O essencial, em quatro linhas: a locadora que usa o sistema decide quais dados coletar; nós apenas os processamos para ela. Não vendemos dados a ninguém e não usamos rastreadores de publicidade. Todo titular pode pedir uma cópia dos seus dados ou a exclusão deles. E dizemos, abaixo, exatamente quais terceiros recebem o quê.
1. Quem responde pelo quê (controlador e operador)
A LGPD (Lei nº 13.709/2018) separa dois papéis, e a distinção muda quem você procura:
- A locadora é a CONTROLADORA dos dados dos seus locatários. É ela quem decide cadastrar o cliente, quais documentos pedir e para quê. Se você é locatário e quer exercer um direito sobre seus dados, procure a locadora com quem você alugou o veículo.
- A AthosFleet é a OPERADORA. Tratamos esses dados em nome da locadora, seguindo as instruções dela, apenas para operar a plataforma. Não decidimos o que é coletado nem usamos esses dados para finalidade própria.
- A AthosFleet é CONTROLADORA apenas dos dados de quem contrata e usa o sistema — os usuários da locadora — e de quem nos procura pelo formulário do site.
Se você é locatário e não conseguir contato com a locadora, pode nos escrever: nós repassamos o pedido à controladora e, quando cabível, ajudamos tecnicamente a atendê-lo.
2. Quais dados são tratados
Dados dos locatários (cadastrados pela locadora)
- Identificação: nome ou razão social, CPF ou CNPJ, RG, data de nascimento.
- Contato: e-mail, telefone, celular.
- Endereço: CEP, logradouro, número, complemento, bairro, cidade, UF.
- Habilitação: número, categoria e validade da CNH, e a imagem do documento quando anexada.
- Documentos anexados pela locadora: comprovante de residência, RG, CPF, comprovante de renda, contrato social (PJ) e outros que ela escolher anexar.
- Da relação de locação: contratos, vistorias (com fotos e vídeos do veículo), cobranças, pagamentos e histórico.
Dados dos usuários da locadora
- Nome, e-mail e papel (Administrador ou Operador).
- Senha — guardada apenas como hash Argon2id, nunca em texto. Ninguém na AthosFleet consegue ver a sua senha.
- Registro de acesso: data, hora e endereço IP de cada entrada, saída e tentativa recusada, além do navegador declarado. É a informação que o art. 15 do Marco Civil da Internet exige guardar, e que o Administrador consulta em Configurações › Segurança e auditoria.
- Auditoria de operações: quem alterou o quê e quando, por referência — o registro guarda o identificador do titular, não os dados pessoais dele.
Rastreamento de veículos
Não guardamos histórico de localização. A posição da frota é consultada no rastreador e mantida apenas em memória, para desenhar o mapa da tela — não existe nenhuma tabela de posições no nosso banco de dados. Foi uma decisão deliberada de privacidade: um sistema que guarda rastro de deslocamento vira guardião de um dado sensível, e nós escolhemos não ser.
Quem apenas visita o site
Se você preenche o formulário de contato ou de solicitação de acesso, tratamos nome, e-mail, telefone e o que você escrever na mensagem — só para responder e avaliar o pedido.
3. Por que tratamos, e com que base legal
| Para quê | Base legal (LGPD) |
|---|---|
| Executar o contrato de locação: cadastro, contrato, vistoria, cobrança | Execução de contrato — art. 7º, V |
| Emitir cobranças e registrar pagamentos | Execução de contrato — art. 7º, V |
| Guardar registros fiscais e contábeis | Obrigação legal — art. 7º, II |
| Guardar registro de acesso à aplicação | Obrigação legal — art. 7º, II (Marco Civil, art. 15) |
| Prevenir fraude e acesso indevido (2FA, registro de tentativas) | Legítimo interesse — art. 7º, IX |
| Localizar o veículo da frota durante a locação | Legítimo interesse na proteção do patrimônio — art. 7º, IX |
| Responder a quem nos procura pelo site | Diligências pré-contratuais — art. 7º, V |
| Enviar comunicações operacionais (cobrança, contrato, avisos) | Execução de contrato — art. 7º, V |
Não fazemos perfilamento, publicidade comportamental nem venda de dados. Nenhum dado é usado para decisão automatizada que afete alguém juridicamente.
4. Com quem os dados são compartilhados
Apenas com os prestadores necessários para o serviço funcionar (suboperadores), cada um limitado ao que precisa. Nenhum deles pode usar os dados para fim próprio.
| Serviço | Para quê | O que recebe |
|---|---|---|
| Supabase | Banco de dados e armazenamento de arquivos | Todos os dados cadastrados, incluindo os documentos anexados. Os arquivos ficam em bucket privado, inacessíveis sem autenticação. |
| Hostinger | Servidor onde a aplicação roda | Dados em processamento, enquanto a requisição é atendida |
| Backblaze | Cópia de segurança externa | Backup do banco, criptografado, guardado por 30 dias |
| Asaas | Emissão de boletos e Pix | Nome, CPF ou CNPJ, e-mail e telefone do locatário |
| ClickSign | Assinatura eletrônica de contratos | Nome e e-mail do signatário, e o PDF do contrato — que contém os dados nele impressos |
| Rastrek | Rastreamento veicular | Identificação do veículo. Recebemos a posição; não a guardamos |
| Parceiro de consulta de dados | Consulta de dados cadastrais, judiciais e de crédito no Raio-X Motorista, só quando a locadora pede | O CPF consultado |
| Resend | Envio de e-mails | Nome, e-mail do destinatário e o conteúdo da mensagem |
Também podemos compartilhar dados por determinação legal ou judicial. Nesse caso, informamos a locadora controladora sempre que a lei permitir.
5. Por quanto tempo guardamos
| O quê | Prazo | Por quê |
|---|---|---|
| Cadastro e histórico de locação | Enquanto a conta da locadora existir | É o dado operacional dela |
| Registro de acesso (entradas, saídas) | Permanente enquanto a conta existir | Marco Civil, art. 15 (mínimo de 6 meses) |
| Tentativas de acesso recusadas | 180 dias | Investigar fraude; depois disso perde valor |
| Cópias de segurança (backup) | 30 dias | Recuperação em caso de falha ou desastre |
| Registros de erro do sistema | 90 dias após resolvidos | Diagnóstico técnico |
| Dispositivo marcado como confiável (2FA) | 30 dias | Conveniência de login |
| Link de recuperação de senha | 15 minutos | Segurança: link antigo não pode valer |
Sobre o backup, com todas as letras: quando um dado é excluído do sistema, ele sai do banco na hora — mas ainda existe nas cópias de segurança já feitas, por até 30 dias, até que o ciclo de retenção as descarte. As cópias são criptografadas e usadas apenas para recuperação de desastre, nunca para consulta.
6. Seus direitos, e como exercê-los
O art. 18 da LGPD garante a todo titular o direito de:
- saber se tratamos dados seus, e quais;
- obter uma cópia dos seus dados;
- corrigir dado incompleto, inexato ou desatualizado;
- pedir anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo;
- pedir a portabilidade a outro fornecedor;
- revogar consentimento, quando o tratamento se basear nele;
- se opor a tratamento feito com base em legítimo interesse.
Como pedir: se você é locatário, procure a locadora com quem alugou — ela é a controladora, e o sistema já oferece a ela os botões para emitir o relatório dos seus dados em PDF e para excluir o seu cadastro. Se você é usuário da plataforma, ou não conseguir contato com a locadora, escreva para suporte@athosfleet.com.
Respondemos em até 15 dias. Podemos pedir uma confirmação de identidade — entregar dado pessoal a quem não é o titular seria o oposto de proteger.
Quando a exclusão não pode ser total, e por quê. Alguns registros precisam ser mantidos mesmo depois do pedido: documentos fiscais, registros contábeis e o registro de acesso têm prazo definido em lei (art. 16 da LGPD). Nesses casos, eliminamos o que não é obrigatório e preservamos apenas o mínimo exigido, informando você sobre o que foi mantido e por quanto tempo.
7. Como protegemos
- Conexão criptografada (HTTPS) em todo o tráfego, com certificado renovado automaticamente.
- Senhas em Argon2id, nunca em texto — nem nós conseguimos lê-las.
- Autenticação em dois fatores disponível para todas as contas.
- Isolamento entre locadoras: cada consulta é restrita à locadora do usuário autenticado, com verificação também na saída do dado.
- Documentos em armazenamento privado — a imagem de uma CNH não é acessível por URL pública, só por download autenticado.
- Limite de tentativas de login e registro de cada tentativa recusada.
- Backup diário criptografado, com cópia externa.
- Registro de auditoria das operações, gravado por referência — o log não carrega dado pessoal.
Nenhum sistema é imune. Se ocorrer incidente de segurança com risco relevante aos titulares, comunicaremos a locadora controladora e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos da lei, com o que se sabe e as medidas tomadas.
9. Crianças e adolescentes
A plataforma não se destina a menores de 18 anos e não coleta dados de crianças ou adolescentes de forma intencional. A locação de veículo pressupõe habilitação, e portanto maioridade. Se identificarmos cadastro de menor sem base legal, eliminaremos o registro e informaremos a locadora controladora.
10. Transferência internacional
Alguns dos nossos prestadores operam infraestrutura fora do Brasil. Quando houver transferência internacional, ela ocorre com base no art. 33 da LGPD, com fornecedores que adotam cláusulas contratuais e padrões de segurança adequados.
O banco de dados de produção e os arquivos ficam em região do Brasil, e o servidor da aplicação também. A transferência, quando ocorre, é acessória — por exemplo, no envio de e-mails.
11. Mudanças nesta política
Esta política pode ser atualizada. Mudanças relevantes — novo tipo de dado, nova finalidade, novo suboperador — são comunicadas por e-mail e avisadas no sistema com pelo menos 30 dias de antecedência. A data de vigência no topo indica a versão em vigor.
12. Contato e encarregado
Para qualquer assunto de privacidade — exercer um direito, tirar dúvida, relatar um problema — o canal é suporte@athosfleet.com.
Esse também é o contato do encarregado pelo tratamento de dados pessoais (DPO) da AthosFleet, nos termos do art. 41 da LGPD.
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados — gov.br/anpd.
Sobre a relação contratual com a plataforma, veja também os Termos de Uso.