Última atualização: 09 de maio de 2026
Versão: 2.0
| Dado | Informação | |------|------------| | Razão Social | SU Controle Tecnologia Ltda. | | Nome Fantasia | SU Controle | | CNPJ | [A ser preenchido] | | Endereço | [A ser preenchido] | | E-mail do Encarregado (DPO) | privacidade@sucontrole.com.br | | Website | sucontrole.com.br | | Aplicação | MeuSU (meisu.com.br) |
A SU Controle ("nós", "nosso" ou "Controlador") é responsável pelo tratamento dos dados pessoais coletados por meio dos serviços oferecidos no aplicativo MeuSU, nos websites sucontrole.com.br e meisu.com.br, e em todas as plataformas digitais integrantes do Ecossistema SU Controle, incluindo, mas não se limitando a: SU-Painel, SU-Eventos, SU-Edu, Mercasu e TV SU (coletivamente, a "Plataforma").
Esta Política de Privacidade ("Política") foi elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014), o Código de Defesa do Consumidor (Lei nº 8.078/1990) e demais legislações aplicáveis.
Para os fins desta Política, aplicam-se as seguintes definições:
| Dado | Quando é coletado | Obrigatório | |------|-------------------|:-----------:| | Nome completo | Cadastro | Sim | | Número de telefone celular | Cadastro / Login OTP | Sim | | Endereço de e-mail | Cadastro (quando aplicável) | Não | | Foto de perfil | Edição de perfil | Não | | Bairro / Localização aproximada | Cadastro / Configurações | Sim | | Data de nascimento | Cadastro | Sim | | Avaliações e comentários | Uso da plataforma | Não | | Sugestões e denúncias | Uso da plataforma | Não |
| Dado | Finalidade | |------|-----------| | Endereço IP | Segurança, auditoria, geolocalização aproximada | | Tipo de dispositivo e sistema operacional | Compatibilidade e otimização | | Navegador utilizado | Compatibilidade e diagnóstico | | Data e hora de acesso | Auditoria e segurança | | Páginas acessadas e tempo de permanência | Melhoria da experiência | | Identificador do dispositivo (device ID) | Prevenção de fraude | | Dados de cookies e tecnologias similares | Vide Política de Cookies |
| Dado | Quando é coletado | |------|-------------------| | Histórico de compras (valor, data, loja) | Registro de compra via Código SU | | Saldo de cashback por loja (Cartão SU) | Cálculo automático após compra | | Código SU utilizado (QR Code) | Cada utilização no caixa | | Avaliação pós-compra (nota 1-5, texto) | Após uso do Código SU | | Atendente vinculado à compra | Quando informado pelo Titular |
| Dado | Quando é coletado | |------|-------------------| | Slug pessoal (link curto) | Configuração do SU Emergência | | PIN de 6 dígitos (hash criptográfico) | Configuração do SU Emergência | | Contatos de emergência (nome + telefone, máx 5) | Configuração do SU Emergência | | Logs de tentativas de acesso (IP, user agent, sucesso/falha) | Cada acesso à página /sos |
Nota: O PIN é armazenado exclusivamente como hash criptográfico (bcrypt). A SU Controle NÃO tem acesso ao PIN em texto puro.
| Dado | Quando é coletado | |------|-------------------| | Avaliações recebidas (nota + comentário) | Após compra validada | | Posição no ranking | Cálculo automático | | Badges e conquistas | Condições de desbloqueio atingidas |
| Dado | Quando é coletado | Precisão | |------|-------------------|----------| | Bairro informado | Cadastro / Configurações | Bairro | | Geolocalização do dispositivo | Ao usar "Explorar" (com permissão) | Aproximada |
Nota: A geolocalização precisa (GPS) só é coletada mediante autorização expressa do Titular no dispositivo. O Titular pode revogar essa permissão a qualquer momento nas configurações do aparelho.
A SU Controle NÃO coleta:
Cada atividade de tratamento de dados pela SU Controle possui uma base legal específica, conforme o Art. 7º da LGPD:
| Atividade | Base Legal (Art. 7º LGPD) | |-----------|--------------------------| | Cadastro e autenticação | Execução de contrato (Art. 7º, V) | | Registro de compras e cashback | Execução de contrato (Art. 7º, V) | | Envio de notificações transacionais (WhatsApp) | Execução de contrato (Art. 7º, V) | | Envio de notificações promocionais | Consentimento (Art. 7º, I) | | Avaliações e comentários públicos | Consentimento (Art. 7º, I) | | Geolocalização para "Explorar" | Consentimento (Art. 7º, I) | | Prevenção de fraude e segurança | Interesse legítimo (Art. 7º, IX) | | Auditoria e logs de acesso | Cumprimento de obrigação legal — Marco Civil (Art. 7º, II) | | Estatísticas anonimizadas | Interesse legítimo (Art. 7º, IX) | | Comunicação de incidentes de segurança | Cumprimento de obrigação legal — LGPD Art. 48 (Art. 7º, II) | | Coleta de interesse em módulos futuros | Consentimento (Art. 7º, I) | | Conta Fantasma (registro por telefone na loja) | Interesse legítimo + Consentimento posterior (Art. 7º, IX e I) | | SU Emergência (contatos e PIN) | Consentimento (Art. 7º, I) | | Logs de acesso ao SU Emergência (IP, tentativas) | Interesse legítimo — segurança (Art. 7º, IX) | | Ranking da Liga dos Funcionários | Execução de contrato (Art. 7º, V) | | Notificações in-app | Execução de contrato (Art. 7º, V) |
Quando o Titular realiza uma compra presencial e fornece voluntariamente seu número de telefone ao lojista, um perfil mínimo ("Conta Fantasma") é criado com base no interesse legítimo do Controlador (Art. 7º, IX) e do lojista para fins de vinculação de cashback. O Titular recebe uma mensagem via WhatsApp informando sobre o saldo disponível e convidando-o a criar uma conta completa. A criação da conta completa depende de consentimento expresso do Titular. Caso o Titular não deseje criar conta, os dados da Conta Fantasma serão eliminados em 90 (noventa) dias.
Os dados pessoais são tratados para as seguintes finalidades específicas:
A SU Controle compartilha dados pessoais com terceiros apenas nas seguintes hipóteses:
| Operador | Dados compartilhados | Finalidade | País | |----------|---------------------|-----------|------| | Supabase Inc. | Todos os dados armazenados (criptografados) | Banco de dados e autenticação | EUA (com cláusulas contratuais padrão) | | Pastorini Soluções | Número de telefone | Envio de mensagens WhatsApp transacionais | Brasil | | Google LLC (Maps API) | Coordenadas aproximadas | Exibição do mapa de lojas | EUA (com cláusulas contratuais padrão) | | Cloudflare Inc. | IP, headers HTTP | CDN e segurança de rede | EUA (com cláusulas contratuais padrão) |
O lojista tem acesso apenas aos seguintes dados do Titular que realizou compra em seu estabelecimento:
O lojista NÃO tem acesso a:
Dados podem ser compartilhados com autoridades competentes quando:
A SU Controle NÃO vende, aluga ou comercializa dados pessoais dos Titulares a terceiros para fins de marketing, publicidade ou qualquer outra finalidade.
| Medida | Descrição | |--------|-----------| | Criptografia AES-256 | Dados sensíveis criptografados em repouso | | TLS 1.3 | Toda comunicação é criptografada em trânsito | | Row Level Security (RLS) | Cada usuário acessa apenas seus próprios dados | | Autenticação OTP | Login sem senha, por código temporário | | Rate Limiting | Proteção contra ataques de força bruta | | Anti-Spam | Bloqueio de atividades automatizadas abusivas | | Escudo 72h | Quarentena de avaliações para revisão | | Logs de auditoria | Registro de todas as ações administrativas | | Firewall (UFW) | Regras estritas de acesso ao servidor | | Containers isolados | Serviços segregados em containers Docker | | Hashing de senhas | Senhas nunca armazenadas em texto puro | | Acesso restrito | Princípio do menor privilégio para administradores |
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, a SU Controle se compromete a:
| Tipo de dado | Prazo de retenção | Justificativa | |-------------|-------------------|---------------| | Dados cadastrais | Enquanto a conta estiver ativa + 6 meses após exclusão | Execução de contrato | | Histórico de compras | 5 anos após a transação | Obrigação tributária/fiscal | | Avaliações publicadas | Enquanto a conta estiver ativa | Consentimento | | Logs de acesso (IP, data, hora) | 6 meses | Marco Civil da Internet (Art. 15) | | Conta Fantasma (não vinculada) | 90 dias | Interesse legítimo (prazo limitado) | | Dados de interesse ("Em Breve") | 2 anos | Consentimento | | Sugestões e denúncias | 2 anos após resolução | Interesse legítimo | | Backups criptografados | 30 dias (rotação) | Segurança | | Dados do SU Emergência | Enquanto a conta estiver ativa + 30 dias após exclusão | Consentimento | | Logs de acesso ao SOS (IP, tentativas) | 6 meses | Segurança |
Quando o Titular solicitar a exclusão de seus dados ou quando expirar o prazo de retenção:
Nos termos dos Arts. 17 a 22 da LGPD, o Titular dos dados pessoais tem direito a:
| Direito | Descrição | Como exercer | |---------|-----------|--------------| | Confirmação | Confirmar a existência de tratamento de seus dados | E-mail ou app | | Acesso | Acessar os dados pessoais que mantemos sobre você | E-mail ou app | | Correção | Corrigir dados incompletos, inexatos ou desatualizados | App (Configurações) ou e-mail | | Anonimização | Solicitar a anonimização de dados desnecessários | E-mail | | Bloqueio | Solicitar o bloqueio de dados desnecessários | E-mail | | Eliminação | Solicitar a eliminação de dados tratados com base em consentimento | E-mail ou app | | Portabilidade | Solicitar a portabilidade dos dados a outro fornecedor | E-mail | | Informação | Ser informado sobre com quem compartilhamos seus dados | Esta Política | | Revogação | Revogar o consentimento a qualquer momento | App (Configurações) ou e-mail | | Oposição | Opor-se a tratamento baseado em interesse legítimo | E-mail | | Revisão de decisão automatizada | Solicitar revisão de decisões tomadas por automação | E-mail |
O Titular pode solicitar a exclusão completa de sua conta a qualquer momento:
Ao excluir a conta:
A Plataforma é destinada exclusivamente a maiores de 18 (dezoito) anos. Não coletamos intencionalmente dados pessoais de menores de 18 anos.
Se tomarmos conhecimento de que dados de um menor de 18 anos foram coletados, os mesmos serão eliminados imediatamente, salvo quando houver consentimento específico de pelo menos um dos pais ou responsável legal, conforme Art. 14 da LGPD.
Alguns de nossos operadores (Supabase, Google, Cloudflare) possuem infraestrutura localizada fora do Brasil, especificamente nos Estados Unidos da América.
Essas transferências são realizadas com base em:
Caso a ANPD emita decisão de adequação ou norma específica sobre transferência internacional, a SU Controle se compromete a adotar as medidas adicionais necessárias.
A SU Controle designou o seguinte Encarregado pelo Tratamento de Dados Pessoais, nos termos do Art. 41 da LGPD:
| Dado | Informação | |------|------------| | Nome | [A ser designado] | | E-mail | privacidade@sucontrole.com.br | | Atribuições | Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos, adotar providências, orientar funcionários e contratados, interagir com a ANPD |
Esta Política pode ser atualizada periodicamente para refletir mudanças em nossas práticas de tratamento de dados ou alterações na legislação aplicável.
Em caso de alteração substancial:
Esta Política é regida pela legislação da República Federativa do Brasil, especialmente:
Fica eleito o foro da comarca de [cidade do CNPJ], Estado de [UF], para dirimir quaisquer controvérsias oriundas desta Política, com renúncia a qualquer outro, por mais privilegiado que seja.
Para quaisquer dúvidas, solicitações ou reclamações relacionadas a esta Política de Privacidade ou ao tratamento de seus dados pessoais:
Documento elaborado com base na Lei nº 13.709/2018 (LGPD). Recomenda-se revisão por advogado especializado antes da publicação definitiva.
Última atualização: 09/05/2026