Política de Privacidade e Tratamento de Dados (julho/2026)

Política de privacidade

1. Introdução

Esta Política de Privacidade descreve como a V.EVO TECNOLOGIA LTDA ("kroz"), CNPJ 66.957.076/0001-18, com sede em Goiânia, GO, trata dados pessoais na plataforma de recebíveis imobiliários, no site kroz.co, no ambiente app.kroz.co, nas APIs, webhooks e integrações relacionadas.

O tratamento observa a Lei nº 13.709/2018 (LGPD) e busca clareza sobre finalidades, bases legais, compartilhamentos, prazos de guarda e direitos dos titulares.

Vigência e última revisão: julho de 2026.

2. Papéis na LGPD

Na operação usual de recebíveis imobiliários:

• a CONTRATANTE (incorporadora, SPE ou gestora) costuma ser controladora dos dados de pagadores, recebedores e demais titulares cujo tratamento ela determina;
• a kroz atua como operadora, tratando dados para executar o serviço contratado conforme instruções da controladora e acordo de tratamento, quando houver;
• o Parceiro Financeiro pode ser operador, co-controlador ou controlador autônomo para dados de conta de pagamento, identificação cadastral, prevenção à lavagem de dinheiro e liquidação, conforme seus próprios termos.

Para visitantes do site, leads comerciais e contatos institucionais, a kroz atua como controladora nesses fluxos específicos.

Subprocessadores contratados pela kroz tratam dados apenas no escopo instruído e com deveres de confidencialidade, segurança e exclusão ao fim da prestação.

3. Dados tratados

Conforme módulos contratados, podemos tratar:

• dados de operadores e recebedores: nome, CPF ou CNPJ, razão social, e-mail, telefone, endereço, cargo, documentos exigidos pelo Parceiro Financeiro, perfil de acesso e registros de login;
• dados de pagadores: nome, CPF ou CNPJ, e-mail, telefone, referência de contrato ou unidade e identificador no Parceiro Financeiro;
• dados financeiros e operacionais: valores, parcelas, vencimentos, composição de rateio, identificador de carteira, status de cobrança, conciliação, estornos e comprovantes;
• dados de auditoria: data e hora, identificador do aprovador, registro resumido de endereço IP, logs de validação, exportações, eventos de webhook e evidências de fechamento;
• dados comerciais: corretor, imobiliária, boutique, canal de captação ou permuta vinculados à unidade;
• dados de navegação e contato no site: nome, e-mail, telefone, empresa, mensagem, origem da campanha, endereço IP, identificação do navegador, cookies e métricas agregadas de acesso.

A Plataforma não foi concebida para tratar dados sensíveis do art. 5º, II, da LGPD. Se a CONTRATANTE inserir esse tipo de dado, deve garantir base legal do art. 11 e instruir a kroz por escrito.

4. Finalidade, base legal e retenção

Os prazos podem ser maiores quando a lei, processo ou instrução documentada da controladora exigir.

5. Para que usamos os dados

• executar contrato, implantação e suporte;
• operar recebíveis, rateio, cobranças, conciliação, fechamento e exportação de evidências;
• integrar ERPs, webhooks e APIs da CONTRATANTE;
• cumprir deveres regulatórios de registro e auditoria;
• prevenir fraude, abuso e acesso não autorizado;
• melhorar desempenho e confiabilidade com dados agregados ou pseudonimizados, quando possível;
• responder contatos comerciais e institucionais;
• enviar avisos operacionais, contratuais ou de produto necessários ao serviço.

6. Compartilhamento e subprocessadores

Os dados da kroz não são vendidos, alugados nem usados para publicidade comportamental de terceiros.

Compartilhamos dados apenas quando necessário, com fornecedores contratualmente vinculados:

• Parceiro Financeiro: subcontas, Pix, boleto, rateio, webhooks, identificação cadastral e PLD. Dados de identificação, valores e identificadores de pagamento. Operação no Brasil.
• Supabase: banco de dados operacional (contratos, matrizes, auditoria). Região informada na implantação; pode incluir servidores fora do Brasil.
• Cloudflare: hospedagem, CDN, DNS e proteção de borda de kroz.co e app.kroz.co. Logs de acesso, IP e cabeçalhos HTTP. Operação global.
• BrasilAPI: consulta pública de CNPJ na Oficina de Recebedores. Apenas o CNPJ consultado. Brasil.
• Provedores de inteligência artificial (opcional): sugestões de conciliação com metadados de divergência, sem envio completo de dados pessoais. Local conforme o provedor contratado.
• Provedores de e-mail (quando usados): notificações transacionais. Nome e e-mail. Local conforme o provedor.

A lista detalhada está em docs.kroz.co/legal/compliance. Mudanças relevantes de subprocessador serão comunicadas aos clientes operadores com antecedência razoável, conforme acordo de tratamento.

7. Transferência internacional

Alguns fornecedores podem tratar ou armazenar dados fora do Brasil. Nesses casos, adotamos cláusulas contratuais, avaliação de risco e demais mecanismos dos arts. 33 a 36 da LGPD, conforme o caso.

A CONTRATANTE, como controladora, deve verificar se o uso da Plataforma atende às suas obrigações com os titulares e, se preciso, dar instruções adicionais à kroz ou obter consentimento específico.

8. Direitos do titular

Pelo art. 18 da LGPD, o titular pode pedir:

• confirmação de tratamento e acesso;
• correção de dados incompletos, errados ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade, nos termos da ANPD;
• eliminação de dados tratados com consentimento, ressalvadas hipóteses legais de guarda;
• informação sobre compartilhamentos;
• informação sobre a possibilidade de não consentir e suas consequências;
• revogação do consentimento, quando esta for a base legal.

Pagadores e recebedores de empreendimentos devem, em regra, procurar a incorporadora controladora, que acionará a kroz quando necessário.

Visitantes e leads podem falar diretamente com a kroz pelos canais abaixo.

9. Como solicitar

Envie e-mail para contato@kroz.co com assunto "Privacidade LGPD", informando nome completo, e-mail de retorno, descrição do pedido e documento de identificação. Representantes legais devem comprovar a representação.

A resposta será dada em prazo razoável, conforme art. 18, § 5º da LGPD. Podemos pedir dados adicionais para confirmar identidade.

Se a resposta não for satisfatória, o titular pode recorrer à ANPD: gov.br/anpd.

10. Encarregado

O encarregado pelo tratamento de dados pessoais pode ser contactado em contato@kroz.co, com assunto "Encarregado de dados".

Esse canal serve para comunicação com titulares e com a ANPD. Não substitui assessoria jurídica da controladora.

11. Segurança

Adotamos medidas técnicas e organizacionais compatíveis com o risco, entre elas:

• criptografia na transmissão e em repositórios gerenciados;
• sessões autenticadas com cookies HttpOnly e validação no servidor;
• segredos e chaves de API fora do navegador, em funções no servidor;
• validação segura de tokens de webhook;
• ocultação parcial de identificadores sensíveis na conciliação;
• simulação prévia antes de operações com efeito financeiro real;
• registro resumido de IP em trilhas de auditoria;
• controle de acesso por perfil e registro de ações críticas.

Mais detalhes em kroz.co/seguranca.

12. Retenção e exclusão

• auditoria e fechamento: até 5 anos após o evento;
• conteúdo de webhooks: até 2 anos;
• conciliação e aprovações: até 5 anos;
• sessões operacionais: prazo curto, em geral cerca de 1 hora, salvo ajuste contratual;
• leads sem conversão: até 2 anos, depois exclusão ou anonimização;
• logs de infraestrutura: conforme política do provedor de hospedagem.

Ao fim do contrato com a controladora, exportamos o que for solicitado no prazo acordado e, em seguida, excluímos ou anonimizamos dados, respeitadas obrigações legais de guarda.

13. Cookies e site

O site kroz.co usa cookies necessários ao funcionamento e, se habilitados, cookies analíticos agregados para medir acesso e desempenho, sem perfilamento invasivo. Detalhes na Política de Cookies.

O visitante pode desativar cookies no navegador, o que pode limitar funcionalidades. Cookies não essenciais, quando adotados, serão tratados conforme exigência legal de consentimento.

Formulários e WhatsApp recebem nome, e-mail, telefone e mensagem para contato comercial B2B. O site não coleta dados financeiros de compradores de empreendimentos.

14. Comunicações comerciais

Podemos enviar convites, demonstrações ou novidades a quem demonstrou interesse ou mantém contrato. O descadastramento pode ser pedido respondendo ao e-mail ou escrevendo para contato@kroz.co.

Avisos de incidente, manutenção ou alteração relevante de Termos ou Política seguem independentemente de consentimento de marketing e vão aos contatos cadastrados pela CONTRATANTE.

15. Decisões automatizadas

A Plataforma pode sugerir conciliações ou apontar divergências, mas decisões com efeito financeiro ou regulatório relevante dependem de aprovação humana de operador autorizado, salvo acordo escrito em contrário e base legal válida.

O titular pode pedir revisão de decisão exclusivamente automatizada com efeito relevante, nos termos do art. 20 da LGPD, quando couber.

16. Menores, incidentes, alterações e contato

A Plataforma não se destina a menores de 18 anos. Se identificarmos coleta indevida de dados de criança, excluiremos a informação e avisaremos a controladora, quando aplicável.

Há procedimento interno para incidentes de segurança. Se houver risco relevante ao titular, comunicaremos a ANPD e os clientes controladores nos prazos legais e contratuais.

Esta Política pode ser atualizada. A versão vigente ficará em kroz.co/privacidade, com data de revisão. Mudanças relevantes serão avisadas por e-mail aos clientes ativos, quando couber.

Contato: contato@kroz.co. Termos em kroz.co/termos. Compliance em docs.kroz.co/legal/compliance.

V.EVO Tecnologia, CNPJ 66.957.076/0001-18 · Termos de serviço