Política de Privacidade, Tratamento de Dados e Cookies

Esta plataforma opera sob arquitetura multi-tenant (whitelabel), na qual os agentes de tratamento definidos pelo Art. 5º, VI a VIII da LGPD atuam da seguinte forma:

• Controlador e Escopo do Projeto: Para as submissões e operações realizadas neste subdomínio, o projeto EnerLuz (Energia para comunidade) atua como Controlador dos dados pessoais, competindo-lhe as decisões referentes às finalidades de análise tarifária e adesão, enquanto a infraestrutura tecnológica EnerPlataforma atua como Operadora, realizando o processamento e armazenamento seguro segundo as instruções do Controlador e as normas da LGPD.
• Encarregado pelo Tratamento de Dados Pessoais (DPO): Para esclarecer dúvidas sobre esta Política, comunicar incidentes ou exercer qualquer direito previsto no Art. 18 da LGPD, o titular pode contatar diretamente o canal de privacidade e atendimento do projeto EnerLuz:

Coletamos estritamente os dados necessários (princípio da necessidade — Art. 6º, III da LGPD) para viabilizar a análise técnica da fatura de energia e a operação segura do portal:

• Dados de Identificação da Unidade (Instituição / Comunidade / Unidade Consumidora (UC)): Nome do responsável pelo envio, nome de instituição / comunidade, bloco/torre ou setor (quando aplicável), identificação de unidade consumidora (uc) e eventuais campos operacionais específicos do projeto.
• Dados Cadastrais e de Contato do Titular: Nome completo (Pessoa Física) ou Razão Social (Pessoa Jurídica), número de CPF ou CNPJ, data de nascimento (exclusivamente para verificação de maioridade civil igual ou superior a 18 anos em titulares Pessoa Física), profissão, telefone celular/WhatsApp com DDD e endereço de e-mail.
• Fatura de Energia Elétrica: Arquivo digital enviado pelo usuário (PDF, JPG, PNG ou WEBP, limitado a 10 MB), contendo dados técnicos de consumo (kWh), classe tarifária, número da Unidade Consumidora (UC) ou código de instalacão, endereço de fornecimento e valores faturados pela distribuidora.
• Credenciais de Gestores e Operadores Administrativos: Para usuários internos autenticados no painel de gestão, tratamos nome, CPF criptografado, e-mail, hash de senha (Argon2id), segredo de autenticação em duas etapas (TOTP criptografado) e vínculos de permissão por projeto (RBAC).
• Registros de Conexão e Trilha de Auditoria (audit_logs): Data e hora exatas da operação (carimbo de tempo UTC), versão do termo de consentimento aceito (2026-11-v1), identificador de protocolo gerado, hash criptográfico (SHA-256) do endereço IP nas submissões públicas e registro nominal das ações executadas por operadores autenticados.

Todo tratamento de dados realizado no ambiente EnerLuz possui finalidade legítima, específica e amparo nas hipóteses legais do Art. 7º da Lei nº 13.709/2018:

Em cumprimento ao Art. 46 da LGPD, adotamos medidas técnicas e administrativas de segurança desde a concepção (Privacy by Design e Privacy by Default):

• Criptografia em Trânsito (HTTPS/TLS): Todo o tráfego de dados e a transferência direta de arquivos de fatura utilizam canais criptografados sob protocolo TLS, com URLs pré-assinadas de curta duração.
• Criptografia em Nível de Campo com Envelope Encryption (AES-256-GCM): Dados pessoais sensíveis (CPF/CNPJ, data de nascimento, telefone e e-mail) não são armazenados em texto puro. O sistema aplica criptografia autenticada AES-256-GCM (vetor de inicialização de 96 bits e tag de integridade de 128 bits) utilizando uma chave exclusiva de 256 bits por submissão/titular (Data Encryption Key — DEK), que por sua vez é cifrada por uma chave mestra de infraestrutura (Key Encryption Key — KEK) e isolada na estrutura pii_key_ring.
• Isolamento Multi-Tenant e Mascaramento por Padrão: Os dados de cada projeto permanecem logicamente segregados no banco de dados. Nas interfaces de operação, documentos e contatos são exibidos mascarados por padrão (ex.: ***.456.789-**); qualquer visualização pontual exige permissão de acesso compatível e gera registro imutável na trilha de auditoria (audit_logs).
• Autenticação Multifator Obrigatória (2FA TOTP): O acesso administrativo exige verificação em duas etapas baseada em código temporário (TOTP) sincronizado com aplicativo autenticador, mitigando riscos de acesso indevido mesmo em caso de exposição de senha.

O titular dos dados pessoais pode exercer, a qualquer momento e mediante requisição gratuita ao Encarregado (DPO) pelo canal suporte@enerfiel.com.br, os seguintes direitos assegurados pelo Art. 18 da LGPD:

• Confirmação e Acesso (incisos I e II): saber se tratamos seus dados pessoais e obter cópia clara das informações mantidas no projeto EnerLuz;
• Correção (inciso III): solicitar a retificação de dados incompletos, inexatos ou desatualizados;
• Anonimização, Bloqueio ou Eliminação (incisos IV e VI): requerer a exclusão ou anonimização de seus dados pessoais e do arquivo de fatura armazenado;
• Portabilidade (inciso V): solicitar a exportação estruturada dos dados fornecidos, observadas as normas da Autoridade Nacional de Proteção de Dados (ANPD);
• Informação sobre Compartilhamento e Consentimento (incisos VII e VIII): obter informações sobre operadores tecnológicos essenciais e sobre a possibilidade de não fornecer consentimento;
• Revogação do Consentimento (inciso IX e Art. 8º, § 5º): retirar o consentimento anteriormente concedido a qualquer momento.

Os dados pessoais e faturas são conservados apenas pelo período necessário ao cumprimento das finalidades informadas neste Aviso, observando os seguintes critérios objetivos:

• Ciclo de Análise e Cadastro: As submissões concluídas e cadastradas no portal permanecem ativas durante a análise e homologação e são submetidas à rotina automatizada de anonimização irreversível (Crypto-Shredding + exclusão do arquivo da fatura) após 12 (doze) meses da conclusão do cadastro, salvo solicitação anterior do titular ou necessidade de conservação para cumprimento de obrigação legal/regulatória (Art. 16 da LGPD).
• Uploads Temporários Incompletos: Arquivos anexados cujo formulário não tenha sido finalizado são expurgados automaticamente por rotina periódica de limpeza.
• Registros de Auditoria e Segurança: Mantidos pelo prazo mínimo obrigatório de 6 (seis) meses previsto no Art. 15 do Marco Civil da Internet e pelo prazo prescricional aplicável para exercício regular de direitos em processo administrativo, judicial ou arbitral.

O portal EnerLuz utiliza exclusivamente cookies e chaves de armazenamento local estritamente necessários para autenticação segura, roteamento de projeto e preferência visual de interface. Não utilizamos cookies de publicidade comportamental, pixels de remarketing ou rastreadores de terceiros para fins comerciais.

8. Disposições Gerais e Atualizações

Esta Política de Privacidade complementa os Termos e Condições de Uso do portal EnerLuz e pode ser atualizada periodicamente para refletir aprimoramentos de segurança ou novas regulamentações da Autoridade Nacional de Proteção de Dados (ANPD). A versão vigente será sempre identificada no cabeçalho desta página pelo código 2026-11-v1.