Política de Privacidade

1. Quem é o responsável pelos seus dados

A controladora dos seus dados (quem decide o que é feito com eles, no vocabulário da LGPD) é a empresa que opera o serviço MEI no Zap, integrante do grupo Cubos. Somos uma empresa privada. Não somos governo.

Encarregada de dados (DPO), o canal para tudo que envolve seus dados: [email protected].

2. Quais dados coletamos

Coletamos apenas o necessário para o serviço funcionar. A lista completa:

Identificação e contato

• Número de telefone e identificador do WhatsApp
• Nome de exibição do WhatsApp
• CPF e CNPJ

Credenciais do gov.br (só se você fornecer)

• Senha do gov.br (guardada cifrada, veja a seção 4)
• Sessão de acesso ao gov.br (o “login ativo” que evita digitar a senha a cada tarefa)

Dados do seu MEI (obtidos nos portais do governo)

• Razão social e nome fantasia
• Endereço
• Ocupação/CNAE (atividade do MEI)
• Data de abertura e situação cadastral
• PDF do CCMEI
• Situação do DAS: meses em atraso e próximo vencimento
• Dados da declaração anual (DASN)

Conteúdo das conversas

• Histórico completo das suas conversas com o assistente
• Memórias que o assistente guarda sobre você (fatos que você contou, para não perguntar de novo)
• Transcrições dos áudios que você envia
• Embeddings: representações numéricas (vetores) do conteúdo das conversas, que o sistema usa para encontrar informações relevantes em conversas antigas

3. Se você recebeu o nosso e-mail e não é cliente

Esta seção é para quem não usa o MEI no Zap e recebeu um e-mail nosso de boas-vindas depois de abrir um MEI. Todo o resto desta Política fala de quem já é cliente; aqui explicamos esse contato específico.

De onde veio o seu e-mail. Quando um MEI é aberto, os dados de registro da empresa passam a constar do cadastro público de CNPJ divulgado pelo governo federal, que inclui um e-mail de contato informado no próprio registro. Não compramos listas e não coletamos o seu endereço em sites ou redes sociais.

Quais dados usamos. Apenas os que constam desse cadastro público: razão social e nome fantasia, CNPJ, e-mail e telefone de contato, município e UF, atividade (CNAE) e data de abertura.

Para quê, e com que base legal. Para enviar um único e-mail apresentando o serviço. A base legal é o legítimo interesse (LGPD, art. 7º, IX): a oferta é dirigida à sua empresa recém-aberta, sobre obrigações que ela passou a ter, usando um endereço de contato profissional já público. Você pode se opor a qualquer momento (art. 18, §2º), como explicado abaixo.

Como parar de receber. Todo e-mail traz um link de descadastro no rodapé, e o botão “cancelar inscrição” do seu provedor (Gmail, Outlook) também funciona. Em qualquer um dos dois, a baixa é imediata e definitiva. Você também pode escrever para [email protected].

O que registramos sobre o envio. Guardamos se a mensagem foi entregue, devolvida, aberta ou clicada, para medir se a comunicação funciona e para parar de escrever a endereços que não existem. Esses registros ficam ligados ao envio, não a um perfil seu, e não alimentam publicidade de terceiros.

Quem processa. O envio é feito por um provedor de e-mail contratado como operador, que trata os dados sob as nossas ordens e apenas para entregar a mensagem (veja as seções 7 e 8). Não repassamos esses dados a mais ninguém, e não os vendemos.

Se você virar cliente, passam a valer as demais seções desta Política. Se não virar, o que guardamos é o registro do contato e, se for o caso, a lista de bloqueio.

4. A sua senha do gov.br, em detalhe

Por que pedimos. Tarefas como emitir nota fiscal, tirar o CCMEI e alterar o cadastro só podem ser feitas por quem está logado como você. O nosso sistema faz login nos portais do governo em seu nome, com a sua senha, por automação de navegador, apenas para executar o que você pedir.

Como guardamos. A senha fica cifrada em repouso com AES-256-GCM. A chave que decifra fica na configuração do servidor, fora do banco de dados. Assim, um vazamento só do banco não expõe a senha em claro.

Ao cancelar o serviço, a senha e a sessão são apagadas imediatamente, sem prazo de retenção e sem cópia.

Fornecer a senha é opcional. Sem ela, o serviço funciona no modo básico (DAS e consultas pelo CNPJ).

5. Para que usamos os dados e com que base legal

A LGPD exige uma base legal (uma justificativa prevista em lei) para cada uso. Estas são as nossas:

Não vendemos os seus dados e não os usamos para publicidade de terceiros.

6. Inteligência artificial e as suas conversas

As respostas do assistente são geradas por modelos de inteligência artificial. Para isso, o conteúdo das suas conversas (incluindo transcrições de áudio) é processado por provedores de modelos de IA que contratamos como operadores (empresas que tratam dados sob as nossas ordens, no vocabulário da LGPD). As respostas de IA podem conter erros, então confira o que for importante.

7. Com quem compartilhamos

Não compartilhamos os seus dados com ninguém para uso próprio deles. Usamos fornecedores contratados (operadores) apenas para funções necessárias ao serviço, nestas categorias:

• Provedores de modelos de IA: processam o conteúdo das conversas para gerar as respostas do assistente;
• Provedores de busca na web: quando o assistente precisa pesquisar uma informação pública;
• Provedores de mensageria/WhatsApp: a entrega das mensagens em si;
• Provedores de infraestrutura e hospedagem: os servidores onde o sistema roda;
• Provedores de medição do site: as ferramentas que contam as visitas e os cliques em meinozap.com, descritas na seção 13;
• Provedores de e-mail: o canal [email protected], as comunicações por e-mail e o envio do e-mail de apresentação da seção 3.

Todos atuam sob contrato e só recebem o necessário para a sua função. A única exceção a essa regra é o Pixel da Meta no nosso site, explicado na seção 13: a Meta não recebe o conteúdo das suas conversas, mas usa o que recebe também para fins próprios. Além deles, seus dados podem ser fornecidos a autoridades públicas quando a lei exigir (ordem judicial, por exemplo) e, claro, aos portais do governo nos quais agimos em seu nome, o que é a própria finalidade do serviço.

8. Transferência internacional de dados

Parte do processamento ocorre fora do Brasil. Em especial, o conteúdo das conversas é processado por provedores de modelos de IA no exterior, e parte da infraestrutura pode estar em outros países. Essa transferência internacional é feita com base no art. 33 da LGPD, por ser necessária à execução do contrato com você (inciso IX) e mediante garantias contratuais de proteção adequada com os fornecedores. Informamos isso aqui em cumprimento aos arts. 9º e 33 da LGPD.

Os dados de medição do site (seção 13) também saem do Brasil: os do Pixel são processados pela Meta sob as garantias da política dela, e os do Google Analytics pelo Google, sob as condições de tratamento de dados que ele oferece como operador.

9. Por quanto tempo guardamos

• Senha e sessão do gov.br: apagadas imediatamente quando você cancela o serviço. Você também pode revogar o acesso a qualquer momento trocando a senha no gov.br (seção 4).
• Lista de bloqueio de e-mail (seção 3): o endereço de quem se descadastrou fica guardado por tempo indeterminado, porque é exatamente o que impede um novo contato. Só o endereço, nada mais.
• Dados de um clique no site (seção 13): IP, navegador, cookies e endereço são apagados do registro do clique em 7 dias, e fica só a contagem por página e anúncio. Se uma conversa começou a partir do clique, esses dados passam a fazer parte do registro de origem da conversa e seguem o prazo do item abaixo.
• Demais dados (cadastrais, dados do MEI, histórico de conversas, memórias, transcrições, embeddings): retidos por 5 anos após o fim da relação, prazo que corresponde à prescrição de obrigações civis e fiscais, porque precisamos deles para nos defender ou comprovar o que foi feito, se necessário. Após os 5 anos, são eliminados.

Você pode pedir a eliminação antecipada (seção 11); atenderemos no que a lei permitir, mantendo apenas o que tivermos obrigação ou direito de reter, e explicando o quê e por quê.

10. Como protegemos os dados

• Senha do gov.br cifrada em repouso com AES-256-GCM, com a chave fora do banco de dados (seção 4);
• Acesso aos sistemas restrito ao necessário para operar o serviço;
• Comunicação com portais e fornecedores por conexões cifradas.

Nenhum sistema é 100% seguro. Se ocorrer um incidente de segurança com risco relevante para você, comunicaremos você e a ANPD (Autoridade Nacional de Proteção de Dados) conforme o art. 48 da LGPD.

11. Seus direitos (LGPD, art. 18)

Você, como titular dos dados (a pessoa a quem os dados se referem), pode pedir a qualquer momento:

• Confirmação de que tratamos seus dados e acesso a eles;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com seu consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Informação sobre a possibilidade de não consentir e as consequências;
• Revogação do consentimento, quando o tratamento se basear nele.

Como pedir: escreva para [email protected] ou pela própria conversa no WhatsApp. Para confirmação de tratamento e acesso aos dados, respondemos nos prazos do art. 19 da LGPD, com declaração completa em até 15 dias. Para os demais pedidos, responderemos o mais rápido que conseguirmos e sempre diremos em que pé está.

Se não ficar satisfeito com a nossa resposta, você pode reclamar à ANPD (gov.br/anpd).

12. Crianças e adolescentes

O serviço é destinado a maiores de 18 anos, titulares de MEI. Não coletamos intencionalmente dados de crianças e adolescentes; se identificarmos uma conta nessa situação, ela será encerrada e os dados eliminados.

13. O nosso site: cookies, o Pixel da Meta e o Google Analytics

Esta seção vale para quem visita o site meinozap.com, seja cliente ou não.

O que usamos. O site usa o Pixel da Meta, uma ferramenta de medição de anúncios da Meta Platforms (a empresa do Facebook, do Instagram e do WhatsApp). Ele grava um cookie no seu navegador e avisa a Meta de qual página você abriu e, se você clicar num botão que leva ao WhatsApp, de que houve esse clique e em qual botão. Junto vão os dados técnicos que qualquer acesso a um site carrega: endereço IP, navegador e dispositivo.

O clique no botão do WhatsApp também vem para nós. Quando você clica num botão que leva ao WhatsApp, o site envia ao nosso servidor: a página e o anúncio de onde você veio (os parâmetros do endereço), os cookies da Meta (_fbc e _fbp), o seu endereço IP e o seu navegador. Serve para uma coisa: ligar a conversa que começa logo depois ao anúncio que a trouxe. Depois de 7 dias, IP, navegador, cookies e endereço são apagados desse registro; fica só a contagem de cliques por página e por anúncio.

Quando a conversa começa. Se você mandar a primeira mensagem, avisamos a Meta, pelo nosso servidor (a API de Conversões dela), de que uma conversa começou a partir do site; e, quando você consulta a situação do seu MEI com a gente, de que o cadastro foi concluído. Nesses avisos vão o seu telefone e, no segundo, o seu CNPJ, os dois codificados de forma irreversível (hash SHA-256) antes de sair daqui, junto com os dados do clique acima. A Meta usa esse código para reconhecer, entre as contas dela, quem viu o anúncio, e assim sabemos quais anúncios trazem conversas de verdade, e não só cliques.

Uma marca nossa, no seu navegador. Fora o cookie da Meta, o site guarda no seu próprio navegador uma marca chamada mnz_lead_whatsapp, com um código aleatório. Ela serve para uma coisa só: não contar o mesmo clique duas vezes se você voltar ao site. Ela fica no seu dispositivo, não identifica você e não é enviada para a Meta.

Para quê. Para saber quais anúncios trazem gente ao site e à conversa, e para mostrar os nossos anúncios a quem já visitou o site. Do nosso lado, o que vemos são números por campanha, não um perfil seu.

O que não vai. A Meta nunca recebe o que você escreve no WhatsApp, o seu nome, a senha do gov.br nem os dados do seu MEI. Telefone e CNPJ só saem daqui codificados, como descrito acima.

Base legal. Legítimo interesse (LGPD, art. 7º, IX): medir e divulgar o nosso serviço, com o mínimo de dados e com a recusa explicada abaixo.

Também usamos o Google Analytics. Ele é carregado pelo Google Tag Manager e mede quantas pessoas visitam cada página, de onde chegaram (anúncio, e-mail, busca ou link direto) e se clicaram num botão do WhatsApp. Grava os cookies _ga e _ga_<id> no seu navegador, com um número aleatório que distingue uma visita da outra. Ele não recebe o seu CNPJ, o seu telefone nem o conteúdo das conversas, e o Google trata esses dados como operador, seguindo as nossas instruções — diferente da Meta, logo acima. Base legal: legítimo interesse (LGPD, art. 7º, IX), para entender o que funciona no site.

Como recusar. Bloquear cookies de terceiros no navegador, ou usar um bloqueador de rastreamento, impede tanto o pixel quanto o Google Analytics, e o site continua funcionando igual. Nas preferências de anúncios da Meta você também controla se a sua atividade em sites é usada nos anúncios que vê.

Por quanto tempo. No registro do clique no nosso servidor, IP, navegador, cookies e endereço são apagados em 7 dias (seção 9). O cookie do pixel (_fbp) expira em 90 dias no seu navegador. A marca mnz_lead_whatsapp não expira sozinha — some quando você limpa os dados do site. Os cookies do Google Analytics (_ga e _ga_<id>) expiram em 2 anos. O que a Meta guarda do lado dela segue a política dela.

14. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes, em especial qualquer mudança no tratamento da senha do gov.br, na retenção ou no compartilhamento, serão avisadas pelo WhatsApp antes de entrar em vigor. A versão vigente fica sempre publicada com a data no topo.

15. Contato

Encarregada de dados (DPO) e canal para direitos do titular: [email protected].