Política de Privacidade

1. Resumo executivo

Esta Política descreve, em linguagem clara e em conformidade com o art. 9º da LGPD, como PROFICIO LTDA (MIX CRM) coleta, utiliza, compartilha, retém e protege dados pessoais. Em síntese:

• Coletamos apenas o necessário para operar o site, captar leads e prestar o serviço.
• Não vendemos dados. Não usamos dados de clientes para treinar modelos de IA de uso geral.
• Compartilhamos apenas com os subprocessadores listados na seção 9, sob cláusulas-padrão contratuais quando há transferência internacional.
• Você tem todos os direitos previstos no art. 18 da LGPD e pode exercê-los pelo canal do Encarregado: dpo@usemix.app.

2. Identificação do controlador

Para fins desta Política, o controlador dos dados pessoais é:

• Razão social: PROFICIO LTDA
• Marca: MIX CRM
• CNPJ: 51.344.500/0001-81
• Endereço: São Paulo, SP
• Contato geral: contato@usemix.app
• Encarregado (DPO): dpo@usemix.app

3. Definições

Para os fins desta Política, aplicam-se as definições do art. 5º da LGPD, em especial:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético ou biométrico.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Tratamento: qualquer operação realizada com dados pessoais (coleta, armazenamento, uso, transferência, eliminação etc.).
• Controlador: a quem competem as decisões referentes ao tratamento.
• Operador: quem realiza o tratamento em nome do controlador.
• Encarregado (DPO): indicado pelo controlador como canal de comunicação entre o controlador, os titulares e a ANPD.
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento.
• Eliminação: exclusão de dado ou de conjunto de dados.

4. Papéis no tratamento (controlador × operador)

A MIX CRM atua em diferentes papéis conforme o cenário. Esta separação é essencial para determinar quem responde por cada conjunto de dados:

Importante: quando um cliente da MIX cadastra dados de leads, contatos, imóveis ou mensagens dentro do CRM, esse cliente é o controlador desses dados, e a MIX atua como operadora, tratando os dados conforme as instruções documentadas pelo cliente, na forma do art. 39 da LGPD. Solicitações de titulares relacionadas a esses dados devem ser endereçadas primariamente ao cliente que os controla; a MIX apoia tecnicamente o atendimento.

5. Quem é o titular dos dados

• Visitante: qualquer pessoa que acessa o site www.usemix.app, com ou sem identificação.
• Lead: visitante que preenche formulário de contato, newsletter, demo ou ferramentas grátis.
• Cliente-usuário: pessoa natural vinculada à pessoa jurídica contratante (responsável pela conta, administrador, vendedor etc.) que utiliza o CRM.
• Terceiro do cliente: pessoa natural cujos dados foram cadastrados no CRM pelo cliente (lead, contato, parte em negociação, locatário, comprador). Para essa categoria, a MIX é operadora (ver seção 4).

6. Categorias de dados coletados

6.1 De visitantes anônimos do site

• Identificador anônimo (anonymous_id) gerado no servidor e armazenado em cookie httpOnly por 2 anos. Não identifica pessoalmente.
• Eventos de uso (páginas vistas, cliques em CTAs, scroll depth, ferramentas utilizadas).
• Contexto técnico: país inferido por IP, tipo de dispositivo, viewport, user-agent. O endereço IP nunca é armazenado em texto, apenas hash HMAC.
• Origem da visita: parâmetros UTM, referrer, gclid, fbclid, llm_referrer (quando vem de ChatGPT, Claude, Perplexity etc.).

6.2 De leads (após preenchimento de formulário)

• Email (obrigatório), nome, telefone, empresa, CNPJ, cargo, tamanho de equipe, mensagem.
• Histórico de atribuição: ferramenta/comparação/conteúdo que precedeu o cadastro.
• Score de qualificação (0-100) calculado automaticamente (ver seção 13).
• Consentimento granular para finalidade de marketing (separado do consentimento para analytics).

6.3 De clientes-usuários (durante o uso do CRM)

• Dados cadastrais da pessoa jurídica e dos usuários autorizados.
• Dados fiscais e de cobrança (faturamento via Stripe).
• Logs de uso, audit log de operações sobre PII, IP de acesso (hash).
• Configurações de produto e preferências.

6.4 De terceiros cadastrados pelo cliente dentro do CRM

Os dados que o cliente carrega ou cadastra no CRM (leads, contatos, imóveis, mensagens WhatsApp, anexos) são tratados pela MIX como operadora. O cliente é responsável por possuir base legal para esse tratamento. A MIX não tem ingerência sobre finalidade ou retenção desses dados: apenas executa o serviço conforme contratado.

7. Bases legais (art. 7º LGPD)

Cada finalidade tem uma base legal específica:

8. Finalidades específicas

• Operar e melhorar o site www.usemix.app e o aplicativo CRM.
• Atender solicitações de contato, demonstração e propostas comerciais.
• Enviar comunicações de marketing aos leads que consentiram, com possibilidade de descadastro em todo email e mediante pedido a contato@usemix.app.
• Executar o contrato com clientes pagantes e prestar suporte técnico.
• Cobrar mensalidades e emitir documentos fiscais.
• Cumprir obrigações legais e fiscais.
• Detectar e prevenir fraude, abuso e violações dos Termos de Uso.
• Defender direitos da MIX em processos judiciais, administrativos e arbitrais.

Não usamos dados pessoais dos clientes (nem dos terceiros cadastrados pelos clientes) para treinar modelos de inteligência artificial de uso geral. Modelos internos usados em recursos como lead scoring e match são treinados com dados agregados e anonimizados.

9. Compartilhamento e subprocessadores

Compartilhamos dados pessoais com os subprocessadores listados abaixo, exclusivamente para as finalidades descritas. Cada subprocessador está vinculado por contrato a obrigações de sigilo, segurança e tratamento conforme a LGPD.

Não compartilhamos dados com terceiros para fins próprios deles (exceto quando necessário para execução do contrato, por exemplo, enviar mensagem WhatsApp via Meta a pedido do cliente). Não vendemos, alugamos ou cedemos dados pessoais.

10. Transferência internacional de dados

Parte dos subprocessadores listados na seção 9 está sediada nos Estados Unidos ou em outros países. Essas transferências ocorrem com base no art. 33, II, da LGPD (cláusulas-padrão contratuais), nos termos da Resolução CD/ANPD nº 19/2024, que aprovou o conteúdo das cláusulas-padrão contratuais brasileiras para transferência internacional de dados pessoais.

Os contratos com nossos subprocessadores incluem essas cláusulas, garantindo nível de proteção compatível com a legislação brasileira. Cópia dos instrumentos pode ser solicitada ao Encarregado, sob NDA, por clientes corporativos em due diligence.

Para finalidades específicas em que a transferência depende de consentimento, ela é coletada de forma destacada, conforme art. 33, VIII, da LGPD.

11. Retenção

Mantemos dados pessoais apenas pelo tempo necessário ao cumprimento das finalidades, ou por prazo superior quando há obrigação legal ou exercício regular de direito. Após esses prazos, os dados são eliminados ou anonimizados.

Pedidos de eliminação antecipada (art. 18, VI LGPD) são atendidos em até 15 dias, ressalvadas as hipóteses do art. 16 (cumprimento de obrigação legal, estudos por órgão de pesquisa, transferência a terceiro mediante anonimização, uso exclusivo do controlador desde que anonimizado).

12. Direitos do titular (art. 18 LGPD)

Você tem direito a, mediante requisição:

1. Confirmação da existência de tratamento.
2. Acesso aos dados.
3. Correção de dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
5. Portabilidade a outro fornecedor (entrega em formato estruturado e interoperável: JSON ou CSV).
6. Eliminação dos dados tratados com consentimento.
7. Informação sobre entidades públicas e privadas com as quais houve compartilhamento.
8. Informação sobre a possibilidade de não fornecer consentimento e suas consequências.
9. Revogação do consentimento.

Como exercer: envie pedido a dpo@usemix.app. Para sua proteção, podemos exigir validação de identidade antes de atender. Respondemos em até 15 dias corridos (art. 19, §3º LGPD). Se a solicitação for tecnicamente impossível ou afastada por previsão legal, justificamos por escrito.

Para dados que você cadastrou no CRM como cliente da MIX: nesses casos a MIX é operadora, e o pedido deve ser endereçado primeiramente a você como controlador. Se um terceiro nos procurar diretamente, redirecionaremos a solicitação a você em até 48 horas.

13. Decisões automatizadas (art. 20 LGPD)

Você tem direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo e de crédito ou aspectos da sua personalidade.

Utilizamos os seguintes mecanismos automatizados, em linguagem acessível:

Decisões automatizadas não usam dados sensíveis. Os critérios e a lógica em nível necessário para entendimento podem ser detalhados a pedido, ressalvado segredo comercial e industrial.

14. Dados sensíveis

A MIX não solicita dados pessoais sensíveis (saúde, biometria, religião, opinião política, orientação sexual, filiação sindical, dados genéticos) para suas atividades. Caso um cliente carregue, ainda que inadvertidamente, dados sensíveis dentro do CRM, esse tratamento se dará sob a exclusiva responsabilidade do cliente como controlador, cabendo a ele garantir base legal específica do art. 11 da LGPD. A MIX, como operadora, executará o serviço conforme contratado, sem assumir as obrigações próprias do controlador.

15. Crianças e adolescentes

O serviço se destina a maiores de 18 anos atuando em nome de pessoas jurídicas. Não coletamos intencionalmente dados de menores de 18 anos. Caso recebamos notícia de coleta inadvertida de dados de menor de 12 anos, eliminamos os dados em até 48 horas, salvo determinação legal em contrário (art. 14 LGPD).

Para clientes que cadastram no CRM dados de adolescentes (12-18 anos) por necessidade de negócio (ex: locação imobiliária com menor entre os ocupantes), o cliente é responsável por observar o disposto no art. 14 da LGPD, em especial a obtenção de consentimento por pelo menos um dos pais ou responsável legal.

16. Segurança técnica e organizacional

Adotamos medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46 LGPD), incluindo:

• Criptografia em trânsito (TLS 1.3) e em repouso (AES-256), com chaves rotacionadas.
• Autenticação por magic link e cookie HMAC; recomendação de MFA para administradores.
• Controle de acesso baseado em função (RBAC), princípio do menor privilégio.
• Audit log imutável de operações sobre dados pessoais identificáveis (PII).
• Cópias de segurança diárias (guardadas por 30 dias) e mensais (guardadas por 12 meses), num provedor diferente do banco principal, além da recuperação pontual do provedor.
• Mascaramento de email e IP em logs operacionais.
• Revisão periódica de permissões e segregação de ambientes.

17. Notificação de incidente de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme art. 48 da LGPD e regulamentação aplicável. A comunicação incluirá:

• Descrição da natureza dos dados afetados.
• Informações sobre os titulares envolvidos.
• Indicação das medidas técnicas e de segurança utilizadas.
• Riscos relacionados ao incidente.
• Motivos da demora, se a comunicação não for imediata.
• Medidas adotadas para reverter ou mitigar os efeitos do prejuízo.

Canal interno para reportar suspeita de incidente: seguranca@usemix.app.

18. Cookies e tecnologias equivalentes

Usamos cookies, localStorage e tecnologias correlatas exclusivamente para operar o site e oferecer analytics próprio anonimizado. Não utilizamos cookies de publicidade de terceiros, Google Analytics, Meta Pixel ou ferramentas similares.

A relação completa, com nome, finalidade, duração e base legal, está na nossa Política de Cookies.

19. Profiling e de-anonimização

Antes do preenchimento de formulário, o visitante é identificado apenas pelo anonymous_id (não-pessoal). Quando o visitante preenche um formulário e se torna lead, podemos vincular o histórico de navegação anônima ao registro do lead, para compreender o caminho até a conversão e personalizar a comunicação subsequente. Esse vínculo é considerado tratamento de dado pessoal e tem como base legal o legítimo interesse (art. 7º, IX) ou consentimento (art. 7º, I), conforme o caso. Você pode solicitar desvinculação a qualquer tempo pelo canal do Encarregado.

20. Encarregado pelo Tratamento (DPO)

Em cumprimento ao art. 41 da LGPD, designamos:

• Nome: [PREENCHER: nome do Encarregado pelo Tratamento de Dados Pessoais]
• Email: dpo@usemix.app
• Endereço para correspondência: São Paulo, SP
• Prazo para primeira resposta: 5 dias úteis. Resposta conclusiva conforme art. 19, §3º da LGPD (até 15 dias corridos).

21. Reclamação à ANPD

Caso entenda que o tratamento de seus dados não está em conformidade com a LGPD, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados pelo canal oficial em gov.br/anpd. Encorajamos que você nos procure primeiro pelo canal do Encarregado: a ANPD recomenda que o titular busque o controlador antes de formalizar reclamação.

22. Dados das contas Google (Gmail e Google Agenda)

O usuário do CRM pode conectar a própria conta Google ao MIX, pelas Configurações, para trazer os e-mails do Gmail para a Caixa de Entrada e sincronizar a Google Agenda. A conexão só acontece depois que ele autoriza na tela de consentimento do próprio Google, e o MIX acessa apenas o que está abaixo, apenas para o recurso descrito:

• Perfil básico (openid, e-mail e nome): Saber qual conta Google foi conectada e mostrar esse endereço nas Configurações do CRM.
• Gmail: ler mensagens (gmail.readonly): Trazer para a Caixa de Entrada do CRM os e-mails dos últimos 90 dias e os novos, e ligar cada conversa ao contato e à oportunidade com o mesmo endereço, para o corretor ver o histórico do cliente num lugar só.
• Gmail: enviar (gmail.send): Enviar, pelo endereço do próprio usuário, os e-mails que ele escreve ou aprova dentro do CRM. Nada é enviado sem uma ação do usuário ou uma automação ou cadência de e-mails que a empresa dele configurou no CRM.
• Google Agenda: eventos (calendar.events): Criar, atualizar e remover na agenda principal do usuário as visitas e reuniões marcadas no CRM, com o link do Google Meet quando ele pede, e ler os eventos dessa agenda para manter os dois lados iguais.
• Google Agenda: disponibilidade (calendar.freebusy): Ver apenas os intervalos ocupados, sem título nem detalhes do compromisso, para mostrar quando o corretor está livre ao marcar uma visita.

Como guardamos. Os tokens de acesso ficam criptografados no nosso banco de dados. Os e-mails e eventos sincronizados ficam no ambiente da empresa cliente, isolados das demais empresas, e só os usuários dessa empresa com permissão no CRM os veem.

Com quem compartilhamos. Não vendemos esses dados, não os usamos para publicidade e não os repassamos a terceiros. A única exceção é o necessário para entregar o recurso pedido pelo próprio usuário: a hospedagem do serviço e, quando ele aciona a IA numa conversa (por exemplo, "Escrever com IA"), um trecho limitado dessa conversa vai ao provedor de IA listado na seção 9 só para gerar a sugestão, que o usuário revisa antes de enviar. Ninguém da equipe do MIX lê esses e-mails ou eventos, salvo com autorização expressa do usuário (por exemplo, num atendimento de suporte que ele abriu), por obrigação legal ou para investigar abuso e segurança.

Inteligência artificial. O MIX não usa dados recebidos das APIs do Google Workspace (Gmail e Google Agenda) para desenvolver, melhorar ou treinar modelos de inteligência artificial ou de aprendizado de máquina de uso geral, nem permite que o provedor de IA os use para isso.

Desconectar e apagar. Ao desconectar a conta Google nas Configurações do CRM, o MIX apaga os tokens e todos os e-mails e eventos sincronizados daquela conta. O usuário também pode revogar o acesso a qualquer momento em myaccount.google.com/permissions, e pedir a exclusão pelo canal do Encarregado (seção 20).

Uso Limitado. O uso e a transferência, a qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado. No texto oficial, em inglês:

MIX CRM's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

23. Atualizações desta Política

Esta Política pode ser atualizada para refletir alterações em práticas, tecnologias, exigências legais ou recomendações da ANPD. Atualizações materiais (que afetem direitos do titular ou ampliem finalidades) serão comunicadas por email aos titulares ativos com 30 dias de antecedência, e a versão anterior fica arquivada para consulta.

A versão vigente é sempre identificada pelo número e pela data de vigência no topo deste documento. Mudanças menores (correção de erros materiais, ajuste editorial) ficam registradas no histórico ao final.

Esta Política é regida pela legislação brasileira. Eventuais controvérsias serão dirimidas no foro da Comarca de São Paulo/SP, salvo nas hipóteses em que a lei imperativamente determinar outro foro, em especial quando uma das partes for qualificada como consumidor pela legislação aplicável.