Privacidade e dados

O VelloCar é um sistema contratado por uma loja de veículos. Os dados tratados aqui pertencem a ela, que é a controladora; a Vellow Sistemas atua como operadora, tratando os dados conforme a instrução da loja.

Esta página descreve como o sistema é construído em torno da Lei Geral de Proteção de Dados (Lei 13.709/2018). Não é uma declaração de intenção — é a descrição do que o software faz.

Que dados o sistema guarda

• De quem usa o sistema: nome, e-mail, telefone, perfil de acesso, lojas que alcança, data e hora dos acessos e o endereço IP das tentativas de entrada — inclusive as recusadas.
• De quem procura um carro: nome, telefone, e-mail, a origem do contato, o veículo de interesse e o histórico das conversas registradas pelo vendedor. Vem do formulário do site, do telefone, do balcão ou de um canal onde a loja anuncia.
• Do comprador: além do anterior, CPF ou CNPJ, endereço e os dados necessários à documentação da venda e à transferência do veículo.
• Do veículo: placa, chassi, Renavam, marca, modelo, versão, ano, cor, câmbio, combustível, quilometragem, fotos, opcionais, custo de compra, despesas de preparação e o histórico de estados por que passou.
• Da negociação: reservas com ou sem sinal, propostas com valores, entrada, financiamento e veículo dado em troca, aprovações de desconto, a venda, o checklist documental e a entrega.

A placa é um dado pessoal

Placa, chassi e Renavam identificam um veículo e, por ele, uma pessoa. O sistema trata esses campos como dado pessoal: eles não aparecem no site da loja, nem na página do veículo, nem no mapa do site — só na retaguarda, para quem tem acesso à loja que captou o carro.

O que a vitrine mostra e o que ela nunca mostra

O site que o comprador vê é público e não exige senha. Ele mostra o veículo disponível, suas fotos, a ficha técnica e o preço anunciado — e nada além disso. Custo de compra, despesa de preparação, margem e preço mínimo não saem: as consultas públicas nem selecionam essas colunas do banco. Campo que não é lido não vaza por descuido de quem escreveu a próxima tela.

O nome de quem reservou, propôs ou comprou também não aparece — em nenhuma página, em nenhuma listagem, em nenhum endereço adivinhável.

Quem vê o quê

O acesso é recortado por duas dimensões que valem sempre: a conta (o isolamento entre lojas de clientes diferentes) e a unidade (o recorte dentro da mesma rede). Um vendedor de uma loja não abre o funil da outra, e o recorte é refeito no servidor a cada requisição, a partir do banco — não do que o navegador manda.

• Um usuário sem loja vinculada não enxerga nada. É deliberado: o padrão de quem acaba de ser criado tem de ser não ver, não ver tudo.
• Custo e margem só aparecem para administração, gerência, estoque, financeiro e auditoria. O vendedor não vê.
• O perfil de auditoria lê e não escreve nada — nem um campo, nem um comentário.

O que fica registrado

O sistema guarda uma trilha de auditoria com quem fez, o que fez, quando e de qual endereço IP. Entram nela as entradas no sistema (inclusive as recusadas), inclusões, alterações e exclusões, mudanças de preço, mudanças de estado do veículo, reservas e seus encerramentos, aprovações e recusas de desconto, vendas e entregas.

A trilha não aceita alteração nem exclusão — a restrição está no banco de dados, por gatilho, e vale inclusive para quem tem acesso administrativo ao servidor. Uma trilha que pode ser editada não serve para nada: ela existe justamente para o caso em que alguém quer que um registro não tenha existido.

Quando a reserva vence sozinha, a trilha registra a expiração sem nome de pessoa. Foi o relógio, e atribuir isso a um usuário seria mentir sobre quem agiu.

Por que alguns registros não se apagam

Venda, histórico do veículo, reserva e interação com o lead têm valor probatório e fiscal. Eles não são apagados: veículo e cliente desativados saem das listas e das buscas, mas a negociação que existiu continua existindo. Encerrar uma reserva é mudar o status dela, com data e motivo — nunca apagar a linha, que é justamente o que responde “por que este carro ficou três dias fora da vitrine”.

Consentimento para comunicação

Quem preenche o formulário do site está pedindo contato sobre aquele veículo, e é para isso que o dado é usado. Comunicação de marketing além disso depende de consentimento registrado com a data, gravada pelo servidor no momento em que a pessoa autoriza. Um “ela aceitou” sem quando não prova nada numa fiscalização.

Compartilhamento

Os dados não são vendidos nem cedidos. O compartilhamento acontece apenas com o fornecedor de infraestrutura que hospeda o sistema e, quando a loja ativar, com os canais de anúncio, as instituições financeiras e os provedores de mensagem que ela mesma contratar. Nesta fase nenhum canal externo recebe dado nenhum: a estrutura de conexão existe, mas não há credencial configurada e nada é enviado.

Segurança

• Senha guardada como hash bcrypt — nunca em texto, nem legível pela API.
• Sessão de 12 horas, e não de sete dias: o computador do salão fica ligado o dia inteiro num lugar por onde passa gente.
• Papel e lojas recarregados do banco a cada requisição: tirar um acesso vale na requisição seguinte.
• As fotos dos veículos na retaguarda só são servidas com autenticação; na vitrine, apenas as dos veículos publicados.
• Tráfego em HTTPS com certificado automático.
• Cópia de segurança diária do banco e dos arquivos.

Direitos do titular

O titular pode pedir confirmação do tratamento, acesso, correção, anonimização, portabilidade e informação sobre com quem os dados foram compartilhados. O pedido é feito à loja, que é a controladora. A Vellow Sistemas atende à loja no que for necessário para responder.

Contato

Vellow Sistemas · CNPJ 68.606.958/0001-64 · contato@vellowsistemas.com.br · (41) 99155-8119