sessões | Execução de contrato e legítimo interesse na segurança do serviço. |
| Cobrar a assinatura e emitir os documentos fiscais da cobrança | Cumprimento de obrigação legal (art. 7º, II) e execução de contrato. |
| Guardar registros de acesso | Obrigação legal (art. 15 do Marco Civil da Internet). |
| Fazer cotações, leilões, pedidos, conferência de notas e homologação para a empresa cliente | A base é definida pela empresa cliente, que é a controladora; nós seguimos as instruções dela. |
| Entregar convites entre empresas | A empresa que convida escolhe o destinatário e responde pela base; nós fazemos o envio e cuidamos da prevenção de abuso. |
| Publicar o perfil público de fornecedor | Pedido do representante da empresa; dado pessoal opcional só com o consentimento da própria pessoa. |
| Enviar novidades do yHandshake | Consentimento (art. 7º, I). Recusar não impede o uso do serviço. |
| Prevenir fraude e abuso e defender direitos | Legítimo interesse e exercício regular de direitos (art. 7º, VI). |
Quando usamos legítimo interesse, avaliamos antes se o uso é necessário e esperado por você. Aceitar os termos de uso não é uma autorização geral para novos usos. Se você revogar um consentimento, paramos o que dependia dele.
Convites e perfis públicos
Todo convite diz qual empresa está convidando e para quê, e permite recusar. Receber ou abrir um convite não faz de ninguém cliente pagante. Depois de uma recusa, guardamos só o mínimo para não enviar de novo o mesmo convite.
O perfil público de fornecedor só existe se o administrador da empresa decidir publicá-lo, e ele vê antes o que vai aparecer. CPF, dados bancários, propostas, lances e a avaliação que um comprador faz do fornecedor nunca são públicos. Se o perfil for retirado, apagamos a página do nosso lado e pedimos a remoção aos buscadores; cópias guardadas por terceiros fogem do nosso controle.
A comparação de propostas, o ranking do leilão e a situação de um fornecedor são decisões do comprador sobre empresas. Se alguma decisão tomada só por meio automático com dados pessoais afetar você, pode pedir revisão e informações sobre os critérios, como prevê o art. 20 da LGPD.
Com quem compartilhamos
- Pessoas autorizadas da sua empresa, de acordo com as permissões de cada uma.
- A outra empresa da operação. O comprador vê a proposta do fornecedor, e o fornecedor vê o pedido do comprador. Um fornecedor nunca vê a proposta, o preço ou o histórico de outro, nem de outro comprador.
- Prestadores que fazem o serviço funcionar: a Cloudflare (hospedagem, banco de dados, arquivos, envio de e-mail, proteção contra robôs e a leitura automática de listas de compra pelo Workers AI) e o provedor de pagamento que processa a cobrança da assinatura.
- Integrações que a sua empresa ligar, como o ERP, só com os dados que ela autorizar.
- Autoridades e assessores, quando houver base legal e necessidade. Pedidos de autoridades são analisados quanto à competência e ao alcance, e registros de acesso só são entregues nos casos previstos no Marco Civil da Internet.
Não vendemos dados pessoais. Não usamos o conteúdo das suas compras em publicidade, em listas comerciais nem para treinar modelos de inteligência artificial de terceiros.
Quando você pede para o yHandshake ler um texto, PDF ou foto e montar a requisição, o conteúdo vai para um modelo de inteligência artificial que roda na própria Cloudflare. O resultado vira um rascunho que você confere antes de salvar; nada é enviado a fornecedor sem a sua revisão. A Cloudflare não usa esse conteúdo para treinar modelos.
Dados fora do Brasil
A Cloudflare opera uma rede mundial. Por isso, dados podem ser processados ou guardados fora do Brasil, inclusive nos Estados Unidos. Essas transferências seguem o art. 33 da LGPD. Os compromissos da Cloudflare estão no acordo de proteção de dados dela e na lista de suboperadores.
Você pode pedir informações sobre essas transferências pelo canal de privacidade. Usar o serviço não significa consentir com elas.
Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Código de acesso | Deixa de valer quando é usado ou quando expira. |
| Sessão | Até 7 dias, ou até você sair. |
| Registros de acesso | 6 meses, como exige o Marco Civil da Internet. |
| Registros técnicos e de segurança | Até 30 dias, salvo os ligados a um incidente. |
| Cadastro do usuário | Enquanto a conta estiver ativa; até 60 dias depois do encerramento. |
| Dados das compras da empresa | Enquanto a assinatura durar. Depois do encerramento, 30 dias para exportar e exclusão até o 60º dia. |
| Cópias de segurança | Saem de circulação até 90 dias depois da exclusão, no máximo 150 dias depois do encerramento. |
| Convites não aceitos | Até 90 dias do último convite. |
| Atendimento | Até 2 anos depois do fim do atendimento. |
| Aceites e comprovantes de cobrança | Até 5 anos depois do fim da relação, para comprovação e defesa. |
| Documentos fiscais da cobrança | Pelo prazo da obrigação tributária. |
| Notas fiscais da empresa cliente | Pelo prazo que a empresa definir, de acordo com a obrigação fiscal dela. |
| Registros de incidentes de segurança | No mínimo 5 anos, como pede a ANPD. |
O que guardamos por obrigação legal ou para defesa fica separado e não é usado no dia a dia nem em comunicações.
Segurança e incidentes
Cada empresa só vê os próprios dados, e cada usuário só vê o que as permissões dele permitem. As conexões são protegidas, e a nossa equipe só acessa dados de clientes quando é necessário, como num atendimento que você pediu. Nenhum sistema é totalmente imune a falhas, e não prometemos isso.
Se houver um incidente que possa causar risco ou dano relevante, avisamos a ANPD e as pessoas afetadas, em regra em até três dias úteis. Quando o dado for de uma empresa cliente, avisamos a empresa sem demora e ajudamos no que for preciso.
Seus direitos
Pela LGPD (arts. 18 a 20), você pode pedir, sem custo:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, errados ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei;
- portabilidade dos dados;
- eliminação de dados tratados com seu consentimento, e a revogação desse consentimento;
- a lista de com quem compartilhamos seus dados;
- oposição a um tratamento que descumpra a lei e revisão de decisões automatizadas.
Escreva para privacidade@yhandshake.com. Você não precisa ter conta nem assinatura. Podemos pedir uma confirmação simples de identidade, mas nunca o seu código de acesso. Respondemos em até 15 dias. Se algum dado precisar ficar guardado, por exemplo uma nota fiscal, explicamos qual, por quê e até quando.
Você também pode reclamar à ANPD.
Mudanças nesta política
A data da versão fica no topo desta página. Se uma mudança for relevante, avisamos antes de ela valer. Um uso novo que dependa de consentimento só começa depois que você concordar.