Resumo (TL;DR)

Coletamos os dados necessários para criar sua conta, prestar o serviço de gestão e cobrar a assinatura.
Não vendemos seus dados.
Compartilhamos dados com operadores (hospedagem, pagamento, e-mail, etc.), alguns fora do Brasil, sob salvaguardas contratuais.
Você pode acessar, corrigir, exportar, excluir e revogar consentimento a qualquer momento, em "Privacidade" ou pelo Encarregado.
No site do seu escritório, você decide o que publicar e quais ferramentas de medição usar — e responde por isso como Controlador.
Encarregada (DPO): Michelle Maria Serio da Silva — [email protected].

1. Quem somos (Controlador)

Razão social: SERIO MARTINS SOLUCOES CRIATIVAS LTDA
CNPJ: 15.308.358/0001-53
Endereço: Av. Governador José Malcher, 153 (Sala 12), CEP 66.035-065, Belém/PA
Site: www.arqproject.com.br

2. Encarregada pela Proteção de Dados (DPO)

Nome: Michelle Maria Serio da Silva
E-mail: [email protected]

3. Dois papéis (importante)

Somos Controladores dos dados dos Usuários (você, arquiteto/escritório): conta, faturamento, comunicação, melhoria do produto.
Somos Operadores dos dados que você cadastra ou publica sobre seus clientes finais e terceiros (nome, contato, CPF, projetos, e o conteúdo do site do seu escritório). Nesses casos, você é o Controlador — define a finalidade e a base legal, e nós tratamos seguindo suas instruções e estas garantias.
No site do seu escritório, você também é Controlador dos visitantes quando insere ferramentas de medição, publicidade ou rede social nele. Nós fornecemos a hospedagem e o banner de consentimento; a escolha das ferramentas e a finalidade são suas.

4. Quais dados coletamos e por quê (finalidades + bases legais)

4.1 Conta e autenticação

Dados: nome, e-mail, senha (armazenada com hash), IP de acesso, preferências.
Finalidade: criar e operar sua conta, autenticar, segurança.
Base legal: execução de contrato (Art. 7º, V).

4.2 Faturamento e assinatura

Dados: dados de cobrança e metadados do cartão (bandeira, últimos dígitos, validade); o número completo é processado pelo operador de pagamento, não por nós.
Base legal: execução de contrato (Art. 7º, V) + obrigação legal fiscal (Art. 7º, II).

4.3 Comunicação

Transacional (código de acesso, convites, recibos e cobrança): execução de contrato (Art. 7º, V).
E-mails do ARQ Project (avisos sobre o uso da sua conta, dicas para aproveitar o que já está no seu plano, lembretes do período de teste e convites para voltar): legítimo interesse (Art. 7º, IX). Escolhemos qual e-mail enviar pelo que você já fez na sua conta, por exemplo se já cadastrou um projeto, sem usar dados de fora do ARQ Project. Cada e-mail traz um link para descadastrar com um clique, sem precisar entrar na conta.
Se o seu teste terminou, se você cancelou ou se nunca assinou, só enviamos esses e-mails até 12 meses depois do seu último acesso.
Não enviamos conteúdo nem ofertas de outras empresas.

4.4 Melhoria do produto e origem do cadastro

Dados: páginas e eventos de uso, IP, a data do seu primeiro acesso e a origem do seu cadastro: os parâmetros de campanha que vieram no endereço, o site que trouxe você até aqui e a primeira página que você abriu.
Base legal: legítimo interesse (Art. 7º, IX). A origem é dado de primeira parte: fica conosco e não vai para operador nenhum. Se você chegou por um anúncio da Meta, o endereço também traz o código do clique, e o que fazemos com ele está em 4.5.
Antes do cadastro: clique em Recusar no banner de cookies. Isso apaga o cookie, e você não tem essa origem registrada. Ignorar o banner não é recusar.
Depois do cadastro: a origem gravada no cookie é copiada para o cadastro da sua conta, e fica enquanto a conta existir (prazos na seção 5). Para pedir a exclusão, use o canal da seção 8.
As ferramentas de terceiros que medem uso (Google Analytics) estão em 4.5, e dependem de consentimento.

4.5 Publicidade e medição de anúncios

Com o seu aceite no banner: carregamos o Meta Pixel e o Google Analytics, que usam identificadores do seu navegador e o IP. E, quando você abre a página de planos, cria o cadastro, responde o questionário inicial, começa o teste, abre o pagamento ou assina, avisamos a Meta pelos nossos servidores. Esse aviso leva o e-mail e o nome cifrados (hash), um código interno da sua conta, o IP, o navegador e os identificadores da Meta. Base legal: consentimento (Art. 8º).
Sem resposta ao banner, se você chegou por um anúncio da Meta: guardamos o código do clique que vem no endereço do anúncio. Nos mesmos momentos (página de planos, cadastro, questionário inicial, teste, pagamento, assinatura), avisamos a Meta só com esse código, o tipo de navegador e o país. Não enviamos e-mail, nome, IP nem código da conta. Serve para sabermos qual anúncio trouxe clientes e pararmos de pagar pelos que não trazem. Base legal: legítimo interesse (Art. 7º, IX).
Se você clicar em Recusar: nada disso acontece. Apagamos o código do clique e os identificadores da Meta que estavam guardados, e a Meta não recebe aviso nenhum sobre você. Depois do cadastro, você pode se opor pelo canal da seção 8.
Sem aceite, o Meta Pixel e o Google Analytics não carregam no seu navegador. Quando um aviso deixa de ir para a Meta, registramos isso na sua conta, sem enviar nada a ninguém.

4.6 Dados que você cadastra sobre clientes e terceiros

Dados: nome, contato, CPF, endereço, projetos, respostas de questionário.
Papel: você é o Controlador; nós, Operadores. Você declara ter base legal para tratá-los.

4.7 Conteúdo que você publica no site do seu escritório

O que é: o site institucional do seu escritório é de livre edição. Você escolhe o texto e as imagens de cada seção, e decide quando publicar. Nenhum campo é reservado ou vedado a dados de terceiros.
Dados: além dos seus (nome do escritório, contato, cidade, seu retrato), você pode inserir nome, imagem, depoimento ou contato de clientes, equipe e parceiros em qualquer campo.
Papel: sobre os dados de terceiros, você é o Controlador; nós, Operadores. Hospedamos e servimos o que você publicou, sem selecionar, revisar ou usar para finalidade própria.
Base legal: sua, e definida por você. Publicar nome, imagem ou depoimento de uma pessoa em regra depende do consentimento dela.
O que publicar significa: o site fica acessível a qualquer pessoa, sem login, e pode ser encontrado por buscadores. Você pode tirá-lo do ar quando quiser — o endereço passa a responder "não encontrado", que é o sinal que leva os buscadores a retirarem as páginas do índice. Cópias feitas por terceiros (cache de buscador, arquivos da web, capturas de tela) estão fora do nosso alcance e do seu.

4.8 Ferramentas de medição e publicidade que você usa no seu site

O que é: você pode inserir no site do seu escritório o código de ferramentas de terceiros — medição de audiência, publicidade, rede social ou qualquer outra finalidade que você determine.
Papel: você é o Controlador dos dados que essas ferramentas coletam dos visitantes do seu site. Você escolhe a ferramenta, define a finalidade, responde pela base legal e responde perante o titular e a ANPD. Nós somos Operadores: hospedamos o site, carregamos o código que você inseriu depois do consentimento, e registramos esse consentimento para você.
Não temos acesso aos dados que a ferramenta de terceiro coleta. Eles vão direto do navegador do visitante para o fornecedor que você escolheu, sob os termos dele com você.
Consentimento: o código só é carregado depois de o visitante aceitar no banner. Sem aceite, ele não carrega. O visitante pode recusar, e pode mudar de ideia depois.
Registro do consentimento: guardamos o registro de cada decisão do visitante, porque a lei exige que o consentimento possa ser comprovado (Art. 8º, §2º), e esse ônus é seu, como Controlador. O registro fica disponível para você na área de privacidade do seu site. Ele inclui os dados mínimos para servir de prova, entre eles o endereço IP, que guardamos pelo prazo do Marco Civil e depois removemos.
Mudança nas ferramentas: se você alterar as ferramentas do seu site, o consentimento anterior deixa de valer para as novas, e perguntamos de novo ao visitante.
Suas obrigações: descrever essas ferramentas na política de privacidade do seu site, e obter as bases legais que elas exigirem.

5. Como e por quanto tempo tratamos (forma e duração)

Coleta: pelo uso do aplicativo, formulários e integrações.
Armazenamento: em servidores e serviços com criptografia em trânsito e controles de acesso (ver seção 9).
Retenção: cada finalidade tem seu prazo; os principais: dados fiscais/financeiros por 5 anos (obrigação legal); registros de acesso (IP) por até 6 meses (Marco Civil); dados de conta enquanto vigente o contrato. Após os prazos, os dados são eliminados ou anonimizados.
Site do escritório: ao anonimizarmos uma conta, o conteúdo publicado é esvaziado e as imagens são destruídas, não apenas desvinculadas. O nome do escritório e o nome da conta são anonimizados junto.

Contas inativas são mantidas por 6 anos após a expiração da vigência (assinatura ou período de testes), para cumprimento de obrigações fiscais e defesa em demandas judiciais; após esse prazo, os dados pessoais dos titulares vinculados à conta são anonimizados de forma irreversível. O nome de usuários sem acesso por 6 anos também é anonimizado, podendo ser reajustado em um novo acesso. Em nenhum caso há exclusão de registros — apenas anonimização.

6. Com quem compartilhamos (operadores)

Para prestar o serviço, usamos operadores que tratam dados em nosso nome:

Operador	Finalidade	País
Hetzner	hospedagem da aplicação e banco de dados	EUA
AWS (S3)	armazenamento de arquivos e imagens	EUA
Cloudflare	rede, segurança e desempenho	EUA/global
Stripe	processamento de pagamentos	EUA
Postmark	envio de e-mails	EUA
Sentry	monitoramento de erros	EUA
Meta, Google	publicidade e análise (seção 4.5)	EUA

Não vendemos dados pessoais. O compartilhamento ocorre apenas para as finalidades acima.

A origem do cadastro descrita em 4.4 não vai para nenhuma ferramenta de publicidade ou de análise; fica no nosso banco, hospedado pelos operadores de infraestrutura da tabela, e no seu navegador.

7. Transferência internacional

Parte dos dados é tratada fora do Brasil (Estados Unidos). Adotamos as Cláusulas-Padrão Contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) com esses operadores, como salvaguarda exigida pela LGPD (Arts. 33-36).

O chat de atendimento também roda nos Estados Unidos, em servidor próprio do ARQ Project.

8. Seus direitos (Art. 18 LGPD)

Você pode, a qualquer momento: confirmar o tratamento; acessar e exportar seus dados; corrigir; anonimizar, bloquear ou eliminar dados desnecessários; portar; eliminar dados tratados por consentimento; saber com quem compartilhamos; e revogar consentimento.

Como exercer: na área "Privacidade" do aplicativo (opção "Exportar meus dados" e demais controles) ou pelo e-mail [email protected].
Prazo de resposta: até 15 dias (Art. 19, II).
Se você é cliente final de um escritório que usa o ARQ Project, encaminharemos seu pedido ao escritório (Controlador dos seus dados) e auxiliaremos no atendimento.

9. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados, incluindo criptografia em trânsito (HTTPS), senhas com hash, controle de acesso e monitoramento. Em caso de incidente de segurança relevante, comunicaremos você e a ANPD em até 3 dias úteis (Resolução CD/ANPD nº 15/2024).

10. Cookies e tecnologias similares

10.1 No ARQ Project (arqproject.com.br)

Essenciais (login, sessão, segurança): necessários ao funcionamento — não dependem de consentimento.
Origem da visita (cookie arq_attrib, 90 dias): guarda de onde você veio, ou seja, a campanha, o site que trouxe você e a primeira página aberta. Se você chegou por um anúncio da Meta, guarda também o código do clique (seção 4.5). Base legal: legítimo interesse. Quem clica em Recusar no banner antes do cadastro não tem nada disso gravado; depois do cadastro, peça a exclusão pelo canal da seção 8.
Consentimento (cookie arq_cookie_consent, 180 dias): guarda a sua resposta ao banner de cookies. Registramos essa resposta, aceite ou recusa, com data, IP e navegador, como prova exigida pela lei (Art. 8º, §2º).
Análise e publicidade (Google Analytics, Meta Pixel): só com o seu consentimento no banner de cookies. Com o aceite, os identificadores criados pela Meta entram no cookie arq_attrib junto da origem.
Atendimento (chat de suporte): roda em servidor próprio do ARQ Project, hospedado nos EUA (transferência internacional, seção 7), e não depende de consentimento.

Você responde ao banner de cookies nas páginas públicas. Depois do cadastro, use o canal da seção 8.

10.2 No site do escritório

São outros cookies, de outro responsável. O site de cada escritório carrega apenas o que aquele escritório configurou, e é ele quem responde por essa escolha, como Controlador. O ARQ Project fornece o banner e o registro do consentimento, e não decide quais ferramentas entram.

O código de terceiro só carrega depois do aceite no banner daquele site. Sem aceite, não carrega.
O visitante pode recusar, e pode rever a escolha depois.
Alterar as ferramentas faz o banner voltar a perguntar: o consentimento dado para umas não vale para outras.
Se você é visitante e quer exercer direitos sobre esses dados, fale com o escritório dono do site. Nosso DPO encaminha e auxilia (seção 8).

11. Crianças e adolescentes

O ARQ Project não é direcionado a menores de 18 anos e não os tem como público. Não realizamos perfilamento publicitário de menores. Se identificar uso por menor sem a devida representação, contate [email protected].

12. Mudanças nesta política

Podemos atualizar esta política. Mudanças relevantes serão comunicadas por e-mail ou aviso no aplicativo, e o histórico de versões ficará disponível.

13. Contato e ANPD

Encarregada: [email protected]
ANPD: https://www.gov.br/anpd

Versão 4, vigência a partir de 7 de outubro de 2026.

Política de Privacidade