Política de Privacidade

Versão 2026-10-27 · Última atualização: 27/10/2026 · Termos de Uso

Esta Política explica como tratamos dados pessoais no AxisTMS — no site comercial, na Plataforma, nos e-mails e nos links enviados por ela: quais dados, para quais finalidades, com quem são compartilhados, por quanto tempo são guardados e como você pode exercer os seus direitos, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD). Os termos com inicial maiúscula têm o significado definido nos Termos de Uso.

1. Quem somos e como falar conosco

• Controlador: AXIS CONSULTORIA E DESENVOLVIMENTO LTDA (nome fantasia AXIS), inscrita no CNPJ sob o nº 68.983.827/0001-04, com sede em São Caetano do Sul/SP (“AXIS”, “nós”).
• Canal de comunicação sobre dados pessoais: contato@axistechdev.com.

A AXIS é agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022. Com base no art. 11 dessa Resolução, não indicou encarregado pelo tratamento de dados pessoais e mantém o canal acima para receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências (LGPD, art. 41, § 2º, I).

O mesmo canal recebe comunicações da Agência Nacional de Proteção de Dados (ANPD). As comunicações são feitas em português.

2. Quando somos controladores e quando somos operadores

Somos controladores quando decidimos sobre o tratamento dos dados e operadores quando tratamos dados em nome da empresa cliente, que decide (LGPD, art. 5º, VI e VII).

Como operadora, seguimos as instruções da empresa cliente previstas nos Termos de Uso (item 14). Se os seus dados fazem parte do Conteúdo de uma empresa cliente — por exemplo, como contato de uma transportadora, destinatário de uma proposta ou motorista cadastrado na frota —, quem decide sobre eles é essa empresa, que deve ter base legal para tratá-los e informar você, e os seus pedidos devem ser dirigidos a ela. Se o pedido chegar a nós, informamos que não somos o controlador desses dados, indicamos a empresa responsável sempre que possível e encaminhamos o pedido a ela (LGPD, art. 18, § 4º, I).

Proponentes externos. Quando você envia uma proposta pelo link público de uma oferta de carga, o formulário, a confirmação do seu e-mail, o registro do seu consentimento e a segurança do link são nossos (somos controladores). Depois que você confirma o e-mail e autoriza o compartilhamento, a empresa que publicou a carga recebe os dados da proposta, decide como usá-los para avaliar a proposta e contratar o frete e responde por esse uso; nós hospedamos esse registro como operadores. Cópias que a empresa fizer para as próprias operações (por exemplo, no embarque criado a partir da proposta aceita) seguem as regras e a responsabilidade dela. Pedidos sobre os dados da proposta feitos a nós são tratados como explica o item 9.

Os prestadores que tratam dados em nosso nome, como a hospedagem, são nossos operadores — e, para o Conteúdo da empresa, suboperadores (item 6).

3. Dados que tratamos

3.1 Dados em que somos controladores

3.2 Conteúdo da empresa (somos operadores)

A empresa cliente decide o que registra. Conforme os módulos que usar, o Conteúdo da empresa pode incluir:

• transportadoras: CNPJ ou CPF, nome ou razão social, RNTRC e categoria, nome, e-mail, telefone e WhatsApp do contato, endereço, regiões, veículos e tipos de carga, observações e uma avaliação interna feita pela empresa cliente, que não é mostrada à transportadora;
• clientes, destinatários e parceiros: CNPJ ou CPF, nome, inscrição estadual, dados de contato, endereço e observações;
• cotações, rotas e propostas: endereços de origem, destino e paradas (com coordenadas), carga, valores, condições, responsáveis e o histórico de versões;
• respostas de transportadoras por link: nome de quem respondeu, valores e condições, data, hora e IP;
• aprovações por link: nome e e-mail do destinatário, decisão, comentário, data e hora, IP, navegador, versão da proposta, hash do documento apresentado e confirmação por código, quando exigida;
• ofertas de carga e propostas: a carga, o frete e o contato da empresa para a carga; as propostas recebidas de empresas da rede, de transportadoras convidadas e de proponentes externos (nome, CPF ou CNPJ, telefone, e-mail, RNTRC, veículo, placa, valor e mensagens), o histórico da negociação com data, hora e IP, os links enviados com o e-mail de destino e as respostas da empresa;
• alertas da bolsa de cargas: os filtros de busca (rotas, veículos e pesos) e as preferências de aviso de cada usuário;
• frota: veículos (placa, placas dos implementos, RENAVAM, chassi, ano, marca, modelo, capacidades, rastreador e observações), motoristas (nome, CPF, número, categoria e validade da CNH, telefone, situação e observações), vínculos entre motoristas e veículos, documentos dos veículos (tipo, número, datas e arquivo), manutenções, abastecimentos (inclusive o motorista que abasteceu, se informado) e parâmetros de custo. O CPF e o número da CNH aparecem mascarados nas listas;
• embarques e rastreamento: datas, valores, carga, placa do veículo, nome do motorista, eventos de rastreamento com cidade, UF e coordenadas e, nos links de atualização, o e-mail da transportadora a quem o link foi enviado e o nome (opcional) de quem informou cada evento;
• documentos e faturas: arquivos como CT-e, NF-e, MDF-e, faturas e contratos, que podem conter dados pessoais;
• identidade visual: o logotipo enviado pela empresa, que aparece nas propostas em PDF, nas páginas públicas dos links de aprovação e de atualização de rastreamento e nos e-mails enviados em nome da empresa a quem não tem conta, em um endereço com código aleatório que qualquer pessoa com o endereço consegue abrir;
• exportações: os arquivos de relatório que a empresa pede para baixar, guardados em área privada e apagados após 3 dias;
• integrações: tokens de acesso à API (guardados como hash, com data e IP do último uso) e os dados que a empresa decidir enviar por webhooks aos endereços que configurar.

Parte desses módulos ainda está em desenvolvimento e aparece como “Em breve” na Plataforma; a descrição acima vale a partir da liberação de cada um.

3.3 O que não coletamos e cuidados adicionais

• Nos cadastros de usuários não pedimos CPF, RG, data de nascimento, gênero, foto nem localização. Não tratamos intencionalmente dados pessoais sensíveis (LGPD, art. 5º, II): evite incluí-los em campos livres ou em documentos que não os exijam.
• Os nomes do quadro societário retornados na consulta do CNPJ servem apenas para comparação no momento da verificação e não são armazenados, nem em cache nem em logs: guardamos apenas o resultado da comparação.
• Para empresário individual e MEI, o CNPJ e a razão social podem identificar uma pessoa: a razão social oficial inclui o nome e o CPF do titular, e o endereço do registro pode ser residencial. Esses dados vêm do registro público e recebem as mesmas proteções dos demais dados pessoais.
• Senhas, links de acesso (convites, redefinição de senha e, quando liberados, links de aprovação e de cotação) e códigos de confirmação não são guardados em texto legível: guardamos apenas o hash.
• Exceção: dos links das ofertas de carga (público, de convite e de acompanhamento) guardamos também uma cópia cifrada com a chave da aplicação, para que a empresa possa copiar de novo o mesmo link e para reenviá-lo por e-mail sem trocar o endereço. A cópia é apagada quando o link é revogado e na anonimização dos dados do proponente.

4. Finalidades e bases legais

Cada tratamento tem uma finalidade definida e uma base legal prevista no art. 7º da LGPD:

Não vendemos dados pessoais. Na Plataforma, não usamos dados para publicidade, não fazemos por conta própria perfis de comportamento nem pontuação de pessoas, não usamos serviços de inteligência artificial e enviamos apenas e-mails de serviço. A visão de produtividade da equipe (item 6) apenas conta as ações registradas e é consultada pelos administradores da empresa, que respondem pelo uso que fazem dela. A medição de anúncios com o Pixel da Meta acontece somente no site comercial e com o seu consentimento (item 12).

Quando a base é o legítimo interesse, tratamos apenas os dados estritamente necessários à finalidade, com transparência (LGPD, art. 10), e você pode se opor (item 9). Quando a base é o consentimento, você pode revogá-lo a qualquer momento, de forma gratuita e facilitada (LGPD, art. 8º, § 5º).

5. Verificação cadastral e decisões automatizadas

A verificação cadastral da empresa (Termos de Uso, item 5) aplica regras automáticas ao resultado da consulta do CNPJ:

• situação cadastral ativa: o CNPJ é localizado, e a validação só termina depois das confirmações do usuário, da declaração do responsável e, quando exigida, da confirmação do e-mail corporativo;
• situação suspensa ou ativa com pendência: a verificação vai para análise;
• situação nula, inapta ou baixada: a verificação fica como “Situação cadastral exige atenção”, sem validação automática;
• CNPJ não localizado na fonte: a verificação fica como “CNPJ não localizado”, sem validação automática; confira o número ou peça análise;
• situação desconhecida, razão social divergente ou CNPJ já usado por outra conta: análise manual;
• falha da fonte de consulta: a verificação fica indisponível — nunca é aprovada nem recusada por esse motivo.

Também calculamos sinais de risco — como e-mail de domínio gratuito, presença do responsável ou de quem consultou no quadro societário publicado, MEI, vários CNPJs ou tentativas em sequência —, usados apenas para apoiar a análise da nossa equipe. Nenhum resultado automático recusa o cadastro: a decisão de não aprovar é sempre de uma pessoa. Enquanto a empresa não estiver verificada, recursos como o convite de usuários ficam indisponíveis.

A LGPD (art. 20) garante o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os seus interesses. Na verificação cadastral, essa revisão é sempre feita por uma pessoa da nossa equipe: o administrador da empresa pode pedi-la na própria Plataforma, explicando o motivo, enquanto a verificação não estiver em análise, ou pelo canal do item 1 — o único meio quando o cadastro não for aprovado. A decisão é justificada, comunicada por e-mail aos administradores da empresa e registrada.

Outras medidas automáticas — bloqueio temporário depois de várias tentativas de entrada, limites de uso, limites de envio de propostas, de códigos e de denúncias por IP e por e-mail nos links de ofertas de carga, alerta de dispositivo novo e encerramento de sessões por inatividade ou suspensão — servem apenas para proteger o acesso e a rede. O bloqueio de um proponente e a suspensão de uma oferta são sempre decididos por uma pessoa da nossa equipe.

6. Com quem compartilhamos dados

Compartilhamos dados apenas na medida necessária para cada finalidade:

• Hostinger — hospedagem da aplicação, do banco de dados, dos arquivos enviados, das rotinas agendadas e das cópias de segurança, e rede de distribuição de conteúdo (CDN) por onde passa o tráfego do site e da Plataforma. É nossa operadora e, para o Conteúdo da empresa, suboperadora.
• Provedor de e-mail (Hostinger) — envio dos e-mails de serviço e caixa de entrada do atendimento: recebe o endereço do destinatário e o conteúdo das mensagens enviadas e recebidas. É nosso operador e, para o Conteúdo da empresa, suboperador.
• BrasilAPI — consulta do CNPJ na verificação cadastral e no preenchimento automático de formulários e, quando o ViaCEP não responde, consulta de CEP. Enviamos apenas o número consultado, a partir dos nossos servidores. A resposta traz dados públicos da Receita Federal, inclusive nomes de sócios, que não guardamos (item 3.3). No preenchimento de formulários do Conteúdo da empresa, é suboperadora.
• SERPRO — somente se contratado e ativado: consulta oficial do CNPJ na verificação cadastral, apenas com o número; esse serviço não retorna sócios nem CPFs.
• ViaCEP — consulta de endereço a partir do CEP. Enviamos apenas o CEP. No preenchimento de formulários do Conteúdo da empresa, é suboperador.
• OpenFreeMap (Hyperknot Software Kft., Hungria) — mapa de fundo das páginas com mapa (roteirização e cotações). As imagens do mapa são baixadas pelo seu navegador diretamente do OpenFreeMap, que pode usar a rede da Cloudflare para entregá-las: o serviço recebe o seu IP, dados técnicos do navegador e as áreas do mapa visualizadas. O OpenFreeMap informa que não usa cookies nem rastreamento e que só registra IP em logs de erro (guardados por 7 dias) ou, durante incidentes de segurança, por até 30 dias. Pontos, rotas e demais dados da simulação não são enviados a ele.
• HeiGIT (HeiGIT gGmbH, Heidelberg, Alemanha — serviço openrouteservice) — somente se a integração opcional de rotas estiver ativada: cálculo de rotas e busca de endereços feitos pelos nossos servidores, com apenas coordenadas dos pontos da rota, texto de endereço e as características do veículo e da carga usadas no cálculo (dimensões, peso e produto perigoso). Nunca enviamos nome de cliente, CPF, CNPJ, telefone ou e-mail. Para o Conteúdo da empresa, é suboperadora.
• Have I Been Pwned — no ambiente de produção, verifica se uma nova senha aparece em vazamentos conhecidos. Enviamos apenas os 5 primeiros caracteres do hash SHA-1 da senha (técnica de anonimato k), nunca a senha nem o e-mail. Uma falha nessa consulta não impede o cadastro.
• Asaas — processamento dos pagamentos dos planos pagos, com os dados de cobrança do item 3.1.
• Meta Platforms — somente no site comercial e somente com o seu consentimento: dados de navegação coletados pelo Pixel (item 12).
• YouTube (Google) e Vimeo — somente no site comercial, quando o vídeo de apresentação for desses serviços e somente depois que você tocar nele: o seu navegador carrega o player diretamente do provedor (item 12.3).
• Empresa cliente — os usuários com permissão na empresa à qual você está vinculado veem o seu nome, e-mail, perfil de acesso, situação, data de entrada, último acesso e quem o convidou, além do registro de atividades da empresa, que não mostra IP nem navegador; ações da nossa equipe aparecem como “Equipe AxisTMS”. Os administradores veem os dados da verificação cadastral da própria empresa. Os administradores também veem, em Equipe > Produtividade e no detalhe de cada usuário, as ações registradas de cada pessoa — quantidade por tipo de ação, dias com atividade e linha do tempo —, com nome, e-mail, perfil de acesso, situação e último acesso, e podem exportar a tabela em CSV (a exportação exige confirmar a senha e fica registrada). Essa visão não mede tempo de trabalho e não mostra IP, navegador, senhas nem horários de entrada e saída; a empresa deve avisar a sua equipe de que ela existe (Termos de Uso, itens 4 e 14.3).
• Empresa que publicou a carga — recebe os dados da proposta de um proponente externo (nome, CPF ou CNPJ, telefone, e-mail, RNTRC, veículo, placa, valor e mensagem) somente depois que ele confirma o e-mail e consente com o compartilhamento, e os usa para avaliar a proposta e contratar o frete (item 2).
• Empresas da rede (bolsa de cargas) e quem recebe o link de uma oferta — veem os dados públicos da oferta: cidades e UFs de origem e destino, características da carga, condições do frete e o nome da empresa que a publicou (que, em empresário individual ou MEI, pode identificar uma pessoa), com o selo “CNPJ verificado” quando houver. O valor declarado da mercadoria só aparece para transportadoras convidadas e empresas verificadas da rede. Endereços completos, contato, referência interna, cliente e propostas de outros proponentes nunca saem da empresa que publicou; o contato e os endereços completos vão apenas ao proponente cuja proposta é aceita.
• Nossa equipe — pessoas com permissões específicas, com verificação em duas etapas obrigatória e acessos a cadastros registrados, para suporte, segurança, verificação cadastral e atendimento de solicitações. Quem tem permissão para moderar a bolsa de cargas pode ler, de qualquer empresa, as ofertas divulgadas por link público ou pela bolsa (ou denunciadas) e as propostas delas, para tratar denúncias e abusos; as decisões de moderação ficam na trilha de auditoria da plataforma.
• Integrações escolhidas pela empresa cliente — quando liberadas, a empresa pode enviar dados do Conteúdo da empresa a sistemas que ela escolher, por API ou webhooks; esse envio é decisão e responsabilidade dela.
• Autoridades públicas — quando houver obrigação legal ou regulatória ou ordem judicial. Registros de acesso só são fornecidos mediante ordem judicial; dados cadastrais podem ser requisitados por autoridade administrativa competente, na forma da lei (Marco Civil da Internet, art. 10).
• Operações societárias — em caso de fusão, aquisição ou reorganização, os dados podem ser transferidos ao sucessor, que fica sujeito a esta Política.

Não vendemos nem alugamos dados pessoais.

7. Transferência internacional

Localização dos servidores da Plataforma: Brasil (data center da Hostinger no Brasil). Alguns serviços que usamos funcionam fora do Brasil:

O tráfego do site e da Plataforma passa pela CDN da Hostinger, e os e-mails — os de serviço e as mensagens do atendimento — são enviados e guardados pelos servidores do provedor de e-mail. Ainda não confirmamos a localização de todos os pontos dessa rede e desses servidores; se confirmarmos tratamento fora do Brasil, atualizaremos esta seção com o país e o mecanismo aplicável. O Asaas é um provedor brasileiro de pagamentos, e o SERPRO, quando contratado, processa os dados no Brasil.

Você pode pedir mais informações sobre essas transferências pelo canal do item 1 e apresentar petição à ANPD.

8. Por quanto tempo guardamos os dados

Guardamos os dados apenas pelo tempo necessário às finalidades desta Política, ao cumprimento de obrigações legais e ao exercício regular de direitos (LGPD, arts. 15 e 16). Parte das exclusões é automática, feita por rotinas do sistema; onde indicado, a eliminação ainda é feita pela nossa equipe. Os prazos atuais são:

Os prazos podem ser maiores enquanto houver processo judicial ou administrativo, pedido de autoridade para a guarda de registros (Marco Civil da Internet, art. 15, § 2º) ou outra obrigação legal. Ao fim do tratamento, os dados são eliminados ou anonimizados, ressalvadas as hipóteses de conservação do art. 16 da LGPD.

9. Seus direitos e como exercê-los

Nos termos do art. 18 da LGPD, você pode solicitar:

• a confirmação da existência de tratamento;
• o acesso aos seus dados;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• a portabilidade dos dados a outro fornecedor, conforme a regulamentação da ANPD;
• a eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda previstas em lei;
• informações sobre as entidades com as quais compartilhamos dados;
• informações sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• a revogação do consentimento;
• a oposição a tratamento realizado com base em outras hipóteses legais, em caso de descumprimento da LGPD (art. 18, § 2º);
• a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os seus interesses (art. 20), como explicado no item 5.

Você também pode apresentar petição à ANPD e a órgãos de defesa do consumidor (art. 18, §§ 1º e 8º).

Como exercer

• Pela Plataforma, em Minha conta > Dados pessoais, onde você registra pedidos de acesso, correção ou exclusão dos seus dados e acompanha as respostas. Na mesma página, “Baixar meus dados” gera na hora um arquivo JSON com o seu perfil, empresas e perfis de acesso, aceites, sessões abertas, as suas ações dos últimos 12 meses e as suas solicitações. O arquivo é uma cópia simplificada: não inclui, por exemplo, a declaração de responsável por uma empresa, as consultas de CNPJ feitas por você, as tentativas de entrada na sua conta e os registros com mais de 12 meses — esses dados constam da declaração completa, que você pode pedir na mesma página (pedido de “Acesso aos dados”).
• Você mesmo corrige o seu nome e o seu e-mail em Minha conta (a troca de e-mail exige confirmar o novo endereço e avisa o anterior). Os administradores corrigem os dados da empresa em Configurações; o CNPJ e a razão social confirmados na verificação só mudam com uma nova verificação.
• Se você enviou uma proposta como proponente externo, sem conta na Plataforma, peça pelo e-mail contato@axistechdev.com o acesso, a correção ou a eliminação dos dados dela (podemos pedir que o pedido venha do e-mail usado na proposta). A eliminação é atendida anonimizando os dados da sua proposta em todas as empresas — nome, documento, e-mail, telefone, RNTRC, placa, IP, navegador e o texto das suas mensagens —, mantendo valores, datas e situação da negociação, que são registro da empresa. Os bloqueios da moderação guardam só impressões irreversíveis e podem continuar (item 8); as cópias que a empresa fez para as próprias operações seguem o item 2.
• Se você é motorista cadastrado na frota de uma empresa, fale com ela: é ela quem decide sobre esses dados (item 2).
• Pelo e-mail contato@axistechdev.com — para os demais direitos e para quem não tem conta na Plataforma.

Para proteger os seus dados, podemos pedir a confirmação da sua identidade antes de atender — por exemplo, que o pedido venha do e-mail da conta ou seja registrado em Minha conta. O atendimento é gratuito (art. 18, § 5º). Quando corrigirmos ou eliminarmos dados, avisamos quem os recebeu de nós, salvo se isso for comprovadamente impossível ou exigir esforço desproporcional (art. 18, § 6º).

Prazos: a confirmação de existência e o acesso em formato simplificado (LGPD, art. 19, I) estão disponíveis na hora, em “Baixar meus dados”; quando pedidos por e-mail, são respondidos em até 15 dias (Resolução CD/ANPD nº 2/2022, art. 15). Você recebe a declaração completa, em até 15 dias (art. 19 da LGPD) contados do pedido, com a origem dos dados, os critérios usados e a finalidade do tratamento; enquanto formos agente de pequeno porte, a Resolução CD/ANPD nº 2/2022 (art. 14) permite prazo em dobro e, se precisarmos dele, avisaremos você antes do fim dos 15 dias. Os demais pedidos são respondidos em até 15 dias; se não for possível adotar a providência de imediato, explicamos o motivo (art. 18, § 4º).

Exclusão da conta: o pedido é atendido pela nossa equipe com a anonimização irreversível da conta: o nome e o e-mail são substituídos, a senha e a verificação em duas etapas são descartadas, sessões, notificações, links e códigos pendentes são apagados e os vínculos com empresas são removidos. Permanecem, pelos prazos do item 8, os registros de auditoria (que podem conter o nome ou o e-mail anteriores), os aceites, a própria solicitação, os dados das empresas (como a declaração do responsável) e as cópias de segurança até a substituição. Se você for o único administrador ativo de uma empresa, ela precisa antes indicar outro administrador.

Alguns pedidos podem não ser atendidos integralmente — por exemplo, quando a guarda for obrigatória (item 8) ou quando o pedido atingir dados de outras pessoas ou segredo comercial. Nesse caso, explicamos o motivo. Pedidos sobre o Conteúdo de uma empresa cliente seguem o item 2.

10. Segurança da informação

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• conexão criptografada (HTTPS) entre o seu navegador e a Plataforma;
• senhas guardadas apenas com hash (bcrypt), com no mínimo 10 caracteres, letras e números, e verificação contra senhas vazadas conhecidas;
• aviso por e-mail quando a senha, o e-mail ou a verificação em duas etapas mudam e quando há entrada a partir de um dispositivo novo; a troca de senha encerra as outras sessões;
• verificação em duas etapas disponível para todos os usuários e obrigatória para a equipe do AxisTMS que administra a Plataforma; a empresa cliente pode exigi-la dos seus administradores;
• isolamento dos dados de cada empresa cliente, verificado no servidor a cada requisição; tentativas de acesso a dados de outra empresa são bloqueadas e registradas;
• controle de acesso por perfil e permissão, aplicado no servidor;
• limites de tentativas e bloqueio temporário de acesso, com a mesma resposta para e-mails cadastrados ou não;
• encerramento da sessão por inatividade e nova confirmação de senha para ações sensíveis;
• links e códigos guardados como hash no banco de dados (os links de ofertas de carga também têm uma cópia cifrada, como explica o item 3.3); segredos, como os da verificação em duas etapas e as chaves de pagamento, guardados de forma criptografada, assim como os dados de sessão;
• links externos (aprovação, cotação, rastreamento e ofertas de carga) com código aleatório de 256 bits, validade, revogação, limites de tentativas por IP e por objeto e páginas que os buscadores não indexam e que não ficam em cache; nos links de ofertas de carga, a mesma resposta para link inexistente, vencido ou revogado;
• separação, aplicada no servidor, entre os dados públicos de uma oferta de carga e os dados internos da empresa que a publicou; ações de moderação e de anonimização registradas na trilha de auditoria da plataforma;
• cabeçalhos de segurança do navegador, como a política de segurança de conteúdo (CSP), que bloqueia scripts de outros endereços;
• conferência do tipo, do formato real e do tamanho dos arquivos enviados, guardados em área privada e baixados somente por quem tem permissão, com registro;
• trilha de auditoria que a aplicação não altera nem apaga, salvo pela rotina de retenção, e que não guarda senhas nem códigos; os acessos da nossa equipe a cadastros são registrados;
• procedimentos de cópia de segurança cifrada e de resposta a incidentes.

Essas são as medidas que adotamos; elas não representam certificação nem auditoria externa. Nenhum sistema é totalmente imune a falhas ou ataques: por isso não prometemos segurança absoluta, mas trabalhamos para prevenir, detectar e corrigir problemas. Você também contribui ao usar senha forte e exclusiva, ativar a verificação em duas etapas e encerrar as sessões abertas em dispositivos compartilhados.

11. Incidentes de segurança

Mantemos um procedimento interno de resposta a incidentes: conter o problema, revogar credenciais, encerrar sessões, corrigir a causa, restaurar dados quando necessário e avaliar as comunicações devidas.

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados (LGPD, art. 48) no prazo da Resolução CD/ANPD nº 15/2024 — 3 dias úteis contados do conhecimento de que o incidente afetou dados pessoais, prazo contado em dobro para agentes de pequeno porte. A comunicação aos titulares é feita em linguagem simples, diretamente pelo e-mail cadastrado — e também por aviso na Plataforma —, e informa a natureza dos dados afetados, os riscos, as medidas adotadas e o que você pode fazer. Quando não for possível identificar ou contatar cada pessoa, o aviso é publicado no site por pelo menos 3 meses.

Quando o incidente afetar o Conteúdo de uma empresa cliente, avisamos a empresa em até 2 dias úteis da confirmação (Termos de Uso, item 14), e ela, como controladora, decide e faz as comunicações, com o nosso apoio. Todo incidente, comunicado ou não, fica registrado por no mínimo 5 anos.

12. Cookies e tecnologias semelhantes

12.1 Na Plataforma e nas páginas públicas: somente o necessário

Na Plataforma, não usamos cookies de publicidade, de análise de navegação ou de redes sociais, e não carregamos rastreadores de terceiros: fontes, ícones e demais recursos são servidos pelo próprio AxisTMS, e a política de segurança do navegador bloqueia scripts de outros endereços. A única exceção são as imagens do mapa de fundo nas páginas com mapa, baixadas do OpenFreeMap sem cookies (itens 6 e 7). Como esses cookies são estritamente necessários, eles não dependem de consentimento; se você bloqueá-los no navegador, não será possível entrar na Plataforma.

12.2 No site comercial: cookies de marketing somente com consentimento

O site comercial só carrega cookies de marketing se você consentir. Quando o Pixel da Meta estiver ativado no site:

• um aviso de cookies permite aceitar ou recusar os cookies de marketing com a mesma facilidade, já no primeiro nível; nenhuma opção vem marcada e nada é carregado antes da sua escolha;
• o aviso informa, antes da escolha, que a Meta trata os dados fora do Brasil; ao aceitar, você também consente com esse envio ao exterior (LGPD, art. 33, VIII);
• se você aceitar, o site carrega o Pixel da Meta Platforms, que pode gravar cookies da Meta no seu navegador e enviar à Meta eventos de navegação (como as páginas visitadas), com o seu IP e dados do navegador, para medir e direcionar os anúncios do AxisTMS. A Meta trata esses dados no exterior, conforme as políticas dela (item 7);
• se você recusar, nenhum cookie de marketing é gravado e o site funciona normalmente;
• a sua escolha vale por 12 meses e fica registrada para ser respeitada nas próximas visitas e para comprovar o consentimento: no seu navegador e no nosso servidor, com um identificador aleatório, a data, a versão do aviso e a escolha, sem o seu IP. Depois de 12 meses, perguntamos de novo, e o registro antigo é apagado;
• você pode mudar de ideia a qualquer momento pelo link “Preferências de cookies”, no rodapé do site, ou apagando os cookies do navegador. A revogação interrompe novas coletas, sem afetar o tratamento feito antes com base no consentimento.

12.3 No site comercial: vídeo de apresentação

O site comercial pode exibir um vídeo de apresentação. Quando o vídeo é de um serviço de terceiros (YouTube, do Google, ou Vimeo), nada é carregado desse serviço enquanto você não tocar nele: a página mostra apenas uma imagem de capa e o botão de play, e o aviso abaixo do vídeo informa de onde ele vem. Ao tocar, o seu navegador carrega o player diretamente do provedor, no modo de privacidade reforçada (youtube-nocookie.com ou o Vimeo com a opção de não rastrear ativada), e o provedor recebe o seu IP e dados do navegador e pode gravar cookies ou dados locais no seu navegador, conforme as políticas dele; o AxisTMS não recebe nem guarda esses dados. Vídeos enviados diretamente ao AxisTMS são entregues pelos nossos servidores, sem terceiros. Esse toque é uma ação sua e não depende do aviso de cookies de marketing do item 12.2.

13. Crianças e adolescentes

A Plataforma é destinada ao uso profissional por maiores de 18 anos, e os Termos de Uso exigem essa idade para o cadastro. Não tratamos intencionalmente dados pessoais de crianças e adolescentes. Se soubermos que uma conta pertence a menor de 18 anos, poderemos suspendê-la e eliminar os dados, ressalvadas as guardas legais. As empresas clientes não devem inserir dados de crianças e adolescentes no Conteúdo da empresa, salvo quando indispensável e lícito.

14. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças na Plataforma, nos prestadores ou na legislação. Cada versão é identificada no topo desta página, com a data da última atualização. Mudanças relevantes são comunicadas por e-mail ou por aviso na Plataforma, com um resumo do que mudou, e o acesso à área da empresa passa a exigir que você confirme a leitura da nova versão; essas confirmações ficam registradas com a versão lida. Mudanças que afetem um tratamento baseado em consentimento — como os cookies de marketing do site — são informadas com destaque, e você pode revogar o consentimento (LGPD, art. 8º, § 6º). Mudanças na lista de suboperadores seguem o item 14 dos Termos de Uso.