# Política de Privacidade Como o Instituto da Maturidade Digital, controlador da Lista de Agências, trata dados pessoais, nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018). Última atualização: 28/09/2026 ## Quem é o controlador O Instituto da Maturidade Digital, inscrito no CNPJ sob o nº 53.418.465/0001-23, opera a plataforma Lista de Agências (listadeagencias.com.br) e é o controlador dos dados pessoais tratados nela: é quem decide por que e como esses dados são usados. A plataforma só conecta empresas que procuram fornecedores às agências que prestam os serviços. Ela não é parte dos contratos firmados entre eles, como explicam os [Termos de uso](https://listadeagencias.com.br/termos.md). ## Encarregado e canal do titular O encarregado pelo tratamento de dados pessoais pode ser contatado pelo e-mail fale@maturidade.digital. É por esse canal que o titular exerce os direitos descritos nesta política e tira dúvidas sobre o tratamento. ## Dados que tratamos - **Conta de empresa compradora**: nome, nome da empresa, cargo (opcional), e-mail, telefone (opcional) e senha — guardada só em forma cifrada (hash) —, informados ao criar uma conta em `/cadastro`. - **Pedido de orçamento**: os dados enviados pelo formulário de orçamento, pela API ou pelo servidor MCP — empresa, contato, e-mail, telefone, porte, verba, prazo, serviços, descrição da necessidade e, quando informados, UF, cidade e agência preferida —, mais o endereço IP e o navegador (user agent) usados no envio, guardados junto com o pedido. Pedidos enviados pela API ou pelo MCP recebem um link de confirmação por e-mail; o código desse link fica guardado só em forma cifrada (hash). Também registramos o aceite da declaração de leitura dos Termos de uso: a data e a hora do aceite e a versão dos termos vigente no envio. Nos pedidos feitos pela API ou pelo MCP, fica registrada a versão dos termos em vigor naquele momento. - **Interesse em ser membro**: nome da agência, nome do contato, e-mail, telefone, site e mensagem, enviados pelo formulário "Seja membro". - **Newsletter**: nome e e-mail informados no formulário da newsletter (no rodapé, na página inicial ou na janela que aparece ao sair da página), a data e a hora do aceite, o formulário usado e um código cifrado (hash) do endereço IP do envio, nunca o IP em si. O código do link de descadastro fica guardado só em forma cifrada (hash). No navegador, a janela da newsletter guarda no armazenamento local (ou, se ele estiver bloqueado, num cookie técnico) se você já assinou e quando a fechou pela última vez, para não aparecer de novo nas 24 horas seguintes. Essa marcação não vai para o servidor. - **Cookies e sessão**: um cookie técnico de sessão, necessário para manter o login e proteger os formulários, associado no servidor ao endereço IP e ao navegador (user agent) de quem está conectado. Nenhum cookie de publicidade é usado. - **Métricas de visita (Google Analytics 4)**: páginas vistas, origem da visita, tipo de dispositivo e navegador, cidade aproximada e eventos de uso (busca e filtros do diretório, cliques em agências e envio de formulários, sem nenhum dado pessoal digitado neles). Os cookies de medição (`_ga` e `_ga_*`) só são gravados depois que você clica em “Aceitar” no aviso de cookies. Sem essa escolha, ou se você recusar, o Google recebe apenas sinais sem cookie e sem identificador. A escolha pode ser mudada a qualquer momento em “Preferências de cookies”, no rodapé. - **Limite de envios (rate limiting)**: o número de envios dos formulários de orçamento, de interesse em ser membro e da newsletter, e de requisições à API, é contado por endereço IP (ou por token de API) numa memória técnica temporária, sem associação a nenhum outro dado pessoal, e descartado automaticamente em poucos minutos. - **Tokens de API**: a API é disponibilizada mediante contratação; um token é provisionado pela equipe da plataforma quando o contrato é firmado. Para cada token guardamos o nome dado a ele, as permissões, a data de criação, a data de validade e a data do último uso. O token em si é mostrado uma única vez a quem o solicitou e fica guardado só em forma cifrada (hash). - **Dados públicos de agências**: nome, site, descrição, cidade, UF, serviços e contatos comerciais, obtidos por pesquisa e curadoria sobre dados que as próprias empresas tornaram públicos. Site, LinkedIn, Instagram e entidades de cada agência só aparecem para quem tem conta. E-mail, telefone e WhatsApp comerciais coletados ficam guardados, mas não são exibidos em nenhum canal. ## Finalidades e bases legais - **Conta de empresa compradora**: autenticação e acesso aos próprios pedidos e tokens em `/minha-conta` — execução de contrato (art. 7º, V, da LGPD). - **Pedido de orçamento e interesse em ser membro**: receber, confirmar quando necessário e encaminhar o pedido às agências membro selecionadas, ou responder à agência interessada — procedimentos preliminares relacionados a contrato, a pedido do titular (art. 7º, V). - **Newsletter**: enviar por e-mail as manchetes do Radar do Mercado, os Insights e novidades da Lista de Agências — consentimento (art. 7º, I), dado ao marcar a caixa do formulário e revogável a qualquer momento pelo link “Sair da newsletter”, presente em todo e-mail. - **IP, user agent, sessão, rate limiting e tokens de API**: segurança, prevenção de fraude e abuso e auditoria dos envios — legítimo interesse (art. 7º, IX). - **Dados públicos de agências**: organizar o diretório — legítimo interesse (art. 7º, IX), considerando que os dados foram tornados públicos pelas próprias agências e entidades (art. 7º, §§ 3º e 4º). - **Métricas de visita**: saber quais páginas são úteis e melhorar o portal, com os cookies de medição só após o aceite — consentimento (art. 7º, I), revogável a qualquer momento. - **Obrigação legal**: guardar ou apresentar dados quando a lei ou uma autoridade competente exigir (art. 7º, II). ## Compartilhamento - **Agências membro**: os dados de um pedido de orçamento são encaminhados por e-mail às agências membro selecionadas para aquele pedido. - **Depois do encaminhamento**: a agência que recebe o pedido passa a tratar os dados de forma independente, sob a responsabilidade dela, para responder ao pedido. A negociação que acontece fora da plataforma, por e-mail, telefone ou reunião, não é controlada pela Lista de Agências. Para pedir acesso, correção ou exclusão dos dados que estão com uma agência, fale diretamente com ela. - **Base de contatos do Instituto da Maturidade Digital**: o nome e o e-mail de quem assina a newsletter vão para a base central de contatos do Instituto, de onde saem os envios. Quem sai da newsletter, pelo link do e-mail ou a pedido, fica marcado nessa base como descadastrado e deixa de receber. - **Operadores de infraestrutura**: empresas de hospedagem e de envio de e-mail tratam dados em nome do Instituto da Maturidade Digital, apenas para manter a plataforma funcionando. - **Google**: as métricas de visita são tratadas pelo Google (Google Analytics 4) como operador, em servidores que podem ficar fora do Brasil, com as garantias contratuais oferecidas pelo Google para esse tipo de transferência (art. 33 da LGPD). - **Autoridades**: quando houver obrigação legal ou ordem de autoridade competente. Os dados pessoais não são vendidos nem cedidos a terceiros para fins de publicidade. ## Por quanto tempo guardamos Pelo tempo necessário às finalidades acima, ou até um pedido de exclusão do titular, ressalvada a guarda exigida por lei. Prazos próprios: contadores de rate limiting são descartados em poucos minutos; o link de confirmação de um pedido vindo da API ou do MCP vale 72 horas; cada token de API deixa de valer na data de validade definida na criação e pode ser revogado a pedido, pela equipe da plataforma. A inscrição na newsletter fica guardada enquanto você estiver inscrito; depois do descadastro, guardamos só o registro de que o e-mail saiu, para não voltar a enviar, até um pedido de exclusão. As métricas de visita ligadas a cookie ficam no Google Analytics por 2 meses; os relatórios agregados, sem identificação, podem ser mantidos por mais tempo. ## Segurança Senhas, tokens de API e códigos de confirmação são guardados só em forma cifrada (hash). Site, LinkedIn e Instagram das agências ficam restritos a quem tem conta, no site, no Markdown, na API e no MCP; as entidades associadas, só à equipe da Lista de Agências. E-mail, telefone e WhatsApp comerciais nunca são exibidos, em nenhum canal. ## Direitos do titular Nos termos do art. 18 da LGPD: confirmação e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre compartilhamento; revogação do consentimento e oposição a tratamento baseado em legítimo interesse. Dados de conta podem ser editados em `/minha-conta`, onde o solicitante também vê os detalhes dos próprios pedidos de orçamento. Para sair da newsletter, basta o link “Sair da newsletter” no fim de qualquer e-mail dela: o descadastro vale na hora. Os demais pedidos são feitos pelo e-mail fale@maturidade.digital. O titular também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD). ## Alterações desta política A versão em vigor é sempre a publicada em `/privacidade`, com a data da última atualização no topo. ## Links - [Versão HTML](https://listadeagencias.com.br/privacidade)