Versão de 7 de novembro de 2026

Política de Privacidade

Esta política explica, em linguagem simples, quais dados pessoais a Lacratto trata, para quê, com qual base na lei, com quem eles são compartilhados, por quanto tempo ficam guardados e como você exerce os seus direitos. Ela atende à Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018, a LGPD), em especial ao art. 9º, e ao Marco Civil da Internet (Lei 12.965/2014, art. 7º, VIII).

1. Quem cuida dos seus dados

A controladora dos dados é a Arizona Marcas e Patentes Ltda, CNPJ 23.644.667/0001-22, titular da marca Lacratto, com sede na Rua José Valério, 192, Residencial Vitória Régia, Dracena/SP, CEP 17900-690.

Encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Emerson Braga de Souza, sócio da empresa. Contato: contato@lacratto.com.br, com o assunto "Privacidade". O encarregado recebe as reclamações e os pedidos dos titulares e as comunicações da Autoridade Nacional de Proteção de Dados (ANPD).

2. Controladora e operadora: quem decide o quê

A LGPD chama de controlador quem decide sobre o tratamento dos dados e de operador quem trata os dados em nome do controlador (art. 5º, VI e VII). Na Lacratto, os dois papéis aparecem:

• A Lacratto é controladora dos dados da sua conta, das suas compras e das evidências de assinatura (nome, e-mail, CPF, datas, horários, IP e códigos confirmados), porque é ela quem decide guardá-los para provar que cada assinatura foi feita por quem assinou.
• A Lacratto é operadora do conteúdo dos documentos que você envia. Se o seu contrato traz dados de outras pessoas (endereço, documentos, valores), quem decide sobre esses dados é você, que escolheu enviar o documento. A Lacratto só guarda o PDF, mostra-o a quem você convidou e entrega o arquivo assinado, seguindo as suas instruções (art. 39). Por isso, envie só documentos que você tem o direito de compartilhar com os signatários.

3. Quais dados tratamos, para quê e com qual base legal

A LGPD só permite tratar dados pessoais nas hipóteses do art. 7º. Ao lado de cada grupo de dados está a hipótese que usamos. O texto dessas hipóteses está no item 14.

Não tratamos dados pessoais sensíveis (art. 5º, II), como saúde, religião ou biometria, e não pedimos foto, selfie ou documento de identidade. Se um documento enviado contiver dados sensíveis, eles fazem parte do conteúdo que o remetente decidiu enviar (item 2).

Não pedimos consentimento para esses tratamentos porque nenhum deles depende de consentimento: todos são necessários para prestar o serviço que você pediu, para cumprir a lei ou para provar as assinaturas. Por isso não há caixa de "aceito os cookies" nem de "aceito receber dados".

4. O que fica público na página de verificação

Qualquer pessoa que tenha o código de verificação (ou o QR Code impresso no documento) pode conferir, em lacratto.com.br/v/, se o documento é autêntico. A página mostra:

• Documento assinado: o título do documento, a situação, o número de páginas, as datas, os hashes e os nomes dos signatários em parte (por exemplo, "Maria A*** L***"), com o papel e a data de cada assinatura. E-mail, CPF e IP não aparecem.
• Registro de anterioridade: o tipo, o nome do titular em parte, o hash e os dados do bloco do Bitcoin. O título e o nome do arquivo não aparecem, porque o conteúdo é confidencial.
• Contrato de compra: só o número, a data e os dados técnicos da assinatura. Nenhum dado do comprador.

O código tem 16 caracteres sorteados e não pode ser adivinhado. Quem não tem o código não encontra nada.

5. Com quem compartilhamos

Os dados só são compartilhados com quem precisa deles para o serviço funcionar, e nunca vendidos:

• Com os outros participantes do mesmo documento. O remetente acompanha, no painel, a situação de cada pessoa que ele mesmo convidou. O Manifesto de Assinaturas, que vai no PDF final para o remetente e para todos os signatários, traz o nome de cada um, o CPF e o e-mail em parte (por exemplo, ***.982.247-** e m***@e***.com), as datas, os horários, o IP e o tipo de aparelho de cada assinatura. É isso que dá força de prova ao documento.
• Cloudflare, Inc., que hospeda o site e guarda o banco de dados e os arquivos, envia os e-mails e faz a classificação automática dos e-mails recebidos em contato@lacratto.com.br, como operadora.
• Mercado Pago, que processa os pagamentos e as devoluções. Ele recebe o valor e o nome do produto; os dados do cartão você informa direto a ele.
• Google (Gmail), só para as mensagens de atendimento que precisam de análise pessoal, que são encaminhadas à caixa de e-mail da empresa.
• Servidores públicos do OpenTimestamps e a rede Bitcoin, que recebem só o hash dos arquivos. O hash não é dado pessoal: não revela o conteúdo do arquivo nem quem é o titular.
• Autoridades, quando houver ordem judicial ou obrigação legal. Os registros de acesso só são entregues com autorização judicial (Lei 12.965/2014, art. 15, § 3º).

6. Servidores fora do Brasil

A Cloudflare tem servidores em vários países, e os dados podem ser processados ou guardados fora do Brasil. Essa transferência internacional é permitida porque é necessária para executar o contrato com você e para guardar a prova das assinaturas (LGPD, art. 33, IX, combinado com o art. 7º, V e VI) e porque a Cloudflare se compromete, em contrato, a proteger os dados (art. 33, II). Os arquivos guardados ficam em armazenamento privado, acessível só pelo sistema da Lacratto.

7. Por quanto tempo guardamos

A LGPD manda eliminar os dados quando a finalidade é alcançada (arts. 15 e 16). Na Lacratto, a finalidade dos documentos e das evidências é justamente poder provar a assinatura no futuro, por isso eles ficam guardados enquanto essa prova pode ser necessária:

Terminado o prazo, os dados são eliminados ou anonimizados.

8. Cookies

O site usa um único cookie, chamado lac_s, criado quando você entra no painel. Ele guarda só um número sorteado que mantém a sua sessão aberta, é protegido (não pode ser lido por outros sites nem por programas da página) e expira em até 30 dias. Ele é indispensável para o painel funcionar. Não usamos cookies de publicidade, de estatística nem de redes sociais, e as fontes e imagens do site são servidas pelo próprio site, sem chamar serviços de terceiros que rastreiam visitantes. Para saber quantas vezes as páginas públicas são vistas, usamos uma estatística de visitas sem cookies (Cloudflare Web Analytics), que não identifica quem visitou.

9. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados (LGPD, art. 46), entre elas:

• conexão sempre criptografada (HTTPS);
• entrada sem senha, por código de uso único enviado ao e-mail, com limite de tentativas;
• códigos e chaves de acesso guardados só como resumo criptográfico;
• arquivos em armazenamento privado, que não pode ser aberto por endereço público;
• PDFs emitidos protegidos contra edição e cópia, com o hash assinado digitalmente e gravado no Bitcoin, o que torna qualquer alteração detectável;
• dados de cartão nunca passam pela Lacratto.

Nenhum sistema é infalível. Se você notar algo estranho na sua conta, escreva na hora para o atendimento.

10. Seus direitos e como exercê-los

A LGPD garante a você, a qualquer momento, os direitos do art. 18:

• confirmar se tratamos dados seus e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• pedir a portabilidade dos dados a outro fornecedor, nos termos da regulamentação da ANPD;
• saber com quem compartilhamos os seus dados;
• opor-se a um tratamento feito sem consentimento, se ele descumprir a lei;
• reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Como pedir: escreva para contato@lacratto.com.br com o assunto "Privacidade", a partir do e-mail cadastrado. O pedido é gratuito (art. 18, § 5º). A confirmação de existência e o acesso em formato simplificado são imediatos; a declaração completa sai em até 15 dias (art. 19). Muitos dados você mesmo vê e baixa no painel, a qualquer hora.

Um limite importante: um documento assinado por várias pessoas não pode ter as evidências apagadas a pedido de uma delas, porque isso destruiria a prova que pertence também às outras. Nesses casos, os dados são conservados pelo prazo do item 7, com base no exercício regular de direitos (art. 7º, VI) e no art. 16, e explicamos isso na resposta.

11. Crianças e adolescentes

A conta na Lacratto é para maiores de 18 anos ou pessoas que possam praticar os atos da vida civil. Documentos que envolvam menores devem ser assinados pelos pais ou responsáveis legais.

12. Incidentes de segurança

Se acontecer um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos a você e à ANPD, informando quais dados foram afetados, os riscos e as medidas tomadas (LGPD, art. 48).

13. Mudanças nesta política

Esta política pode ser atualizada, por exemplo, se mudar um fornecedor ou a lei. A data da versão fica no alto da página. Se a mudança alterar a finalidade, a forma, a duração, o controlador ou o compartilhamento dos seus dados, avisaremos com destaque, por e-mail e no painel (LGPD, art. 8º, § 6º, e art. 9º, § 2º).

14. Textos da lei citados

LGPD, art. 7º: as hipóteses que permitem tratar dados pessoais (trechos usados nesta política)

"Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses: [...] II - para o cumprimento de obrigação legal ou regulatória pelo controlador; [...] V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem); [...] IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais".

LGPD, art. 18: os direitos do titular

"Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição: I - confirmação da existência de tratamento; II - acesso aos dados; III - correção de dados incompletos, inexatos ou desatualizados; IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei; V - portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial; VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei; VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados; VIII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; IX - revogação do consentimento, nos termos do § 5º do art. 8º desta Lei. § 1º O titular dos dados pessoais tem o direito de peticionar em relação aos seus dados contra o controlador perante a autoridade nacional. § 2º O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nesta Lei. [...] § 5º O requerimento referido no § 3º deste artigo será atendido sem custos para o titular, nos prazos e nos termos previstos em regulamento."

LGPD, art. 16: quando os dados podem ser conservados

"Art. 16. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades: I - cumprimento de obrigação legal ou regulatória pelo controlador; II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados."

LGPD, art. 19: prazo para responder ao titular

"Art. 19. A confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requisição do titular: I - em formato simplificado, imediatamente; ou II - por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular."

LGPD, art. 33: transferência internacional (trechos)

"Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos: [...] II - quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de: a) cláusulas contratuais específicas para determinada transferência; b) cláusulas-padrão contratuais; [...] IX - quando necessário para atender as hipóteses previstas nos incisos II, V e VI do art. 7º desta Lei."

LGPD, art. 41: o encarregado

"Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais. § 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador."

Marco Civil da Internet, art. 15: guarda dos registros de acesso

"Art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento. [...] § 3º Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo."

Código Civil, art. 205: prazo geral de prescrição

"Art. 205. A prescrição ocorre em dez anos, quando a lei não lhe haja fixado prazo menor."

Textos conferidos no site oficial da Presidência da República (planalto.gov.br) em 7 de novembro de 2026: Lei 13.709/2018, Lei 12.965/2014 e Código Civil.

Dúvidas sobre os seus dados: contato@lacratto.com.br, assunto "Privacidade". Veja também os Termos de uso.