Quem somos e a quem esta política se aplica
O NewCharge é uma plataforma on-line (SaaS) operada pela HDT Energy para empresas do setor de eletropostos: integradores, revendas e operadoras de pontos de recarga. Pela plataforma, essas empresas avaliam locais para instalar carregadores, organizam o seu funil de vendas (CRM) e preparam cotações e propostas.
Esta política explica como tratamos dados pessoais de quem usa a plataforma e de quem aparece nos dados que as empresas clientes cadastram nela. Ela segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014).
Quem decide sobre os seus dados
A LGPD separa quem decide sobre o tratamento (o controlador) de quem trata em nome de outro (o operador). No NewCharge os dois papéis existem:
- A HDT Energy é controladora dos dados das contas de acesso (nome, e-mail, papel, senha, verificação em duas etapas), dos registros de acesso e de segurança da plataforma e dos registros de consentimento e de aceite deste documento.
- A empresa cliente é controladora dos dados que ela mesma cadastra para o próprio negócio: clientes e contatos do CRM, oportunidades, propostas e pontos avaliados. Nesses dados, a HDT Energy atua como operadora: trata apenas para prestar o serviço contratado e segundo as instruções da empresa cliente, nunca para finalidade própria.
Se você é cliente ou contato de uma empresa que usa o NewCharge, a empresa com quem você se relaciona é a responsável pelos seus dados. Pedidos sobre esses dados devem ir primeiro a ela; se chegarem até nós, encaminhamos e apoiamos a resposta.
Quais dados tratamos
| Categoria | Exemplos | De onde vêm |
|---|---|---|
| Conta de acesso | Nome, e-mail corporativo, empresa, papel (administrador, gestor, vendedor), data do último acesso | Cadastro feito pelo administrador da empresa ou pelo convite aceito por você |
| Credenciais | Senha guardada só como resumo criptográfico irreversível (hash); segredo da verificação em duas etapas guardado cifrado | Você, ao definir a senha e ativar a verificação |
| Dados de CRM | Razão social e CNPJ de empresas, nome, cargo, e-mail e telefone profissionais de contatos, histórico de negociação e propostas | A empresa cliente, que cadastra ou importa |
| Avaliação de pontos | Endereço e coordenadas geográficas do local avaliado, score calculado, observações | A empresa cliente, ao avaliar um ponto |
| Registros de acesso e segurança | Endereço IP, data e hora, navegador, identificador da requisição, trilha de auditoria (quem fez qual ação, quando) | Gerados automaticamente pelo uso |
| Cookies e consentimento | Cookies de sessão, de proteção de formulários e de "lembrar de mim"; a escolha feita no banner de cookies | Seu navegador e as escolhas que você faz |
| Aceites e pedidos LGPD | Versão aceita destes documentos, data, IP pseudonimizado; pedidos feitos em "Meus dados" | Suas ações na plataforma |
O que não pedimos. O CRM não pede CPF nem dados pessoais sensíveis (saúde, religião, biometria e outros do art. 5º, II, da LGPD). Pedimos que as empresas clientes também não cadastrem esse tipo de dado em campos livres. A base de eletropostos do mercado usada para estimar concorrência e preço médio não guarda dados pessoais de quem avaliou ou comentou esses eletropostos.
Para que usamos e com qual base legal
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter a sua conta, autenticar o acesso e prestar o serviço contratado pela sua empresa | Execução de contrato (art. 7º, V) |
| Proteger a plataforma: verificação em duas etapas, limite de tentativas, trilha de auditoria, investigação de incidentes e prevenção a fraudes | Legítimo interesse (art. 7º, IX), em benefício também da segurança da sua conta |
| Guardar registros de acesso à aplicação pelo prazo legal | Cumprimento de obrigação legal (art. 7º, II, e Marco Civil, art. 15) |
| Operar o CRM, as avaliações de pontos e as propostas em nome da empresa cliente | Base definida pela empresa cliente como controladora, em geral execução de contrato ou legítimo interesse |
| Enviar convites, avisos de segurança e comunicados sobre mudanças nestes documentos | Execução de contrato (art. 7º, V) |
| Usar cookies opcionais de preferências ou de métricas, se um dia existirem | Consentimento (art. 7º, I), dado no banner de cookies |
| Guardar provas de aceite e de consentimento e nos defender em processos | Exercício regular de direitos (art. 7º, VI) |
Sempre que usamos o legítimo interesse, tratamos só o necessário, avaliamos o impacto sobre você e respeitamos as suas expectativas legítimas (art. 10).
Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Compartilhamos apenas o necessário com:
- Provedores de infraestrutura que hospedam a aplicação, o banco de dados, as cópias de segurança e o envio de e-mails transacionais. Eles atuam como suboperadores, sob contrato com obrigações de confidencialidade e segurança.
- Serviços de mapa e geocodificação. Os mapas exibem imagens do OpenStreetMap, carregadas pelo seu navegador diretamente dos servidores da OpenStreetMap Foundation, que recebem o seu IP e os dados técnicos do navegador. Quando você busca um endereço, o servidor do NewCharge (e não o seu navegador) consulta o Nominatim do OpenStreetMap e, como alternativa, o serviço de geocodificação do Google, enviando apenas o texto da busca ou as coordenadas. As análises de concorrência consultam bases públicas de eletropostos e de pontos de interesse enviando só coordenadas.
- Fontes tipográficas. Algumas telas, como a de login e a do mapa, carregam fontes do Google Fonts, que recebe o IP e os dados técnicos do navegador ao entregar o arquivo. Essas fontes não instalam cookies.
- Autoridades públicas, quando houver ordem judicial, requisição legal ou para proteger direitos, sempre no limite do que for exigido.
- Sua própria empresa. Administradores da empresa cliente veem os usuários, convites, ações registradas e pedidos LGPD da própria empresa. Uma empresa nunca vê os dados de outra: o isolamento é aplicado no próprio banco de dados.
Transferência internacional
Alguns provedores e serviços citados acima podem processar dados fora do Brasil, como a OpenStreetMap Foundation (Reino Unido), o Google (Estados Unidos) e provedores de nuvem com servidores em outros países. Nesses casos a transferência se apoia nas hipóteses do art. 33 da LGPD, em especial cláusulas contratuais com garantias de proteção equivalentes, nos termos da regulamentação da Autoridade Nacional de Proteção de Dados (ANPD). Você pode pedir ao encarregado a lista atualizada desses provedores e dos países envolvidos.
Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta de acesso | Enquanto a conta estiver ativa. Depois de um pedido de exclusão atendido, a conta é anonimizada: nome e e-mail são substituídos e as credenciais apagadas |
| Registros de acesso à aplicação | No mínimo 6 meses, como exige o Marco Civil da Internet (art. 15) |
| Trilha de auditoria | 5 anos, para segurança e defesa em processos |
| Registros de consentimento de cookies | 5 anos |
| Aceites destes documentos | Enquanto a conta existir e pelo prazo necessário para comprovar o aceite |
| Convites não aceitos | Apagados 90 dias depois de vencer |
| Sessões de acesso | Apagadas depois que expiram |
| Dados de CRM, avaliações e propostas | Enquanto durar o contrato da empresa cliente. No encerramento, são devolvidos ou eliminados conforme o contrato, ressalvadas as hipóteses de guarda do art. 16 da LGPD |
A limpeza dos prazos acima roda automaticamente todo mês.
Seus direitos como titular
A LGPD (art. 18) garante a você, a qualquer momento e sem custo:
- Confirmação de que tratamos os seus dados.
- Acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
- Portabilidade dos dados a outro fornecedor, observada a regulamentação da ANPD.
- Eliminação dos dados tratados com base no seu consentimento.
- Informação sobre com quem compartilhamos os seus dados.
- Informação sobre a possibilidade de não consentir e as consequências disso.
- Revogação do consentimento.
Você também pode pedir a revisão de decisões tomadas só por meios automatizados que afetem os seus interesses (art. 20). O score de avaliação de pontos classifica locais a partir de dados de mercado e não toma decisões sobre pessoas.
Como exercer os seus direitos
- Usuários da plataforma: no menu Conta, Meus dados, você vê o que guardamos sobre você, baixa uma cópia completa em formato JSON e pede a exclusão da conta. O pedido de exclusão vai para o administrador da sua empresa, que tem até 15 dias para responder.
- Clientes e contatos cadastrados no CRM de uma empresa: fale com a empresa com quem você se relaciona, que é a controladora desses dados.
- Qualquer pessoa: escreva para o encarregado no e-mail abaixo. Podemos pedir uma confirmação de identidade antes de atender, para proteger os seus próprios dados.
Respondemos em até 15 dias (art. 19). Se não concordar com a resposta, você pode apresentar reclamação à ANPD (art. 18, § 1º).
Encarregado pelo tratamento de dados (DPO)
O encarregado é o canal entre você, a HDT Energy e a ANPD.
- Nome: Encarregado de Proteção de Dados da HDT Energy
- E-mail: hdt@hdt.energy
Como protegemos os dados
- Conexão sempre criptografada (HTTPS).
- Senhas guardadas apenas como hash irreversível; verificação em duas etapas disponível para todas as contas.
- Isolamento entre empresas aplicado no próprio banco de dados (segurança em nível de linha), além das regras da aplicação.
- Papéis e permissões: cada pessoa vê só o que o papel dela permite.
- Trilha de auditoria das ações sensíveis e limite de tentativas contra acesso indevido.
- IP pseudonimizado (hash com chave secreta) nos registros de consentimento e de aceite.
- Cópias de segurança e acesso administrativo restrito à equipe que precisa dele.
Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos a ANPD e os titulares afetados, como determina o art. 48 da LGPD.
Crianças e adolescentes
O NewCharge é uma ferramenta profissional para empresas e não se destina a menores de 18 anos. Não tratamos intencionalmente dados de crianças e adolescentes.
Alterações desta política
Quando esta política mudar, publicamos uma nova versão nesta página, com o número da versão e a data de vigência no topo. Se a mudança for relevante, avisamos dentro do sistema e pedimos que você leia e aceite a nova versão no próximo acesso.
Contato
Dúvidas sobre esta política ou sobre os seus dados: hdt@hdt.energy.
Veja também os Termos de Uso e a Política de Cookies.