Política de Privacidade — Ocara

Última atualização: 13 de outubro de 2026

A Ocara ("Ocara", "nós") é uma plataforma de gestão de trabalho coletivo acessível em https://ocara.app e https://minha.ocara.app ("Plataforma"). Esta Política de Privacidade explica como coletamos, usamos, armazenamos, compartilhamos e protegemos dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 ("LGPD").

Ao utilizar a Plataforma, você declara ter lido e compreendido esta Política.

Integração com o Google Tasks? Veja a seção 5 (English summary: Google user data).

1. Quem somos (Controladora)

A plataforma Ocara é desenvolvida e operada por:

Razão social: IDOPTER LABS TECNOLOGIA LTDA
CNPJ: 11.055.433/0001-60
Endereço: Avenida Roberto Camelier, 558, Jurunas, CEP 66033-640, Belém/PA
Canal do Encarregado de Proteção de Dados (DPO): [email protected]

As referências a "Ocara" ou "nós" nesta Política dizem respeito à Idopter Labs Tecnologia Ltda.

Para os dados de cadastro e uso da Plataforma, a Ocara atua como controladora. Para os conteúdos inseridos pelos clientes em seus espaços de trabalho (tarefas, comentários, anexos), a Ocara atua como operadora, tratando os dados conforme as instruções do cliente, que é o controlador desses dados.

2. Dados que coletamos

2.1. Dados fornecidos por você

Cadastro: nome, e-mail, senha (armazenada de forma criptografada) e, opcionalmente, foto de perfil e cargo.
Conta da organização: nome da empresa, CNPJ e dados de faturamento.
Pagamento: dados de cobrança processados por parceiros de pagamento; não armazenamos o número completo do cartão.
Conteúdo: tarefas, projetos, comentários, arquivos e demais informações que você ou sua organização inserirem na Plataforma.
Suporte: mensagens e informações enviadas em atendimentos.

2.2. Dados coletados automaticamente

Dados de acesso e uso: endereço IP, data e hora de acesso, tipo de navegador, dispositivo, sistema operacional, páginas visitadas e ações realizadas na Plataforma. O registro de acesso a aplicações é mantido conforme o Marco Civil da Internet (Lei nº 12.965/2014).
Cookies e tecnologias similares: utilizamos cookies essenciais (autenticação e segurança) e, mediante sua configuração, cookies de análise de desempenho. Você pode gerenciar cookies nas configurações do seu navegador; cookies essenciais são necessários ao funcionamento da Plataforma.

2.3. Dados de integrações com serviços de terceiros

Se você optar por conectar sua conta do Google Tasks ou do Todoist à Ocara, tratamos também os dados descritos na seção 5 (Google) e os equivalentes do Todoist: o token de acesso, o identificador e o e-mail da conta conectada e as tarefas da lista escolhida. Nada disso é coletado se você não conectar uma conta.

3. Finalidades e bases legais

Finalidade	Base legal (LGPD, art. 7º)
Criar e gerenciar sua conta; prestar os serviços contratados	Execução de contrato
Processar pagamentos e emitir notas fiscais	Execução de contrato; cumprimento de obrigação legal
Cumprir obrigações legais e regulatórias (fiscais, Marco Civil)	Cumprimento de obrigação legal
Garantir segurança, prevenir fraudes e abusos	Legítimo interesse
Melhorar a Plataforma e analisar uso de forma agregada	Legítimo interesse
Enviar comunicações sobre o serviço (avisos, atualizações, segurança)	Execução de contrato
Enviar comunicações de marketing	Consentimento (revogável a qualquer momento)
Atender solicitações de suporte	Execução de contrato
Defesa em processos judiciais, administrativos ou arbitrais	Exercício regular de direitos

Quando o tratamento se basear em legítimo interesse, ele será realizado apenas na medida necessária e respeitando suas expectativas e direitos.

4. Compartilhamento de dados

Não vendemos dados pessoais. Podemos compartilhar dados com:

Provedores de infraestrutura e serviços (hospedagem em nuvem, e-mail transacional, processamento de pagamentos, analytics), contratualmente obrigados a proteger os dados e tratá-los apenas conforme nossas instruções;
Membros da sua organização, conforme as permissões configuradas no espaço de trabalho;
Autoridades públicas, quando exigido por lei, ordem judicial ou requisição de autoridade competente;
Operações societárias (fusão, aquisição, reorganização), hipótese em que você será informado.

4.1. Subprocessadores

Os principais provedores que tratam dados em nosso nome são:

Fly.io: hospedagem da aplicação e do banco de dados (Brasil);
Tigris: armazenamento de arquivos e anexos;
Resend: envio e recebimento de e-mails transacionais;
Asaas: processamento de pagamentos;
Rollbar: monitoramento de erros;
Google Analytics: análise de uso, somente se você consentir com cookies de análise;
Cloudflare Turnstile: proteção contra bots em formulários.

Se o administrador de um workspace configurar uma credencial de IA (Anthropic, OpenAI ou Google Gemini), o conteúdo do card em que o agente é executado é enviado ao provedor escolhido, com a credencial do próprio workspace. Os dados obtidos do Google Tasks nunca são enviados a esses provedores.

4.2. Localização dos dados e transferência internacional

A Plataforma é hospedada na infraestrutura da Fly.io em servidores localizados no Brasil, onde são armazenados os dados de conta e o Conteúdo do Usuário.

Serviços auxiliares (como envio de e-mails transacionais, processamento de pagamentos ou ferramentas de suporte) podem envolver o processamento de dados pessoais fora do Brasil. Nesses casos pontuais, adotamos as salvaguardas previstas nos arts. 33 e seguintes da LGPD, como cláusulas contratuais que asseguram nível de proteção adequado.

5. Integração com o Google (Google Tasks)

A Ocara oferece, de forma opcional, a sincronização das suas tarefas pessoais com o Google Tasks. A conexão só ocorre quando você a inicia em Minha área → Integrações e autoriza o acesso na tela de consentimento do Google.

Dados do Google que acessamos (escopos OAuth solicitados):

https://www.googleapis.com/auth/tasks: ler, criar, editar e excluir tarefas e subtarefas do Google Tasks. Os dados efetivamente acessados são: o nome das suas listas de tarefas (para você escolher qual sincronizar) e, na lista escolhida, o título, as notas, a data de vencimento, o status e a hierarquia (subtarefas) de cada tarefa;
openid e email: identificar a conta Google conectada (identificador único e endereço de e-mail), para exibi-la a você e impedir a conexão duplicada da mesma conta.

Como usamos esses dados:

exclusivamente para sincronizar suas tarefas pessoais entre a Ocara e o Google Tasks, na direção que você configurar (importar, exportar ou ambas), e para exibir o estado da sincronização a você;
os dados do Google não são usados para publicidade, perfilamento, venda a terceiros nem para treinar modelos de inteligência artificial ou de aprendizado de máquina, não são enviados a provedores de IA e não são usados para gerar conteúdo, imagens ou outras mídias;
nenhuma pessoa da Ocara lê o conteúdo das suas tarefas do Google, exceto com o seu consentimento expresso, para fins de segurança, para cumprir a lei ou quando necessário para operar a sincronização (suporte solicitado por você).

Proteção dos dados do Google (mecanismos de segurança):

Criptografia em repouso: os tokens de acesso e de atualização do Google são criptografados com AES-256-GCM (criptografia autenticada, com vetor de inicialização aleatório a cada gravação) antes de serem gravados no banco de dados. Os tokens nunca são armazenados em texto puro;
Gestão de chaves: a chave de criptografia é mantida fora do banco de dados, como segredo do ambiente de produção, e o sistema não inicia sem ela. As chaves são versionadas, o que permite rotacioná-las sem expor os dados já gravados;
Criptografia em trânsito: toda comunicação com a Ocara e com as APIs do Google usa TLS, e a Plataforma força HTTPS com HSTS em produção;
Sem exposição em registros: os tokens são marcados como sensíveis e omitidos dos registros (logs); o motivo técnico de uma falha de sincronização é registrado apenas internamente e nunca mostrado ou gravado com o conteúdo das suas tarefas;
Isolamento e controle de acesso: as tarefas importadas ficam na sua área pessoal, visíveis somente a você e não compartilhadas com outros membros da sua organização; os tokens só são lidos pelo processo de sincronização da sua própria conta e nunca são devolvidos à interface, à API pública ou a integrações externas;
Mínimo necessário: solicitamos apenas os escopos indicados acima e acessamos somente a lista que você escolher sincronizar;
Armazenamento no Brasil: os dados ficam em banco de dados hospedado em servidores no Brasil (seção 4.2), com acesso restrito por controles de acesso internos;
Resposta a incidentes: em caso de incidente de segurança que afete dados do Google, comunicaremos os titulares afetados e a ANPD, conforme a seção 8, e revogaremos os tokens envolvidos.

Compartilhamento: não transferimos nem divulgamos os dados obtidos do Google a terceiros, salvo (i) a provedores de infraestrutura que os tratam em nosso nome, conforme a seção 4, (ii) para cumprir obrigação legal ou (iii) como parte de operação societária, com aviso prévio a você.

Como revogar o acesso e excluir os dados:

você pode desconectar a conta a qualquer momento em Minha área → Integrações. Ao desconectar, revogamos o token junto ao Google, apagamos os tokens e os vínculos de sincronização e deixamos de acessar sua conta; você também pode escolher remover da sua área pessoal as tarefas que foram importadas dela (a eliminação definitiva dessas tarefas ocorre no encerramento da conta ou mediante solicitação ao Encarregado);
também é possível remover o acesso diretamente em myaccount.google.com/permissions;
para solicitar a exclusão dos dados do Google que mantemos, escreva para [email protected]; atendemos em até 15 dias. Ao encerrar a conta, os dados da integração são eliminados conforme a seção 7.

Google user data: English summary

Purpose: Ocara is a project management platform for software teams. Its optional Google Tasks integration syncs a user's personal tasks between Ocara and Google Tasks. It is only enabled when the user connects their account and grants access on Google's consent screen.
Data accessed: scopes https://www.googleapis.com/auth/tasks, openid and email: the user's task list names, the title, notes, due date, status and subtasks of tasks in the list the user selects, and the Google account's e-mail address and unique ID.
Use: solely to provide the sync feature. We do not use Google user data for advertising, we do not sell it, we do not use it to train AI or machine learning models, we do not send it to AI providers, and our staff do not read it except with the user's explicit consent, for security purposes, or to comply with the law.
Storage: OAuth tokens are stored encrypted in our database, hosted in Brazil, and all traffic uses TLS.
Data protection: OAuth access and refresh tokens are encrypted at rest with AES-256-GCM (authenticated encryption, random IV per write) and are never stored in plaintext. The encryption key is kept outside the database as a production secret, and keys are versioned so they can be rotated. All traffic uses TLS, and HTTPS is enforced with HSTS. Tokens are flagged as sensitive and excluded from logs. Imported tasks are visible only to the user who connected the account, and tokens are never returned to the user interface, the public API or external integrations. We request only the minimum scopes needed, and we will notify affected users and the Brazilian data protection authority (ANPD) of any security incident affecting Google user data.
Revocation and deletion: users can disconnect at any time in Minha área → Integrações or at myaccount.google.com/permissions, and can request deletion of their data at [email protected] (answered within 15 days).

Ocara's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy , including the Limited Use requirements.

Limited Use. O uso e a transferência pela Ocara, para qualquer outro aplicativo, das informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use).

6. Direitos do titular (art. 18 da LGPD)

Você pode, a qualquer momento, solicitar:

Confirmação da existência de tratamento;
Acesso aos seus dados;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
Portabilidade dos dados;
Eliminação dos dados tratados com base no consentimento;
Informação sobre compartilhamentos realizados;
Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
Revogação do consentimento;
Revisão de decisões automatizadas, quando aplicável.

Para exercer seus direitos, entre em contato com o Encarregado pelo e-mail [email protected]. Responderemos nos prazos previstos na legislação. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

7. Retenção e eliminação

Mantemos os dados pessoais somente pelo tempo necessário às finalidades desta Política, observando:

Dados de conta e conteúdo: mantidos enquanto a conta estiver ativa. O encerramento da conta é feito mediante solicitação ao Encarregado (seção 11); após a solicitação, os dados são eliminados ou anonimizados em até 90 dias, salvo obrigação legal de retenção;
Dados de integrações (tokens e vínculos de sincronização): eliminados ao desconectar a conta ou, no máximo, junto com os dados de conta, em até 90 dias após o encerramento;
Registros de acesso: mantidos por, no mínimo, 6 meses (Marco Civil da Internet);
Dados fiscais e de faturamento: mantidos pelos prazos exigidos pela legislação tributária;
Dados necessários ao exercício regular de direitos: mantidos pelos prazos prescricionais aplicáveis.

8. Segurança

Adotamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais, incluindo criptografia em trânsito (TLS) e em repouso, controle de acesso, registro de atividades e práticas de desenvolvimento seguro. Nenhum sistema é totalmente imune a riscos; em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os titulares afetados e a ANPD, conforme o art. 48 da LGPD.

9. Dados de menores

A Plataforma destina-se a uso profissional por pessoas maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Caso identifiquemos cadastro nessas condições, a conta será encerrada e os dados eliminados.

10. Alterações desta Política

Podemos atualizar esta Política periodicamente. Alterações relevantes serão comunicadas por e-mail ou aviso na Plataforma, com indicação da data de atualização no topo deste documento. O uso continuado da Plataforma após as alterações implica ciência da nova versão.

11. Contato

Dúvidas sobre esta Política ou sobre o tratamento de dados pessoais podem ser encaminhadas ao Encarregado (DPO):

E-mail: [email protected]
Endereço: Avenida Roberto Camelier, 558, Jurunas, CEP 66033-640, Belém/PA