Política de privacidade

1. Papéis no tratamento

O Mandaí atua como controlador dos dados de conta, relacionamento comercial, segurança, suporte e cobrança, pois define as finalidades e os meios essenciais desses tratamentos.

Para números de destinatários, conteúdo de mensagens e metadados enviados pelo cliente, o cliente normalmente atua como controlador e o Mandaí como operador, tratando os dados conforme instruções documentadas. O papel concreto pode variar de acordo com o fluxo e o contrato aplicável.

2. Dados tratados

Tratamos apenas dados compatíveis com a prestação, segurança e comprovação do serviço.

• conta e identidade: nome, e-mail, identificador Google, foto de perfil e vínculos com espaços;
• cadastro e cobrança: CPF ou CNPJ, telefone, endereço, capacidade contratada, autorizações e eventos financeiros;
• mensagens: destinatário, conteúdo, encoding, segmentos, identificadores, metadados enviados pelo cliente e ambiente;
• evidência operacional: idempotência, tentativas, acknowledgments, recibos de entrega, falhas, webhooks, horários e custos;
• segurança e uso: endereço IP, user agent, eventos de autenticação, permissões, logs técnicos, rate limits e identificadores de requisição;
• suporte: comunicações, diagnóstico e evidências fornecidas voluntariamente pelo cliente.

3. Finalidades e bases legais

Os dados são utilizados para executar o contrato, autenticar usuários, processar mensagens, entregar evidências, cobrar e conciliar o serviço, responder a suporte, prevenir abuso, manter segurança, cumprir obrigações legais e exercer direitos em processos.

Conforme o contexto, os tratamentos se apoiam na execução de contrato ou procedimentos preliminares, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, legítimo interesse avaliado com salvaguardas e, quando exigido, consentimento.

4. Fornecedores e compartilhamento

Compartilhamos dados somente na medida necessária com fornecedores contratados, autoridades competentes ou parceiros indicados pelo cliente. Não vendemos dados pessoais nem os usamos para publicidade comportamental.

• Google, para autenticação da conta;
• Cloudflare, para hospedagem, banco de dados, filas, segurança, entrega de conteúdo e telemetria técnica;
• GTI, para roteamento e evidências de SMS em Produção;
• Woovi, para cobranças Pix avulsas, conciliação e eventos financeiros;
• ViaCEP, quando o usuário solicita preenchimento de endereço a partir do CEP;
• prestadores profissionais e autoridades, quando necessário para suporte, auditoria, obrigação legal ou defesa de direitos.

5. Transferências internacionais

Alguns fornecedores de nuvem e identidade podem processar dados fora do Brasil. Nesses casos, adotamos contratos, controles de acesso e mecanismos compatíveis com a LGPD e com a regulamentação aplicável, limitando a transferência ao necessário para a finalidade informada.

6. Retenção e exclusão

Mantemos dados pelo período necessário para prestar o serviço, cumprir o contrato, reconciliar cobranças, investigar segurança, preservar idempotência e evidências, atender obrigações legais e exercer direitos. Os prazos variam por categoria e ambiente.

Quando a finalidade termina, os dados são excluídos, anonimizados ou isolados até o término de uma obrigação de retenção. Pedidos de exclusão podem não alcançar registros que devam ser preservados por lei, prevenção a fraude, auditoria, cobrança ou defesa de direitos.

7. Segurança

Aplicamos separação de ambientes e espaços, menor privilégio, criptografia de segredos e campos sensíveis, idempotência, rate limits, trilhas de auditoria, validação de webhooks e monitoramento técnico. Nenhuma medida elimina todo risco, por isso revisamos controles e tratamos incidentes conforme sua natureza e impacto.

Clientes devem manter suas próprias credenciais seguras, limitar permissões, rotacionar segredos quando necessário e comunicar suspeitas imediatamente.

8. Cookies, armazenamento e analytics

Usamos cookies e armazenamento local necessários para sessão, segurança, preferência de tema e continuidade do produto. Também podemos coletar telemetria técnica agregada para disponibilidade, desempenho e diagnóstico. Não usamos cookies de publicidade comportamental no Mandaí.

9. Direitos dos titulares

Nos contextos em que o Mandaí é controlador, o titular pode solicitar confirmação e acesso, correção, anonimização, bloqueio ou eliminação quando aplicável, portabilidade conforme regulamentação, informação sobre compartilhamentos, oposição, revisão de decisões automatizadas e revogação de consentimento.

Para proteger o titular, podemos pedir informações razoáveis de verificação. Quando atuarmos como operador, encaminharemos a solicitação ao cliente controlador ou cooperaremos com ele. Solicitações devem ser enviadas para atendimento@mandaionline.com.

10. Crianças e adolescentes

O Mandaí é um serviço empresarial e não é direcionado a crianças ou adolescentes. Clientes não devem usar a plataforma para tratar dados de menores sem base jurídica, finalidade legítima e salvaguardas adequadas.

11. Atualizações e contato

Esta Política pode ser atualizada para refletir mudanças legais, regulatórias, técnicas ou operacionais. A versão e a data de vigência permanecem publicadas nesta página, e mudanças materiais serão comunicadas por canal apropriado.

Dúvidas, solicitações ou comunicações sobre privacidade podem ser enviadas para atendimento@mandaionline.com. O titular também pode peticionar perante a Autoridade Nacional de Proteção de Dados depois de tentar exercer seus direitos diretamente com o controlador.

Referências oficiais

• Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018
• Direitos dos titulares — ANPD