{"version":"2026-07-2","title":"Termos de privacidade e tratamento de dados — VERITAS (ByoCarbono)","law":"Lei nº 13.709/2018 (LGPD) e princípios da boa-fé, finalidade, adequação e necessidade","controller":{"name":"ByoCarbono Ltda","role":"Controladora","contact_privacy":"privacidade@byocarbono.com","dpo_contact":"encarregado@byocarbono.com","activity":"Operação e prova digital (dMRV) de projetos de remoção de carbono: biochar, intemperismo de rocha (ERW), florestas e demais pathways suportados na plataforma VERITAS."},"scope":"Aplica-se ao uso da plataforma VERITAS (painel web, APIs e aplicativos de campo vinculados) por usuários autorizados e, no que couber, a titulares cujos dados pessoais sejam inseridos na operação de projetos de remoção de carbono (biochar, ERW, floresta e correlatos).","summary":"A ByoCarbono, na qualidade de controladora, trata dados pessoais estritamente necessários à autenticação, à operação do dMRV, à trilha de auditoria e à comprovação de evidências perante verificadores e certificadoras. Não há venda de dados pessoais. Dados de sensores, lotes e âncoras são prioritariamente técnicos; quando identificam pessoa natural, aplica-se a LGPD.","business_context":["O VERITAS é sistema de monitoramento, reporte e verificação digitais (dMRV).","Pathways operacionais incluem biochar, ERW (pó de rocha), floresta e outros eventualmente habilitados no projeto.","Eventos críticos de MRV podem ser ancorados (hash) em ledger; hashes e referências de cadeia não devem conter dados pessoais em claro.","O registry/certificadora emite o serial do crédito; o VERITAS prepara o dossiê e a trilha de evidências."],"purposes":["Autenticar usuários e aplicar controle de acesso por papel e projeto","Registrar a cadeia de custódia e evidências de remoção de carbono","Manter trilha de auditoria de consultas e gravações na API","Atender verificadores, certificadoras e autoridades com base legal adequada","Prevenir fraude, abuso e incidentes de segurança","Cumprir obrigações contratuais e metodológicas do projeto de crédito"],"data_categories":[{"category":"Dados de conta e autenticação","examples":"nome, e-mail, senha em hash, papel (perfil), organização vinculada","legal_basis":"Execução de contrato (acesso ao sistema de trabalho) e legítimo interesse","retention":"Enquanto a conta estiver ativa. Após encerramento ou anonimização, metadados técnicos pelo prazo necessário a auditoria contratual e defesa (orientação: até 5 anos), salvo obrigação legal maior."},{"category":"Registros de uso e auditoria de sistema","examples":"IP, user-agent, rota da API, método, data/hora, usuário autenticado, resultado HTTP","legal_basis":"Obrigação legal e legítimo interesse: segurança da informação, integridade do MRV e apuração de incidentes (LGPD arts. 7º e 11, conforme o caso)","retention":"12 meses em operação corrente; até 5 anos quando o registro estiver vinculado a evidência de crédito ou processo de verificação."},{"category":"Identificação de atores da cadeia operacional","examples":"Nome e documento de titular/fornecedor (CPF/CNPJ), responsável, motorista, operador de forno ou de campo, e-mail e telefone de contato cadastral","legal_basis":"Execução de contrato e cumprimento de obrigação legal/regulatória de rastreabilidade e metodologia de crédito de carbono (MRV)","retention":"Pelo prazo do projeto de remoção e dos requisitos do protocolo metodológico aplicável (orientação frequente: 10 anos ou mais para cadeia de custódia e verificação)."},{"category":"Geolocalização e mídia de evidência","examples":"Coordenadas de propriedade, aplicação, parcela florestal ou ERW; fotos e arquivos de campo (podem captar pessoas de forma incidental)","legal_basis":"Execução de contrato e prova de origem/aplicação exigida pelo protocolo","retention":"Alinhada ao lote, parcela ou período de monitoramento do crédito."},{"category":"Dados técnicos e operacionais (em regra não pessoais)","examples":"Massas, temperaturas de forno, laudos de laboratório de material, inventário florestal de árvores, leituras de sensores, hashes e âncoras","legal_basis":"Não se aplica LGPD quando não houver pessoa natural identificável; quando houver vínculo com operador/titular, prevalecem as bases acima","retention":"Conforme metodologia e contratos do projeto de crédito."}],"legal_bases_note":"As bases legais predominantes são execução de contrato (art. 7º, V), cumprimento de obrigação legal ou regulatória (art. 7º, II) e legítimo interesse (art. 7º, IX), este último quando aplicável e com salvaguardas. Consentimento (art. 7º, I / art. 11) é usado quando exigido para finalidades específicas, como ciência formal do aviso de privacidade no painel.","sharing":["Prestadores de infraestrutura (hospedagem, banco de dados, armazenamento de arquivos), na condição de operadores, sob contrato e instruções da controladora","Verificadores e certificadoras de crédito de carbono, quando o projeto exigir e com base legal adequada (contrato e/ou obrigação metodológica)","Autoridades públicas e ANPD, mediante obrigação legal ou ordem válida","Não há comercialização de listas ou perfis de titulares para publicidade"],"international_transfer":"Se houver armazenamento ou processamento fora do Brasil (por exemplo, provedor de nuvem), a transferência observará a LGPD (capítulo V), incluindo cláusulas contratuais ou outras garantias aplicáveis.","security_measures":["Senhas armazenadas com hash seguro","Controle de acesso por papel (RBAC) e vínculo a projeto (multi-tenant)","Criptografia em repouso de campos sensíveis, quando habilitada (ENCRYPTION_KEY)","Auditoria de API sem registro de senhas ou tokens em claro","HTTPS em homologação e produção","Isolamento lógico de dados por projeto","Âncoras de integridade de eventos MRV sem PII em claro na chain"],"rights":[{"code":"acesso","description":"Confirmar a existência de tratamento e obter acesso aos dados"},{"code":"correcao","description":"Corrigir dados incompletos, inexatos ou desatualizados"},{"code":"anonimizacao","description":"Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos"},{"code":"portabilidade","description":"Portabilidade em formato estruturado e de uso corrente"},{"code":"eliminacao","description":"Eliminação de dados tratados com base em consentimento, quando cabível"},{"code":"informacao_compartilhamento","description":"Informação sobre entidades com as quais os dados são compartilhados"},{"code":"revogacao_consentimento","description":"Revogar consentimento, quando o tratamento se basear nele"},{"code":"oposicao","description":"Opor-se a tratamento em desconformidade com a LGPD"},{"code":"revisao_decisao","description":"Revisão de decisões tomadas unicamente com base em tratamento automatizado, se houver"}],"how_to_exercise":"No painel: menu Termos LGPD. API: POST /api/v1/privacy/requests com o tipo de pedido. E-mail do encarregado (DPO): encarregado@byocarbono.com; privacidade@byocarbono.com. Prazo de resposta: até 15 dias, prorrogáveis por igual período com justificativa (art. 18 e regulamentação aplicável).","children":"O sistema não se destina a menores de 18 anos. Contas são de uso profissional por operadores e gestores autorizados.","cookies":"O painel utiliza armazenamento local do navegador para sessão de autenticação (tokens de acesso e preferências de interface, como módulo ativo). Não utilizamos cookies de publicidade ou rastreamento de terceiros para marketing.","incident_response":"Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a controladora avaliará a comunicação à ANPD e aos titulares, nos termos da LGPD e orientações da autoridade.","updates":"Este aviso pode ser atualizado. A versão vigente consta no campo version. Alterações materiais podem exigir novo registro de ciência no painel.","disclaimer":"Este documento descreve o tratamento de dados no produto VERITAS. Não substitui contrato específico com o cliente nem parecer jurídico sobre projetos individuais de crédito de carbono."}