Política de Privacidade

A MERQ coleta o mínimo necessário pra entregar o produto: e-mail, domínio da sua marca, IP e user agent de cada requisição, e o conteúdo das auditorias (perguntas + respostas dos LLMs). Não vendemos dados, não fazemos cross-tracking publicitário e não compartilhamos seu histórico com nenhuma rede ad-tech. Você pode pedir a exclusão a qualquer momento por contato@merq.com.br.

Controlador: MERQ (dados societários em atualização). E-mail institucional: contato@merq.com.br.

Encarregado pelo Tratamento de Dados (DPO): a designar. Canal do encarregado: contato@merq.com.br.

São quatro grupos:

3.1 Quem você é

• E-mail, quando você preenche um formulário ou contrata
• Nome, quando a contratação exige

3.2 Como você chegou e navegou

• Endereço IP de onde parte o acesso
• Identificação do navegador e do sistema operacional
• Data e hora dos acessos
• Quais páginas deste site você abriu

3.3 Dados da auditoria gratuita

• O endereço que você informa (por exemplo, suaempresa.com.br)
• Categoria reconhecida a partir do site (clínica, escritório, indústria)
• Perguntas finais aprovadas pelo Usuário e respostas obtidas dos LLMs
• Custo de processamento e registros internos de execução

3.4 Pagamento, em planos contratados

• Processados inteiramente pela Stripe. A MERQ não armazena dados de cartão. Recebe apenas o identificador da assinatura e metadados (status, ciclo, plano).

Cada uso dos seus dados se apoia numa base legal, e aqui está qual:

• Consentimento (art. 7º, I) — newsletter, cookies não-essenciais, comunicações de marketing. Pode ser revogado a qualquer momento.
• Execução de contrato (art. 7º, V) — prestação dos Serviços contratados nos planos pagos.
• Cumprimento de obrigação legal (art. 7º, II) — emissão de notas fiscais, retenção contábil (5 anos, art. 195, §5º da CF e art. 173 do CTN).
• Legítimo interesse (art. 7º, IX) — segurança da plataforma, prevenção de fraude/abuso, melhoria do produto baseada em métricas agregadas e anonimizadas, e execução do Audit gratuito mediante consentimento expresso.

• Rodar a auditoria gratuita e entregar o plano contratado.
• Manter o seu acesso e a sua assinatura funcionando.
• Enviar comunicações transacionais (resultado do audit, recibos, alertas de fatura).
• Enviar a Carta MERQ, só para quem pediu.
• Enviar novidades e ofertas por e-mail (apenas mediante opt-in específico e opcional, revogável a qualquer momento em 1 clique pelo link de descadastro presente em todos esses e-mails).
• Proteger o serviço contra abuso, fraude e ataque.
• Entender o uso do produto por números agregados, sem identificar ninguém.
• Cumprir obrigação legal, fiscal ou determinação judicial.

Para entregar o serviço, contratamos operadores. A tabela abaixo separa quem já trata dados hoje de quem passa a tratar quando a medição entrar em operação — porque uma lista que mistura as duas coisas não informa nada a quem lê.

Mantemos inventário interno dos instrumentos de tratamento (DPA) de cada operador, revisado a cada mudança de fornecedor. Nenhum deles acessa dados além do necessário à sua função. Não vendemos dados, não fazemos rastreamento publicitário cruzado e não entregamos o seu histórico a nenhuma rede de anúncios.

Esta lista é o que existe, não o que planejamos. Quando um operador entrar em uso, ele muda de bloco nesta tabela e a alteração aparece no histórico de versões. Se um operador sair, some daqui.

Hoje o tratamento acontece em operadores com região no Brasil: o banco fica em São Paulo e a aplicação roda com prioridade na mesma praça. Nenhum dado seu sai do país no estado atual do serviço.

Quando a medição for ativada, passa a haver transferência: as perguntas dos cenários e o conteúdo do site que você informa serão enviados aos provedores de modelo, sediados nos Estados Unidos — é a única forma de perguntar a eles. Pagamento e envio de e-mail seguem o mesmo caminho quando entrarem.

Essas transferências se amparam no art. 33 da LGPD, por serem necessárias à execução do contrato com você, nos instrumentos contratuais de cada operador e em criptografia em trânsito e em repouso. Os provedores de modelo que pretendemos usar declaram, em seus termos comerciais, não treinar modelos com dados enviados por API.

• Audit gratuito: registros mantidos por 90 dias a partir da execução; depois anonimizados (preservamos apenas métricas agregadas para melhoria do produto).
• Assinaturas ativas: enquanto durar o contrato. Após o cancelamento, dados contábeis e fiscais são retidos por 5 anos conforme legislação.
• Newsletter: até o titular solicitar unsubscribe (link em todos os e-mails).
• Mensagens de contato: 24 meses a partir do envio; depois anonimizadas.
• Logs de acesso: 12 meses (art. 15, Marco Civil da Internet).
• Arquivos que você envia ao configurar a conta: mantidos enquanto a conta existir (alimentam as análises do plano); removidos na exclusão da conta.
• Registros internos de execução e erro: 12 a 24 meses, com purga automática diária.
• Confirmação de que um e-mail chegou (aberturas, cliques, bounces): 24 meses.
• Backups: realizados pela infraestrutura do banco de dados (Supabase) conforme o plano vigente, além de snapshots pontuais antes de mudanças de schema. Dados excluídos deixam de existir nos backups conforme o ciclo natural de sobrescrita da plataforma.

A qualquer momento, e sem precisar justificar, você pode pedir:

• Confirmação de que tratamos seus dados.
• Acesso aos dados que mantemos sobre você.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade.
• Portabilidade dos dados para outro fornecedor.
• Eliminação dos dados tratados com base em consentimento, exceto quando houver outra base legal prevalente.
• Informação sobre entidades públicas e privadas com as quais compartilhamos seus dados.
• Revogação do consentimento a qualquer momento.
• Reclamação à ANPD (gov.br/anpd) caso entenda que algum direito foi violado.

Para exercer qualquer direito, envie e-mail para contato@merq.com.br com o assunto “LGPD — Direito do Titular”. Respondemos em até 15 dias, prazo previsto em lei.

A exclusão da conta é self-service: em Plano e Faturamento, na seção “Zona de risco”, com confirmação explícita. A exclusão remove seus dados de contato (e-mail, nome, telefone, mensagens, documentos enviados) e desativa suas credenciais em definitivo. Dados vinculados a obrigações legais (fiscais e contábeis, 5 anos; logs de acesso, 12 meses) são preservados pelo prazo exigido em lei, sem vínculo com sua identidade. Métricas de monitoramento da empresa permanecem de forma anonimizada. Se tiver assinatura ativa, cancele antes; o mesmo pedido também pode ser feito por e-mail.

A MERQ usa cookies em 2 categorias. Não usamos cookies “funcionais” de conveniência (tema, preferências): se algum dia passarmos a usar, eles entram no banner como categoria própria e esta seção será atualizada.

10.1 Os que o site não funciona sem

• Sessão de autenticação, que mantém você logado
• Token que impede requisição forjada por outro site
• A sua escolha sobre cookies, guardada no próprio navegador

10.2 Analíticos

• Medimos audiência sem cookies, com uma ferramenta só: o Web Analytics da Vercel, que conta acessos de forma agregada e não identifica ninguém. Ele não grava cookie nem identificador persistente no seu navegador.
• Não usamos Google Analytics, pixel de rede social nem qualquer ferramenta de análise de comportamento individual. Se isso mudar, esta seção muda junto e o consentimento é pedido de novo antes de qualquer coleta.

Você pode ajustar suas preferências pelo banner exibido na primeira visita ou, a qualquer momento, pelo link “Gerenciar cookies” no rodapé do site, que reabre o banner para refazer a escolha. Revogar o consentimento derruba na hora o armazenamento persistente de analytics.

Cookie de publicidade: a MERQ não utiliza cookies de rastreamento publicitário de terceiros (Meta Pixel, Google Ads, TikTok Pixel, etc.).

Adotamos medidas técnicas e administrativas razoáveis para proteger seus dados: criptografia HTTPS (TLS 1.3), criptografia em repouso no Supabase, acesso restrito por função (Row Level Security), rotação periódica de chaves de API, registro de logs, backups e monitoramento de anomalias.

Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo previsto em lei e nas diretrizes da ANPD.

Os Serviços são destinados a pessoas com 18 anos ou mais. Não coletamos intencionalmente dados de menores. Se você é responsável legal e identificou coleta indevida, contate-nos para eliminação imediata.

Atualizamos esta Política sempre que houver mudança material no tratamento de dados. Em alterações significativas, avisamos por e-mail aos Usuários ativos com pelo menos 7 (sete) dias de antecedência. A versão e a data no topo desta página servem como referência da vigência.

Para qualquer dúvida, pedido de informação ou exercício de direitos como titular de dados, escreva para contato@merq.com.br. Resposta em até 15 dias.

Para reclamações formais, você pode também acionar a Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.