Aviso de Privacidade do StockCRS
Versão 1.0 · Data desta versão: 04/10/2026
Resumo para quem conta itens pelo QR. Guardamos o nome que você digita e o registro do que você contou, por até 12 meses depois do fechamento do inventário, a pedido da empresa em que você trabalha ou para a qual presta serviço. Digitar o nome é condição para contar, porque cada contagem precisa ter responsável (LGPD, art. 9º §3º). Dúvidas ou pedidos sobre os seus dados: fale com essa empresa ou escreva para [email protected].
Este aviso explica que dados pessoais o StockCRS trata, para quê, como, por quanto tempo, com quem os compartilha e como você exerce os seus direitos (Lei Geral de Proteção de Dados, LGPD, Lei nº 13.709/2018, art. 9º).
1. Quem somos
O StockCRS é um sistema de estoque e inventário físico feito pela CR Soluções, CNPJ 12.573.418/0001-77, com sede na R. Evaristo da Veiga, 217, sala 1006, Ed. Torque Empresarial, Casa Amarela, Recife/PE, CEP 52070-100 (LGPD, art. 9º III).
Contato para assuntos de privacidade: [email protected] (LGPD, art. 9º IV).
A CR Soluções é agente de tratamento de pequeno porte e, por isso, não é obrigada a indicar um encarregado de proteção de dados. Em vez disso, mantém esse canal para receber reclamações, tirar dúvidas e tomar providências (Resolução CD/ANPD nº 2/2022, arts. 2º e 11; LGPD, art. 41 §2º I).
2. Os nossos dois papéis
O StockCRS é usado por empresas (as empresas-clientes) para controlar o estoque delas. Por isso, a CR Soluções tem dois papéis diferentes, conforme o dado:
- Em nome da empresa-cliente. A maior parte dos dados do StockCRS pertence à operação da empresa-cliente: quem ela cadastra na gestão, quem conta itens no inventário, as fotos tiradas em campo. Quem decide sobre esse dado é a empresa-cliente, que é a controladora. A CR Soluções só o trata em nome dela, seguindo as instruções dela, como operadora (LGPD, arts. 5º VI e VII e 39).
- Por conta própria. Alguns dados são da própria CR Soluções, que é a controladora deles: os registros de acesso ao sistema, a telemetria técnica, os dados da nossa relação comercial com as empresas-clientes e os da nossa equipe (seção 3.2).
O que isso significa para você: se você trabalha para uma empresa-cliente (usa a gestão, conta no inventário pelo QR, recebeu um acesso por e-mail), o pedido sobre os seus dados vai primeiro para essa empresa. Se o seu pedido chegar a nós, nós o encaminhamos a ela o quanto antes e avisamos você de quem é a controladora (LGPD, art. 18 §3º).
Neste aviso, "operadora" é o papel da CR Soluções na LGPD. Não confundir com o operador de campo, que é a pessoa que conta itens no inventário pelo QR.
3. Que dados tratamos, para quê e por quanto tempo
Como tratamos (LGPD, art. 9º II): o dado é digitado no sistema ou vem do sistema de gestão (ERP) da empresa-cliente, fica em servidor da CR Soluções no Brasil, tem cópia de segurança diária e sai só para os fornecedores da seção 5, por exemplo nos e-mails do próprio sistema.
3.1 Dados que tratamos em nome da empresa-cliente
A base legal de cada um destes tratamentos é escolhida pela empresa-cliente, que é a controladora (LGPD, art. 7º). Para saber qual é, pergunte a ela.
| De quem | Que dado | Para quê | Por quanto tempo |
|---|---|---|---|
| Quem usa a gestão da empresa-cliente | nome, e-mail, telefone (se informado), senha (guardada só de forma irreversível), preferências de tela | entrar no sistema, receber e-mail do sistema, aparecer na auditoria | 12 meses depois de removido (desativar só bloqueia o acesso); o cadastro ainda referenciado por inventário, solicitação de acesso, convite ou redefinição de senha fica guardado enquanto a referência impedir a exclusão |
| Quem conta no inventário pelo QR (operador de campo) | nome digitado na identificação da dupla, identificação do aparelho (sistema e navegador), registro de quem contou ou apontou cada item | saber quem fez cada contagem | 12 meses depois do fechamento do inventário; a identificação do aparelho sai quando a contagem termina |
| Quem pede ajuda em campo | mensagem do pedido, a dupla que pediu e quem atendeu | atender em campo | 365 dias contados do fechamento do inventário, eliminados por rotina da CR; a cópia na trilha de auditoria segue o prazo da trilha |
| Estoquista indicado em contagem agendada | nome e e-mail | enviar o acesso da contagem | enquanto o agendamento existir |
| Quem recebe e-mail do sistema | e-mail e situação da entrega | provar que o e-mail saiu e chegou | até 365 dias contados da criação do registro de envio ou de entrega, eliminados pela CR |
| Pessoas que aparecem em fotos | imagem | evidência de avaria, item encontrado ou movimentação | o prazo configurado pela empresa-cliente ou, sem configuração, 365 dias, contados do fechamento do inventário; inventário excluído sem fechar conta da exclusão; inventário aberto não conta prazo |
| Responsáveis por justificativas e pessoas citadas nelas | nome do responsável e texto da justificativa | explicar divergências do inventário | enquanto o inventário existir |
| Clientes da empresa-cliente, vindos do sistema de gestão dela | nome, na tela de faturas pendentes | identificar de quem é a fatura | não guardamos: o nome fica só na tela |
| Quem aparece na trilha de auditoria | identificação de quem fez cada ação | provar quem fez o quê, sem permitir adulteração | a trilha não admite apagar linha; os nomes são trocados por iniciais ou códigos a pedido da empresa-cliente e até 30 dias depois do fim da licença dela |
Trocar nomes por iniciais ou códigos reduz a identificação, mas o dado continua pessoal até o fim do prazo de guarda.
Depois que o dado é eliminado, as cópias de segurança ainda podem guardá-lo, só para recuperação de desastre, por até 90 dias (cópia local) e cerca de 4 meses (cópia em nuvem).
3.2 Dados de que a CR Soluções é controladora
| De quem | Que dado | Para quê | Base legal (LGPD, art. 7º) | Por quanto tempo |
|---|---|---|---|---|
| Quem acessa o sistema (login ou QR) | endereço IP, data e hora, navegador e aparelho, e-mail usado no login ou nome informado no QR, sessões abertas | segurança, prevenção de fraude e acesso indevido, defesa em eventual processo | legítimo interesse (IX) e exercício regular de direitos (VI) | até 12 meses; depois do fim da licença, até 6 meses; a sessão, até expirar |
| Quem usa o sistema quando ocorre um erro | tipo de navegador e aparelho | corrigir erros do aplicativo | legítimo interesse (IX) | 90 dias |
| Equipe da CR Soluções | nome, e-mail, senha (guardada só de forma irreversível), acessos | operar a plataforma | execução de contrato (V) e legítimo interesse (IX) | enquanto durar o vínculo |
| Contatos comerciais e de cobrança das empresas-clientes | nome e contato | contratar, atender e cobrar | execução de contrato (V) e cumprimento de obrigação legal (II) | enquanto durar a relação comercial e, no que a lei fiscal obriga a guardar, 5 anos depois dela |
| Administrador ou auditor que aceita o termo de tratamento de dados | nome, papel, versão aceita, data e hora | provar a contratação e o aceite do termo | execução de contrato (V) e exercício regular de direitos (VI) | enquanto a licença existir e até 5 anos depois do fim dela |
Não tomamos decisão automatizada sobre pessoas (LGPD, art. 20).
4. Cookies e dados guardados no seu aparelho
O StockCRS não usa cookies de publicidade, de análise de audiência nem de terceiros. Os que existem são do próprio sistema e servem para ele funcionar ou para lembrar as suas preferências.
Cookies:
| Cookie | Para quê | Duração |
|---|---|---|
crs_sid | manter você conectado depois do login (não pode ser lido por scripts) | 8 horas |
crs_theme, crs_density | lembrar o tema (claro ou escuro) e a densidade da tela | 1 ano |
crs_brand, crs_visual | aplicar a aparência da empresa-cliente | 1 ano |
crs_ajuda | lembrar se a ajuda do sistema está ligada para você | 1 ano |
crs_auditor_company, crs_auditor_branch, crs_auditor_period | lembrar a empresa, a filial e o período escolhidos na auditoria | 1 ano |
Dados guardados no aparelho (armazenamento local do navegador):
- Aplicativo de contagem (QR) e de justificativas: guardam no aparelho o acesso do dia, as contagens e fotos ainda não enviadas e uma cópia da lista de itens, inclusive os nomes da dupla que contou, para funcionar sem internet. Isso é apagado ao sair. Fica no aparelho, mesmo depois de sair, só um identificador do aparelho (não da pessoa), o rótulo do sistema e do navegador, e a lista de novidades do sistema.
- Gestão e auditoria: guardam preferências de tela (filtros, menu recolhido, avisos já vistos).
- Arquivos do aplicativo: o aparelho guarda os arquivos do próprio sistema para abrir sem internet. Esses arquivos não têm dado pessoal.
Esses cookies e dados servem ao próprio tratamento descrito na seção 3, com a mesma base legal.
5. Com quem compartilhamos
Não vendemos dado pessoal. Os dados de quem usa o StockCRS só são compartilhados com os fornecedores abaixo (os suboperadores, fornecedores que tratam dado para nós), para o sistema funcionar, e com autoridade, quando a lei ou uma ordem obrigar (LGPD, art. 9º V).
Lista de suboperadores · Última mudança: 04/10/2026
| Suboperador | O que faz | País |
|---|---|---|
| Cloudflare (proxy) | rede que entrega o site e protege contra ataques | Estados Unidos e Europa (registros); o tráfego passa pelo ponto mais próximo |
| Cloudflare R2 | guarda as fotos | União Europeia |
| Resend | envia os e-mails do sistema | Estados Unidos |
| Backblaze B2 | guarda a cópia de segurança, cifrada | União Europeia |
O sistema e o banco de dados rodam em infraestrutura própria da CR Soluções, no Brasil.
Antes de incluir ou trocar um suboperador, atualizamos esta lista e avisamos as empresas-clientes com pelo menos 15 dias de antecedência, com a data da mudança.
6. Dados que saem do Brasil
Parte dos dados vai para fora do Brasil, porque alguns suboperadores ficam no exterior. A LGPD só permite isso por um dos mecanismos do art. 33. Cada item abaixo diz o dado, o país, o mecanismo e a proteção; o dado fica lá pelo prazo da tabela da seção 3 (LGPD, arts. 33 a 36; Resolução CD/ANPD nº 19/2024, art. 17 §§2º e 3º):
- Fotos (Cloudflare R2): cifradas em trânsito e em repouso. Ficam em armazenamento na União Europeia, que a ANPD reconhece como de proteção adequada (art. 33 I; Resolução nº 32, de 26 de janeiro de 2026, do Conselho Diretor da ANPD). As cópias anteriores nos Estados Unidos (bucket antigo do R2) são apagadas depois da migração para a União Europeia.
- E-mail, nome e conteúdo do e-mail de quem recebe e-mail do sistema (Resend, Estados Unidos): cifrados em trânsito. Hoje vale o contrato padrão de tratamento de dados do Resend, com as cláusulas-padrão europeias. A CR Soluções mantém o Resend e formaliza o mecanismo do art. 33 da LGPD aprovado pela ANPD quando possível.
- Cópia de segurança (Backblaze B2): cifrada com uma chave que só a CR Soluções tem, e por isso o fornecedor não consegue lê-la. Fica na região da União Europeia (art. 33 I; Resolução nº 32/2026). A cópia anterior nos Estados Unidos (bucket antigo do B2) é apagada depois da migração.
- Tráfego do site (Cloudflare, rede global; registros nos Estados Unidos e na Europa): a rede da Cloudflare decifra o tráfego na borda para entregá-lo. Hoje vale o contrato padrão de tratamento de dados da Cloudflare, com as cláusulas-padrão europeias; a CR Soluções formaliza o mecanismo do art. 33 da LGPD aprovado pela ANPD quando possível.
7. Segurança e incidentes
Protegemos os dados com medidas técnicas e administrativas (LGPD, art. 46): o dado de cada empresa-cliente fica isolado dos outros, as senhas são guardadas só de forma irreversível, a comunicação é cifrada (HTTPS), a trilha de auditoria denuncia adulteração, há cópia de segurança diária (a cópia guardada fora da nossa infraestrutura é cifrada), e as nossas contas administrativas nos fornecedores de infraestrutura exigem autenticação em dois fatores.
Se houver um incidente de segurança que possa causar risco ou dano relevante a você, a lei manda avisar você e a ANPD (LGPD, art. 48; Resolução CD/ANPD nº 15/2024):
- sobre dado tratado em nome da empresa-cliente, quem avisa é ela. Nós a avisamos sem demora, em até 48 horas de quando soubermos;
- sobre dado de que somos controladores (seção 3.2), quem avisa somos nós.
8. Seus direitos
A LGPD garante a você, sem custo (art. 18 e §5º):
- confirmar se tratamos dado seu;
- acessar os seus dados;
- corrigir dado incompleto, errado ou desatualizado;
- pedir a anonimização, o bloqueio ou a eliminação de dado desnecessário, excessivo ou tratado em desacordo com a lei;
- pedir a portabilidade dos seus dados a outro fornecedor;
- pedir a eliminação de dado tratado com o seu consentimento;
- saber com quem compartilhamos os seus dados;
- saber que pode não dar consentimento e o que acontece se não der;
- revogar o consentimento;
- opor-se a um tratamento feito sem o seu consentimento, se ele descumprir a lei (art. 18 §2º). Exemplo: se você acha que o seu nome não deveria aparecer numa contagem, peça a revisão à empresa-cliente.
Como pedir: escreva para [email protected]. Se o dado for tratado em nome de uma empresa-cliente, o pedido vai para ela (seção 2).
Prazo: sobre o dado de que a CR Soluções é controladora, a resposta simplificada (confirmação e acesso) sai em até 15 dias e a declaração completa em até 30 dias. A lei dá 15 dias para a declaração completa, e o agente de pequeno porte tem prazo em dobro (LGPD, art. 19; Resolução CD/ANPD nº 2/2022, arts. 14 e 15). Pedido sobre dado da empresa-cliente é encaminhado a ela, e os prazos dela é que valem.
Você também pode reclamar à Agência Nacional de Proteção de Dados (ANPD) (LGPD, art. 18 §1º).
9. Crianças, adolescentes e dado sensível
O StockCRS não foi feito para tratar dado de criança ou adolescente, nem dado sensível (origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico), e as empresas-clientes se obrigam a não colocar esse tipo de dado no sistema (LGPD, arts. 5º II, 11 e 14).
10. Mudanças neste aviso
Quando este aviso mudar, publicamos a nova versão nesta página, com o número e a data (LGPD, art. 6º VI). A mudança na lista de suboperadores segue a regra da seção 5.