Versão: 1.0.0
Data de criação: 08/06/2026
Última atualização: 08/06/2026
Status: Rascunho — Pendente revisão jurídica e técnica
⚠️ Nota para revisão jurídica: Este documento organiza as categorias de dados e ferramentas usadas pelo Forms2You para apoiar a validação da Política de Privacidade, DPA, Política de Cookies e documentos de segurança. Pontos marcados com [REVISAR] devem ser conferidos com jurídico, infraestrutura e produto antes da publicação.
1. Objetivo
Este mapa descreve, em linguagem operacional, quais dados o Forms2You coleta ou processa, por qual finalidade, onde aparecem no produto e quais terceiros podem participar do tratamento.
Ele deve ser usado como fonte de conferência para:
Política de Privacidade;
Termos de Uso;
DPA;
Subprocessadores;
Política de Retenção de Dados;
Política de Cookies;
fluxos de checkout, upload, e-mail e integrações.
2. Papéis LGPD
| Contexto | Papel do Forms2You | Papel do Cliente |
|---|---|---|
| Dados de conta do usuário da plataforma | Controlador [REVISAR] | Titular ou representante da empresa |
| Dados de workspace, billing e uso da plataforma | Controlador [REVISAR] | Cliente contratante |
| Dados coletados em formulários criados pelo Cliente | Operador | Controlador |
| Dados de respondentes dos formulários | Operador | Controlador |
| Dados enviados a integrações configuradas pelo Cliente | Operador até a entrega | Controlador define destino e base legal |
3. Categorias de Dados
3.1 Conta e autenticação
| Dados | Finalidade | Fonte | Retenção sugerida |
|---|---|---|---|
| Nome | Identificação da conta | Cadastro/login | Enquanto a conta estiver ativa + prazo de retenção |
| Login, notificações, recuperação de senha | Cadastro/login | Enquanto a conta estiver ativa + prazo de retenção | |
| Senha ou credenciais hash | Autenticação | Cadastro/login | Enquanto a conta estiver ativa |
| Status de verificação de e-mail | Segurança de acesso | Plataforma | Enquanto a conta estiver ativa |
| Sessões e tokens | Manter usuário autenticado | Plataforma | Conforme expiração técnica |
3.2 Workspace e equipe
| Dados | Finalidade | Fonte | Retenção sugerida |
|---|---|---|---|
| Nome do workspace | Organização do ambiente | Usuário | Enquanto o workspace estiver ativo |
| Slug do workspace | URL e roteamento interno | Plataforma/usuário | Enquanto o workspace estiver ativo |
| Membros e papéis | Controle de acesso | Dono/admin | Enquanto houver vínculo |
| Domínio personalizado | Publicação do workspace | Usuário | Enquanto configurado |
| Chaves de API | Integração externa | Usuário/plataforma | Até revogação + logs |
3.3 Formulários e respostas
| Dados | Finalidade | Fonte | Retenção sugerida |
|---|---|---|---|
| Título, descrição e perguntas | Criação do formulário | Cliente | Enquanto o formulário existir |
| Configurações de tema e lógica | Exibição e fluxo do formulário | Cliente | Enquanto o formulário existir |
| Respostas | Coleta solicitada pelo Cliente | Respondente | Definida pelo Cliente e política de retenção |
| Respostas parciais | Recuperação de abandono e melhoria de conversão | Respondente | [REVISAR] |
| Metadados de submissão | Segurança, auditoria e analytics | Plataforma | Conforme política de retenção |
| IP, user agent e dispositivo | Segurança, antifraude, analytics operacional | Plataforma | [REVISAR] |
3.4 Uploads
| Dados | Finalidade | Fonte | Retenção sugerida |
|---|---|---|---|
| Arquivos enviados em perguntas de upload | Responder formulários que solicitam anexos | Respondente | Definida pelo Cliente e política de retenção |
| Nome/tipo/tamanho do arquivo | Validação, armazenamento e exibição | Respondente/plataforma | Enquanto o arquivo existir |
| URL do arquivo | Acesso pelo Cliente | Plataforma | Enquanto o arquivo existir |
Tipos aceitos atualmente no endpoint de upload:
JPG/JPEG;
PNG;
GIF;
WebP;
SVG sanitizado;
PDF.
Limite atual por arquivo: 5 MB.
3.5 Billing e pagamentos
| Dados | Finalidade | Fonte | Retenção sugerida |
|---|---|---|---|
| Nome ou razão social | Cobrança e identificação do pagador | Cliente | Obrigações fiscais/contratuais |
| CPF/CNPJ | Cobrança, antifraude e fiscal | Cliente | Obrigações fiscais/contratuais |
| Envio de cobrança e recibos | Cliente | Obrigações fiscais/contratuais | |
| Telefone | Cobrança e antifraude | Cliente | Obrigações fiscais/contratuais |
| Status da cobrança | Ativação de plano | Gateway/plataforma | Histórico financeiro |
| ID de pagamento no gateway | Conciliação | Gateway/plataforma | Histórico financeiro |
Dados completos de cartão são enviados ao gateway de pagamento e não devem ser armazenados pelo Forms2You. [REVISAR]
3.6 Afiliados
| Dados | Finalidade | Fonte | Retenção sugerida |
|---|---|---|---|
| Código de indicação | Atribuição de afiliado | Plataforma | Enquanto o afiliado estiver ativo |
| Dados de chave Pix | Pagamento de comissão | Afiliado | Enquanto houver relação financeira |
| CPF/CNPJ | Validação de pagamento | Afiliado | Obrigações fiscais/contratuais |
| Histórico de comissões | Auditoria financeira | Plataforma | Obrigações fiscais/contratuais |
3.7 E-mails
| Tipo | Finalidade | Opt-out |
|---|---|---|
| Verificação de e-mail | Segurança/autenticação | Não aplicável por ser transacional |
| Recuperação de senha | Segurança/autenticação | Não aplicável por ser transacional |
| Exportações agendadas | Entrega solicitada pelo usuário | Configurações da exportação |
| Notificações operacionais | Avisos relevantes da conta/serviço | [REVISAR] |
| Marketing | Comunicação promocional | Deve ter descadastro claro antes de ativar |
3.8 Logs e auditoria
| Dados | Finalidade | Retenção sugerida |
|---|---|---|
| Logs de autenticação e acesso | Segurança e investigação | 12 meses [REVISAR] |
| Logs de aplicação | Operação e diagnóstico | 90 dias [REVISAR] |
| Logs de auditoria administrativa | Rastreabilidade de ações sensíveis | 12 meses ou mais [REVISAR] |
| Erros técnicos | Correção de falhas | 90 dias [REVISAR] |
Logs não devem conter senhas, tokens, dados completos de cartão ou respostas completas de formulários, salvo quando estritamente necessário e protegido. [REVISAR]
4. Ferramentas e Terceiros
| Ferramenta / fornecedor | Uso | Dados envolvidos | Documento relacionado |
|---|---|---|---|
| PostgreSQL / banco da aplicação | Persistência principal | Dados de conta, workspace, formulários, respostas, billing e auditoria | Segurança, retenção |
| Better Auth | Autenticação e sessões | Dados de conta, sessão e verificação de e-mail | Privacidade, cookies |
| Postal | Envio de e-mails transacionais | E-mail, nome e conteúdo do e-mail | Privacidade, subprocessadores |
| Asaas | Cobrança e pagamentos | Nome, CPF/CNPJ, e-mail, telefone, dados de cobrança | Privacidade, cancelamento, subprocessadores |
| Google OAuth / Google Sheets | Integração opcional com planilhas | E-mail Google, tokens OAuth, dados exportados para planilha | Privacidade, subprocessadores |
| Storage de uploads | Armazenar arquivos enviados | Arquivos e metadados de upload | Privacidade, retenção |
| Webhooks configurados pelo Cliente | Enviar respostas para sistemas externos | Dados definidos pelo Cliente no formulário | Termos, DPA |
| Logs do servidor / infraestrutura | Monitoramento e segurança | Metadados técnicos | Segurança, retenção |
[REVISAR] — Confirmar fornecedores reais de hospedagem, storage, CDN, monitoramento, e-mail e logs antes da publicação.
5. Cookies e Tecnologias Similares
O Forms2You pode utilizar cookies ou armazenamento local para:
autenticação e sessão;
preferências de interface;
segurança e CSRF;
funcionamento de formulários públicos;
analytics operacional, se habilitado.
[REVISAR] — Confirmar cookies reais emitidos em produção/staging e atualizar a Política de Cookies.
6. Pontos Pendentes Para Validação
Confirmar se VD MARKETING LTDA, CNPJ 58.943.395/0001-46, será a pessoa jurídica operadora oficial do Forms2You.
Confirmar endereço cadastral/publicável e DPO.
Confirmar lista real de subprocessadores.
Confirmar se há analytics de terceiros ativo.
Confirmar se há pixel de marketing ativo.
Confirmar armazenamento definitivo de uploads.
Confirmar prazos de retenção com jurídico.
Confirmar fluxo de eliminação definitiva de dados e arquivos.
Confirmar se haverá marketing por e-mail e ferramenta usada.
Confirmar se pagamentos serão cobrança avulsa, recorrência automática ou assinatura.
Confirmar se Google Sheets é subprocessador permanente ou integração controlada pelo Cliente.
7. Relação com Outros Documentos
Este mapa deve ser revisado sempre que houver mudança em:
novos tipos de pergunta;
novas integrações;
novos provedores de infraestrutura;
novo fluxo de pagamento;
novo canal de e-mail;
mudança em retenção ou exportação;
ativação de analytics, pixel ou ferramenta de marketing.