Última atualização: 7 de outubro de 2026
O Max Rota (maxrota.com) é um sistema de gestão de créditos de combustível utilizado por organizações de diversos segmentos — empresas com frota, cooperativas, órgãos públicos e demais instituições — para conceder, controlar e prestar contas de créditos de abastecimento destinados a seus beneficiários (motoristas, colaboradores, condutores e outros agentes autorizados), com validação nos postos de combustível credenciados. Esta política descreve como os dados pessoais são tratados no aplicativo e no site, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD).
Cada organização que utiliza o Max Rota atua como controladora dos dados pessoais dos seus usuários (administradores, beneficiários e postos credenciados), pois decide quem é cadastrado e para qual finalidade. O Max Rota atua como operador, tratando os dados exclusivamente conforme necessário para o funcionamento do serviço.
O aplicativo não possui cadastro aberto ao público: todas as contas são criadas pelos administradores autorizados. Os dados tratados são: dados cadastrais (nome completo, CPF, telefone, e-mail e foto opcional dos beneficiários; razão social, CNPJ, endereço, telefone e responsável dos postos); credenciais de acesso (nome de usuário e senha — a senha é armazenada exclusivamente de forma criptografada e irreversível, e nunca pode ser lida por ninguém, nem pelos administradores); registros de operações (créditos concedidos, autorizações emitidas, abastecimentos validados e recibos, com datas, valores e identificação dos envolvidos); e registros de segurança (data, hora e endereço IP de acessos, para auditoria e proteção contra fraude, além dos pedidos de nova senha feitos na tela de entrada: o usuário que pediu, os horários e quem aprovou ou recusou, com o motivo).
No aplicativo para celular, são tratados adicionalmente:
O aplicativo solicita duas permissões do sistema: a câmera, usada para ler o QR code da autorização e registrar as fotos de comprovação, e o envio de notificações, que você pode recusar ou desativar a qualquer momento nas configurações do aparelho — o restante do sistema continua funcionando sem ela. Não são solicitados acesso à localização, aos contatos, ao microfone nem à galeria de fotos.
Os dados são usados exclusivamente para: autenticar os usuários e controlar os níveis de acesso; emitir e validar autorizações de abastecimento com QR code de uso único; gerar recibos, extratos e relatórios de prestação de contas da organização; manter trilha de auditoria antifraude das operações; e garantir a segurança do sistema (bloqueio de tentativas de invasão). O aplicativo para celular também envia notificações ao beneficiário sobre movimentações da própria conta: quando uma autorização começa a ser usada em um posto, quando o abastecimento é concluído, quando um crédito é lançado e quando uma autorização está perto de vencer. As notificações são exclusivamente transacionais — o Max Rota não envia publicidade, promoções nem comunicações de marketing. As bases legais são a execução do contrato de prestação do serviço, o cumprimento de obrigação legal de prestação de contas e o legítimo interesse na prevenção a fraudes (art. 7º, II, V e IX da LGPD); quando a organização for órgão público, aplica-se também a execução de políticas públicas (art. 7º, III da LGPD).
Os dados não são vendidos nem compartilhados para fins comerciais ou publicitários. O acesso é restrito e segmentado: cada organização acessa somente os próprios dados; beneficiários veem apenas os próprios saldos e autorizações; postos veem apenas os abastecimentos que validaram. As fotos de abastecimento ficam em endereços de leitura direta, com nomes aleatórios e não listáveis: não é possível encontrá-las por busca nem por tentativa, mas quem receber o link de uma foto específica consegue abri-la.
Para funcionar, o Max Rota conta com as seguintes suboperadoras, cada uma limitada à sua finalidade:
Com o armazenamento no Brasil, os cadastros, os registros de operações e as fotos permanecem em território nacional, sob a legislação brasileira. A entrega do site pela Cloudflare e a das notificações pela Apple e pelo Google podem passar por servidores dessas empresas fora do país; isso se limita ao tráfego das requisições e ao texto das notificações, nos termos das condições de proteção de dados de cada uma (art. 33 da LGPD).
Dados podem ser fornecidos a autoridades competentes quando exigido por lei.
O Max Rota adota medidas técnicas de proteção: senhas com criptografia forte (PBKDF2 com salt individual); sessões com expiração automática, encerradas ao fechar o navegador ou o aplicativo, salvo quando a opção "manter conectado" está marcada — no aplicativo ela já vem marcada e pode ser desmarcada na tela de entrada —, caso em que a sessão permanece ativa por mais tempo no próprio aparelho; limite de tentativas de login por conta e por endereço IP; comunicação exclusivamente por HTTPS; isolamento de dados entre organizações; e registro de auditoria de todas as operações sensíveis, conservado conforme o item 6.
Recuperação de senha: quem esqueceu a senha pode pedir uma nova na tela de entrada. O pedido não gera senha automaticamente: ele é encaminhado ao responsável pela conta (o administrador da organização, o administrador do posto ou a equipe do Max Rota), que decide se aprova. Se aprovar, o responsável entrega ao usuário uma senha temporária, que precisa ser trocada no primeiro acesso, e todas as sessões abertas da conta são encerradas. A tela responde sempre da mesma forma, exista ou não o usuário informado, e há limite de pedidos por conta e por rede. Para aplicar esse limite, o endereço IP de origem do pedido não é guardado de forma legível: ele é transformado em um código irreversível, com chave secreta, que serve apenas para contar os pedidos.
Os registros de operações (créditos, autorizações, recibos e auditoria) são conservados pelo prazo necessário à prestação de contas e às obrigações legais da organização. O usuário pode excluir a própria conta de acesso a qualquer momento, no menu "Meu Perfil → Excluir conta" dentro do aplicativo: o acesso é removido de forma permanente e imediata, preservando-se apenas os registros históricos de prestação de contas exigidos da organização. Os pedidos de nova senha já decididos ou vencidos são apagados após 90 dias, e a contagem usada no limite de pedidos é descartada depois que a janela de uma hora termina; o registro de auditoria guarda apenas o fato (pedido, aprovação ou recusa), sem endereço IP e sem senha.
Nos termos dos arts. 18 e seguintes da LGPD, você pode solicitar: confirmação do tratamento, acesso, correção de dados incompletos ou desatualizados, anonimização ou eliminação de dados desnecessários, informação sobre compartilhamentos e revisão de decisões. As solicitações devem ser dirigidas à organização responsável pelo seu cadastro (controladora) ou ao contato abaixo, e serão respondidas nos prazos legais.
O Max Rota destina-se exclusivamente a usuários autorizados pelas organizações e a estabelecimentos credenciados, todos maiores de idade. O sistema não coleta dados de menores.
Esta política pode ser atualizada para refletir melhorias do serviço ou mudanças legais. A versão vigente estará sempre disponível nesta página, com a data de atualização no topo.
Dúvidas ou solicitações sobre privacidade: [email protected].