POLÍTICA DE PRIVACIDADE VigIA – Vigilância Contínua de Conformidade C3 ASSESSORIA E CONSULTORIA MUNICIPAL Versão 1.0 | Publicada em 24 de outubro de 2026 Em resumo • Na maior parte dos tratamentos, quem decide sobre os dados é a câmara municipal que contratou o VigIA. A C3 Gov trata os dados em nome dela. • O VigIA usa apenas os dados necessários ao serviço: identificação da conta, mensagens de atendimento, Evidências, Trilha de auditoria, identificador do aparelho (se você ativar as notificações) e registros de acesso. • Os dados não são vendidos nem usados para publicidade. • O banco de dados e o servidor ficam no Brasil. Alguns fornecedores tratam dados no exterior, com as garantias exigidas pela LGPD. • Você pode exercer seus direitos perante a Câmara a que está vinculado ou pelo canal de privacidade da C3 Gov. Este resumo não substitui o texto integral. 1 APRESENTAÇÃO 1.1 Esta Política explica como os dados pessoais são tratados no VigIA, plataforma de vigilância contínua de conformidade que a C3 Assessoria e Consultoria Municipal (CNPJ nº 17.466.522/0001-86), também identificada como C3 Gov e C3 Assessoria Municipal, fornece às câmaras municipais que a contratam. 1.2 Esta Política aplica-se a qualquer forma de acesso ao VigIA, pelo navegador ou pelos aplicativos para Android e iOS, e atende ao dever de informação previsto no art. 9º da Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais – LGPD). 1.3 No primeiro acesso e a cada nova versão, o Usuário declara ciência desta Política. A ciência não equivale a consentimento: as bases legais de cada tratamento estão indicadas no item 3. 1.4 Os termos iniciados por letra maiúscula têm o significado atribuído no Termo de Uso do VigIA. 2 QUEM DECIDE SOBRE OS DADOS 2.1 Câmara Contratante (controladora). A câmara municipal que contrata o VigIA decide quem terá acesso, quais obrigações serão acompanhadas e quais Evidências serão registradas. Por isso, exerce, como órgão do Município, as funções típicas de controladora dos dados pessoais tratados na Plataforma para essas finalidades (art. 5º, VI, e art. 23 da LGPD). Nesta Política, a Câmara é chamada de controladora nesse sentido. 2.2 C3 Gov (operadora). A C3 Gov trata esses dados em nome da Câmara Contratante, segundo as instruções dela e o contrato firmado entre ambas (art. 5º, VII, e art. 39 da LGPD). 2.3 C3 Gov (controladora). A C3 Gov é controladora apenas dos dados que trata para cumprir obrigação própria ou resguardar direito próprio: I – os registros de acesso à aplicação (endereço IP, data e hora), que deve guardar por 6 (seis) meses como provedora de aplicações de internet, nos termos do art. 15 da Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet); II – os registros de aceite do Termo de Uso e de ciência desta Política, mantidos para comprovar a relação com o Usuário e para o exercício regular de direitos. 2.4 Encarregado. Cada Câmara Contratante indica o seu encarregado pelo tratamento de dados pessoais, cuja identidade e contato devem ser divulgados no portal da própria Câmara (art. 41 da LGPD e Resolução CD/ANPD nº 18/2024). Nos tratamentos de que é controladora, a C3 Gov indicou como encarregado Romário Pinheiro Nobre Falcão, que atende pelo canal informado no item 11.1. 3 DADOS TRATADOS, FINALIDADES E BASES LEGAIS 3.1 O VigIA trata os seguintes dados pessoais dos Usuários: Nome, e-mail e identificador da conta Finalidade: Criar e gerenciar a conta, autenticar o acesso e identificar o autor de cada ação Base legal: Art. 7º, II e III, e art. 23 da LGPD Agente: Câmara (controladora) e C3 Gov (operadora) Mensagens dos pedidos de ajuda Finalidade: Atendimento entre a Câmara, as assessorias e a C3 Gov Base legal: Art. 7º, III, e art. 23 da LGPD Agente: Câmara (controladora) e C3 Gov (operadora) Arquivos enviados como Evidência Finalidade: Comprovar o cumprimento das Obrigações monitoradas Base legal: Art. 7º, II e III, e art. 23 da LGPD Agente: Câmara (controladora) e C3 Gov (operadora) Registro de cada ação (Trilha de auditoria) Finalidade: Segurança, prova e prestação de contas Base legal: Art. 7º, II, e art. 23 da LGPD Agente: Câmara (controladora) e C3 Gov (operadora) Identificador do aparelho Finalidade: Entregar os avisos no celular, somente se o Usuário ativar as notificações Base legal: Art. 7º, I, da LGPD (consentimento, revogável a qualquer tempo) Agente: Câmara (controladora) e C3 Gov (operadora) Endereço IP, data e hora de cada acesso Finalidade: Guarda obrigatória por 6 meses Base legal: Art. 7º, II, da LGPD e art. 15 do Marco Civil da Internet Agente: C3 Gov (controladora) Registro de aceite do Termo e de ciência da Política (versão, data, hora e SHA-256) Finalidade: Comprovar o aceite e a ciência Base legal: Art. 7º, VI, da LGPD Agente: C3 Gov (controladora) 3.2 Dados de fontes públicas. Para verificar obrigações, o VigIA consulta informações que a própria Câmara publica em fontes oficiais, como o seu portal da transparência e o Portal Nacional de Contratações Públicas (PNCP). Essas informações podem conter dados pessoais de terceiros, como o nome de servidores ou de pessoas contratadas. Tais dados são tratados apenas para conferir prazos e conteúdos exigidos em lei, sob a responsabilidade da Câmara Contratante, com base no art. 7º, II e III, e no art. 23 da LGPD, observado o § 3º do art. 7º da mesma Lei. 3.3 Dados sensíveis. O VigIA não solicita dados pessoais sensíveis. Se um documento indispensável à comprovação de obrigação legal contiver dado dessa natureza, o tratamento se limitará ao necessário e terá fundamento no art. 11, II, "a", da LGPD. O item 5.1, IV, do Termo de Uso orienta o Usuário a omitir ou ocultar os dados desnecessários antes do envio. 3.4 O que o VigIA não faz. Os dados não são vendidos nem usados para publicidade ou para traçar perfil de comportamento, e o aplicativo não coleta a localização nem a lista de contatos do aparelho. 3.5 Decisões automatizadas. O Índice de conformidade e os alertas avaliam o cumprimento de obrigações pela Câmara, e não características de pessoas. O VigIA não toma decisões unicamente automatizadas que afetem interesses de pessoas naturais (art. 20 da LGPD). 3.6 Navegador. No navegador, o VigIA usa apenas cookies e armazenamento local estritamente necessários à autenticação e à segurança da sessão, mantidos até a saída do sistema ou a expiração da sessão, sem compartilhamento com terceiros e sem finalidade publicitária ou de análise. Esse tratamento integra a autenticação prevista no item 3.1 e tem a mesma base legal. 4 COMPARTILHAMENTO 4.1 Os dados são acessados apenas por quem deles precisa: os Usuários da Câmara Contratante, conforme o Perfil de cada um, e a equipe da C3 Gov, na medida necessária à prestação do serviço. Usuários de uma câmara não acessam dados de outra, salvo o Usuário de assessoria que atenda a mais de uma câmara, em relação a cada câmara que autorizou o seu acesso. 4.2 A C3 Gov conta com os seguintes fornecedores, que atuam como suboperadores e tratam os dados apenas para executar o serviço contratado: Supabase Serviço: Banco de dados Local do tratamento: Brasil (São Paulo/SP), com suporte técnico e registros de funcionamento eventuais no exterior Hostinger Serviço: Hospedagem do servidor da aplicação Local do tratamento: Brasil Resend Serviço: Envio de e-mails Local do tratamento: Estados Unidos Google Serviço: Entrega de notificações no Android e em navegadores como Chrome e Brave Local do tratamento: Estados Unidos e outros países Apple Serviço: Entrega de notificações no iOS e no Safari Local do tratamento: Estados Unidos e outros países Mozilla Serviço: Entrega de notificações no navegador Firefox Local do tratamento: Estados Unidos e outros países Microsoft Serviço: Entrega de notificações no navegador Edge e no Windows Local do tratamento: Estados Unidos e outros países Anthropic Serviço: Leitura assistida dos portais públicos das câmaras Local do tratamento: Estados Unidos 4.3 Os fornecedores se obrigam, em seus contratos, a proteger os dados pessoais em nível igual ou equivalente ao desta Política. A inclusão ou a substituição de fornecedor será informada em nova versão desta Política. 4.4 Os dados também podem ser fornecidos a autoridades públicas, como tribunais de contas, o Ministério Público e o Poder Judiciário, quando houver obrigação legal ou ordem judicial. Os registros de acesso à aplicação somente são fornecidos mediante ordem judicial (art. 10, § 1º, e art. 15, § 3º, do Marco Civil da Internet). 5 TRANSFERÊNCIA INTERNACIONAL 5.1 O banco de dados e o servidor da Plataforma ficam no Brasil. Há, porém, tratamento de dados no exterior, limitado ao necessário para cada serviço: I – no envio de e-mails pela Resend, que mantém nos Estados Unidos, por até 30 (trinta) dias, os dados e os registros das mensagens enviadas; II – na entrega de notificações pelo Google, pela Apple, pela Mozilla e pela Microsoft, conforme o aparelho e o navegador, que tratam o identificador do aparelho e o texto do aviso nos Estados Unidos e em outros países; III – no suporte técnico e nos registros de funcionamento do banco de dados, eventualmente tratados fora do Brasil, como admite o contrato da Supabase; IV – na leitura assistida dos portais públicos das câmaras pela Anthropic, que trata nos Estados Unidos as páginas lidas, as quais podem conter dados pessoais de terceiros publicados pela própria Câmara (item 3.2). 5.2 A transferência do identificador do aparelho depende do consentimento específico e em destaque do Usuário, colhido na tela de ativação das notificações, após aviso sobre o tratamento no exterior (art. 33, VIII, da LGPD). Nos casos dos incisos I, III e IV do item 5.1, aplicam-se as cláusulas-padrão contratuais aprovadas pela Agência Nacional de Proteção de Dados (ANPD), incorporadas integralmente aos contratos com os fornecedores (art. 33, II, "b", da LGPD e Resolução CD/ANPD nº 19/2024). 5.3 O titular pode solicitar a íntegra dessas cláusulas pelo canal informado no item 11.1, com resposta em até 15 (quinze) dias. 6 PRAZOS DE GUARDA 6.1 Os dados são mantidos pelos prazos abaixo: Dados da conta Prazo: Enquanto o acesso estiver ativo Depois do prazo: O acesso é encerrado e os dados são eliminados, exceto os que já integram a Trilha de auditoria, que seguem o prazo desta. Mensagens de atendimento e Evidências Prazo: Durante a vigência do contrato com a Câmara Depois do prazo: Entregues à Câmara e eliminadas da Plataforma, nos termos do item 6.2. Trilha de auditoria, inclusive o registro dos e-mails enviados Prazo: Durante a vigência do contrato, sem possibilidade de alteração Depois do prazo: Entregue à Câmara, que a guarda conforme a Lei nº 8.159/1991 e a sua tabela de temporalidade, e eliminada da Plataforma, exceto os registros de aceite e de ciência, que seguem prazo próprio. Identificador do aparelho Prazo: Enquanto as notificações estiverem ativas Depois do prazo: Eliminado quando as notificações forem desativadas ou a conta for encerrada. Registros de acesso (IP, data e hora) Prazo: 6 meses Depois do prazo: Eliminados, salvo requerimento de guarda por prazo maior ou ordem judicial (art. 15, § 2º, do Marco Civil da Internet). Registros de aceite e de ciência Prazo: Durante o contrato e por 5 (cinco) anos após o seu encerramento Depois do prazo: Eliminados ao fim desse prazo. 6.2 Encerrado o contrato, a C3 Gov disponibiliza à Câmara Contratante a exportação dos dados e das Evidências e, após a confirmação do recebimento ou o decurso do prazo previsto no contrato, elimina-os da Plataforma, ressalvadas as hipóteses de conservação do art. 16 da LGPD. 6.3 Dados eliminados podem permanecer nas cópias de segurança por até 30 (trinta) dias, até a sua substituição automática. 7 SEGURANÇA 7.1 São adotadas medidas técnicas e administrativas para proteger os dados pessoais (art. 46 da LGPD), entre elas conexões criptografadas, controle de acesso por Perfil, separação entre os dados de cada câmara, Trilha de auditoria, registro de acessos e cópias de segurança. 7.2 Em caso de incidente de segurança com dados pessoais, a C3 Gov comunicará o fato à Câmara Contratante em até 24 (vinte e quatro) horas do seu conhecimento, para que ela cumpra o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024. Nos tratamentos de que é controladora, a própria C3 Gov fará as comunicações cabíveis à ANPD e aos titulares. 8 DIREITOS DO TITULAR 8.1 O titular pode solicitar, a qualquer tempo e sem custo (art. 18 da LGPD): I – confirmação da existência de tratamento; II – acesso aos dados; III – correção de dados incompletos, inexatos ou desatualizados; IV – anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD; V – portabilidade dos dados, nos termos da regulamentação da ANPD; VI – eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses do art. 16 da LGPD; VII – informação sobre as entidades com as quais os dados foram compartilhados; VIII – informação sobre a possibilidade de não consentir e sobre as consequências da negativa; IX – revogação do consentimento. 8.2 O titular pode, ainda, opor-se a tratamento realizado com fundamento em hipótese de dispensa de consentimento, em caso de descumprimento da LGPD (art. 18, § 2º). 8.3 Como a Câmara Contratante é a controladora da maior parte dos dados, os pedidos devem ser dirigidos, preferencialmente, ao encarregado da Câmara a que o Usuário está vinculado. Também podem ser enviados ao canal de privacidade da C3 Gov, que os encaminhará à Câmara em até 2 (dois) dias úteis, quando ela for a controladora, ou os atenderá diretamente, quando a controladora for a C3 Gov. 8.4 A confirmação de existência ou o acesso aos dados serão fornecidos de imediato, em formato simplificado, ou em até 15 (quinze) dias, por meio de declaração clara e completa (art. 19 da LGPD). Nos demais pedidos, se não for possível atender de imediato, o titular receberá resposta com as razões de fato ou de direito que impedem o atendimento ou com a indicação do agente de tratamento responsável (art. 18, § 4º). 8.5 Exclusão da conta. As contas são criadas a pedido da Câmara Contratante, e a exclusão pode ser solicitada a ela ou ao canal de privacidade da C3 Gov. A exclusão encerra o acesso e elimina os dados que não precisem ser conservados. Os registros já incluídos na Trilha de auditoria são preservados pelo prazo do item 6.1, por documentarem atos da Câmara. 8.6 O titular também pode peticionar contra o controlador perante a ANPD (art. 18, § 1º, da LGPD). 9 NOTIFICAÇÕES E E-MAILS 9.1 Os e-mails enviados pelo VigIA são operacionais, como avisos de prazos, tarefas, convites e respostas de atendimento, e não têm finalidade publicitária. 9.2 As notificações no celular dependem de ativação pelo Usuário, que pode desativá-las a qualquer momento no próprio aplicativo ou nas configurações do aparelho. Recusar ou desativar as notificações não impede o uso da Plataforma: os avisos continuam disponíveis no VigIA e por e-mail. 10 CRIANÇAS E ADOLESCENTES 10.1 O VigIA destina-se a uso profissional e não é direcionado a crianças nem a adolescentes. 11 CONTATO 11.1 Canal de privacidade da C3 Gov: contato@c3assessoriamunicipal.com.br, atendido pelo encarregado Romário Pinheiro Nobre Falcão. 11.2 Encarregado da Câmara Contratante: conforme divulgado no portal da respectiva Câmara. 11.3 Agência Nacional de Proteção de Dados (ANPD): www.gov.br/anpd. 12 ALTERAÇÕES DESTA POLÍTICA 12.1 Esta Política pode ser atualizada para refletir mudanças na Plataforma, nos fornecedores ou na legislação. Cada versão recebe número e data, e as versões anteriores ficam disponíveis para consulta. 12.2 Publicada nova versão, o Usuário será avisado no acesso seguinte, com destaque das alterações, e deverá declarar ciência para continuar utilizando a Plataforma. 13 REFERÊNCIAS NORMATIVAS 13.1 Esta Política observa, em especial: I – Lei nº 13.709, de 14 de agosto de 2018 (LGPD), com as alterações posteriores, inclusive as da Lei nº 15.352, de 25 de fevereiro de 2026; II – Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet); III – Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação); IV – Lei nº 8.159, de 8 de janeiro de 1991 (Política Nacional de Arquivos Públicos e Privados); V – Resoluções CD/ANPD nº 15/2024 (comunicação de incidente de segurança), nº 18/2024 (atuação do encarregado) e nº 19/2024 (transferência internacional de dados). HISTÓRICO DE VERSÕES 1.0 · 24/10/2026 · Versão inicial.