Versão 2026-10-14

Política de Privacidade

Esta política explica quais dados o Farol CCT trata, por quê, com quem compartilha, por quanto tempo guarda e como você exerce os seus direitos, nos termos da Lei 13.709/2018 (LGPD).

1. Controlador

Nome fantasia: Farol CCT
Razão social: AILLU INTELIGENCIA TECNOLOGIA E DESENVOLVIMENTO DE SOFTWARE CUSTOMIZAVEL LTDA
CNPJ: 68.505.504/0001-05
Endereço: Rua Pais Leme, 215, Conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150
Site: https://farolcct.com.br

Pedidos relacionados a dados pessoais devem ser feitos pelo canal de atendimento dentro do painel, em Atendimento. É por ali que eles chegam a quem responde.

A aillu é a controladora dos dados de quem usa o Farol CCT: cadastro, acesso, cobrança, carteira, atendimento e uso (itens 3.1 a 3.8). Para o quadro de empregados que um cliente importa da própria folha (item 3.9), a controladora é a empresa cliente, que decide o que enviar e para quê; a aillu é operadora desses dados (LGPD art. 5º, VI e VII, e art. 39) e só os trata para prestar o serviço contratado, conforme as instruções do cliente.

2. A natureza do que tratamos

O Farol CCT é vendido a pessoa jurídica e trabalha essencialmente com dados corporativos: CNPJ das empresas monitoradas, e-mail de trabalho de quem opera a conta e dados de pagamento da empresa contratante. Não tratamos dados sensíveis (LGPD art. 5º, II).

A exceção é a folha de pagamento, quando o cliente decide enviá-la, pela planilha de importação ou pela integração com o sistema de folha (LG, ADP, TOTVS Linha RM ou Senior). Dela o Farol guarda, de cada empregado, matrícula, cargo, CBO (quando o sistema de folha informa), salário-base e data de admissão, e nada além disso: nem nome, nem CPF, nem endereço ou dados bancários. O que vier a mais na planilha ou na resposta do sistema de folha é descartado na leitura, sem ser gravado. É com esses dados que o painel calcula o impacto de cada convenção sobre a folha da empresa. Os detalhes estão no item 3.9.

O texto das convenções e acordos coletivos não é dado pessoal nosso nem seu: é informação pública, publicada pelo Sistema Mediador do Ministério do Trabalho e Emprego, que apenas coletamos, normalizamos e comparamos.

3. Quais dados coletamos e para quê

3.1 Cadastro e acesso

Nome, e-mail e senha (armazenada apenas como hash scrypt, nunca em texto claro). Se você entrou por convite, também o vínculo com a conta que convidou. Finalidade: criar e autenticar a conta, operar a equipe e falar com você sobre o serviço.

Se a sua empresa usa o login pela conta da empresa (SSO) ou cadastra as pessoas automaticamente pelo diretório dela (SCIM), recebemos do provedor de identidade da empresa o nome, o e-mail e o identificador de cada pessoa, e o login passa pelo servidor de identidade da aillu (contas.aillu.com.br).

3.2 Aceite dos termos

No cadastro registramos qual versão dos Termos e desta Política você aceitou, quando e de qual endereço IP. É a prova de que o aceite existiu, e é exigível de nós.

3.3 Cobrança

Nos planos pagos: identificador do cliente e da assinatura no processador de pagamentos, plano contratado e histórico de uso faturável. Não recebemos nem armazenamos o número do cartão - o pagamento acontece inteiramente dentro do Stripe. CPF/CNPJ e endereço de cobrança são coletados pelo Stripe na tela de pagamento, para emissão de nota fiscal.

3.4 Carteira monitorada

Os CNPJs que você cadastra, os rótulos que dá a eles, as convenções acompanhadas, as negociações que acompanha e as anotações da equipe. Finalidade: prestar o serviço contratado e medir a cobrança, que é feita por convenção acompanhada.

3.5 Uso e segurança

Contadores mensais de consultas, chamadas de API e perguntas ao assistente; a data do último uso de cada chave de API; e o endereço IP registrado no momento do aceite dos Termos (item 3.2). Finalidade: aplicar limites de plano, faturar extras e prevenir fraude e abuso.

Os servidores também escrevem registros técnicos de requisição (log de aplicação), que incluem o endereço IP de origem, o navegador, a rota chamada, o horário e, quando há alguém logado, o identificador da conta e o e-mail com parte do endereço mascarada. Eles existem para operar o serviço e investigar incidentes, ficam guardados por até 90 dias na ferramenta de monitoramento da aillu, também no Google Cloud, e são apagados automaticamente depois disso. Não mantemos hoje um registro de acesso a aplicações consultável pelo prazo de 6 meses nos moldes do art. 15 do Marco Civil da Internet.

3.6 Perguntas ao Sindi e tickets

O texto das perguntas feitas ao assistente e das solicitações abertas no atendimento, com o nome de quem escreveu e os e-mails de quem deve ser avisado da resposta. As solicitações também são registradas na central de atendimento da aillu (atendimento.aillu.com.br), com o nome e o e-mail de quem abriu. Finalidade: responder, manter o histórico da conta e melhorar o serviço.

3.7 Webhooks

Nos planos que incluem, a URL do endpoint que você cadastra, o segredo de assinatura e o histórico de entregas (status, tentativas, código de resposta).

3.8 Visita ao site público e contato comercial

Nas páginas públicas - a página inicial, os formulários de contato e de cadastro e estas páginas legais - registramos quais páginas você abriu, de onde chegou (o anúncio, a busca ou o link que trouxe você) e o identificador do navegador gravado em cookie. Quando você envia o formulário “Fale com um especialista” ou cria uma conta, os dados que você digitou nesse formulário são enviados também para a nossa ferramenta de gestão comercial: nome, e-mail, telefone (quando informado), empresa, CNPJ, segmento e quantidade de convenções. Finalidade: atender o contato comercial e medir quais campanhas trazem clientes.

Três coisas que essa medição não faz. Ela não acompanha o que você faz dentro do painel: as tags de publicidade e a ferramenta comercial não são carregadas em nenhuma tela da área logada. Ela não captura os formulários de entrar e de redefinir senha - quem entra na conta é cliente, não é contato comercial, e essas telas ficam deliberadamente fora da captura. E ela nunca recebe senha: o campo de senha é excluído na origem.

3.9 Quadro de empregados (importação da folha)

Quando o cliente importa a folha de uma empresa da carteira, pela planilha da tela de importação ou pela integração com o sistema de folha (LG, ADP, TOTVS Linha RM ou Senior), guardamos, de cada empregado:

a matrícula, o número que a própria empresa dá ao empregado;
o cargo e, quando o sistema de folha informa, o CBO (Classificação Brasileira de Ocupações);
o salário-base;
a data de admissão.

Não guardamos nome, CPF, PIS, endereço, dados bancários nem qualquer outra informação do empregado. Se a planilha trouxer essas colunas, elas são descartadas na leitura e a tela de importação mostra quais foram ignoradas; o arquivo enviado não é guardado. Nas integrações, o Farol pede ao sistema de folha só esses campos ou, quando o sistema devolve a ficha inteira, lê só esses campos e descarta o resto sem gravar.

Matrícula, cargo, CBO e salário-base ficam cifrados (AES-256-GCM), com uma chave própria para cada conta cliente; a data de admissão é guardada sem cifra, porque é a base do cálculo de prazos e sozinha não identifica ninguém. Também guardamos os totais de cada empresa (número de empregados, salário médio e benefícios médios), digitados na tela ou calculados a partir da folha importada.

Para a integração, guardamos ainda a credencial de acesso ao sistema de folha que o cliente cadastra (usuário e senha, ou certificado, conforme o sistema), também cifrada, e que não é exibida de volta na tela. Ela serve para o Farol ler, no sistema do próprio cliente, o quadro de empregados e, no caso da LG, também a lista de estabelecimentos (CNPJ, município, UF e CNAE) e os sindicatos dos empregados de cada um, de todas as empresas que o usuário de integração enxerga. Dessa lista só é gravado o que o cliente escolher cadastrar na carteira; o resto é descartado.

Finalidade: calcular, empresa a empresa, o impacto das convenções sobre a folha (piso do cargo, reajuste e aviso prévio de cada empregado). Esses dados não têm nenhum outro uso, não são enviados ao assistente Sindi nem a outro fornecedor além da hospedagem (item 5), e o salário de cada empregado só aparece para o titular da conta e para quem ele autorizar.

4. Base legal (LGPD art. 7º)

Execução de contrato (art. 7º, V): cadastro, autenticação, carteira monitorada, alertas, webhooks, API, atendimento e o assistente Sindi. É o que sustenta a maior parte do tratamento - sem esses dados o serviço contratado não existe.
Cumprimento de obrigação legal ou regulatória (art. 7º, II): retenção de documentos fiscais e contábeis.
Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção a fraude e abuso (inclusive o desafio anti-robô no cadastro), medição de uso para faturamento correto e comunicações operacionais sobre o serviço que você contratou.
Exercício regular de direitos (art. 7º, VI): guarda de provas de aceite, de contratação e de entrega.
Consentimento (art. 7º, I): apenas onde for pedido de forma destacada - hoje, para comunicações de marketing, que você pode revogar a qualquer momento sem perder o serviço.
Medição de audiência e publicidade (art. 7º, I - consentimento): saber quantas pessoas visitam o site, quais páginas abrem e quais campanhas trazem contato comercial. Essas ferramentas só são carregadas depois que você aceita no aviso de cookies; se você recusar, ou não responder, nenhuma delas é carregada. Você pode mudar a sua resposta a qualquer momento em Preferências de cookies (item 8).
Quadro de empregados (item 3.9): quem define a base legal é a empresa cliente, controladora desses dados. A aillu, como operadora, trata esses dados apenas para executar o contrato com o cliente e segundo as instruções dele (art. 39).

5. Com quem compartilhamos

Não vendemos dados. Compartilhamos com os operadores necessários para o serviço funcionar e, no site público, com as plataformas que medem a nossa própria publicidade - listadas abaixo e limitadas às páginas públicas:

Stripe - processamento de pagamentos e assinaturas. Recebe os dados de cobrança e o identificador da conta. Servidores nos Estados Unidos e na União Europeia.
Asaas - emissão da nota fiscal de serviço (NFS-e) de cada pagamento. Recebe o nome ou a razão social, o CPF ou CNPJ, o e-mail e o endereço do comprador e o valor pago. Empresa brasileira.
Anthropic PBC - modelo de linguagem que responde pelo assistente Sindi. Recebe a pergunta que você digita, as mensagens anteriores da mesma conversa, o assunto e o texto de cada solicitação aberta em Atendimento (que o Sindi tenta responder antes de uma pessoa, inclusive os pedidos sobre dados pessoais feitos por esse canal), a lista das convenções que a sua conta acompanha (com os rótulos que você deu a elas) e os trechos de convenção usados como contexto. Servidores nos Estados Unidos. Nenhum dado de cadastro, de cobrança ou do quadro de empregados é enviado junto.
SendGrid (Twilio) - envio dos e-mails transacionais (alerta de mudança, redefinição de senha, avisos da conta). Recebe o nome e o e-mail do destinatário e o conteúdo da mensagem. Servidores nos Estados Unidos.
Google Cloud - hospedagem da aplicação, do banco de dados (inclusive o quadro de empregados e a credencial da folha do item 3.9, cifrados), das cópias de segurança e dos registros técnicos, e guarda dos segredos de configuração. Região us-east1, nos Estados Unidos.
Cloudflare - desafio anti-robô (Turnstile) na tela de cadastro. Recebe o endereço IP e sinais do navegador de quem tenta criar conta.
RD Station (Resultados Digitais) - ferramenta de gestão comercial. Recebe o que você digita nos formulários públicos de contato e de cadastro (item 3.8) e as páginas que visitou antes de enviá-los. Não recebe nada do que acontece dentro do painel. Servidores no Brasil.
Google (Analytics, Tag Manager e Google Ads) - medição de audiência e das campanhas de anúncio. Recebe as páginas do site público que foram abertas, o identificador do navegador e o sinal de que uma conta foi criada ou uma assinatura contratada. Servidores nos Estados Unidos.
OpenAI - medição das campanhas de anúncio veiculadas na plataforma dela. Recebe o mesmo tipo de sinal: página aberta, abertura da tela de cadastro e compra concluída, esta última com o valor pago e o identificador da compra. Não recebe o seu nome, o seu e-mail nem os dados da sua carteira. Servidores nos Estados Unidos.
Consulta pública de CNPJ (BrasilAPI, OpenCNPJ e ReceitaWS) - recebe só o número do CNPJ que você cadastra, para trazer o cadastro público da empresa na Receita Federal. Nenhum dado seu ou dos empregados vai junto.

Também podemos compartilhar dados com autoridade pública quando houver ordem legal, e com assessoria jurídica ou contábil sob dever de sigilo.

5.1 Transferência internacional

Os servidores do Farol CCT ficam nos Estados Unidos (Google Cloud, região us-east1), assim como os de vários fornecedores acima. Por isso há transferência internacional de dados (LGPD art. 33) de todos os dados que o Farol guarda, inclusive do quadro de empregados importado pelo cliente. Ela ocorre porque é necessária à execução do contrato que você celebrou conosco e está amparada nas cláusulas contratuais e nos compromissos de proteção de dados firmados com cada um desses fornecedores.

6. Por quanto tempo guardamos

Enquanto a conta existir: cadastro, carteira monitorada, tickets, chaves de API, webhooks e contadores de uso.
Quadro de empregados: enquanto a empresa estiver na carteira. Cada nova importação substitui a anterior por inteiro, então quem saiu da folha enviada sai também do Farol; remover a empresa da carteira apaga o quadro dela; excluir a conta apaga o de todas.
Credencial do sistema de folha: até o cliente desconectar a integração ou excluir a conta. Desconectar apaga a credencial e mantém o último quadro importado.
Registros técnicos de requisição: até 90 dias, apagados automaticamente. Não há consulta a esses registros por titular.
Cópias de segurança: o banco de dados é copiado toda noite. As cópias diárias são apagadas em 30 dias, as semanais em 90 dias e as mensais em um ano. Um dado excluído do Farol deixa de existir também nas cópias conforme elas vencem, em no máximo um ano. As cópias só são usadas para recuperar o serviço e para testar essa recuperação.
Documentos fiscais e financeiros: pelo prazo exigido pela legislação fiscal brasileira, ainda que a conta tenha sido excluída.
Prova de aceite dos Termos: mantida enquanto puder ser exigida de nós, sem o endereço IP após a exclusão da conta.
Texto das convenções: mantido indefinidamente. É dado público e o histórico entre versões é o próprio produto - ele não identifica você.

7. Seus direitos (LGPD art. 18)

Como titular, você pode a qualquer momento pedir:

confirmação da existência de tratamento;
acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
portabilidade a outro fornecedor, mediante requisição expressa;
eliminação dos dados tratados com base no consentimento;
informação sobre com quem compartilhamos os seus dados;
informação sobre a possibilidade de não consentir e sobre as consequências da negativa;
revogação do consentimento.

7.1 Como exercer

Pelo painel, em Conta → Excluir conta, você mesmo dispara a exclusão: se houver assinatura ativa no Stripe, ela é cancelada primeiro, e só então apagamos ou anonimizamos os dados pessoais - nessa ordem, para que nenhum cartão continue sendo cobrado por uma conta que deixou de existir. Se o cancelamento não puder ser confirmado, nada é apagado e o pedido falha com um aviso. Para os demais pedidos - acesso, correção, portabilidade, informação sobre compartilhamento - abra um chamado em Atendimento, no painel. Respondemos em até 15 dias.

7.2 O que a exclusão faz, exatamente

O alcance depende de quem pede, porque a carteira monitorada, os tickets e a fatura pertencem à conta contratante e não a cada pessoa que a opera.

Se você é o titular da conta

A exclusão alcança a conta inteira - você e os membros da sua equipe:

Apagamos: sessões abertas, tokens de redefinição de senha, links de confirmação de e-mail, o registro dos alertas e resumos enviados por e-mail, chaves de API, convites pendentes, CNPJs e convenções monitoradas e, com cada empresa, o quadro de empregados e os totais da folha, a credencial do sistema de folha, os sites de sindicato cadastrados à mão e o que foi lido neles, negociações e comentários, tickets e mensagens, assinaturas de webhook e o histórico de entregas, e o contato deixado nos formulários do site com o mesmo e-mail.
Anonimizamos: o registro de cada pessoa da conta. Nome e e-mail são substituídos por valores sem conteúdo pessoal, a senha é inutilizada e o registro deixa de permitir qualquer acesso.

Se você é membro de uma equipe

A exclusão alcança você, e não a conta de quem o convidou:

Apagamos: as suas sessões abertas, os seus tokens de redefinição de senha, os seus links de confirmação de e-mail, o registro dos alertas e resumos enviados a você, as suas chaves de API, qualquer convite pendente endereçado ao seu e-mail e o contato que você deixou nos formulários do site com esse e-mail.
Anonimizamos: o seu registro, como acima, e o seu nome nos tickets, mensagens e comentários que permanecem com a conta.
Permanecem com o titular: os CNPJs e as convenções monitoradas, o quadro de empregados importado, a credencial do sistema de folha, as negociações, os tickets e as assinaturas de webhook da conta. São dados da empresa contratante, e não seus; para que também sejam eliminados, o pedido tem de partir do titular da conta.

O que sobra nos dois casos, e por quê

Quando o dever legal de guarda conflita com a eliminação, o dado fica pelo prazo da lei. A nota fiscal de cada pagamento é mantida como foi emitida, com o nome ou a razão social, o CPF ou CNPJ, o e-mail e o endereço do comprador. O registro do aceite dos Termos é mantido pseudonimizado: guardamos a versão e a data do aceite, sem o endereço IP e sem os campos que identificam a pessoa. Os contadores mensais de uso, que sustentam a fatura, também permanecem, e passam a apontar para um registro que não identifica ninguém. É o que a LGPD, no art. 16, II, permite expressamente.
Permanecem também dois marcadores do período de teste: o CNPJ que a conta declarou no cadastro e um código irreversível derivado do e-mail usado para se cadastrar - um resumo criptográfico, do qual o endereço não pode ser recuperado. Os dois existem para uma única pergunta: esta empresa já usou os 7 dias de teste. Sem eles, excluir a conta seria a forma de obter um segundo período gratuito. O nome da empresa, o segmento e a quantidade de convenções declarada são apagados junto com o resto.
Os registros técnicos e as cópias de segurança não são editados um a um: o que foi apagado some deles quando vencem, em até 90 dias e em até um ano, respectivamente (item 6).
O contato enviado à nossa ferramenta comercial (RD Station, item 5) não é apagado automaticamente lá. Se quiser que ele também seja removido, peça em Atendimento antes de excluir a conta.

7.3 Se você é empregado de um cliente

O Farol não guarda o seu nome nem o seu CPF: do quadro importado pela sua empresa constam só matrícula, cargo, CBO, salário-base e data de admissão (item 3.9). A controladora desses dados é a sua empresa, e é a ela que você deve dirigir pedidos de acesso, correção ou eliminação. Ela pode corrigir ou retirar o seu registro enviando uma nova folha, que substitui a anterior, ou nos pedir pelo Atendimento. Se o pedido chegar direto a nós, encaminhamos à empresa.

8. Cookies

A sua escolha. Na primeira visita, um aviso no rodapé pergunta se você aceita os cookies que não são essenciais. Enquanto você não aceitar, nenhuma ferramenta de medição ou de publicidade é carregada - recusar, ou simplesmente não responder, tem o mesmo efeito, e o site funciona igual. A resposta vale por seis meses e pode ser alterada a qualquer momento em Preferências de cookies, também disponível no rodapé do site. Se você retirar um aceite, apagamos os cookies dessas ferramentas que estiverem ao nosso alcance e recarregamos a página sem elas.

Essencial. farol_consent guarda a sua resposta ao aviso de cookies, para que ele não seja exibido de novo a cada página. farolcct_session guarda o seu token de sessão. Ele é httpOnly (inacessível ao JavaScript da página), restrito ao domínio e transmitido apenas por HTTPS. Sem ele não há como manter você autenticado. O desafio anti-robô da Cloudflare, presente apenas na tela de cadastro, pode gravar um cookie próprio de curta duração.

Medição de audiência (só com o seu aceite). Usamos o Google Analytics para saber quantas pessoas visitam o site e quais páginas elas abrem. Ele grava dois cookies próprios, _ga e _ga_PV1Z9P4396, que distinguem uma visita da seguinte. São cookies de primeira parte, deste domínio. O que medimos são as páginas abertas, inclusive as da área logada; o conteúdo do que você cadastra ou consulta no painel não é enviado.

Publicidade e contato comercial (só com o seu aceite). Três ferramentas gravam cookies para ligar um anúncio ao contato que ele gerou. O RD Station identifica o visitante e guarda a origem da visita (o anúncio, a busca ou o link que trouxe você) e, pela configuração da nossa conta, carrega junto tags do Google: os cookies _ga e _ga_<id>, de medição de audiência, e _gcl_au, que liga o clique no anúncio ao que aconteceu depois - este último gravado a partir de doubleclick.net, domínio de terceiro. O Google Tag Manager, quando ativado, carrega as tags de conversão do Google Ads. E o pixel do GPT Ads, da OpenAI, grava __obref e __oppref com a mesma finalidade. O RD Station, que lê formulários, é carregado apenas nas páginas públicas e nunca nas telas da área logada; o Google Tag Manager e o registro de acesso do GPT Ads acompanham todas as páginas do site.

O que não fazemos. Não usamos esses cookies para montar perfil de comportamento fora do nosso site, não os cruzamos com o que você faz dentro do painel e não vendemos o que eles registram. Para recusá-los basta responder “Recusar” no aviso de cookies, ou retirar o aceite em Preferências de cookies; o site continua funcionando igual e o formulário de contato continua chegando até nós.

9. Segurança

Tráfego cifrado em TLS; senhas em hash scrypt; tokens de sessão e chaves de API guardados apenas como hash SHA-256, de modo que nem nós podemos lê-los depois de emitidos; quadro de empregados e credencial da folha cifrados em AES-256-GCM, com uma chave por conta derivada de uma chave-mestra guardada fora do banco de dados; salário individual visível só para o titular e para quem ele autorizar; segredos de configuração em cofre gerenciado do Google Cloud; entregas de webhook assinadas em HMAC-SHA256; limites de tentativa nas rotas de autenticação; e escopo por conta em toda consulta ao banco. Nenhuma medida elimina risco: em caso de incidente de segurança relevante, comunicaremos você e a ANPD nos termos do art. 48 da LGPD. Se o incidente envolver o quadro de empregados, avisamos a empresa cliente, controladora desses dados, para que ela faça as comunicações que a lei atribui a ela.

10. Crianças e adolescentes

O serviço é destinado a profissionais e a pessoas jurídicas. Não o oferecemos a menores de 18 anos. O quadro de empregados importado por um cliente pode incluir aprendizes menores de 18 anos; como o Farol não guarda data de nascimento, não os distingue dos demais, e esses registros seguem as mesmas regras do item 3.9, sob as instruções da empresa cliente.

11. Alterações desta política

A versão vigente é sempre a publicada nesta página, identificada pela data no topo. Alterações relevantes são comunicadas por e-mail antes de entrarem em vigor.

12. Encarregado e canal de atendimento

A AILLU INTELIGENCIA TECNOLOGIA E DESENVOLVIMENTO DE SOFTWARE CUSTOMIZAVEL LTDA (CNPJ 68.505.504/0001-05) nomeou como Encarregado(a) pelo Tratamento de Dados Pessoais BRUNA DIAS TEIXEIRA.

Para exercer seus direitos, esclarecer dúvidas ou fazer reclamações, escreva para dpo@aillu.com.br. Respondemos em até 15 dias.

Quando a aillu atua como operadora, encaminhamos o pedido à empresa cliente (controladora) e apoiamos a resposta.

Veja também os Termos de Uso.

Bandeiras de países: Twemoji (Twitter, Inc. e colaboradores), licença CC-BY 4.0