Privacidade
Última atualização: 27/10/2026
A identificação do operador será publicada antes da contratação.
Operador e contato de privacidade: a definir, a definir. Domicílio: a definir/a definir. Pedidos de quem usa a conta vão para esse e-mail.
Papéis
O Orcha é o controlador dos dados da conta: cadastro de quem usa o sistema, sessão, loja, equipe e o contato de quem pede para conhecer o serviço. A loja é a controladora dos dados que ela mesma grava sobre os clientes dela. Nesses dados, o Orcha é operador e trata o que a loja inserir para prestar o serviço contratado.
Cliente da loja fala com a loja. O Orcha não atende esse pedido no lugar dela. A gestão da loja exporta ou anonimiza o cadastro em Configurações, Privacidade.
Dados, finalidades e bases
Da conta, o sistema usa nome, e-mail, senha, confirmação de e-mail, sessão, papel na equipe e, se a pessoa ligar, o segredo do segundo fator. A loja tem nome, telefone, WhatsApp, endereço, logo, cor e situação da assinatura. Isso serve para criar a conta, entrar, operar a loja, cobrar e enviar e-mail de verificação, redefinição de senha e convite. A base é a execução do contrato e, no cadastro, os procedimentos preliminares.
Sessão guarda endereço IP e o navegador. Auditoria e o aceite de proposta guardam um hash do IP, não o IP em claro. Limite de tentativas e esses registros servem para proteger a conta. A base é a execução do contrato e o legítimo interesse de segurança, no que for necessário. Quando a lei exigir guarda ou atendimento a um titular, a base é a obrigação legal.
O formulário público pede nome, nome da loja e WhatsApp, para responder quem quer conhecer o Orcha. A base são os procedimentos preliminares ao contrato. O texto fica criptografado.
Sobre os clientes da loja, o sistema guarda o que a equipe lança: nome, telefone, e-mail, documento, endereço, observações, obras, orçamentos, medidas, conversas coladas, leituras, comentários e anexos. A finalidade é orçar, acompanhar e enviar a proposta. A base perante o cliente da loja é definida pela loja, que é a controladora. Perante a loja, o Orcha trata esses dados para cumprir o contrato do serviço.
Quem mais trata os dados
Neon guarda o banco Postgres na AWS, em São Paulo. É onde ficam conta, loja e os dados que a loja grava.
A aplicação roda num provedor de hospedagem em nuvem. Hoje a região configurada da aplicação é São Paulo. O nome do provedor fica de fora desta página de propósito, para o texto continuar certo se a hospedagem mudar.
Resend envia os e-mails do sistema: confirmação de cadastro, redefinição de senha e convite de equipe. Fora do ambiente local, o serviço não sobe sem essa configuração.
Anexos (logo, foto, PDF e áudio) vão para um armazenamento privado de objetos, hoje o Vercel Blob, só quando a credencial está configurada. Sem ela, o envio fica indisponível. O link de leitura que o sistema entrega vale 15 minutos.
Na conta configurada, o texto enviado para leitura só é processado pelo provedor de IA Anthropic se a leitura com IA estiver ativada. Hoje ela está desativada, e a leitura usa regras locais. A equipe deve inserir apenas informações necessárias ao atendimento. Na demonstração, a leitura usa regras locais. Outras ajudas que dependem da mesma IA ficam indisponíveis enquanto ela estiver desligada. Ela só entra com a opção de IA externa ligada e a chave configurada.
Mercado Pago só entra na cobrança recorrente se essa opção for ligada. Hoje está desligada: o pagamento é Pix, com ativação manual, e o checkout pelo aplicativo responde indisponível.
O WhatsApp não é um operador do Orcha. O sistema monta o texto e abre o WhatsApp da própria loja. A API em nuvem do WhatsApp existe no código e responde que não está configurada. Não há ferramenta de anúncio nem de análise de audiência.
Cookies e o que fica no navegador
O cookie de sessão é essencial. O nome é better-auth.session_token. Em produção o nome leva o prefixo __Secure-. Ele é httpOnly, SameSite Lax e seguro fora do ambiente local. A sessão dura 7 dias. Não há cookie de marketing. Por ser essencial ao login, ele não pede faixa de consentimento.
O navegador guarda preferências neste aparelho: tema, loja aberta, progresso da configuração inicial e o fechamento do guia. Também guarda rascunho e fila local até sincronizar. A demonstração usa chaves próprias, com dados fictícios, separadas da conta. sessionStorage segura o nome da loja no cadastro e um texto compartilhado até a tela de conversas. Isso não é cookie.
Segurança
Telefone, documento do cliente, texto de conversa, revisão antiga do orçamento, telefone de quem aceita a proposta, link de convite na fila e o formulário do site são criptografados com AES-256-GCM. A chave é do ambiente, e o contexto amarra o segredo à loja, ou ao formulário do site no caso do contato público. Busca de telefone, token de proposta e IP de auditoria usam hash, não o valor em aberto.
No Postgres, os dados de cada loja ficam isolados por política de linha: uma loja não lê o registro da outra por esse caminho. Fora do ambiente local, a conexão com o banco exige TLS. A senha da conta fica a cargo do login, não como o texto digitado na tela.
Por quanto tempo
Cada loja nasce com um prazo de retenção de 365 dias, que o dono pode ajustar entre 30 e 3.650. O job diário de retenção usa esse número, ou 365 se a configuração não existir. Conversas mais antigas que o prazo têm o texto trocado por um marcador de retido. Leituras de IA mais antigas que o prazo, ou ligadas a conversa já retida, perdem o resultado e a correção. O registro comercial não é apagado por esse job.
A resposta idempotente de uma gravação vale 1 dia. Depois disso o job marca a linha como expirada e a API não a reenvia. A linha não é apagada só por esse prazo.
Conta, clientes, orçamentos, obras, materiais, anexos, auditoria e o formulário de contato não têm prazo automático de exclusão no código. Ficam enquanto a conta ou o registro existir, salvo anonimização pedida pela loja ou pedido atendido pelo operador. A validade comercial da proposta, de 1 a 365 dias conforme a loja, só muda o status do orçamento. Não apaga o dado pessoal.
Anonimizar um cliente, em Configurações, Privacidade, troca o nome por “Cliente anonimizado”, limpa telefone, e-mail, documento, endereço e observações, revoga os links daquele cliente e esvazia conversas e leituras ligadas a ele. Itens e valores do orçamento permanecem, sem aqueles dados pessoais.
Backup do banco pode guardar uma cópia por mais tempo. O código não define quantos dias o provedor conserva backup. Uma restauração pode trazer dado já anonimizado. Esse dado precisa ser retirado de novo antes de reabrir o acesso.
Direitos de quem é titular
Quem tem conta pode pedir confirmação, acesso, correção, anonimização, eliminação, portabilidade, informação sobre com quem os dados são compartilhados e oposição, quando a lei couber. O pedido vai para a definir. Parte da operação a própria loja faz na tela de Privacidade, para os clientes dela.
Cliente da loja pede os direitos à loja, que é a controladora. A loja exporta um JSON ou anonimiza o cadastro. O Orcha atende a loja como operador. Não há, no produto, um botão em que o cliente final fale direto com o operador sobre o cadastro que a loja lançou.
Link público da proposta
Quem tem o link abre a proposta enquanto ele estiver na validade, não estiver revogado e a versão do orçamento for a mesma. A página mostra nome, telefone e endereço da loja, itens aceitos, preços, condições, nome do cliente e nome de quem vendeu. Não mostra custo, margem nem o telefone do cliente.
A loja revoga o link quando quiser. Link vencido, revogado ou de versão antiga responde como se não existisse. No aceite, a pessoa informa nome e telefone. O telefone é criptografado e o IP vira hash. Comentário no link guarda nome e texto.
Transferência para fora do Brasil
O banco, na configuração atual, fica em São Paulo. A aplicação também está configurada hoje para São Paulo. Ainda assim, o provedor de hospedagem pode tratar metadados de operação fora do Brasil. A Resend pode tratar o e-mail fora do Brasil. O armazenamento de anexos, quando a credencial existe, segue o provedor configurado e pode estar fora do Brasil. Com a leitura de IA ligada, o texto enviado à Anthropic sai do Brasil. Hoje essa leitura está desligada.
Quando houver transferência, ela precisa caber numa hipótese da LGPD. O mecanismo usado com cada provedor é o do contrato vigente do operador. Esta página não inventa cláusula que não esteja nesse contrato.
Demonstração
A demonstração usa dados fictícios e armazenamento no navegador. Reiniciar a demo apaga essas chaves naquele aparelho. Ela não grava cliente real no banco.