Política de Privacidade

1. Quem somos

A OSPA é uma plataforma de viabilidade imobiliária que cobre análise financeira, originação de deals e marketplace de oportunidades.

A OSPA é o controlador dos dados pessoais nos termos da Lei nº 13.709/2018 (LGPD).

Contato do Encarregado de Proteção de Dados (DPO): privacidade@ospa.com.br.

2. Dados que tratamos

A OSPA trata as categorias abaixo, sempre vinculadas à conta do usuário e ao workspace ativo:

• Dados cadastrais: nome, email, credenciais, preferências de uso, fotos de perfil quando fornecidas.
• Dados de workspace: razão social e CNPJ das incorporadoras e investidoras vinculadas, papéis atribuídos a cada membro.
• Dados financeiros de projeto: VGV, GDV, custos de obra, custos indiretos, fluxo de caixa, indicadores (IRR, NPV, ROI), datas e marcos do cronograma.
• Dados de deals e marketplace: oportunidades originadas, propostas, status de captação, compartilhamentos entre incorporadora e investidores.
• Documentos: matrículas, arquivos enviados para data room, anexos de propostas.
• Logs de uso: endereço IP, data e hora de acesso, ações executadas, identificação do cliente OAuth quando aplicável.
• Origem do cadastro: por onde a conta chegou (cadastro direto, convite ou parceiro) e, quando o acesso veio de um link de campanha, os parâmetros desse link (fonte, meio e campanha), a página de chegada e o domínio de onde a pessoa veio.

3. Finalidades do tratamento

• · Operar a plataforma e entregar os recursos contratados.
• · Gerar análises, indicadores financeiros e relatórios de viabilidade.
• · Permitir colaboração entre membros do workspace.
• · Originar e intermediar deals, conectando incorporadoras e investidores.
• · Atender obrigações legais e regulatórias, incluindo auditoria de acesso e prevenção a fraudes.
• · Suportar a integração com clientes externos (conectores via OAuth ou tokens pessoais), quando autorizada pelo usuário.

4. Bases legais

O tratamento se apoia, conforme o caso, em:

• · Execução de contrato (art. 7º, V, da LGPD).
• · Cumprimento de obrigação legal ou regulatória (art. 7º, II).
• · Legítimo interesse para segurança, prevenção a fraude e melhoria do serviço (art. 7º, IX).
• · Consentimento específico, quando exigido — especialmente para envio de dados a clientes externos via conector (art. 7º, I).

5. Compartilhamento com terceiros e conector externo

Dados são compartilhados apenas quando necessário à operação ou autorizados pelo usuário:

• Operadores de infraestrutura: provedores de banco de dados, hospedagem, observabilidade e email transacional, contratados sob acordos de proteção de dados.
• Clientes externos via OAuth/MCP: ao autorizar um conector (por exemplo, o Claude, da Anthropic), o usuário concorda que os dados acessíveis pelo escopo selecionado podem ser transmitidos ao cliente autorizado para execução das operações. O cliente passa a tratar esses dados sob a política própria — a OSPA não responde pelo tratamento posterior, mas mantém o registro de auditoria das chamadas feitas pelo conector e permite revogação imediata pelo usuário. Detalhes específicos do conector OSPA para o Claude estão na política específica do conector.
• Autoridades públicas: mediante ordem judicial ou requisição legal cabível.

6. Transferência internacional

Parte da infraestrutura e o cliente Claude estão hospedados fora do Brasil. Transferências internacionais ocorrem para finalidades legítimas, mediante cláusulas contratuais específicas com os operadores, conforme o art. 33, II, da LGPD.

7. Retenção

Dados pessoais permanecem armazenados enquanto a conta do usuário estiver ativa. Após o encerramento, os prazos abaixo se aplicam:

• · Dados cadastrais e financeiros: até 5 (cinco) anos após o encerramento da conta, ressalvadas obrigações fiscais e regulatórias que exijam retenção por prazo superior.
• · Logs de auditoria do conector OAuth: 90 dias.
• · Dados sob obrigação legal específica: pelo prazo exigido pela legislação aplicável.

8. Direitos do titular (LGPD)

O titular pode exercer, a qualquer momento, os direitos previstos no art. 18 da LGPD:

• · Confirmar a existência de tratamento.
• · Acessar seus dados.
• · Corrigir dados incompletos, inexatos ou desatualizados.
• · Solicitar anonimização, bloqueio ou eliminação de dados desnecessários.
• · Portar os dados a outro fornecedor.
• · Revogar consentimento.
• · Informações sobre compartilhamento e sobre o uso da decisão automatizada.

As solicitações podem ser feitas pelo email do DPO ou pela área Dados & Privacidade nas configurações da conta. O atendimento é gratuito e segue os prazos previstos em lei.

9. Segurança

A OSPA adota medidas técnicas e organizacionais para proteger os dados contra acesso não autorizado, perda e uso indevido:

• · Criptografia em trânsito (TLS) e em repouso onde aplicável.
• · Tokens armazenados como hash; valores crus emitidos uma única vez.
• · Isolamento por workspace em todas as consultas (multi-tenant).
• · Auditoria de acesso e de operações de leitura/escrita executadas por conectores externos.
• · Controle de acesso baseado em papéis.
• · Rate limiting em superfícies sensíveis e em integrações AI.

10. Cookies

A OSPA utiliza cookies estritamente necessários para autenticação, preservação de sessão e segurança. Cookies analíticos e de produto são utilizados apenas após consentimento explícito do usuário, com finalidade de medir uso agregado da plataforma e melhorar a experiência.

11. Alterações

Alterações materiais nesta política serão comunicadas aos usuários por email ou pela própria plataforma com antecedência razoável. O uso continuado após a notificação representa concordância com a versão revisada.

12. Contato

Encarregado pelo Tratamento de Dados (DPO): privacidade@ospa.com.br.

Suporte e dúvidas gerais: suporte@ospa.com.br.

Demais condições contratuais ficam disponíveis em Termos de Uso.