Política de Privacidade da Timbra

Versão 1.0 · Em vigor desde 11 de outubro de 2026

1. Resumo

Tratamos dados pessoais para fazer a Timbra funcionar, cobrar, dar suporte e manter tudo seguro.
Não vendemos dados pessoais.
Não usamos o conteúdo da sua empresa para treinar inteligência artificial.
O banco de dados fica no Brasil, em São Paulo. Alguns fornecedores ficam no exterior, principalmente nos Estados Unidos (item 8).
Funções novas que tratem dados de outro jeito, como a IA e a cobrança, só são ligadas depois que esta política for atualizada para descrevê-las.
Você pode pedir acesso, correção e exclusão dos seus dados pelo privacidade@timbra.app.br.

2. Quem trata os seus dados

A Timbra é oferecida por ACN Comunicação e Marketing LTDA, CNPJ 30.527.513/0001-16, com sede na Rua Caracuri, 501, casa 1, bairro Karaíba, Uberlândia/MG, CEP 38411-370 (“Timbra” ou “nós”).

Canal de privacidade: privacidade@timbra.app.br. A ACN é agente de tratamento de pequeno porte (microempresa). Como permite a Resolução CD/ANPD nº 2/2022, ela não indicou um encarregado, e este canal recebe os pedidos dos titulares e as comunicações da ANPD.

3. O nosso papel em cada dado

Dado	Quem decide sobre ele	Papel da Timbra
Seu cadastro de usuário, os dados da empresa cliente, a cobrança, o suporte, a segurança e as visitas ao site e às páginas públicas	A Timbra	Controladora
O que a empresa cliente coloca na Timbra: dados de colaboradores, cartões, comunicados, documentos e arquivos	A empresa cliente	Operadora: trata os dados seguindo as instruções da empresa

Se você é colaborador de uma empresa que usa a Timbra e tem uma dúvida sobre os dados que ela colocou aqui, fale primeiro com a sua empresa. Se você nos procurar, encaminhamos o pedido a ela.

4. Que dados tratamos, para quê e com que base legal

O quê	Exemplos	Para quê	Base legal (LGPD)
Cadastro e login	Nome, e-mail e foto. A senha é guardada embaralhada de forma irreversível (hash), e nem a nossa equipe consegue lê-la. Se você entrar com o Google, recebemos o nome, o e-mail e a foto da conta	Criar e proteger o seu acesso	Execução de contrato (art. 7º, V)
Dados da empresa	Razão social, nome fantasia, CNPJ, endereço, telefone, e-mail, site e redes da empresa	Montar os materiais da empresa e, no futuro, cobrar e emitir nota fiscal	Execução de contrato (art. 7º, V) e obrigação legal (art. 7º, II)
Consulta do CNPJ	O CNPJ digitado no cadastro	Preencher sozinho o cadastro com os dados públicos da Receita Federal	Execução de contrato (art. 7º, V) e dados tornados públicos (art. 7º, §§ 3º e 4º)
Registros de acesso	Endereço IP, data e hora de cada acesso	Cumprir o Marco Civil da Internet (art. 15), segurança e prevenção de fraude	Obrigação legal (art. 7º, II) e legítimo interesse (art. 7º, IX)
Registro de ações	Quem mudou o quê e quando, sem guardar o conteúdo alterado	Segurança, investigação de problemas e prova do que foi feito	Legítimo interesse (art. 7º, IX)
Registro do aceite	Versão e impressão digital do texto, data e hora, e-mail da conta, IP e navegador. No acordo de tratamento, também o nome e o CNPJ da empresa	Provar o que foi aceito, quando e por quem	Exercício regular de direitos (art. 7º, VI)
Verificação contra robôs	Sinais técnicos do navegador, pelo Cloudflare Turnstile	Impedir cadastro e acesso automatizados	Legítimo interesse (art. 7º, IX)
Suporte	Mensagens, prints e arquivos que você enviar	Atender você	Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX)
Comunicações	E-mail	Avisos do serviço, que são obrigatórios, e novidades, que você pode deixar de receber quando quiser	Execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX), com opção de sair

A empresa cliente define a base legal dos dados que ela coloca na Timbra (item 3).

Sempre que usamos o legítimo interesse, avaliamos antes se ele não passa por cima dos seus direitos. Você pode pedir o resumo dessa avaliação pelo canal de privacidade.

5. O que não queremos receber

A Timbra não foi feita para guardar dados pessoais sensíveis nem documentos pessoais, como CPF e RG de colaboradores. Evite colocar esses dados em arquivos, comunicados ou pedidos. São sensíveis os dados de saúde, religião, biometria, origem racial ou étnica, vida sexual, opinião política e filiação sindical.
A Timbra é para maiores de 18 anos. Não tratamos de propósito dados de crianças e adolescentes.

6. Arquivos públicos e páginas públicas

Os logos e as imagens do kit da marca ficam em um endereço público na internet, para aparecerem nas assinaturas de e-mail. Não coloque ali nada sigiloso.
As páginas que a empresa publicar, como o cartão virtual, ficam abertas para quem tiver o link e podem aparecer em buscadores.
Quando você visita o site da Timbra ou uma página pública, a Cloudflare registra dados técnicos da visita, como o IP e o navegador, para proteger o site.

7. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos só o necessário com:

Quem	Para quê	Onde
Supabase (Supabase Pte. Ltd., Singapura)	Banco de dados, login e arquivos	Dados guardados em São Paulo, Brasil. A equipe de suporte da Supabase pode acessar do exterior
Cloudflare, Inc.	Hospedagem do site e do app, proteção contra ataques, verificação contra robôs e encaminhamento dos e-mails enviados aos endereços @timbra.app.br	Rede mundial, com sede nos Estados Unidos
Resend	Envio dos e-mails da plataforma, como confirmação de cadastro e recuperação de senha	Estados Unidos
Google LLC	Login com a conta Google (só se você escolher); caixa de e-mail onde chegam as mensagens do suporte; e fontes do catálogo do Google Fonts, que o navegador baixa dos servidores do Google	Estados Unidos e rede mundial
BrasilAPI e CNPJ.ws	Consulta pública do CNPJ digitado no cadastro. Enviamos só o CNPJ. Não guardamos o quadro de sócios. No caso de MEI, usamos só a cidade e a UF	Brasil e exterior, conforme cada serviço
Anthropic, PBC	Assistente de inteligência artificial usado pela nossa equipe para desenvolver, manter e dar suporte à plataforma. Ele pode ver dados quando for preciso investigar um problema	Estados Unidos
Parceiro da sua empresa	Ver o cadastro, o plano e o uso da empresa (não o conteúdo) e receber a comissão	Brasil
Autoridades	Quando a lei ou uma ordem judicial exigir	Brasil

A lista dos fornecedores que tratam dados das empresas clientes fica em timbra.app.br/suboperadores. Antes de incluir um fornecedor novo desse tipo, avisamos essas empresas (Acordo de Tratamento de Dados, item 6).

O uso e a transferência de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado.

8. Transferência de dados para fora do Brasil

Alguns fornecedores do item 7 tratam dados fora do Brasil, principalmente nos Estados Unidos e, no caso da Supabase, por uma empresa de Singapura com os dados guardados em São Paulo.
Para quê: só para as finalidades do item 7, e só enquanto durar o contrato com cada fornecedor.
Com que garantia:
- a transferência é necessária para prestar o serviço que você contratou (LGPD, art. 33, IX);
- cada fornecedor assume, por contrato, obrigações de proteção de dados (adendos de proteção de dados), com sigilo, segurança e aviso de incidentes;
- estamos pedindo a cada fornecedor estrangeiro a inclusão das cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD nº 19/2024). A lista de quem já assinou fica em timbra.app.br/suboperadores, e você pode pedir a cópia das cláusulas assinadas pelo canal de privacidade.
Para cada tarefa, enviamos só o mínimo necessário.

9. Funções que ainda vão chegar

A Timbra está em fase de lançamento. Algumas funções anunciadas vão tratar dados de outro jeito, por exemplo:

a conversa e as ferramentas com inteligência artificial;
a cobrança dos planos pagos;
a instalação da assinatura no Gmail ou no Outlook;
o login com a conta Microsoft.

Cada uma só é ligada depois que esta política for atualizada para dizer que dados ela usa, com que fornecedor, por quanto tempo e com que garantia. Para a IA, só usamos fornecedores e contratos que proíbam o uso dos dados enviados para treinar os modelos deles.

10. Decisões automatizadas

A Timbra não toma decisões sobre você só de forma automática que afetem os seus direitos. Se isso passar a acontecer, você poderá pedir a revisão da decisão (LGPD, art. 20).

11. Por quanto tempo guardamos

Dado	Prazo
Cadastro e conteúdo da empresa	Enquanto a conta existir. Depois do encerramento, há 60 dias para exportar ou reativar. Depois disso, os dados são eliminados. As cópias de segurança, quando houver, são eliminadas em até 30 dias depois
Registros de acesso (IP, data e hora)	6 meses, como pede o Marco Civil da Internet (art. 15), em ambiente controlado. O prazo só aumenta com pedido de autoridade ou ordem judicial
Registro de ações	Enquanto a conta existir e por até 5 anos depois, só para investigação e defesa
Registro do aceite	Enquanto a conta existir e por 10 anos depois do encerramento, que é o prazo para cobranças ligadas a contrato (Código Civil, art. 205). O acesso é restrito, e o registro é eliminado ao fim do prazo
Cobrança e nota fiscal, quando existirem	Pelo prazo da lei fiscal: 5 anos contados do início do ano seguinte ao do pagamento
Atendimentos de suporte	Até 2 anos depois do último contato
Registro de incidentes de segurança	5 anos, como pede a Resolução CD/ANPD nº 15/2024
Contas grátis sem acesso	Encerradas depois de 12 meses sem acesso, com aviso 30 dias antes. Depois disso, valem os prazos acima

Quando o prazo acaba, eliminamos os dados ou os tornamos anônimos.

12. Como protegemos os dados

A conexão é cifrada (HTTPS) e os dados ficam cifrados no armazenamento do nosso fornecedor de banco de dados.
Cada empresa só enxerga o que é dela. Essa separação é feita no próprio banco de dados, e não só na tela.
Todo campo tem tamanho máximo, e há limites de uso por pessoa, para conter abuso.
O cadastro e o login têm verificação contra robôs.
As ações importantes ficam registradas.
Só poucas pessoas da nossa equipe têm acesso administrativo, protegido e com dever de sigilo.
As mudanças de permissão no banco de dados passam por testes automáticos e por uma segunda revisão antes de ir ao ar.

Nenhum sistema é 100% seguro. Se um incidente puder trazer risco ou dano relevante, avisamos a ANPD e as pessoas afetadas em até 3 dias úteis depois de sabermos dele, ou no prazo em dobro que a lei dá aos agentes de pequeno porte, e completamos as informações depois.

13. Seus direitos

Pela LGPD (art. 18), você pode pedir:

confirmação de que tratamos os seus dados, e acesso a eles;
correção de dados incompletos ou errados;
anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei;
portabilidade dos dados;
eliminação dos dados tratados com o seu consentimento, e revogação do consentimento;
informação sobre com quem compartilhamos os seus dados;
informação sobre a possibilidade de não dar o consentimento e o que isso muda;
oposição a um tratamento feito sem consentimento, quando ele estiver em desacordo com a lei;
revisão de decisões automatizadas.

Como pedir: escreva para o privacidade@timbra.app.br.

Podemos pedir uma confirmação da sua identidade, para não entregar os seus dados a outra pessoa.
A confirmação de que tratamos os seus dados sai na hora, de forma simples, ou em até 15 dias, de forma completa (art. 19).
Os outros pedidos são respondidos em até 15 dias. Se não for possível atender, dizemos o motivo.
Muitos dados você mesmo pode ver e corrigir na tela da conta.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em www.gov.br/anpd.

14. Cookies e armazenamento no navegador

Login: para manter você conectado, a Timbra guarda no seu navegador um identificador da sessão (armazenamento local). Sem ele, o login não funciona.
Segurança: a Cloudflare pode usar cookies técnicos para proteger o site e verificar que você não é um robô.
Não usamos cookies de publicidade nem de medição. Se um dia usarmos cookies de medição, eles só serão ligados com o seu consentimento.

15. Mudanças nesta política

Podemos atualizar esta política. Mudanças relevantes são avisadas por e-mail e na plataforma antes de valer, e pedimos a sua ciência na próxima entrada.
Guardamos as versões anteriores e as enviamos a quem pedir pelo canal de privacidade.

16. Contato

Privacidade e dados pessoais: privacidade@timbra.app.br
Suporte: suporte@timbra.app.br
Segurança: seguranca@timbra.app.br
Endereço: Rua Caracuri, 501, casa 1, bairro Karaíba, Uberlândia/MG, CEP 38411-370