Política de privacidade

Última atualização: 5 de novembro de 2026.

Quem é o responsável

A A-REX (empresa em constituição) mantém este site, platform.a-rex.org, e a A-REX Platform, o serviço de rastreabilidade que as empresas usam pelo console, pela API e pelo assistente. Até que a A-REX seja constituída, os seus fundadores agem em nome dela. Para qualquer dúvida ou pedido sobre os seus dados pessoais, escreva para [email protected].

Esta política aplica a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), o Regulamento Geral sobre a Proteção de Dados europeu (GDPR) para pessoas no Espaço Econômico Europeu e as leis de privacidade do consumidor dos estados norte-americanos que as têm. Ela vale para todos, onde quer que estejam.

O padrão aberto A-REX e o seu site, standard.a-rex.org, são mantidos pela A-REX Foundation, que tem a sua própria política de privacidade.

Dois papéis

A A-REX decide (controlador). Para este site, o formulário de contato, a sua conta de usuário, a segurança do serviço, os pedidos de suporte e a cobrança, a A-REX decide por que e como os seus dados são tratados.
A A-REX age para uma empresa (operador, nos termos da LGPD). Os registros que uma empresa mantém na A-REX Platform (os seus lotes, entregas, certificados e as pessoas e empresas do seu cadastro, como fornecedores, produtores e compradores) pertencem a essa empresa. A empresa decide o que registra e por quê; a A-REX trata esses registros somente conforme as instruções dela. Se uma empresa tem dados seus, escreva primeiro para ela; nós a ajudamos a responder.

Neste site

O site não usa cookies e não roda ferramentas de análise nem rastreadores de publicidade. O seu navegador guarda no armazenamento local o tema de cores que você escolheu; ele nunca sai do seu dispositivo.

A Cloudflare hospeda o site. Para entregá-lo e protegê-lo, a Cloudflare trata dados técnicos como o seu endereço IP, o seu navegador e as páginas que você acessa.

Quando você nos escreve pelo formulário de contato, guardamos o seu nome, e-mail profissional, empresa, o que ela faz, país, produtos, mensagem, o plano sobre o qual você perguntou e o idioma da página. Para limitar abusos, guardamos por um dia uma impressão digital da sua conexão, nunca o próprio endereço. O Cloudflare Turnstile confere que foi uma pessoa que enviou o formulário; ele trata dados técnicos sobre o seu navegador e a sua conexão, e nós recebemos só o resultado.

Na A-REX Platform

A sua conta. O seu nome, e-mail, idioma, as empresas e funções que foram atribuídas a você, os seus métodos de login (chaves de acesso, ou passkeys, e o segundo fator; nunca uma senha em texto aberto), as sessões e um registro do que você fez no console: cada proposta, aprovação, download e alteração guarda quem a fez. O login usa cookies estritamente necessários para o serviço.

Os registros de uma empresa. O que a empresa registra: lotes, quantidades, entregas, certificados, documentos, eventos de campo e as pessoas e empresas do seu cadastro. Nomes, números fiscais, contatos, endereços e coordenadas das parcelas são armazenados criptografados, com as chaves mantidas em um serviço de gerenciamento de chaves.

O assistente, o Humboldt e os agentes. Quando você faz uma pergunta ao assistente, ou quando um agente trabalha para a sua empresa, a pergunta e os registros necessários para respondê-la são enviados à Anthropic, que fornece os modelos de IA. Números fiscais e identificadores semelhantes são substituídos por marcadores antes de chegarem ao modelo. A Anthropic trata esses dados como nossa suboperadora e não os usa para treinar os seus modelos. O assistente só prepara propostas; são pessoas que aprovam cada alteração.

Suporte. O que você escreve em um pedido de suporte e o que você escolhe anexar. O suporte nunca vê uma conversa com o assistente, a menos que você a inclua em um relato de problema.

Cobrança. O nome da organização, o contato de cobrança e o plano. A Stripe processa os pagamentos; a A-REX nunca vê números de cartão. Durante a fase alfa, a cobrança roda no modo de teste da Stripe e nada é cobrado.

Mapas e clima. Para mostrar o clima de um evento de campo, o local e a data do evento, sem nenhum nome, são enviados à OpenWeather e ao Copernicus (ERA5). Quando você abre um mapa com imagens de satélite da Esri, o seu navegador pede as imagens à Esri, que vê o seu endereço IP.

Mensagens. Se uma empresa conecta o seu próprio canal de e-mail ou de WhatsApp, as mensagens enviadas a esse canal são tratadas para a empresa, que é a responsável por elas. As mensagens de WhatsApp passam pela Meta.

Registros públicos: o que fica para sempre

Os registros de cada empresa também são gravados em registros públicos, para que qualquer pessoa possa conferi-los sem precisar confiar na A-REX: o registro próprio da empresa em uma rede compatível com EVM, e impressões digitais diárias publicadas na Hedera e no Bitcoin (por meio do OpenTimestamps). Durante a fase alfa, só são usadas redes de teste.

O que é gravado em um registro público não pode ser alterado nem apagado por ninguém, nem mesmo pela A-REX. Por isso o registro público não guarda nomes, números fiscais, contatos, endereços, coordenadas nem documentos: só registros de lote sem dados pessoais, impressões digitais e os endereços públicos das chaves que aprovam. Esses endereços não trazem nome, mas a empresa e a A-REX conseguem ligar uma chave ao membro que a detém. Se você nos pedir para eliminar os seus dados, apagamos essa ligação e tudo o mais que mantemos; o endereço em si continua no registro público, sem o seu nome.

Por que usamos os dados, e com qual base legal

Finalidade	Base legal
Prestar o serviço que uma empresa contratou: contas, registros, aprovações, relatórios	Execução de contrato (LGPD art. 7, V; GDPR art. 6(1)(b))
Tratar os registros de uma empresa conforme as instruções dela	A base legal da própria empresa, como sua operadora (LGPD art. 39; GDPR art. 28)
Manter o serviço seguro, registrar quem fez o quê, prevenir abusos	Legítimo interesse (LGPD art. 7, IX; GDPR art. 6(1)(f))
Responder ao formulário de contato e aos pedidos de suporte	Procedimentos preliminares que você pediu antes de um contrato, ou o próprio contrato (LGPD art. 7, V; GDPR art. 6(1)(b))
Cobrança, notas fiscais e registros fiscais	Obrigação legal e o contrato (LGPD art. 7, II e V; GDPR art. 6(1)(b) e (c))
Cumprir uma ordem judicial ou um pedido legítimo de uma autoridade	Obrigação legal (LGPD art. 7, II; GDPR art. 6(1)(c))

Não vendemos dados pessoais, não os compartilhamos para publicidade comportamental entre contextos e não os usamos para publicidade. Não tomamos decisões com efeitos jurídicos ou semelhantes sobre você apenas por meios automatizados: são pessoas que aprovam cada alteração.

Quem nos ajuda (suboperadores)

Cloudflare: hospedagem deste site, o banco de dados do formulário de contato, Turnstile.
Anthropic: os modelos de IA por trás do assistente, do Humboldt e dos agentes.
Stripe: cobrança e pagamentos.
Resend: envio de e-mails.
Esri: imagens de satélite para os mapas.
OpenWeather e Copernicus (ERA5): clima para os eventos de campo.
Meta: mensagens de WhatsApp, só para as empresas que conectam esse canal.
Hedera, Bitcoin (OpenTimestamps) e redes compatíveis com EVM: os registros públicos descritos acima.

Antes do início do serviço de produção, esta lista também vai indicar onde ficam hospedados o console, o seu banco de dados e as suas chaves. Atualizamos esta lista antes de incluir um suboperador.

Transferências para fora do seu país

Alguns desses fornecedores tratam dados fora do Brasil e do Espaço Econômico Europeu, inclusive nos Estados Unidos. Quando a lei exige, nós nos apoiamos em cláusulas contratuais padrão (as da Comissão Europeia e as aprovadas pela ANPD na Resolução CD/ANPD 19/2024) ou em outro mecanismo de transferência que a lei permita.

Por quanto tempo guardamos

Formulário de contato: doze meses depois da nossa última mensagem, a menos que a sua empresa se torne cliente.
Conta: enquanto a conta existir. Quando você sai de uma empresa, o seu acesso termina; o seu nome continua no histórico das aprovações que você fez, porque esse histórico é a evidência da empresa.
Os registros de uma empresa: enquanto a empresa os mantiver e o contrato dela estiver em vigor; depois, são apagados, após a empresa ter tido a oportunidade de exportá-los, exceto o que a lei nos obriga a guardar.
Pedidos de suporte: três anos depois de encerrados, a menos que se aplique uma retenção legal.
Registros de cobrança: pelo tempo que a legislação tributária exigir.
Registros públicos: para sempre, como explicado acima, sem dados pessoais.

Os seus direitos

Como titular, você pode nos pedir para confirmar se tratamos os seus dados, dar acesso a eles ou uma cópia, corrigi-los, eliminá-los, anonimizá-los, limitar o uso deles ou se opor a esse uso, transferi-los para outro fornecedor e saber com quem os compartilhamos. Você pode revogar o seu consentimento a qualquer momento, quando nos apoiamos nele. Escreva para [email protected]; respondemos em até 15 dias e podemos pedir que você confirme a sua identidade.

Se os seus dados estão nos registros de uma empresa, encaminhamos o seu pedido a essa empresa e a ajudamos a responder.

Nos Estados Unidos, pelas leis de privacidade do consumidor de estados como Califórnia, Virgínia, Colorado, Connecticut e Texas, você pode pedir para saber, acessar, corrigir e excluir as suas informações pessoais, e para recusar a venda, o compartilhamento ou o uso delas para publicidade direcionada (não fazemos nada disso). Você pode usar um agente autorizado, e nós vamos verificar o pedido. Nunca tratamos você de forma diferente por exercer esses direitos. Se recusarmos um pedido, você pode recorrer respondendo à nossa resposta.

Você também pode reclamar a uma autoridade de proteção de dados: no Brasil, a ANPD (Autoridade Nacional de Proteção de Dados); no Espaço Econômico Europeu, a autoridade do seu país; nos Estados Unidos, o procurador-geral do seu estado ou, na Califórnia, a California Privacy Protection Agency.

Segurança

Toda alteração é uma proposta que uma pessoa aprova com um segundo fator. Os registros de cada empresa ficam separados dos de todas as outras. Os campos sensíveis são criptografados, e o acesso da nossa equipe é limitado e registrado. A página de segurança explica como.