Política de Privacidade da Oiko

Esta Política explica quais dados a Oiko trata, para quê, com quem eles são compartilhados e quais são os direitos de quem aparece nesses registros.

Ela vale para a plataforma disponível em app.oikohub.com e para o site oikohub.com. A Oiko é desenvolvida e operada pela REW HUB Comunicação e Marketing LTDA, CNPJ 64.364.377/0001-02, com sede na Alameda Rio Negro, 503, Sala 2020, Alphaville Centro Industrial e Empresarial, Barueri/SP, CEP 06454-000.

1. Quem é responsável por quais dados

A Oiko trabalha com dois conjuntos de dados, e o papel dela muda em cada um.

Dados da conta e do contrato. Nome, e-mail e função dos usuários, dados cadastrais da organização, registros de suporte e de cobrança. Aqui a Oiko é a controladora: ela decide o que coletar e para quê.

Dados operacionais inseridos pela organização. Tudo que a organização cadastra na plataforma: itens de patrimônio, estoques, conferências, ordens de serviço, solicitações de compra e os nomes de pessoas que aparecem nesses registros. Aqui quem decide é a organização cliente, que é a controladora desses dados. A Oiko é a operadora: trata esses dados apenas para operar o serviço, seguindo as instruções da organização.

Na prática: se você é voluntário ou colaborador de uma organização que usa a Oiko e quer saber por que seu nome está num registro de patrimônio, quem responde é a sua organização. A Oiko apoia, mas não decide por ela.

2. Dados que a plataforma trata

2.1 Dados de usuários da plataforma

Coletados quando um administrador da organização cria o acesso:

A Oiko não pede nem armazena CPF, RG, data de nascimento, endereço residencial, telefone pessoal, dado bancário ou qualquer dado sensível de usuário.

A senha nunca é vista pela Oiko. Ela é tratada pelo Supabase Auth, que guarda apenas um hash, e o sistema não tem como recuperá-la em texto: só é possível definir uma nova.

2.2 Dados da organização cliente

Razão social, nome de exibição, CNPJ, endereço, telefone institucional, e-mail institucional e site. São dados da pessoa jurídica, cadastrados na contratação.

2.3 Dados operacionais

O que a organização registra no uso normal da plataforma:

• patrimônio: descrição do item, número, valor, localização, situação e o nome do responsável por ele;
• estoque: produtos, saldos, movimentações e quem executou cada retirada;
• conferências e auditorias: contagens, divergências e o autor de cada registro, com data e hora;
• ordens de serviço: descrição do serviço, fornecedor, custo e quem assinou;
• solicitações de compra: item pedido, justificativa, valor estimado e quem pediu, com o histórico de aprovação;
• unidades e setores: estrutura da organização.

Boa parte desses registros guarda quem fez e quando. Isso é o núcleo do produto: é o que transforma um inventário em prestação de contas. Por consequência, esses registros contêm dados pessoais de colaboradores e voluntários, e é por isso que eles aparecem nesta Política.

2.4 Solicitações de compra enviadas por link público

A organização pode divulgar um link público para receber solicitações de compra de pessoas que não têm conta na plataforma. Esse formulário coleta:

• nome de quem solicita;
• um contato informado por quem solicita (normalmente e-mail ou telefone);
• ministério, departamento ou setor;
• o que está sendo pedido, quantidade, valor estimado e justificativa.

Quem decide divulgar esse link, e onde, é a organização. Ela é a controladora desses dados.

2.5 Dados técnicos

• Endereço IP: usado no momento da requisição para limitar tentativas em rotas sensíveis, como login e recuperação de senha. Esse controle é mantido em memória do servidor e não é gravado no banco de dados.
• Registros de erro e operação gerados pela infraestrutura de hospedagem, necessários para investigar falhas.

3. Para que a Oiko usa esses dados

A Oiko não usa esses dados para publicidade, não faz perfilamento de usuários, não vende dados e não os cede a terceiros para fins comerciais.

4. Autenticação

O acesso à plataforma usa o Supabase Auth. Em termos práticos:

• não existe cadastro público: toda conta nasce de convite de um administrador da organização ou do provisionamento feito na contratação;
• o convite e a recuperação de senha chegam por e-mail, com link de validade limitada e uso único;
• a sessão é mantida por cookie, descrito na seção 8;
• a verificação em duas etapas está disponível e é opcional: cada organização decide se adota;
• administradores da organização podem suspender ou remover acessos a qualquer momento.

5. Com quem os dados são compartilhados

A Oiko usa três fornecedores, todos necessários para o serviço funcionar. Nenhum deles recebe dados para uso próprio.

Além desses, os dados podem ser compartilhados:

• com a própria organização cliente, que é quem enxerga os seus registros;
• quando houver obrigação legal ou determinação de autoridade competente;
• em caso de reorganização societária, mantendo-se as condições desta Política, com aviso prévio às organizações clientes.

5.1 Transferência internacional

Os dados são armazenados e processados fora do Brasil, nos Estados Unidos. Isso é uma consequência direta da infraestrutura descrita acima e vale desde o primeiro dia de uso.

A LGPD permite a transferência internacional quando ela é necessária para a execução do contrato. É esse o caso aqui, e a organização cliente toma conhecimento disso ao contratar.

6. Segurança

Controles que existem hoje na plataforma:

• isolamento por organização aplicado no banco de dados, por políticas de acesso por linha, e não apenas na interface;
• escopo por unidade: um usuário restrito só enxerga as unidades às quais foi vinculado;
• papéis de permissão: administrador, responsável e visualizador, com o que cada um pode alterar definido no servidor;
• contas apenas por convite, sem cadastro público;
• verificação em duas etapas disponível, de adoção opcional;
• senhas tratadas exclusivamente pelo serviço de autenticação, guardadas como hash;
• tráfego cifrado (HTTPS) entre o navegador e a plataforma;
• limite de tentativas em login e recuperação de senha;
• respostas neutras na recuperação de senha, que não revelam se um e-mail está ou não cadastrado;
• trilha de auditoria: registros operacionais guardam autor e data;
• segredos fora do código, mantidos como variáveis de ambiente e não versionados.

Nenhum sistema é imune. A Oiko não afirma segurança absoluta, não possui certificação de segurança da informação e não passou por auditoria externa até esta data. Se essa afirmação mudar, esta seção muda junto.

Em caso de incidente de segurança com risco relevante aos titulares, a Oiko comunica as organizações clientes afetadas e a autoridade competente, na forma da lei.

7. Por quanto tempo os dados ficam guardados

Enquanto a organização for cliente, os dados dela permanecem disponíveis na plataforma. É isso que dá utilidade ao histórico: um item comprado há cinco anos precisa manter a linha do tempo dele.

Encerrado o contrato, os dados são mantidos por um período de recuperação e depois eliminados, salvo o que a Oiko precise reter por obrigação legal, como registros fiscais.

Antes do encerramento, a organização deve exportar o que quiser preservar, usando os recursos de relatório e exportação da plataforma.

8. Cookies e dados técnicos

A Oiko usa apenas cookies necessários ao funcionamento:

Não há cookies de publicidade, de análise de audiência, de redes sociais nem qualquer rastreador de terceiros, nem na plataforma nem no site institucional. Não usamos Google Analytics ou ferramenta equivalente.

Como só existem cookies essenciais, não há banner de consentimento a exibir. Se isso mudar, esta seção muda antes.

9. Direitos de quem aparece nos dados

A LGPD garante a qualquer pessoa o direito de:

• confirmar se há tratamento de dados a seu respeito;
• acessar esses dados;
• corrigir dado incompleto, inexato ou desatualizado;
• pedir anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desacordo com a lei;
• pedir a portabilidade;
• saber com quem os dados foram compartilhados;
• se opor a tratamento feito com base em legítimo interesse.

Como exercer. Depende de qual dado é:

• usuário da plataforma ou pessoa que aparece nos registros operacionais de uma organização (patrimônio, solicitação de compra, ordem de serviço): fale primeiro com a organização, que é a controladora desses dados. Ela tem, na própria plataforma, os recursos para corrigir e remover;
• dados de conta e de contrato, em que a Oiko é a controladora: escreva para contato@oikohub.com.

Quando a Oiko receber um pedido sobre dado do qual ela é apenas operadora, ela encaminha à organização controladora e avisa quem pediu.

10. Crianças e adolescentes

A Oiko é uma ferramenta de gestão institucional, usada por equipes administrativas. Ela não é destinada a crianças e adolescentes e não coleta dados deles de forma intencional.

Organizações que atuam com público infantil, como o ministério infantil de uma igreja ou uma escola, devem registrar na plataforma apenas dados de patrimônio e de estoque. Cadastrar dados de crianças nos campos de texto da plataforma é uso fora da finalidade e responsabilidade da organização.

11. Alterações desta Política

Esta Política pode mudar quando a plataforma, a operação ou a legislação mudarem. A data da última atualização fica sempre no topo.

Mudanças relevantes são comunicadas às organizações clientes pelo e-mail de contato cadastrado, antes de entrarem em vigor.

12. Contato

contato@oikohub.com

Oiko é um produto da REW HUB Comunicação e Marketing LTDA, CNPJ 64.364.377/0001-02. Site: oikohub.com