Anexo de Tratamento de Dados

O que este anexo é

A ótica é a controladora dos dados dos clientes dela. O Oculara é o operador: trata esses dados exclusivamente para fazer o sistema funcionar, seguindo o que a ótica determina ao usá-lo.

Este anexo descreve como esse tratamento acontece na prática — quem mais participa dele, como os dados são protegidos, o que acontece num incidente e o que acontece quando o contrato termina. Complementa a Política de Privacidade e os Termos de Uso.

Não é parecer jurídico. É a descrição técnica do que o sistema faz, escrita para que quem assessora a ótica tenha o que analisar.

Para que os dados são tratados

Só para operar o sistema contratado: armazenar o cadastro, emitir documentos, calcular relatórios, montar as mensagens que a ótica dispara e manter cópias de segurança.

O Oculara não vende, não aluga e não compartilha os dados das óticas com terceiros para fins próprios. Não há uso publicitário, e os dados de uma ótica não alimentam produto, modelo ou métrica que beneficie outra.

Quem mais participa do tratamento

Os suboperadores abaixo são as empresas que, por prestarem infraestrutura ou serviço ao Oculara, podem tratar dados da ótica. A lista é completa na data desta versão.

• Supabase — banco de dados, autenticação e armazenamento de arquivos. Alcança todo o cadastro, incluindo receitas e fotos.
• Oracle Cloud — servidor onde a aplicação roda. Os dados passam por ele em processamento, sem armazenamento próprio.
• Cloudflare R2 — destino das cópias de segurança. O pacote chega lá já cifrado; sem a chave privada, que não fica no provedor, ele não é legível.
• Focus NFe — emissão de nota fiscal. Recebe nome, CPF ou CNPJ e e-mail do destinatário, porque a nota os exige. Só é acionada pelas óticas que emitem.
• Anthropic — modelos de linguagem das funções de inteligência artificial, do plano Premium. Recebe o conteúdo da tarefa, o que inclui a foto de uma receita quando a ótica pede a transcrição — e receita é dado de saúde.
• Asaas — cobrança da assinatura. Trata dados da ÓTICA como pagante: razão social, documento e e-mail. Não recebe dado de cliente da ótica.

Quem não participa, e costuma ser presumido

As mensagens de WhatsApp não passam por servidor do Oculara nem por API da Meta. O sistema monta um link, o operador clica, e o envio sai do WhatsApp do aparelho dele. O Oculara registra que a mensagem foi iniciada e o texto que sugeriu — nunca a conversa.

Quem, do lado do Oculara, alcança dados de uma ótica

O acesso administrativo à plataforma exige segundo fator de autenticação, e a exigência é verificada pelo banco de dados — não apenas pela tela. Sem o segundo fator, as funções administrativas não respondem.

Quando o suporte precisa entrar numa ótica para investigar um problema, isso cria uma sessão registrada e limitada: ela não recebe mais poder que um perfil de leitura, e cada acesso a ficha de cliente ou a receita entra na trilha de auditoria, que a própria ótica consulta.

Como os dados são protegidos

O isolamento entre óticas é feito pelo banco de dados, e não pela aplicação: cada tabela tem política de acesso por ótica, e uma consulta que tentasse alcançar dados de outra loja não sai do banco. São 67 tabelas, todas com a proteção ligada.

O tráfego é cifrado em trânsito e os dados são cifrados em repouso pelo provedor. As credenciais de emissão fiscal ficam numa tabela que a aplicação não consegue ler: só uma função específica do banco devolve o token, e apenas para emitir.

As cópias de segurança são cifradas antes de sair do ambiente, e a restauração já foi executada de ponta a ponta — não é procedimento apenas documentado.

Incidente de segurança

Ao tomar conhecimento de um incidente que possa afetar dados de uma ótica, o Oculara a comunica em até 48 horas, pelo canal de contato cadastrado, com o que se sabe naquele momento: o que aconteceu, que dados podem ter sido alcançados e que medidas já foram tomadas.

A comunicação não espera a investigação terminar. Informação parcial e rápida serve à ótica, que é quem decide se comunica a ANPD e os titulares: a controladora é ela.

Cabe à ótica manter o contato do responsável atualizado no cadastro. É para ele que a comunicação vai, e um endereço desatualizado é o único jeito de esse prazo não servir para nada.

Direitos de quem está no cadastro

O sistema dá à ótica as ferramentas para atender pedidos de titulares sem depender do Oculara: exportação dos dados de uma pessoa em JSON, anonimização irreversível da ficha, e registro do pedido com prazo e desfecho.

Nenhuma dessas funções é bloqueada por plano ou por inadimplência. Recusar a exportação ou a exclusão por causa de cobrança seria vender de volta uma obrigação legal da ótica.

Fim do contrato

Os dados continuam disponíveis para exportação por 30 dias após o encerramento. A base de clientes sai em CSV e os dados de cada titular saem em JSON, pelas mesmas telas de sempre.

Passado esse prazo, e mediante pedido da ótica, os dados são eliminados em até 90 dias — ressalvado o que a lei obrigue a guardar por prazo próprio, como a nota fiscal.

A ótica que apenas para de pagar não perde nada: a inadimplência bloqueia a escrita, nunca a leitura nem a exportação.

Mudanças neste anexo

Mudança de suboperador ou de prazo é publicada aqui, com a data desta versão atualizada. A ótica que precise ser avisada por escrito antes de uma mudança deve registrar isso em contrato.