Política de Privacidade

Quem é o controlador

O Instituto da Maturidade Digital, inscrito no CNPJ sob o nº 53.418.465/0001-23, opera a plataforma Lista de Agências (listadeagencias.com.br) e é o controlador dos dados pessoais tratados nela: é quem decide por que e como esses dados são usados.

A plataforma só conecta empresas que procuram fornecedores às agências que prestam os serviços. Ela não é parte dos contratos firmados entre eles, como explicam os Termos de uso.

Encarregado e canal do titular

O encarregado pelo tratamento de dados pessoais pode ser contatado pelo e-mail fale@maturidade.digital. É por esse canal que o titular exerce os direitos descritos nesta política e tira dúvidas sobre o tratamento.

Dados que tratamos

Esta política descreve exatamente os dados que a plataforma coleta hoje:

• Conta de empresa compradora: nome, nome da empresa, cargo (opcional), e-mail, telefone (opcional) e senha — guardada só em forma cifrada (hash), nunca em texto puro —, informados ao criar uma conta em /cadastro.
• Pedido de orçamento: os dados enviados pelo formulário de Pedir orçamento, pela API ou pelo servidor MCP — empresa, contato, e-mail, telefone, porte, verba, prazo, serviços, descrição da necessidade e, quando informados, UF, cidade e agência preferida —, mais o endereço IP e o navegador (user agent) usados no envio, guardados junto com o pedido. Pedidos enviados pela API ou pelo MCP recebem um link de confirmação por e-mail; o código desse link fica guardado só em forma cifrada (hash). Também registramos o aceite da declaração de leitura dos Termos de uso: a data e a hora do aceite e a versão dos termos vigente no envio. Nos pedidos feitos pela API ou pelo MCP, fica registrada a versão dos termos em vigor naquele momento.
• Interesse em ser membro: nome da agência, nome do contato, e-mail, telefone, site e mensagem, enviados pelo formulário de Seja membro.
• Newsletter: nome e e-mail informados no formulário da newsletter (no rodapé, na página inicial ou na janela que aparece ao sair da página), a data e a hora do aceite, o formulário usado e um código cifrado (hash) do endereço IP do envio, nunca o IP em si. O código do link de descadastro fica guardado só em forma cifrada (hash). No seu navegador, a janela da newsletter guarda no armazenamento local (ou, se ele estiver bloqueado, num cookie técnico) se você já assinou e quando a fechou pela última vez, para não aparecer de novo nas 24 horas seguintes. Essa marcação não vai para o servidor.
• Cookies e sessão: um cookie técnico de sessão, necessário para manter o login e proteger os formulários, associado no servidor ao endereço IP e ao navegador (user agent) de quem está conectado. Nenhum cookie de publicidade é usado.
• Métricas de visita (Google Analytics 4): páginas vistas, origem da visita, tipo de dispositivo e navegador, cidade aproximada e eventos de uso (busca e filtros do diretório, cliques em agências e envio de formulários, sem nenhum dado pessoal digitado neles). Os cookies de medição (_ga e _ga_*) só são gravados depois que você clica em “Aceitar” no aviso de cookies. Sem essa escolha, ou se você recusar, o Google recebe apenas sinais sem cookie e sem identificador. Você pode mudar a escolha a qualquer momento em “Preferências de cookies”, no rodapé.
• Limite de envios (rate limiting): para conter spam e abuso, o número de envios dos formulários de orçamento, de interesse em ser membro e da newsletter, e de requisições à API, é contado por endereço IP (ou por token de API) numa memória técnica temporária. Esse contador não fica associado a nenhum outro dado pessoal e é descartado automaticamente em poucos minutos.
• Tokens de API: a API é disponibilizada mediante contratação; um token é provisionado pela equipe da plataforma quando o contrato é firmado. Para cada token guardamos o nome dado a ele, as permissões escolhidas, a data de criação, a data de validade e a data do último uso. O token em si é mostrado uma única vez a quem o solicitou e fica guardado só em forma cifrada (hash).
• Dados públicos de agências: nome, site, descrição, cidade, UF, serviços e contatos comerciais das agências, obtidos por pesquisa e curadoria sobre dados que as próprias empresas tornaram públicos. Site, LinkedIn e Instagram de cada agência só aparecem para quem tem conta; as entidades associadas, só para a equipe da Lista de Agências. E-mail, telefone e WhatsApp comerciais coletados ficam guardados, mas não são exibidos em nenhum canal.

Finalidades e bases legais

• Conta de empresa compradora: autenticar o titular e mostrar os próprios pedidos e tokens em Minha conta — execução de contrato (art. 7º, V, da LGPD).
• Pedido de orçamento e interesse em ser membro: receber o pedido, confirmá-lo quando necessário e encaminhá-lo às agências membro selecionadas, ou responder à agência interessada — procedimentos preliminares relacionados a contrato, a pedido do titular (art. 7º, V).
• Newsletter: enviar por e-mail as manchetes do Radar do Mercado, os Insights e novidades da Lista de Agências — consentimento (art. 7º, I), dado ao marcar a caixa do formulário e revogável a qualquer momento pelo link “Sair da newsletter”, presente em todo e-mail.
• IP, user agent, sessão, rate limiting e tokens de API: segurança da plataforma, prevenção de fraude e abuso e auditoria dos envios — legítimo interesse (art. 7º, IX).
• Dados públicos de agências: organizar o diretório — legítimo interesse (art. 7º, IX), considerando que os dados foram tornados públicos pelas próprias agências e entidades (art. 7º, §§ 3º e 4º).
• Métricas de visita: saber quais páginas são úteis e melhorar o portal, com os cookies de medição só após o seu aceite — consentimento (art. 7º, I), que pode ser revogado a qualquer momento.
• Obrigação legal: guardar ou apresentar dados quando a lei ou uma autoridade competente exigir — cumprimento de obrigação legal ou regulatória (art. 7º, II).

Compartilhamento

• Agências membro: os dados de um pedido de orçamento são encaminhados por e-mail às agências membro selecionadas para aquele pedido, para que possam responder.
• Depois do encaminhamento: a agência que recebe o pedido passa a tratar os dados de forma independente, sob a responsabilidade dela, para responder ao pedido. A negociação que acontece fora da plataforma, por e-mail, telefone ou reunião, não é controlada pela Lista de Agências. Para pedir acesso, correção ou exclusão dos dados que estão com uma agência, fale diretamente com ela.
• Base de contatos do Instituto da Maturidade Digital: o nome e o e-mail de quem assina a newsletter vão para a base central de contatos do Instituto, de onde saem os envios. Quem sai da newsletter, pelo link do e-mail ou a pedido, fica marcado nessa base como descadastrado e deixa de receber.
• Operadores de infraestrutura: empresas de hospedagem e de envio de e-mail tratam dados em nome do Instituto da Maturidade Digital, apenas para manter a plataforma funcionando.
• Google: as métricas de visita são tratadas pelo Google (Google Analytics 4) como operador, em servidores que podem ficar fora do Brasil, com as garantias contratuais oferecidas pelo Google para esse tipo de transferência (art. 33 da LGPD).
• Autoridades: quando houver obrigação legal ou ordem de autoridade competente.

Os dados pessoais não são vendidos nem cedidos a terceiros para fins de publicidade.

Por quanto tempo guardamos

Os dados são guardados pelo tempo necessário às finalidades acima, ou até um pedido de exclusão do titular, ressalvada a guarda exigida por lei. Alguns dados têm prazo próprio: os contadores de rate limiting são descartados em poucos minutos; o link de confirmação de um pedido vindo da API ou do MCP vale 72 horas; cada token de API deixa de valer na data de validade definida na criação e pode ser revogado a pedido, pela equipe da plataforma. A inscrição na newsletter fica guardada enquanto você estiver inscrito; depois do descadastro, guardamos só o registro de que o e-mail saiu, para não voltar a enviar, até um pedido de exclusão. As métricas de visita ligadas a cookie ficam no Google Analytics por 2 meses; os relatórios agregados, sem identificação, podem ser mantidos por mais tempo.

Segurança

Senhas, tokens de API e códigos de confirmação são guardados só em forma cifrada (hash). Site, LinkedIn e Instagram das agências ficam restritos a quem tem conta, no site, na versão em Markdown, na API e no MCP; as entidades associadas, só à equipe da Lista de Agências. E-mail, telefone e WhatsApp comerciais nunca são exibidos, em nenhum canal.

Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode pedir, a qualquer momento:

• confirmação de que há tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no consentimento e informação sobre a possibilidade de não consentir;
• informação sobre com quem os dados foram compartilhados;
• revogação do consentimento e oposição a tratamento feito com base em legítimo interesse.

Dados de conta podem ser editados diretamente em Minha conta, onde o solicitante também vê os detalhes dos próprios pedidos de orçamento. Para sair da newsletter, basta o link “Sair da newsletter” no fim de qualquer e-mail dela: o descadastro vale na hora. Os demais pedidos são feitos pelo e-mail fale@maturidade.digital. O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Alterações desta política

Esta política pode ser atualizada quando a plataforma passar a tratar dados de outra forma. A versão em vigor é sempre a publicada nesta página, com a data da última atualização no topo.