Política de Privacidade e LGPD do App

A MVD Consul Mais LTDA (CNPJ 58.481.319/0001-66) explica, nesta Política, quais dados pessoais são tratados no âmbito do aplicativo MVD Gestão (app.mvdgestao.com.br), com que finalidades, por quais bases legais e com quais direitos para os titulares — em conformidade com a Lei 13.709/2018 (LGPD), o Marco Civil da Internet (Lei 12.965/2014) e demais normas aplicáveis.

Escopo: esta Política cobre exclusivamente o tratamento de dados no aplicativo SaaS. O site institucional (www.mvdgestao.com.br) tem Política de Privacidade própria, direcionada a visitantes e usuários de agentes gratuitos.

1. Controlador e Encarregado (DPO)

1.1. Controlador: MVD Consul Mais LTDA, CNPJ 58.481.319/0001-66, sede em Q A21, nº 7, Vale Quem Tem, Teresina/PI, CEP 64.057-441.

1.2. Encarregado de Dados (DPO): contato disponível em contato@mvdgestao.com.br. Responderá em até 15 dias corridos. A identidade do Encarregado e o passo a passo de cada direito estão na página do Encarregado de Dados.

1.3. Nos serviços contratados por Empresas Clientes (planos pagos do aplicativo), a Empresa Cliente é Controladora dos dados dos seus funcionários, colaboradores, clientes e fornecedores inseridos na Plataforma; a MVD atua como Operadora nos termos do DPA — ver /dpa.

2. Dados que Coletamos

2.1. Coletados diretamente de você

• Cadastro: nome, email, telefone, senha (hash), CPF/CNPJ, empresa, cargo;
• Conteúdo inserido: texto, imagens, áudios, documentos, transações financeiras, contratos, planos de ação, metas, indicadores, mensagens;
• Biometria (módulo de Assinaturas): selfie de enrolment, assinatura manuscrita digital, fotos capturadas em checklists — criptografadas AES-256 em repouso;
• Localização da assinatura (módulo de Assinaturas): ao assinar um documento, o navegador pede sua permissão para informar onde você está. Se você autorizar, a coordenada é arredondada para cerca de 1 km e guardada no manifesto de evidências junto com data, hora e IP. Se você negar, ou o navegador não responder, a assinatura acontece do mesmo jeito e o campo fica vazio;
• Pagamento: dados de cobrança processados por gateway externo (Stripe), nunca armazenados em servidores MVD; a MVD guarda apenas referência de transação;
• Comunicação: mensagens enviadas por email, chat ou formulário de suporte.

2.2. Coletados automaticamente

• Registros de acesso: endereço IP, identificação do navegador e data/hora de uso da aplicação, registrados a cada 5 minutos de atividade enquanto você está logado — não a cada clique. Guardados por 6 meses, sob sigilo, como exige o art. 15 do Marco Civil da Internet, e disponibilizados apenas mediante ordem judicial (art. 10). Não registramos quais telas você abriu;
• Cookies essenciais: sessão de autenticação, preferências de idioma, aceite de cookies (ver Política de Cookies);
• Analíticos (futuros): mediante consentimento granular, métricas agregadas de uso;
• Dispositivo e rede: tipo, navegador, sistema operacional, resolução de tela, idioma.

2.3. Recebidos de terceiros

• Plataformas de autenticação social (Google) — nome, email, foto, quando você opta por esse método;
• Gateway de pagamento (Stripe) — status de transação, código de erro, método utilizado;
• Provedores de IA (Anthropic, Deepgram, Groq) — dados de uso retornados pelas APIs (tokens, tempo de processamento);
• Integrações contratadas pelo Cliente (ex: importação de extrato bancário OFX/CSV) — conteúdo das transações.
• Endereço de e-mail indicado pelo Cliente para receber avisos (ex: o contador que acompanha as contas a vencer) — nome e e-mail. Nada é enviado antes de a própria pessoa confirmar por link, e todo aviso traz um link para parar de receber a qualquer momento. O conteúdo do aviso inclui dados financeiros do Cliente (descrição, valor, vencimento e o nome do fornecedor ou cliente da conta), e é o Cliente quem decide a quem enviá-lo.
• Assistente de IA do site — quando você usa o chat em https://mvdgestao.com.br, guardamos o que você escreveu e o que ele respondeu, para entendermos as dúvidas de quem nos procura e melhorarmos o atendimento. Antes de gravar, apagamos automaticamente e-mail, telefone, CPF, CNPJ e número de cartão que apareçam no texto. Não pedimos nem precisamos dos seus dados pessoais para conversar, e o chat não exige cadastro. Ainda assim, o que você escreve é texto livre: se contar detalhes que permitam identificar você ou sua empresa, eles ficam guardados — por isso tratamos a conversa como dado pessoal, e não como dado anônimo.
  O texto é enviado à Anthropic (Estados Unidos), que gera a resposta — ela consta da nossa lista pública de subprocessadores. Guardamos a conversa por 6 meses e a lemos de forma agregada, para descobrir o que falta explicar no site; passado o prazo, ela é apagada automaticamente.
  O chat não coleta contato: ele não pede nem oferece deixar nome, e-mail ou telefone. Para falar com a equipe, use os canais de contato do site, que têm aviso próprio.

3. Finalidades do Tratamento

Tratamos seus dados pessoais para:

• Execução do contrato: criar e gerenciar conta, prestar serviços contratados, cobrar;
• Comunicação: responder dúvidas, enviar atualizações importantes, suporte técnico;
• IA e análises automatizadas: processar conteúdo inserido com modelos de IA mediante consentimento/base contratual, sem utilização para treinamento de modelos de terceiros;
• Segurança: prevenir fraude, detectar intrusão, auditoria, proteção da Plataforma;
• Marketing: somente com consentimento expresso, para comunicar novidades, webinars, ofertas;
• Cumprimento legal: atendimento a ordens judiciais, obrigações fiscais, combate à lavagem de dinheiro;
• Melhoria do produto: análise estatística agregada e anonimizada — sem reidentificação — para evoluir funcionalidades.

4. Bases Legais (LGPD Art. 7º e 11)

Tratamos dados pessoais apenas com base em hipótese legal, especialmente:

• Consentimento (art. 7º, I) — marketing, cookies analíticos, biometria opcional, localização da assinatura;
• Execução de contrato (art. 7º, V) — quase toda a operação do aplicativo;
• Cumprimento de obrigação legal (art. 7º, II) — guarda fiscal, logs;
• Legítimo interesse (art. 7º, IX) — segurança, prevenção à fraude, análise agregada, e as conversas do assistente de IA do site (para melhorar o atendimento);
• Proteção ao crédito (art. 7º, X) — negativação em caso de inadimplência.

4.1. O que fazemos sob legítimo interesse, e por quê

O art. 10 da LGPD exige que o legítimo interesse seja explicado a partir de situações concretas, e não em abstrato. A principal delas é a trilha de atividade: o registro de quem fez o quê dentro do sistema.

• Para quê: detectar fraude e uso indevido, apurar incidente de segurança e reconstituir o que aconteceu quando você ou a sua empresa questionam uma alteração.
• O que guardamos: o vínculo do membro, a ação, a entidade afetada, data/hora e IP. Não guardamos seu nome, seu e-mail nem o conteúdo do dado alterado — o art. 10, §1º só admite o estritamente necessário.
• Por quanto tempo: 5 anos. Esse prazo é escolha nossa, declarada aqui; nenhuma lei o impõe.
• Seu direito: você pode se opor a esse tratamento (art. 18, §2º) e pedir a eliminação dos seus dados, que atendemos no prazo legal. A trilha existe em boa parte no seu favor — é ela que permite provar que uma alteração indevida não foi feita por você.

Para dados sensíveis (art. 5º, II) que eventualmente você inserir (ex: dados de saúde em observações), aplicam-se as hipóteses do art. 11 LGPD — a base legal desses dados é responsabilidade de quem os insere.

5. Compartilhamento com Terceiros

Compartilhamos dados com:

• Sub-operadores listados no DPA — para execução do serviço contratado (Vercel, Google LLC, Supabase, Anthropic, Amazon Web Services, QuickChart (Typpo LLC), Replicate, Deepgram, Groq, Resend, Upstash, Stripe Brasil Soluções de Pagamento Ltda., Cloudflare, WhatsApp LLC (Meta), Focus NFe). Cada um com seu DPA ou equivalente assinado. A relação atualizada, com finalidade, país e tipos de dado, está em /subprocessadores;
• Autoridades — mediante ordem judicial, administrativa ou regulatória;
• Parceiros de negócio — apenas dados agregados/anonimizados, sem identificação pessoal;
• Sucessores — em caso de fusão, aquisição ou venda de ativos, com manutenção do nível de proteção.

Nunca vendemos seus dados pessoais. Nunca alimentamos modelos públicos de IA com seus dados para treinamento.

6. Transferência Internacional

6.1. Parte dos sub-operadores está localizada nos Estados Unidos (a relação completa, com país de processamento de cada um, está em /subprocessadores). A transferência internacional fundamenta-se no art. 33, IX, c/c art. 7º, V, da LGPD (necessidade para a execução do contrato de serviço) e no art. 33, VIII (consentimento específico e em destaque, colhido no aceite dos Termos de Uso), observado o Regulamento de Transferência Internacional de Dados da ANPD (Resolução CD/ANPD nº 19/2024) e as salvaguardas descritas no DPA, com criptografia em trânsito e retenção mínima.

6.2. Sempre que possível, utilizamos data centers no Brasil (São Paulo) para reduzir a transferência.

7. Retenção de Dados

8. Direitos do Titular (LGPD Art. 18)

Você pode, a qualquer tempo:

• Confirmar a existência de tratamento;
• Acessar seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em excesso;
• Solicitar portabilidade dos dados;
• Eliminar dados tratados com base em consentimento;
• Obter informação sobre entidades com quem seus dados foram compartilhados;
• Ser informado sobre a possibilidade de não fornecer consentimento e suas consequências;
• Revogar consentimento;
• Opor-se a tratamento com base em legítimo interesse.

Envie solicitações ao DPO em contato@mvdgestao.com.br. Resposta em até 15 dias (LGPD Art. 19, II). Reservamos o direito de exigir verificação de identidade antes de atender.

9. Segurança dos Dados

Adotamos medidas técnicas proporcionais à sensibilidade dos dados, incluindo:

• Criptografia TLS 1.2+ em trânsito e AES-256 em repouso (dados sensíveis);
• Controle de acesso baseado em papéis (RBAC);
• Isolamento multi-tenant rigoroso (cada Empresa Cliente vê apenas seus dados);
• Autenticação forte via Supabase Auth;
• Logs de auditoria imutáveis;
• Backups automatizados com retenção controlada (ver Política de Backup);
• Monitoramento contínuo de segurança, detecção de anomalias, rate limiting;
• Testes de penetração anuais;
• Revisão periódica de dependências e patches.

Apesar de todos os esforços, nenhum sistema é 100% imune. Em caso de incidente, seguimos a Política de Tratativa de Incidentes com notificação em 72h à Controladora e comunicação à ANPD quando legalmente exigido.

10. Cookies e Tecnologias Similares

10.1. Utilizamos apenas cookies essenciais por padrão (sessão, preferências, segurança). Cookies analíticos e de marketing requerem consentimento granular via banner.

10.2. Detalhamento completo na Política de Cookies.

11. Menores de Idade

11.1. O MVD Gestão é destinado a pessoas com 18 anos ou mais. Não coletamos deliberadamente dados de menores.

11.2. Caso identifiquemos tratamento indevido de dado de menor, procederemos à exclusão imediata e notificaremos o responsável legal.

12. Alterações desta Política

12.1. Alterações serão publicadas nesta página com novo número de versão e comunicadas por email às contas cadastradas quando envolverem mudanças materiais nos direitos do titular.

12.2. Versões anteriores ficam preservadas em registro auditável e podem ser solicitadas ao DPO.

13. Contato e Reclamações

13.1. Dúvidas, solicitações, reclamações: contato@mvdgestao.com.br.

13.2. Caso não seja atendido satisfatoriamente, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

14. Legislação e Foro

14.1. Esta Política é regida pela Lei 13.709/2018 (LGPD), Lei 12.965/2014 (Marco Civil), Lei 8.078/1990 (CDC, quando aplicável), Código Civil e demais normas brasileiras. Foro eleito: Comarca de Teresina/PI, ressalvados os direitos do consumidor pessoa física.