Privacidade com clareza, cuidado e controle

1. Quem somos e como falar com o nosso encarregado

O MPP (e todo o ecosistema da empresa) é operado por Meu Próximo Passo MPP Desenvolvimento de Software LTDA, inscrita no CNPJ nº 37.367.501/0001-10, com endereço fiscal para correspondência na Rua Doutor João Colin, 1285, Sala 03, América, Joinville/SC, CEP 89204-001.

Para dúvidas, reclamações ou solicitações relacionadas a dados pessoais, você pode contatar nosso encarregado pelo tratamento de dados pessoais (DPO):

• Nome: Cristian de Oliveira Tertuliano.
• E-mail: privacidade@meuproximopasso.com.br.

O encarregado atua como canal de comunicação entre o MPP, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

1.1. Quando o MPP é controlador ou operador

O MPP atua como controlador nas atividades em que determina as finalidades e os elementos essenciais do tratamento, como a gestão do relacionamento comercial, a administração de cobranças e o atendimento de suas próprias obrigações legais.

Ao disponibilizar a plataforma para o tratamento de dados de colaboradores por uma empresa cliente, o MPP atua como operador quando realiza esse tratamento por conta e conforme as instruções lícitas dessa empresa. Nessa situação, a empresa cliente é a controladora: cabe a ela definir as finalidades da gestão de pessoas, a base legal e os acessos autorizados ao conteúdo sob sua responsabilidade.

Essa divisão não elimina as obrigações próprias do MPP, inclusive quanto à segurança, à confidencialidade e à assistência ao cliente. As responsabilidades devem ser detalhadas no contrato e no instrumento de tratamento de dados aplicável. A classificação de cada atividade depende de como ela efetivamente é realizada.

2. Quais dados tratamos, como os recebemos e para que os utilizamos

2.1. Informações fornecidas diretamente por você

Podemos receber dados quando você solicita informações, conversa com nossa equipe, cria uma conta, utiliza a plataforma, contrata serviços ou solicita suporte.

Conforme o relacionamento, esses dados incluem:

• Identificação e contato: nome, e-mail, telefone, cargo e empresa.
• Conta e atendimento: informações de cadastro, solicitações, mensagens e registros necessários à solução de dúvidas ou problemas.
• Contratação e cobrança: dados do contratante e de seus representantes, informações de faturamento e histórico de pagamentos, quando relacionados a uma pessoa natural.

Essas informações são utilizadas para atender solicitações, viabilizar o acesso aos serviços, administrar o relacionamento e cumprir obrigações contratuais e legais.

2.2. Informações de colaboradores inseridas pelas empresas clientes

A plataforma permite o tratamento de dados profissionais fornecidos pelas empresas clientes e por seus usuários autorizados, como nomes, e-mails, vínculos com equipes, cargos, metas, indicadores e demais conteúdos inseridos nas funcionalidades contratadas.

Quando atua como operadora, a MPP utiliza esses dados para disponibilizar as funcionalidades, prestar suporte e executar as instruções lícitas do cliente, dentro do escopo contratado.

A empresa cliente deve informar seus colaboradores sobre o tratamento, estabelecer a base legal adequada, limitar os dados ao necessário e definir quem pode consultar ou alterar cada informação. O cadastro de um colaborador não equivale, por si só, ao consentimento dele.

O acesso ao conteúdo pelos usuários deve respeitar as permissões atribuídas na plataforma. O acesso pela equipe do MPP deve se limitar ao necessário para a prestação do serviço e às situações autorizadas ou previstas em lei.

Os dados profissionais inseridos pelo cliente não serão utilizados pelo MPP para campanhas promocionais próprias incompatíveis com a finalidade de sua coleta.

2.3. Informações de navegação, uso e cookies

O uso do site e da plataforma pode gerar registros como endereço IP, data e horário de acesso, informações do navegador e dispositivo, páginas visitadas, origem do acesso, preferências e eventos de utilização. Esses registros são utilizados para viabilizar o funcionamento dos serviços, identificar problemas, proteger acessos e cumprir obrigações legais. No site institucional, também utilizamos o PostHog para analisar a navegação e as interações, mas essa coleta só é iniciada depois que você aceita cookies analíticos no banner.

Cookies são pequenos arquivos que podem ser armazenados no navegador para permitir funcionalidades ou registrar preferências. Sua finalidade depende da tecnologia utilizada:

Os cookies e identificadores analíticos dependentes de consentimento permanecem desativados até sua autorização. A recusa não impede o uso das funcionalidades essenciais do site.

2.4. Informações recebidas de integrações

Quando uma integração for disponibilizada e habilitada pelo cliente, o MPP poderá receber ou transmitir os dados necessários ao seu funcionamento, conforme a finalidade informada e as permissões concedidas.

A contratação de uma integração não autoriza o acesso indiscriminado a todos os dados da plataforma. O compartilhamento deve se limitar ao escopo necessário e à base legal aplicável.

2.5. Finalidades e bases legais nas atividades próprias do MPP

Nas atividades em que é controlador, o MPP deve utilizar a base legal adequada à operação, conforme os contextos abaixo:

O legítimo interesse não autoriza qualquer uso de dados. Sua aplicação exige avaliação da finalidade, da necessidade e dos possíveis efeitos para o titular. Essa base não substitui as hipóteses específicas exigidas para dados pessoais sensíveis.

As bases dos tratamentos realizados pela empresa cliente sobre o conteúdo de seus colaboradores devem ser definidas por ela, na condição de controladora, observadas também as obrigações do MPP como operador.

2.6. Comunicações comerciais e operacionais

Você poderá solicitar gratuitamente a interrupção de comunicações promocionais pelo mecanismo disponibilizado na mensagem ou pelo e-mail privacidade@meuproximopasso.com.br.

A interrupção de publicidade não impede o envio de mensagens necessárias à prestação do serviço, à segurança da conta, ao atendimento de uma solicitação ou ao cumprimento de obrigação legal.

Quando necessário para respeitar sua escolha, poderá ser mantido um registro mínimo de descadastramento, utilizado para evitar novos contatos promocionais.

2.7. Dados sensíveis e dados de crianças e adolescentes

Dados sensíveis incluem informações sobre saúde, religião, origem racial ou étnica, vida sexual, filiação sindical e dados genéticos ou biométricos vinculados a uma pessoa.

Clientes e usuários somente devem inserir essas informações quando forem necessárias à finalidade contratada e houver uma hipótese legal adequada para o tratamento. Caso sejam recebidas informações sensíveis, o MPP e a empresa controladora deverão avaliar o contexto, limitar o acesso e adotar as providências cabíveis para seu tratamento ou eliminação.

A plataforma é voltada ao uso profissional. Isso não significa que qualquer dado de pessoa com menos de 18 anos seja automaticamente irregular: empresas clientes podem, por exemplo, possuir colaboradores adolescentes em relações de aprendizagem.

Se houver tratamento de dados de crianças ou adolescentes, ele deverá observar o melhor interesse desses titulares, a legislação aplicável, a necessidade dos dados e a base legal adequada. O consentimento dos responsáveis será exigido quando essa for a hipótese aplicável. A ausência de consentimento não produzirá exclusão automática sem avaliação do contexto e das demais bases permitidas.

3. Como armazenamos e protegemos os dados

O MPP utiliza infraestrutura em nuvem da Amazon Web Services (AWS) para a operação de seus serviços.

O MPP se compromete a manter medidas técnicas e administrativas proporcionais aos riscos dos tratamentos, com controle de acessos, proteção da confidencialidade e procedimentos de prevenção e resposta a incidentes.

O acesso aos dados deve ser limitado às pessoas e aos fornecedores que necessitem dessas informações para finalidades autorizadas, com deveres de confidencialidade compatíveis com sua atuação. As medidas de segurança devem ser revistas conforme a evolução dos serviços e dos riscos.

Nenhum ambiente tecnológico é totalmente imune a incidentes. Essa limitação não afasta os deveres legais de prevenção, proteção e resposta do MPP.

3.1. Incidentes de segurança

Quando atuar como controlador e ocorrer incidente que possa acarretar risco ou dano relevante aos titulares, o MPP realizará as comunicações exigidas à ANPD e aos titulares afetados. Será observado o prazo regulamentar aplicável, em regra de três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, sem prejuízo das hipóteses legalmente diferenciadas.

Quando atuar como operador, o MPP informará o cliente controlador sem demora injustificada e fornecerá os elementos necessários à avaliação e às comunicações cabíveis, conforme a legislação e o contrato.

As providências deverão incluir contenção, avaliação dos dados envolvidos e medidas para reduzir os possíveis efeitos do incidente.

4. Seus direitos e como exercê-los

Você poderá solicitar, conforme as condições previstas na legislação:

• Confirmação de que seus dados são tratados e acesso a eles.
• Correção de informações incompletas, incorretas ou desatualizadas.
• Anonimização, bloqueio ou eliminação de dados excessivos, desnecessários ou tratados irregularmente.
• Portabilidade, observada a regulamentação e os segredos comercial e industrial.
• Eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação.
• Identificação das entidades públicas e privadas com as quais seus dados foram compartilhados.
• Informação sobre a possibilidade de recusar consentimento e as consequências da recusa.
• Revogação do consentimento, sem invalidar os tratamentos realizados legitimamente antes da revogação.
• Oposição a tratamento dispensado de consentimento que descumpra a LGPD.
• Revisão de decisões exclusivamente automatizadas que afetem seus interesses e informações sobre os critérios e procedimentos utilizados, observados os segredos legalmente protegidos.

Para apresentar um pedido, escreva para privacidade@meuproximopasso.com.br. O exercício desses direitos é gratuito.

Poderemos solicitar informações estritamente necessárias para confirmar sua identidade ou os poderes de seu representante e evitar a divulgação indevida de dados. A verificação deve ser proporcional ao pedido.

Nas atividades em que o MPP for controlador, a confirmação e o acesso serão atendidos de forma simplificada imediatamente ou por declaração completa em até 15 dias corridos contados do requerimento, observadas eventuais regras especiais legalmente aplicáveis. Os demais pedidos seguirão os respectivos requisitos e prazos legais.

Quando o pedido envolver conteúdo tratado por instrução de uma empresa cliente, o MPP fará o encaminhamento à controladora e prestará o apoio que lhe couber. Você também poderá apresentar a solicitação diretamente à empresa responsável pelos seus dados profissionais.

Se houver impedimento legal ou técnico para o atendimento, serão informadas as razões pertinentes e, quando possível, as providências disponíveis. Dados de outras pessoas e informações legalmente protegidas deverão ser preservados.

Você também pode apresentar uma petição à ANPD ou recorrer aos órgãos competentes, inclusive de defesa do consumidor quando aplicável.

5. Com quem os dados podem ser compartilhados

O compartilhamento deve se limitar às informações necessárias à finalidade correspondente e observar a base legal e as responsabilidades de cada destinatário.

5.1. Fornecedores da operação

As informações sobre a atuação desses fornecedores podem ser consultadas nos documentos da AWS, do Asaas e do PostHog. Esses documentos não substituem as obrigações do MPP.

Um fornecedor poderá atuar como operador ou como controlador em determinadas atividades próprias. No caso de pagamentos, por exemplo, poderão existir tratamentos necessários ao cumprimento das obrigações legais do prestador financeiro. A definição deve considerar o serviço e o contrato efetivos.

5.2. Integrações habilitadas pelo cliente

Dados poderão ser compartilhados com serviços integrados quando a integração estiver disponível e for habilitada pelo cliente, dentro de seu escopo e das permissões aplicáveis.

O cliente deverá avaliar o uso desses serviços e as informações enviadas. O MPP permanece responsável pelas operações sob seu controle e pela assistência que lhe couber, inclusive no atendimento a direitos e na interrupção de compartilhamentos indevidos.

5.3. Obrigações legais e exercício de direitos

O MPP poderá fornecer dados a autoridades competentes quando houver obrigação ou fundamento legal para isso. Também poderá compartilhar informações estritamente necessárias com assessores e representantes para o exercício regular de direitos, observada a confidencialidade.

Solicitações de autoridades deverão ser avaliadas quanto à competência, à base legal e ao alcance das informações requisitadas.

5.4. Transferências internacionais

O uso de fornecedores de tecnologia poderá envolver tratamento fora do Brasil, inclusive armazenamento ou acesso a dados no exterior. A análise de audiência do site é enviada ao PostHog Cloud pelo endpoint configurado na região dos Estados Unidos (`us.i.posthog.com`), podendo envolver tratamento internacional. A utilização da AWS, isoladamente, não determina o país em que todos os dados do MPP ficam armazenados.

Quando houver transferência internacional, ela deverá contar com uma hipótese legal de tratamento e um mecanismo válido de transferência previsto na LGPD e na regulamentação da ANPD. Se forem utilizadas cláusulas-padrão contratuais, elas deverão estar efetivamente incorporadas aos instrumentos aplicáveis.

Essas informações deverão estar disponíveis em português nesta Política ou em documento complementar de fácil acesso. Você poderá solicitar as cláusulas utilizadas pelo canal de privacidade, observados os segredos comercial e industrial e o prazo regulamentar aplicável, em regra de 15 dias.

6. Por quanto tempo mantemos os dados e como ocorre a exclusão

Os dados devem ser conservados pelo período necessário à finalidade correspondente, ao atendimento de obrigações legais e à preservação justificada de direitos. O encerramento de uma conta não torna todos os registros imediatamente dispensáveis.

6.1. Encerramento do contrato, devolução e cópias de segurança

O cliente poderá solicitar a devolução ou a exportação de conteúdo conforme as condições contratuais, sem prejuízo dos direitos gratuitos dos titulares. O contrato deverá explicar o procedimento, os formatos disponibilizados e a janela de acesso após o encerramento.

A exclusão dos sistemas ativos e a expiração dos backups podem ocorrer em momentos diferentes. Durante a permanência de cópias de segurança, o acesso deverá ser restrito à finalidade de recuperação e proteção do serviço. Uma eventual restauração deverá preservar os pedidos de exclusão aplicáveis, evitando a reintrodução indevida de dados na operação.

Quando houver necessidade legítima de conservação após o encerramento, deverão ser limitados os dados, a finalidade, o acesso e o período de guarda. Concluída essa necessidade, os dados deverão ser eliminados ou anonimizados de forma compatível com a legislação e os recursos técnicos razoavelmente disponíveis.

O MPP deverá orientar os fornecedores contratados por ele sobre a devolução ou eliminação cabível. Para integrações contratadas diretamente pelo cliente, as providências serão coordenadas conforme a atuação de cada parte, sem afastar as obrigações legais do MPP.

6.2. Exportações personalizadas

Serviços adicionais de desenvolvimento, integrações ou exportações comerciais personalizadas podem ter condições e preços próprios. Isso não autoriza cobrança pelo exercício dos direitos previstos na LGPD nem condicionamento do acesso aos próprios dados à contratação desses serviços.

7. Direitos em caso de suspensão dos serviços

Uma eventual suspensão do acesso à plataforma deverá observar o contrato. Ela não impede que os titulares apresentem solicitações relativas aos seus dados pessoais.

O atendimento aos direitos previstos na LGPD não será condicionado ao pagamento de valores em aberto. O canal privacidade@meuproximopasso.com.br continuará disponível para essas solicitações.

As condições comerciais de reativação do serviço e de fornecimento de serviços adicionais deverão ser tratadas nos instrumentos contratuais próprios.

8. Recursos automatizados e inteligência artificial

Antes de disponibilizar uma funcionalidade de IA que envolva dados pessoais, o MPP deverá informar sua finalidade, as categorias de dados utilizadas, a atuação de fornecedores, a base legal, os compartilhamentos, as transferências internacionais e as opções de controle aplicáveis. Quando o MPP atuar como operador, esse tratamento deverá respeitar o contrato e as instruções lícitas da empresa cliente.

A simples previsão de IA nesta Política não autoriza a reutilização de dados para qualquer finalidade nem o treinamento de modelos. Eventual uso para treinamento dependerá de análise específica, transparência, base legal adequada e dos instrumentos aplicáveis à relação com o cliente e com o fornecedor.

Se uma decisão for tomada exclusivamente por tratamento automatizado de dados pessoais e afetar os interesses do titular, serão assegurados os direitos de revisão e de informação sobre critérios e procedimentos, nos termos da legislação. A proteção de segredo comercial ou industrial não elimina esses direitos.

9. Abrangência e atualizações desta Política

Esta Política se aplica ao site, à plataforma e aos serviços do MPP abrangidos pelos tratamentos aqui descritos. Avisos específicos poderão complementar estas informações para uma funcionalidade ou atividade determinada, de forma coerente com esta Política e com a legislação.

Sites e serviços de terceiros podem adotar políticas próprias. A existência dessas políticas não afasta as responsabilidades do MPP pelos tratamentos que realizar ou pelos compartilhamentos sob seu controle.

O texto poderá ser atualizado para refletir alterações nos serviços, nas práticas de tratamento ou nas normas aplicáveis. A versão vigente e sua data serão mantidas disponíveis. Mudanças relevantes serão comunicadas de forma adequada ao contexto, inclusive pela plataforma ou por e-mail quando cabível.

Se uma alteração exigir novo consentimento, ele será solicitado antes do tratamento que depender dessa autorização. A publicação de uma nova versão não equivale a consentimento automático para novas finalidades.

Para esclarecer qualquer ponto desta Política, entre em contato com Cristian de Oliveira Tertuliano, encarregado pelo tratamento de dados pessoais, pelo e-mail privacidade@meuproximopasso.com.br.