Política de privacidade do Onboara

Versão: 2026-11-01
Vigente desde: 2026-11-01

Esta política explica quais dados pessoais a Amplify, empresa responsável pelo Onboara, trata por decisão própria, para quê, por quanto tempo e como você exerce seus direitos pela Lei Geral de Proteção de Dados (LGPD).

O Onboara ainda está em construção. Por isso, esta versão cobre só o site onboara.com, a lista de espera e as mensagens enviadas às nossas caixas de e-mail. A extensão Onboara Construtor tem política própria. Quando o painel e o SDK entrarem no ar, esta política ganha uma versão nova antes do primeiro cadastro.

Quem é o controlador

O controlador é quem decide por que e como os dados pessoais são tratados. Aqui, é T C VERAS (Amplify - Desenvolvimento de Sistemas), CNPJ 54.177.424/0001-55, com endereço na Rua São Miguel, 1106, Bairro Alto Bonito, Luís Correia/PI, CEP 64220-000. Neste texto, ela é chamada de Amplify.

Encarregado e canal de privacidade

O encarregado é a pessoa que recebe os pedidos de quem tem dados tratados por nós e as comunicações da Agência Nacional de Proteção de Dados (ANPD). O encarregado da Amplify é Tyago Costa Veras, titular da empresa. Fale com ele pelo e-mail privacidade-onboara@amplify.tec.br.

A Amplify é microempresa. A Resolução CD/ANPD nº 2/2022 (art. 11) permite que empresas desse porte não indiquem encarregado, desde que mantenham um canal de contato. Indicamos mesmo assim.

Quais dados tratamos e por quê

Base legal é o motivo, previsto na LGPD, que permite tratar um dado. Cada finalidade tem a sua:

Lista de espera. Hoje a inscrição é feita por e-mail: você escreve para privacidade-onboara@amplify.tec.br, a mensagem chega à caixa da Amplify, e copiamos os dados para uma planilha interna. Dados: nome, e-mail, empresa, papel, segmento, URL do sistema, se você informar, ordem de grandeza de usuários finais e a sua autorização de contato, que vai no texto da mensagem. A inscrição por e-mail não leva parâmetros de campanha. Finalidade: falar sobre a lista de espera e convidar você para testar o produto. Base legal: consentimento (art. 7º, I). Sem ele, a única consequência é você não entrar na lista.
Quem exerce direitos em privacidade-onboara@amplify.tec.br. Dados: endereço de e-mail, o que a mensagem trouxer e o que for preciso para confirmar quem pediu. Finalidade: atender ao pedido e guardar a prova do atendimento. Base legal: cumprimento de obrigação legal, a dos arts. 18 e 19 da LGPD (art. 7º, II); para guardar a prova, exercício regular de direitos em processo (art. 7º, VI).
Quem relata falha em seguranca-onboara@amplify.tec.br. Dados: endereço de e-mail e o que a mensagem trouxer. Finalidade: avaliar e corrigir a falha, responder e dar crédito a quem pedir. Base legal: legítimo interesse (art. 7º, IX), o de manter o Onboara seguro e responder a quem relatou. Se o relato revelar um incidente de segurança, o registro dele cumpre obrigação legal (art. 7º, II).
Quem escreve sobre outro assunto. Dados: endereço de e-mail e o que a mensagem trouxer. Finalidade: responder. Base legal: legítimo interesse (art. 7º, IX), o de responder a quem nos procurou.
Quem visita o site. Para entregar a página, a rede da Amazon Web Services recebe o endereço IP e dados técnicos do seu navegador, como em qualquer site. Esses dados passam e não ficam com a gente: o registro de acesso da CloudFront, a rede de entrega da Amazon Web Services, fica desligado, porque ele gravaria o endereço IP. Contamos as visitas só pelas métricas agregadas da CloudFront, que não identificam ninguém. Base legal: legítimo interesse (art. 7º, IX), o de entregar o site e saber quantas visitas ele recebe.

O site não usa cookie e não carrega script, fonte ou imagem de terceiros. Não tomamos decisão automatizada sobre você. A lista de espera é para profissionais de empresas e não se destina a crianças nem a adolescentes.

Quanto tempo guardamos

Inscrição na lista de espera (mensagem e planilha): até 6 meses depois do fim da fase de testes pagos do produto (BETA) ou até você pedir a exclusão, o que vier primeiro. Todo e-mail que enviamos traz como sair da lista.
Pedido de direitos e a nossa resposta: 5 anos depois de concluído, para provar o atendimento.
Relato de segurança: 3 anos depois de fechado. Se ele virar registro de incidente, ao menos 5 anos, como pede a Resolução CD/ANPD nº 15/2024 (art. 10).
Outras mensagens: 12 meses depois da última resposta.

Depois desses prazos, apagamos os dados.

Com quem compartilhamos

Não vendemos dados e não os usamos para publicidade. Não usamos sistema de gestão de contatos (CRM) nem fornecedor de formulário. Estes fornecedores tratam dados em nosso nome:

Microsoft (Microsoft 365). Recebe e guarda as mensagens enviadas às caixas da Amplify: as inscrições na lista de espera e o que chega a privacidade-onboara@amplify.tec.br e seguranca-onboara@amplify.tec.br. A Microsoft é uma empresa dos Estados Unidos. Local: a documentação dela diz que, em cadastro feito no Brasil, o conteúdo das caixas fica guardado no Brasil. Ainda não conferimos essa região no nosso cadastro. Se ela for outra, a transferência para fora do país passa a constar aqui, com o mecanismo legal.
Resend. Envia os e-mails automáticos e os avisos à lista de espera, do endereço noreply-onboara@amplify.tec.br. Recebe o endereço de quem vai receber e o conteúdo da mensagem. É uma empresa dos Estados Unidos, e o envio sai de us-east-1, no Norte da Virgínia.
Amazon Web Services. Hospeda o site e entrega as páginas, com métricas agregadas e sem registro de acesso. É uma empresa dos Estados Unidos. Local: os arquivos do site ficam em us-east-1, no Norte da Virgínia, nos Estados Unidos. A entrega usa a rede global da CloudFront, e o pedido passa pelo servidor dela mais próximo de quem visita.

A planilha das inscrições é interna e fica com acesso restrito a quem cuida da lista. Também podemos entregar dados a uma autoridade pública quando a lei ou uma ordem judicial exigir.

Transferência para fora do país

O Onboara roda nos Estados Unidos, na região us-east-1 da AWS. Neste site, isso alcança só o que a entrega da página precisa: o endereço IP e os dados técnicos do seu navegador podem ir a outro país, pelo tempo do pedido e para entregar a página, e não ficam gravados. As inscrições na lista de espera e as mensagens às nossas caixas não passam pela AWS: chegam ao Microsoft 365, como dito acima. Os e-mails que enviamos pelo Resend vão aos Estados Unidos com o seu endereço e o conteúdo da mensagem.

Os Estados Unidos não têm decisão de adequação da ANPD, o reconhecimento de que um país protege dados no nível que a LGPD pede. O instrumento com a Amazon Web Services é o adendo de tratamento de dados da AWS, parte do contrato com ela, pelo qual ela só tira os dados da região escolhida para prestar o serviço ou para cumprir lei ou ordem de autoridade. A AWS declara, em material público, que esse adendo atende ao art. 33, II, da LGPD. Ele não traz as cláusulas-padrão aprovadas pela Resolução CD/ANPD nº 19/2024. O acordo de tratamento de dados do Resend traz as cláusulas-padrão da União Europeia e do Reino Unido e também não traz as aprovadas por essa resolução.

Quem somos, como protegemos os dados e como você exerce seus direitos estão nas outras seções desta página.

Segurança e incidentes

O site só entrega páginas por HTTPS. O acesso às caixas de e-mail e à planilha fica restrito a quem cuida dos pedidos.

Se um incidente de segurança puder causar risco ou dano relevante a você, comunicamos você e a ANPD em até 3 dias úteis, contados de quando soubermos que ele afetou dados pessoais. A regra é a Resolução CD/ANPD nº 15/2024. Todo incidente fica registrado por ao menos 5 anos.

Seus direitos

Pela LGPD (art. 18), você pode pedir, a qualquer momento e sem custo:

confirmação de que tratamos dados seus e acesso a eles;
correção de dados incompletos, errados ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
portabilidade dos dados a outro fornecedor, conforme a regulamentação da ANPD;
eliminação dos dados tratados com o seu consentimento, salvo as exceções do art. 16;
informação sobre com quem compartilhamos os dados;
informação sobre a possibilidade de não dar consentimento e sobre o que acontece se você não der;
revogação do consentimento.

Você também pode se opor a um tratamento feito sem o seu consentimento, se ele descumprir a lei (art. 18, §2º).

Escreva para privacidade-onboara@amplify.tec.br. Respondemos em até 15 dias, contados do pedido. Podemos pedir o mínimo necessário para confirmar que o pedido é seu. Se não pudermos atender, dizemos o motivo. Revogar o consentimento não afeta o que foi feito antes da revogação.

Você também pode reclamar à Agência Nacional de Proteção de Dados ou a um órgão de defesa do consumidor.

Membros e cobrança

Quando o painel abrir, a Amplify também será controladora dos dados de membros (cadastro, login e registros de acesso) e de cobrança. Os dados de membros vão ficar nos Estados Unidos, em us-east-1. Hoje esses dados ainda não existem. Esta política ganha uma versão nova antes de o primeiro membro se cadastrar.

Usuários finais dos sistemas dos clientes

Quando uma organização usar o Onboara no próprio sistema, ela será a controladora dos dados dos usuários finais dela, e a Amplify será operadora, quem trata os dados em nome dela. Esses dados também vão ficar nos Estados Unidos, em us-east-1, e o acordo com a organização diz o mecanismo da transferência. Hoje nenhum sistema usa o Onboara em produção. Pedido de usuário final enviado a privacidade-onboara@amplify.tec.br é repassado à organização em até 2 dias úteis.

Mudanças nesta política

Toda mudança ganha uma versão nova, com a data de vigência no alto desta página. A versão anterior continua publicada.

Duas mudanças já previstas ganham versão nova antes de valer: a lista de espera passar a usar um formulário com fornecedor, o que traria o nome e o país dele e os parâmetros de campanha, e a abertura do painel e do SDK.

Quando este texto mudar, a versão anterior continua publicada e listada aqui.