Política de Privacidade — Metis

1. Controlador / operador — quem somos

O Metis é uma plataforma de inteligência de mercado da MF Data Solutions ("MFDS"), CNPJ 33.939.375/0001-70, com sede na Avenida Paulista, 171, 4º andar, sala 3074, Bela Vista, São Paulo/SP, CEP 01311-904.

Dependendo do fluxo, a MFDS assume papéis distintos:

• Controladora dos dados dos próprios clientes (cadastro, cobrança, waitlist, feedback).
• Operadora dos dados de terceiros (pessoas jurídicas e seus contatos) no módulo de prospecção — onde o Cliente (empresa contratante) é o controlador autônomo responsável pelo uso que faz desses dados.

Encarregado de Proteção de Dados (DPO): privacidade@mfds.com.br.

2. Dados dos clientes do Metis (cadastro e uso da plataforma)

2.1 Quais dados coletamos

• Cadastro e fiscal: CNPJ, razão social, endereço, telefone, e-mail corporativo — necessários para acesso, cobrança e emissão de nota fiscal.
• Conta e autenticação: e-mail de login, senha (hash bcrypt), histórico de sessões.
• Uso da plataforma: consultas realizadas, créditos consumidos, logs de acesso (IP, horário) para auditoria e segurança.
• Feedback e bugs: texto livre e URL da página, enviados voluntariamente pelo usuário autenticado.

2.2 Finalidade e base legal

2.3 Retenção

• Dados de cadastro e fiscal: pelo prazo contratual + 5 anos após encerramento (obrigação tributária/fiscal).
• Logs de acesso: 6 meses (Marco Civil da Internet, art. 15).
• Dados de feedback: até exclusão pelo titular ou encerramento da conta.
• Após os prazos, os dados são excluídos ou anonimizados.

3. Waitlist e comunicações de marketing

A landing page do Metis oferece inscrição em lista de espera (waitlist), em que o visitante fornece seu e-mail para ser notificado sobre o lançamento ou novas funcionalidades. Podemos coletar também parâmetros UTM (origem da visita) para mensurar a efetividade das campanhas.

Base legal: consentimento (art. 7º, I, LGPD) — o visitante concorda expressamente ao preencher o formulário.

• Os e-mails da waitlist são usados exclusivamente para comunicações sobre o Metis.
• O titular pode cancelar a inscrição a qualquer momento pelo link de descadastramento presente em cada e-mail, ou pelo canal privacidade@mfds.com.br.
• Os dados da waitlist são excluídos 12 meses após o contato se não houver conversão em conta ativa, salvo consentimento renovado.

4. Módulo de Prospecção de Leads B2B

4.1 Origem dos dados

O módulo utiliza dados cadastrais de pessoas jurídicas divulgados publicamente pela Receita Federal do Brasil (base CNPJ/estabelecimentos/sócios): razão social, nome fantasia, CNAE, porte, natureza jurídica, endereço, e-mail e telefone, quando constam do registro público. Podem ser complementados com informações de Presença Digital (via Google Places API).

Quando a empresa possui site institucional próprio, o Metis pode extrair desse site — de forma automatizada, sob demanda e apenas quando um cliente enriquece aquele lead — os dados de contato ali publicados pela própria empresa (telefone, WhatsApp e e-mail). A coleta respeita o robots.txt do site, identifica-se por um agente próprio (MetisBot) e não acessa redes sociais, marketplaces, diretórios de terceiros nem áreas protegidas por login. Armazenamos somente os contatos normalizados e a URL de origem — nunca o conteúdo da página; o dado é atualizado periodicamente (validade de 180 dias). A base legal é o legítimo interesse (art. 7º, IX, LGPD), com teste de balanceamento documentado, apoiado na expectativa razoável de contato de quem publica esses dados em canal aberto para esse fim.

Para não ter seu contato coletado nem exibido a partir de sites, você pode registrar sua oposição a qualquer momento em metis.mfds.com.br/nao-recoleta, ou pelo canal privacidade@mfds.com.br. O pedido é permanente e impede a recoleta futura.

4.2 Dado pessoal em contexto B2B

Para empresas cujo titular é pessoa física — MEI, Empresário Individual, EIRELI, sociedades unipessoais — parte dos dados (nome, CPF parcial, e-mail, telefone) pode constituir dado pessoal na acepção da LGPD. O contato de um decisor (nome/e-mail/telefone de sócio/responsável) também é dado pessoal, independentemente do porte da empresa. Tratamos esses dados com a cautela correspondente.

4.3 Base legal e teste de interesse legítimo (LIA)

O tratamento pela MFDS baseia-se no legítimo interesse (art. 7º, IX, LGPD), com fundamento no seguinte raciocínio:

• Finalidade: viabilizar prospecção comercial B2B legítima entre empresas, usando dados que os próprios titulares disponibilizaram publicamente junto à Receita Federal.
• Necessidade: utilizamos apenas os dados necessários à identificação e ao contato inicial — sem acesso a dados sensíveis, dados financeiros ou informações não cadastrais.
• Balanceamento: a expectativa razoável de um empresário que registra e-mail e telefone no CNPJ público inclui ser contatado comercialmente. A MFDS e seus clientes respeitam o opt-out e os direitos de oposição, limitando o impacto negativo potencial.

O registro completo do LIA está disponível para consulta pela ANPD mediante solicitação a privacidade@mfds.com.br.

Ser público não autoriza qualquer uso: a MFDS respeita a finalidade declarada (prospecção B2B) e a proporcionalidade (art. 7º, §3º, LGPD).

4.4 Responsabilidade do Cliente (controlador autônomo)

A MFDS opera como operadora. O Cliente que revela, exporta e utiliza os contatos para abordagem assume a condição de controlador autônomo (art. 39, LGPD), responsável por:

• definir e documentar a base legal para seu próprio tratamento;
• garantir transparência ao titular sobre a origem dos dados (art. 9º);
• respeitar o CNNP/Anatel e as normas anti-SPAM;
• honrar solicitações de opt-out e oposição de forma imediata e permanente;
• não reutilizar os dados para finalidades além da prospecção B2B.

O aceite dos Termos de Uso (cláusula 5) formaliza esse entendimento.

4.5 Retenção dos dados de prospecção

• Os dados de PJ são sincronizados periodicamente com a base pública da RF.
• Registros de opt-out são mantidos por prazo indeterminado para garantir o respeito à oposição, mesmo após atualizações da base.
• Logs de consultas realizadas pelos clientes são mantidos por 12 meses para fins de auditoria e, após esse prazo, anonimizados.

5. Validação de contatos e transferência internacional de dados

Para melhorar a qualidade dos leads, o Metis pode enviar e-mails e telefones dos estabelecimentos a prestadores externos de validação:

Essa transmissão constitui transferência internacional de dados pessoais nos termos dos arts. 33–36 da LGPD. As salvaguardas aplicadas são:

• Base legal da transferência: legítimo interesse, com teste de balanceamento documentado (necessidade de validação antes do contato, para reduzir abordagens inúteis e impacto negativo sobre os titulares).
• Nível de proteção equivalente: ambos os prestadores operam sob requisitos do GDPR europeu e mantêm políticas de privacidade e controles de segurança compatíveis com padrões internacionalmente reconhecidos (art. 33, II, LGPD — grau de proteção adequado ou equivalente).
• Minimização: apenas o dado objeto de validação (e-mail ou telefone) é transmitido, sem nenhum dado adicional do titular.
• Proibição de retenção: os prestadores são contratualmente proibidos de reter ou reutilizar o dado para finalidades próprias além da validação pontual.

No caso específico da OpenAI, a transmissão ocorre quando o cliente solicita a geração da narrativa interpretativa da análise de praça. As salvaguardas aplicadas são:

• Base legal da transferência: execução do contrato firmado com o cliente (art. 7º, V, e arts. 33–36 da LGPD) — a narrativa é funcionalidade do serviço contratado.
• Nível de proteção equivalente: a OpenAI mantém políticas de privacidade e controles de segurança compatíveis com padrões internacionalmente reconhecidos (art. 33, II, LGPD), processando as requisições de API sem utilizar o conteúdo enviado para treinamento de seus modelos.
• Minimização: são transmitidos apenas os dados necessários à geração da análise (indicadores da praça, endereço informado e, quando preenchidas, as observações sobre o negócio); a narrativa é apoio à decisão do cliente, não decisão automatizada vinculante.

6. Cookies e rastreamento

O Metis utiliza cookies técnicos estritamente necessários ao funcionamento da plataforma (sessão autenticada). Não utilizamos cookies de terceiros para rastreamento publicitário dentro da plataforma autenticada.

Na landing page pública, podemos utilizar ferramentas de analytics (ex.: Google Analytics) para mensurar visitas e origem de tráfego. Quando houver rastreamento por pixel ou cookies de terceiros na LP, informaremos e coletaremos o consentimento adequado por meio de banner de cookies, conforme exigido pela LGPD e práticas de mercado.

7. Compartilhamento de dados

A MFDS não vende dados pessoais. Os dados são compartilhados apenas com:

• Asaas Gestão Financeira: dados de faturamento para processar cobranças (contrato de operador).
• ZeroBounce / NumVerify: e-mail ou telefone para validação técnica (detalhes na cláusula 5).
• OpenAI: dados da análise de praça (incluindo o endereço informado e, quando preenchidas, as observações sobre o negócio) para geração da narrativa por inteligência artificial, na qualidade de operador (detalhes na cláusula 5).
• Infraestrutura de nuvem: dados armazenados em servidores com proteção adequada e controles de segurança compatíveis com a LGPD.
• Autoridades públicas: quando exigido por lei, decisão judicial ou autoridade competente.

8. Segurança da informação

A MFDS adota medidas técnicas e organizacionais para proteger os dados pessoais, incluindo: criptografia em trânsito (TLS), hash de senhas (bcrypt), controles de acesso por função, Content Security Policy (CSP), limitação de taxa de requisições (rate limiting) e auditorias periódicas de segurança.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a MFDS notificará a ANPD e os titulares afetados conforme os prazos e requisitos da LGPD (art. 48).

9. Direitos do titular

Nos termos dos arts. 17–22 da LGPD, o titular tem direito a:

• Acesso: confirmar se tratamos seus dados e obter cópia.
• Correção: solicitar atualização de dados incompletos, inexatos ou desatualizados.
• Eliminação: solicitar a exclusão dos dados tratados com base em consentimento.
• Portabilidade: receber seus dados em formato estruturado.
• Informação sobre compartilhamento: saber com quem compartilhamos seus dados.
• Revogação de consentimento: retirar o consentimento dado para waitlist/marketing, sem custo.
• Oposição (opt-out da prospecção): opor-se ao tratamento com base em legítimo interesse. Ao solicitar opt-out, o dado é incluído em lista permanente de exclusão — deixa de aparecer nas consultas e exportações da plataforma.
• Oposição a contatos de site (não-recoleta): impedir a coleta e a exibição do seu telefone/e-mail a partir de sites, de forma permanente, em /nao-recoleta.
• Revisão de decisões automatizadas: solicitar revisão humana de qualquer decisão tomada exclusivamente por meios automatizados que afete seus interesses.

Canal de atendimento: privacidade@mfds.com.br. Prazo de resposta: até 15 dias corridos.

Direitos de titulares de dados no módulo de prospecção devem ser exercidos também diretamente junto ao Cliente (controlador autônomo) que realizou a consulta. A MFDS atenderá ao opt-out centralmente, mas a relação de uso posterior é do Cliente.

10. Alterações nesta política

Esta Política pode ser atualizada periodicamente. Clientes ativos serão notificados por e-mail. A versão vigente é sempre a disponível nesta página, identificada pela data de última atualização. Alterações materiais serão comunicadas com antecedência mínima de 15 dias.