1. Introdução

A Magnet Customer Software Ltda. ("Magnet Customer", "nós" ou "nosso"), pessoa jurídica de direito privado, inscrita no CNPJ sob o nº 52.678.731/0001-94, com sede na Avenida Afonso Pena, 2440, Sala 62, Centro, Campo Grande/MS, CEP 79.002-934, é responsável pela operação da plataforma de CRM e IRM (Investor Relationship Management) voltada ao mercado financeiro brasileiro. Estamos comprometidos em proteger a privacidade e os dados pessoais de nossos clientes, usuários e visitantes. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos suas informações pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei Federal nº 13.709/2018) e demais legislações aplicáveis.

2. Dados que coletamos

Coletamos diferentes categorias de dados dependendo da sua relação com a Magnet Customer:

Dados de identificação pessoal: nome completo, endereço de e-mail profissional, telefone, cargo e empresa
Dados de uso da plataforma: registros de acesso (logs), páginas visitadas, funcionalidades utilizadas, tempo de sessão, ações realizadas na interface; e, sobre as comunicações que a Magnet Customer publica na Plataforma, o nome e o papel de quem as recebeu e quantas vezes e quando as viu, abriu, dispensou ou pediu cotação a partir delas, sem e-mail
Dados técnicos: endereço IP, tipo e versão do navegador, dispositivo, sistema operacional, fuso horário
Dados de comunicação: mensagens enviadas via formulários de contato, e-mail, chat de suporte ou solicitações de demonstração
Dados financeiros dos clientes dos usuários: quando nossos clientes utilizam integrações com custodiantes (BTG Pactual, Safra, XP Investimentos e outros), as informações de carteira de investimentos dos investidores finais são processadas sob controle exclusivo do cliente — a Magnet Customer atua como operadora de dados nesse contexto, nos termos do art. 37 da LGPD
Dados de cookies e analytics: via Google Analytics (com consentimento) para análise de comportamento no site institucional

3. Finalidade do tratamento

Utilizamos seus dados pessoais para as seguintes finalidades:

Prestação do serviço contratado: provisionamento, operação e manutenção da plataforma SaaS
Comunicação e suporte: responder dúvidas, processar solicitações de demonstração, enviar notificações técnicas e de segurança
Melhoria do produto: análise de uso, identificação de problemas, desenvolvimento de novas funcionalidades
Comunicações de marketing (com consentimento): newsletters, materiais educativos, novidades do produto — você pode cancelar a qualquer momento
Faturamento e cobrança: emissão de notas fiscais, controle de pagamentos, prevenção de fraudes
Cumprimento de obrigações legais: atendimento a requisições judiciais, regulatórias (CVM, BACEN, Receita Federal) e obrigações fiscais

4. Base legal (LGPD)

Todo tratamento de dados realizado pela Magnet Customer possui fundamento legal expresso na LGPD (art. 7º e art. 11), incluindo:

Consentimento (art. 7º, I): para comunicações de marketing e uso de cookies não essenciais
Execução de contrato (art. 7º, V): para prestação dos serviços contratados pelo cliente
Legítimo interesse (art. 7º, IX): para análise de uso do produto, segurança, prevenção de fraudes e melhoria contínua
Cumprimento de obrigação legal (art. 7º, II): para atendimento a requisições de autoridades competentes e obrigações fiscais

5. Compartilhamento de dados

Não vendemos, cedemos ou comercializamos seus dados pessoais. Podemos compartilhar dados nas seguintes hipóteses:

Sub-processadores de infraestrutura: Amazon Web Services (AWS) — hospedagem em servidores na região Norte da Virgínia, nos Estados Unidos (us-east-1) — e Google Cloud Platform para serviços de analytics e armazenamento auxiliar
Provedores de comunicação: SendGrid (e-mails transacionais), com cláusulas contratuais de proteção de dados
Provedor de inteligência artificial: Anthropic, que processa o conteúdo enviado ao assistente de IA da plataforma, quando ele está habilitado na conta, sob contrato que proíbe o uso desse conteúdo para treinar modelos
Integrações financeiras autorizadas pelo cliente: BTG Pactual, Safra, XP Investimentos e outros custodiantes são acionados exclusivamente sob instrução e autorização do cliente que contratou o serviço
Requisições legais: quando exigido por lei, ordem judicial ou autoridade regulatória competente, mediante análise jurídica prévia
Operações societárias: em caso de fusão, aquisição ou venda de ativos, mediante comunicação prévia ao titular

6. Segurança dos dados

Adotamos medidas técnicas e organizacionais robustas para proteger seus dados contra acesso não autorizado, perda, alteração ou destruição:

Criptografia em trânsito: TLS 1.2+ em todas as comunicações entre cliente e servidor
Criptografia em repouso: dados armazenados com criptografia AES-256 no MongoDB e nos backups em AWS S3
Isolamento multi-tenant: cada cliente possui banco de dados isolado ou coleções segregadas, garantindo que dados de diferentes organizações nunca se misturem
Controle de acesso: autenticação via Keycloak (OAuth 2.0 / OpenID Connect), RBAC granular e registro de auditoria (audit trail) de todas as operações
Backups automatizados: backups diários com retenção de 30 dias, testados periodicamente para garantir restauração
Monitoramento e alertas: detecção de anomalias, logs centralizados e resposta a incidentes 24/7

7. Retenção de dados

Retemos seus dados pessoais pelo tempo necessário para cumprir as finalidades descritas nesta política e as obrigações legais aplicáveis:

Dados de conta ativa: mantidos durante toda a vigência do contrato de serviço
Dados após rescisão: mantidos por até 90 dias para possibilitar exportação e, em seguida, excluídos de forma segura, salvo obrigação legal de retenção superior
Registros de acesso (logs): conforme exigência do Marco Civil da Internet (Lei 12.965/2014), por prazo mínimo de 6 meses
Dados fiscais e contábeis: conforme legislação tributária aplicável (geralmente 5 anos)
Registros de recebimento das comunicações da Magnet Customer na Plataforma: até 30 dias depois do fim de cada comunicação

8. Direitos do titular (LGPD)

Nos termos dos arts. 17 a 22 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais, que podem ser exercidos a qualquer momento:

Confirmação e acesso: saber se tratamos seus dados e obter cópia deles
Correção: atualizar dados incompletos, inexatos ou desatualizados
Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD
Portabilidade: receber seus dados em formato estruturado e interoperável
Informação sobre compartilhamento: saber com quem compartilhamos seus dados
Revogação do consentimento: retirar consentimento a qualquer momento, sem prejuízo à licitude do tratamento anterior
Oposição ao tratamento: se discordar de tratamento baseado em legítimo interesse

9. Cookies

Nosso site utiliza cookies e tecnologias similares. Você pode gerenciar suas preferências através do banner de cookies exibido no primeiro acesso:

Cookies essenciais: necessários para o funcionamento básico do site (autenticação, segurança, preferências de idioma) — não podem ser desativados
Cookies de analytics: coletados via Google Analytics para entender o comportamento dos visitantes e melhorar o site — requerem seu consentimento
Cookies de preferências: armazenam configurações personalizadas para melhorar sua experiência — requerem seu consentimento
Para desativar cookies, acesse as configurações do seu navegador ou clique em "Gerenciar cookies" no rodapé do site

10. Transferência internacional de dados

Os dados da plataforma são hospedados pela Amazon Web Services (AWS) na região Norte da Virgínia, nos Estados Unidos (us-east-1). Outros sub-processadores, como o Google, também podem processar dados em servidores localizados fora do Brasil. Essas transferências internacionais ocorrem com as salvaguardas adequadas previstas na LGPD (art. 33), incluindo cláusulas contratuais padrão que asseguram nível de proteção equivalente ao exigido pela legislação brasileira.

11. Dados do Google (Gmail e Google Agenda)

O Magnet Customer oferece integração opcional com a Conta Google do usuário. A integração só é ativada quando o próprio usuário a autoriza pela tela de consentimento do Google, e pode ser revogada a qualquer momento. Quando autorizada, acessamos os seguintes dados, exclusivamente para as funcionalidades descritas:

Identificação da conta (escopos openid, email e profile): nome e endereço de e-mail da Conta Google, para saber qual conta está conectada.
Gmail (escopo gmail.modify): lemos as mensagens da caixa do usuário, com o corpo e os anexos, para exibir o histórico de conversas junto ao registro do cliente dentro do CRM; refletimos no Gmail as ações feitas no CRM — marcar como lida ou não lida, dar estrela, aplicar marcador, arquivar e mover para a Lixeira, sem nunca excluir de forma permanente; salvamos nos Rascunhos do Gmail a mensagem que o usuário está escrevendo; e enviamos, respondemos e encaminhamos, com anexos, as mensagens que ele escreve no CRM, pelo próprio endereço.
Eventos (escopo calendar.events): criamos, alteramos e excluímos, na agenda do Google escolhida pelo usuário, os eventos das reuniões e tarefas com data do CRM; respondemos no Google aos convites aceitos, respondidos com talvez ou recusados no CRM; e trazemos para o CRM os eventos criados no Google, conforme a direção de sincronização definida pelo usuário.
Lista de agendas (escopo calendar.calendarlist.readonly): listamos as agendas do usuário e as cores delas, para que ele escolha quais sincronizam com o CRM.

12. Uso limitado dos dados do Google (Limited Use)

O uso e a transferência, pelo Magnet Customer, de informações recebidas das APIs do Google seguirão a Google API Services User Data Policy, incluindo os requisitos de Uso Limitado (Limited Use). Consulte a política completa do Google. Na prática, isso significa que:

Usamos os dados apenas para oferecer e aprimorar as funcionalidades visíveis ao usuário dentro da plataforma: o cliente de e-mail, a agenda do CRM e, quando habilitado na conta, o assistente de IA, que lê os e-mails sincronizados para atender a pedidos do próprio usuário.
Não transferimos esses dados a terceiros, exceto quando necessário para prestar essas funcionalidades (como o provedor de IA indicado na seção 5, ou um assistente externo que o administrador da conta conecte pelo conector MCP com acesso aos e-mails liberado), por exigência legal, ou em operação societária com aviso prévio.
Não permitimos que pessoas leiam os dados, salvo com consentimento expresso do usuário, para fins de segurança, para cumprir obrigação legal, ou de forma agregada e anonimizada para operações internas.
Não vendemos esses dados, não os usamos para publicidade, para avaliação de crédito ou concessão de empréstimo, nem para treinar modelos de inteligência artificial.
Não usamos as APIs nem os dados do Google para criar, editar ou distribuir imagens íntimas não consentidas geradas por inteligência artificial (NCII), nem qualquer conteúdo sexual.

13. Retenção e exclusão dos dados do Google

Os dados obtidos das APIs do Google são tratados com regras próprias de retenção, independentes das descritas na seção 7:

Os tokens de acesso e de atualização são armazenados criptografados e usados apenas para renovar o acesso autorizado pelo usuário.
O Gmail e o Google Agenda são desconectados separadamente. Ao desconectar um deles no CRM, o CRM para de acessar aquele serviço e a sincronização dele é interrompida na hora; enquanto o outro continuar conectado, a autorização na Conta Google continua ativa e o CRM a usa só para ele. Quando nenhum dos dois continua conectado, o CRM revoga o acesso na Conta Google e apaga os tokens.
Se o acesso for revogado na Conta Google, o CRM apaga os tokens assim que detecta a revogação e trata o Gmail e o Google Agenda como desconectados.
A cópia sincronizada de um serviço desconectado (mensagens, conversas, marcadores e anexos do Gmail; eventos e calendários do Google Agenda) fica guardada para que o usuário possa reconectar sem perder nada e é apagada do CRM automaticamente 30 dias depois da desconexão ou da revogação. Reconectar o serviço antes disso cancela a exclusão.
Remover a integração no CRM apaga a cópia na hora, inclusive os arquivos de anexo guardados, sem alterar nada no Gmail ou no Google Agenda. O administrador da conta também pode pedir a exclusão imediata.
Registros criados no CRM a partir de e-mails e eventos, como reuniões, tarefas, contatos, chamados e notas, não são cópia de dados do Google e continuam no CRM.
O usuário pode revogar o acesso a qualquer momento em https://myaccount.google.com/permissions, sem depender do Magnet Customer.

14. Outras integrações de e-mail e agenda

Além do Google, a plataforma permite conectar a caixa de e-mail e a agenda do usuário por outros provedores. Como no caso do Google, a conexão é sempre iniciada pelo próprio usuário e pode ser desfeita a qualquer momento; os dados acessados servem exclusivamente ao cliente de e-mail, à agenda e, quando habilitado na conta, ao assistente de IA dentro do CRM, e valem para eles as mesmas regras de retenção descritas na seção 13.

Microsoft 365 / Outlook (Microsoft Graph): usamos User.Read para identificar a conta conectada, Mail.ReadWrite para ler e organizar mensagens, Mail.Send para enviar e-mails em nome do usuário e Calendars.ReadWrite para sincronizar reuniões.
Microsoft Exchange (EWS): mesma finalidade, para organizações com servidor Exchange próprio; a autenticação usa as credenciais fornecidas pelo usuário.
IMAP e SMTP: conexão genérica de caixa de e-mail, autenticada por senha ou senha de aplicativo fornecida pelo usuário.
iCloud: conexão da caixa de e-mail da Apple, autenticada por senha de aplicativo gerada pelo próprio usuário.
CalDAV: sincronização de agendas de provedores compatíveis com o padrão CalDAV.

15. Integrações de comunicação e de dados

A plataforma também se integra a serviços que operam a comunicação com os clientes finais e a troca de dados com sistemas externos. Essas integrações são ativadas por escolha da conta contratante e tratam os dados apenas para a finalidade contratada:

WhatsApp: envio e recebimento de mensagens no atendimento, via provedores autorizados. As mensagens trocadas ficam registradas no histórico do cliente dentro do CRM.
SMS e voz (Twilio): envio de mensagens e chamadas originadas na plataforma.
E-mail transacional (Mailgun e SendGrid): entrega de notificações e comunicações automatizadas da plataforma.
Importação de outros CRMs (Pipedrive e Piperun): quando a conta solicita a migração, lemos os dados do sistema de origem para trazê-los ao Magnet Customer.
Assinatura eletrônica (ClickSign): envio de documentos para assinatura e recebimento do resultado.
Custódias e instituições financeiras (BTG Pactual, Safra e XP Investimentos): conforme descrito na seção 5, para as contas que utilizam o módulo financeiro.

16. Dados do WhatsApp Business (Meta)

Quando a conta contratante conecta um número de WhatsApp Business à plataforma, a Magnet Customer atua como provedora de tecnologia (Tech Provider) da Meta Platforms, Inc., processando dados exclusivamente para viabilizar o atendimento entre a empresa contratante e seus clientes finais. Recebemos da Meta:

Identificadores da conta: identificação do número de telefone (phone number ID) e da conta do WhatsApp Business (WABA ID).
Token de acesso, utilizado apenas para enviar e receber mensagens em nome da conta contratante.
Conteúdo das mensagens trocadas entre a empresa e seus clientes: texto, mídia e metadados de entrega e leitura.
Número de telefone e nome de perfil de quem envia mensagem à empresa contratante.
Esses dados são usados somente para entregar o atendimento contratado: exibir conversas na Central de Atendimento, enviar respostas, registrar histórico e vincular mensagens ao contato correspondente no CRM. Não os usamos para publicidade, não os vendemos e não os cedemos a terceiros para fins próprios.

17. Uso limitado dos dados da Meta (Limited Use)

O uso das informações recebidas das APIs da Meta observa a Política da Plataforma da Meta e os Termos do WhatsApp Business, incluindo os requisitos de Uso Limitado. Consulte a política completa da Meta. Especificamente, os dados obtidos dessas APIs:

São utilizados apenas para fornecer e aprimorar as funcionalidades visíveis na interface da plataforma.
Não são transferidos a corretores de dados, redes de anúncios ou serviços de monetização.
Não são utilizados para determinar solvência, elegibilidade a crédito ou a seguro.
Não são utilizados para treinar modelos de inteligência artificial.
São acessados por pessoas apenas quando necessário para suporte solicitado pela conta contratante, por exigência de segurança ou por obrigação legal.

18. Retenção e exclusão dos dados do WhatsApp

Enquanto a integração estiver ativa, as conversas ficam armazenadas na instância da conta contratante, sob seu controle, e podem ser excluídas a qualquer momento pelas ferramentas da plataforma. Ao desconectar o número, o token de acesso é removido imediatamente e deixamos de receber novas mensagens daquele número — o histórico já registrado permanece na instância até que a conta o exclua. Ao encerrar o contrato, todos os dados da instância, incluindo conversas do WhatsApp, são excluídos conforme o prazo da seção 7. Veja como solicitar a exclusão dos seus dados.

19. Candidatos a vagas

Quando você se candidata a uma vaga ou ao Banco de Talentos pelo nosso site, tratamos os dados da pré-entrevista e o currículo enviado para conduzir este e futuros processos seletivos, com base no seu consentimento (LGPD, art. 7º, I).

Dados tratados: nome, e-mail, WhatsApp, cidade, disponibilidade para trabalho presencial, perfil do LinkedIn (opcional), nível, experiência, respostas da pré-entrevista, pretensão (opcional), como conheceu a Magnet e o currículo.
Os dados são enviados ao time de Gente & Cultura por meio do Slack, em canal restrito a esse time. O site não guarda cópia. O Slack processa dados nos Estados Unidos, com as salvaguardas da seção 10.
Mantemos os dados por até 12 meses após o envio, para este e futuros processos seletivos. Depois disso, eles são excluídos.
Você pode pedir acesso, correção ou exclusão dos seus dados a qualquer momento, pelo contato da seção 21.

20. Alterações nesta política

Podemos atualizar esta Política de Privacidade periodicamente. Alterações significativas serão comunicadas por e-mail (para clientes ativos) e mediante aviso destacado em nosso site, com antecedência mínima de 15 dias. A data de vigência no topo desta página sempre refletirá a versão mais recente. O uso continuado da plataforma após a data de vigência das alterações constitui concordância com os novos termos.

21. Encarregado de Dados (DPO) e Contato

Para exercer seus direitos, esclarecer dúvidas ou reportar incidentes relacionados ao tratamento de dados pessoais, entre em contato com nosso Encarregado de Proteção de Dados (DPO):

E-mail: privacidade@magnetcustomer.com
Empresa: Magnet Customer Software Ltda. — CNPJ: 52.678.731/0001-94
Sede: Av. Afonso Pena, 2440, Sala 62, Centro, Campo Grande/MS, CEP 79.002-934
Foro: Comarca de Campo Grande/MS, eleito para dirimir quaisquer controvérsias decorrentes desta política