Política de privacidade

Versão: 1.0

1. Apresentação e identificação da Matcky

Esta Política de Privacidade explica como os dados pessoais são tratados no Ecossistema Matcky, incluindo seus sistemas, portais, aplicativos, automações, integrações e canais de atendimento. A responsável pelos serviços é a Matcky, inscrita no CNPJ 68.514.024/0001-00, localizada em Sinop - MT, doravante denominada “Matcky”.

O documento apresenta as categorias de informações envolvidas, as finalidades de utilização, as situações de compartilhamento, os critérios de conservação e os meios para exercer direitos. Sua interpretação considera a Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018, e as demais normas aplicáveis.

A leitura desta política permite conhecer o tratamento de dados. O acesso à plataforma ou a ciência deste documento não representam consentimento genérico para coleta, divulgação ou utilização de informações para qualquer finalidade.

2. Abrangência desta política

Esta política abrange dados de visitantes, pessoas interessadas nos serviços, representantes de empresas, administradores, usuários autorizados e demais pessoas cujas informações sejam legitimamente tratadas no contexto dos serviços Matcky.

Também poderão ser tratados dados de clientes, colaboradores, fornecedores, prestadores, signatários e outras pessoas cadastradas pelas empresas contratantes. Nesses casos, as responsabilidades dependerão das decisões tomadas por cada parte e do papel exercido na operação.

As categorias descritas não são coletadas de todas as pessoas. O tratamento depende do módulo utilizado, da finalidade, das configurações e dos dados efetivamente necessários. Recursos opcionais somente se aplicam quando estiverem disponíveis e habilitados.

3. Conceitos utilizados

“Dado pessoal” é uma informação que identifica ou permite identificar uma pessoa natural. “Titular” é a pessoa a quem essa informação se refere. “Tratamento” compreende atividades como receber, consultar, organizar, armazenar, transmitir, corrigir ou excluir dados.

“Controlador” é quem decide sobre as finalidades e os elementos essenciais do tratamento. “Operador” trata dados em nome do controlador, seguindo suas instruções válidas. “Contratante” é quem contrata os serviços, e “Usuário” é a pessoa autorizada a acessá-los.

Dados empresariais também podem conter dados pessoais, como nome de um representante, telefone de um profissional ou identificação de um empresário individual. A vinculação a uma atividade comercial não elimina a proteção aplicável à pessoa.

4. Quando a Matcky atua como controladora ou operadora

A Matcky atua como controladora quando define o tratamento necessário à sua própria relação com usuários e clientes, como atendimento comercial, gestão de contratos, cobrança de seus serviços e proteção de seus ambientes, conforme as circunstâncias de cada operação.

Quando disponibiliza sistemas para uma empresa administrar dados de seus clientes, empregados ou fornecedores segundo finalidades definidas por essa empresa, a Matcky poderá atuar como operadora. O Contratante deverá informar os titulares sobre essas atividades e estabelecer instruções legítimas de tratamento.

A classificação depende da atuação efetiva, e não apenas da denominação contratual. A Matcky prestará auxílio no atendimento de solicitações e no cumprimento das obrigações que lhe couberem, sem utilizar dados recebidos como operadora para finalidades próprias incompatíveis.

5. Como as informações são obtidas

Os dados poderão ser fornecidos diretamente pelo titular em cadastros, formulários, mensagens, solicitações de demonstração, atendimento ou contratação. Também poderão ser inseridos por administradores e usuários autorizados das empresas contratantes.

Outras fontes incluem importações de planilhas, documentos enviados, sistemas integrados e execuções de automações autorizadas. Informações técnicas poderão ser geradas durante a navegação, autenticação e utilização dos serviços.

A utilização de informações provenientes de terceiros ou fontes públicas exige finalidade legítima e fundamento jurídico adequado. O fato de uma informação estar publicamente acessível não autoriza seu uso irrestrito.

6. Dados de cadastro, conta e relacionamento

Conforme a operação, poderão ser tratados nome, e-mail, telefone, empresa, cargo, vínculo profissional, identificadores da conta e permissões de acesso. CPF, endereço e outros dados de identificação poderão ser necessários para contratação, faturamento, confirmação de identidade ou cumprimento de obrigação específica.

No relacionamento comercial, poderão ser registrados a solicitação apresentada, produtos de interesse, proposta enviada, histórico de atendimento e decisões relacionadas à contratação. Nas contas de acesso, poderão ser tratados elementos de autenticação e recuperação de acesso, que deverão receber proteção compatível com sua natureza.

Os formulários e fluxos de atendimento deverão distinguir as informações necessárias das facultativas. Quando a ausência de um dado impedir determinada funcionalidade, essa consequência deverá ser informada de maneira clara.

7. Dados tratados nos módulos empresariais

Nos módulos de ordens de serviço, estoque, compras, fornecedores, vendas, agenda e atendimento, os registros poderão incluir contatos, endereços, responsáveis, solicitações, produtos, serviços, valores, documentos e históricos relacionados à operação empresarial.

Placas, chassis, imagens de veículos e informações sobre manutenção poderão constituir dados pessoais quando relacionados a proprietários, condutores ou outras pessoas identificadas ou identificáveis.

Nos módulos financeiros, fiscais e de contratos, poderão ser tratados dados de identificação, cobrança, transações, documentos fiscais, informações bancárias e assinaturas, na medida necessária ao recurso utilizado. Esses registros não deverão ser expostos a usuários sem atribuição compatível.

8. Gestão de pessoas e registros de jornada

Quando contratado, o módulo de gestão de pessoas poderá receber dados de colaboradores, vínculo profissional, cargo, setor, jornada, ocorrências e documentos necessários às rotinas da empresa. Dados de saúde ou outras informações sensíveis dependerão de finalidade específica e controles adicionais.

O empregador ou responsável pelo ambiente deverá informar seus colaboradores sobre as informações coletadas, os critérios de acesso, a finalidade dos registros e os respectivos prazos de conservação. A Matcky tratará essas informações conforme seu papel e as instruções legítimas recebidas.

Recursos de localização, fotografia, reconhecimento biométrico ou acompanhamento de atividades não são presumidos pela existência do módulo. Sua eventual implantação exige avaliação específica de necessidade, proporcionalidade e transparência.

9. Documentos, imagens, áudios e assinaturas

Arquivos enviados poderão conter dados pessoais em textos, imagens, gravações, documentos de veículos, comprovantes, contratos e outros anexos. O responsável pelo envio deverá limitar o conteúdo ao necessário, evitando informações de terceiros sem relação com a atividade.

Nas funcionalidades de assinatura, poderão ser tratados a identificação do signatário, o documento apresentado, a manifestação de concordância, a imagem da assinatura e os elementos de verificação efetivamente utilizados, como data, horário e registros técnicos.

Fotografias, voz e assinaturas podem receber tratamento biométrico quando utilizadas tecnicamente para identificar uma pessoa. Se houver esse uso, ele deverá ser informado de forma específica e submetido às regras de dados sensíveis. O simples envio de um arquivo não autoriza sua reutilização para reconhecimento biométrico.

10. Dados pessoais sensíveis

Informações de saúde, biometria e outras categorias legalmente sensíveis exigem proteção reforçada. Seu tratamento somente poderá ocorrer quando necessário à finalidade identificada e amparado em uma das hipóteses legais próprias dessa categoria.

O legítimo interesse, isoladamente, não constitui fundamento para tratamento de dados sensíveis. Quando houver consentimento como base legal, ele deverá ser específico, destacado e relacionado a finalidades determinadas.

O Contratante deverá evitar incluir informações sensíveis em campos de observação, chamados ou documentos de acesso amplo. Quando o tratamento for necessário, deverão ser utilizados fluxos e permissões adequados ao grau de confidencialidade exigido.

11. Dados de crianças e adolescentes

Os serviços são destinados principalmente a atividades empresariais. Dados de crianças e adolescentes poderão estar envolvidos em situações justificadas, como cadastro de dependentes, aprendizagem profissional ou outras rotinas lícitas do Contratante.

Nessas situações, deverá prevalecer o melhor interesse da criança ou do adolescente, com coleta limitada, comunicação adequada e fundamento jurídico compatível com a operação. Quando exigido, será solicitado consentimento específico do responsável legal, com verificação apropriada.

A identificação de coleta excessiva ou inadequada deverá ser comunicada pelo canal de privacidade para avaliação, correção e adoção das providências cabíveis.

12. Finalidades e fundamentos do tratamento

Cada atividade deverá possuir finalidade definida e base legal correspondente. Conforme a operação, o tratamento poderá ocorrer para:

• Atender pedidos e contratar serviços: utilizar dados necessários a procedimentos solicitados pelo titular e à execução de contrato do qual ele seja parte.
• Administrar contatos de empresas: manter a relação profissional com representantes e usuários, mediante fundamento apropriado, inclusive legítimo interesse quando sua avaliação demonstrar necessidade e equilíbrio.
• Cumprir obrigações legais ou regulatórias: emitir documentos, manter registros exigidos e atender determinações válidas.
• Proteger contas e prevenir abusos: investigar eventos e adotar controles proporcionais, com base adequada à operação e à natureza dos dados.
• Exercer direitos: conservar e utilizar informações necessárias à defesa em procedimentos judiciais, administrativos ou arbitrais.
• Realizar atividades facultativas: tratar dados mediante consentimento quando essa for a base aplicável, como nas escolhas opcionais descritas ao titular.

O contrato entre a Matcky e uma empresa não torna automaticamente a execução contratual a base legal para todos os dados de empregados, clientes e terceiros. Nas operações em que atuar como controlador, o Contratante deverá identificar e documentar o fundamento correspondente.

13. Consentimento e escolhas do titular

Quando necessário, o consentimento será solicitado por meio de ação clara, vinculada a uma finalidade específica. Opções facultativas não deverão ser apresentadas como condição obrigatória para atividades independentes.

O titular poderá recusar ou revogar consentimentos pelos mecanismos disponibilizados ou pelo canal de privacidade. A revogação não prejudica a licitude do tratamento anteriormente realizado com fundamento válido, mas interrompe as atividades futuras que dependam exclusivamente daquela autorização.

Quando determinado dado for indispensável ao funcionamento de um recurso, a Matcky ou o controlador responsável informará a consequência da recusa. Essa limitação deverá se restringir ao recurso efetivamente dependente da informação.

14. Cookies e tecnologias semelhantes

Cookies, armazenamento local e tecnologias equivalentes poderão ser utilizados para manter sessões, registrar preferências e apoiar funcionalidades. As tecnologias efetivamente presentes deverão ser identificadas em aviso ou painel acessível, com suas finalidades, responsáveis e duração.

Conforme a implementação, essas tecnologias poderão ser classificadas como necessárias ao serviço solicitado, destinadas a preferências opcionais, voltadas a estatísticas ou relacionadas a publicidade. A classificação deverá considerar sua finalidade real.

Cookies opcionais baseados em consentimento deverão permanecer desativados até uma escolha válida. O mecanismo de preferências deverá permitir aceitar, rejeitar e rever escolhas de maneira acessível. A continuidade da navegação não será considerada autorização automática.

Também é possível configurar o navegador para restringir tecnologias de armazenamento. A desativação de elementos estritamente necessários poderá afetar autenticação ou funcionamento; a recusa de publicidade ou análise facultativa não deverá bloquear recursos que independam dessas finalidades.

15. Permissões de câmera, microfone, arquivos e localização

Recursos que dependam de câmera, microfone, seleção de arquivos ou localização deverão indicar a finalidade da solicitação no contexto de uso. Exemplos incluem fotografar um documento, enviar uma imagem, gravar uma instrução ou registrar uma localização necessária a uma funcionalidade habilitada.

A permissão concedida pelo navegador ou dispositivo não autoriza acesso ilimitado e não substitui a definição de base legal e finalidade. A coleta deverá se restringir ao necessário ao recurso.

O Usuário poderá gerenciar permissões nas configurações do dispositivo. Sua revogação poderá impedir a coleta futura por aquele meio, mas não elimina automaticamente arquivos já enviados nem registros cuja conservação seja legítima. Localização contínua ou em segundo plano exige informação específica, quando houver.

16. Integrações, automações e RPA

Integrações e robôs poderão consultar, extrair, preencher e transmitir dados entre a Matcky e sistemas autorizados pelo Contratante. Os fluxos deverão identificar o ambiente de origem, o destino, a finalidade e o conjunto de informações necessário à operação.

Credenciais, tokens e sessões utilizados pelas automações exigem acesso restrito e proteção compatível. O Contratante deverá fornecer somente acessos que esteja autorizado a utilizar e solicitar sua revogação quando deixarem de ser necessários.

Históricos de execução, capturas de tela e evidências de erros poderão conter dados pessoais. Sua geração, visualização e conservação deverão ser limitadas às necessidades de acompanhamento, suporte, segurança e comprovação, evitando exposição desnecessária de senhas e conteúdos sensíveis.

17. Inteligência artificial e processamento de conteúdo

Funcionalidades de inteligência artificial, quando habilitadas, poderão processar textos, imagens, documentos ou áudios para extrair informações, transcrever conteúdos, classificar registros ou produzir sugestões relacionadas ao serviço solicitado.

Antes do envio a fornecedor externo, deverão ser informadas as condições relevantes desse processamento, incluindo os dados envolvidos, a finalidade, a retenção e eventuais transferências internacionais. Sempre que possível, deverão ser removidas informações sem utilidade para a tarefa.

Esta política não concede autorização geral para utilizar documentos identificáveis do Contratante no treinamento de modelos de uso geral. Eventual utilização para finalidade adicional dependerá de avaliação própria, informação específica, fundamento jurídico adequado e respeito às instruções do controlador.

As saídas também poderão conter dados pessoais e deverão receber proteção compatível. Resultados incorretos deverão poder ser submetidos à correção pelos procedimentos pertinentes ao módulo e à natureza da informação.

18. Decisões automatizadas e formação de perfis

A geração de um indicador ou a execução automática de uma tarefa não significa, por si só, a existência de decisão exclusivamente automatizada sobre uma pessoa. Quando houver decisão dessa natureza que afete seus interesses, o tratamento deverá ser informado com clareza.

Nas hipóteses legais, o titular poderá solicitar revisão da decisão e informações sobre os critérios e procedimentos utilizados, respeitados os segredos comercial e industrial. A solicitação será tratada pela Matcky ou pelo Contratante responsável pela decisão, conforme o papel de cada parte.

Dados inexatos, critérios inadequados ou resultados potencialmente discriminatórios poderão ser contestados. As ferramentas deverão ser utilizadas de forma compatível com os direitos dos titulares e com as finalidades informadas.

19. Acesso por administradores e equipe de atendimento

Administradores e usuários autorizados das empresas poderão acessar informações conforme suas atribuições. O Contratante deverá revisar permissões, revogar acessos de pessoas desligadas e restringir a visualização de informações confidenciais.

A equipe da Matcky somente deverá acessar dados quando necessário à execução de suas atividades, como suporte autorizado, manutenção, investigação de incidentes ou cumprimento de obrigações. Esse acesso deverá estar sujeito a controles e deveres de confidencialidade.

A utilização de vários módulos ou o vínculo de empresas ao mesmo ecossistema não autoriza a circulação irrestrita de dados entre clientes, filiais ou parceiros. A visualização entre ambientes dependerá de justificativa, configuração legítima e permissões correspondentes.

20. Compartilhamento de dados

Os dados poderão ser compartilhados, na medida necessária e com fundamento adequado, com:

• Fornecedores envolvidos em hospedagem, armazenamento, suporte e segurança.
• Prestadores de comunicação, autenticação, pagamentos, emissão fiscal ou inteligência artificial, quando vinculados ao serviço utilizado.
• Sistemas e destinatários indicados em integrações e fluxos legítimos do Contratante.
• Profissionais que prestem serviços contábeis, jurídicos ou de auditoria, conforme a necessidade e o dever de sigilo.
• Autoridades e entidades competentes, quando houver obrigação ou determinação válida.

O papel de cada destinatário dependerá da atividade: alguns atuarão sob instruções, enquanto outros poderão ser controladores de suas próprias operações. As condições de compartilhamento deverão limitar finalidades e estabelecer responsabilidades adequadas.

Esta política não autoriza a venda de bases pessoais nem sua entrega indiscriminada a outras empresas. Em reorganizações societárias, eventual acesso a dados deverá observar necessidade, confidencialidade, transparência e manutenção das garantias aplicáveis.

21. Fornecedores e transferências internacionais

A contratação de fornecedores ou a utilização de sistemas externos poderá envolver processamento ou acesso a dados em outros países. A existência dessas operações deverá ser verificada conforme a infraestrutura e as condições reais de cada serviço.

Quando houver transferência internacional, será necessário fundamento para o tratamento e mecanismo válido de transferência, como cláusulas-padrão aplicáveis, decisão de adequação reconhecida pela ANPD ou outra hipótese legal pertinente. O uso da plataforma não constitui consentimento genérico para qualquer transferência.

As informações sobre destinos, participantes, finalidade, duração, responsabilidades e salvaguardas das operações deverão estar disponíveis em linguagem acessível. O titular poderá solicitar esclarecimentos e acesso às informações e garantias pertinentes, observadas as regras aplicáveis.

22. Segurança e prevenção

A Matcky deverá adotar medidas técnicas e administrativas proporcionais à natureza dos dados e aos riscos das atividades. A definição desses controles deverá considerar restrição de acesso, proteção de credenciais, segregação de ambientes, atualização de sistemas e proteção da transmissão e do armazenamento, conforme a arquitetura utilizada.

O Contratante e seus usuários também deverão proteger seus dispositivos, manter credenciais sob sigilo e comunicar acessos suspeitos. Essa colaboração não transfere ao titular as obrigações de segurança que competem à Matcky ou a outros agentes.

Nenhum ambiente pode oferecer garantia absoluta contra incidentes. Essa limitação não afasta o dever de prevenção, resposta, apuração de responsabilidades e cumprimento das medidas exigidas pela legislação.

23. Armazenamento e critérios de conservação

A conservação será definida conforme a finalidade, a necessidade operacional, as instruções legítimas do controlador e as obrigações legais. Não existe um único prazo de guarda aplicável a todas as categorias.

• Dados de conta: enquanto necessários à relação ativa e, após seu encerramento, nas hipóteses justificadas de conservação.
• Documentos contratuais, fiscais e de cobrança: pelos períodos exigidos pelas obrigações pertinentes e pelo exercício regular de direitos.
• Dados empresariais tratados como operadora: conforme instruções lícitas, contrato e prazos aplicáveis à operação.
• Registros de acesso a aplicações: pelo prazo legal de 6 meses quando a Matcky estiver sujeita ao dever previsto no Marco Civil da Internet, ressalvadas preservações adicionais válidas.
• Atendimentos e evidências técnicas: pelo período necessário à finalidade identificada, com avaliação de conservação adicional quando justificada.
• Cookies e preferências: conforme a duração informada para cada tecnologia e as escolhas aplicáveis.

Informações mantidas para uma obrigação específica deverão ter uso e acesso limitados a essa finalidade. O encerramento da conta não implica conservação indefinida de todo o seu conteúdo.

24. Backups, exclusão e anonimização

Quando forem utilizados backups, os dados poderão permanecer em cópias de recuperação durante o ciclo de retenção documentado, com acesso limitado. A exclusão no ambiente principal deverá ser considerada nos procedimentos de restauração para evitar a reintrodução indevida de informações.

Encerrada a necessidade de tratamento e inexistindo fundamento para conservação, deverão ser adotadas medidas de eliminação ou anonimização apropriadas. Pedidos de exclusão serão avaliados considerando a finalidade, as obrigações aplicáveis e os direitos envolvidos.

Dados pseudonimizados, codificados ou parcialmente ocultados ainda poderão ser pessoais quando houver possibilidade de associação a alguém. A anonimização exige avaliação do risco de identificação pelos meios razoavelmente disponíveis.

25. Direitos dos titulares

O titular poderá exercer os direitos previstos na legislação, conforme os requisitos aplicáveis a cada situação, incluindo:

• Confirmar a existência de tratamento e acessar seus dados.
• Solicitar correção de informações incompletas, inexatas ou desatualizadas.
• Requerer anonimização, bloqueio ou eliminação de dados excessivos, desnecessários ou tratados irregularmente.
• Solicitar portabilidade, observadas a regulamentação e as limitações legais.
• Solicitar eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação.
• Obter informações sobre compartilhamento e sobre a possibilidade e as consequências de não consentir.
• Revogar consentimentos e apresentar oposição nas hipóteses previstas em lei.
• Solicitar revisão de decisões exclusivamente automatizadas que afetem seus interesses, quando aplicável.
• Apresentar petição à ANPD e buscar os demais meios de proteção de seus direitos.

A existência de uma conta empresarial não elimina os direitos individuais dos titulares. O atendimento deverá preservar também os dados de outras pessoas e os sigilos legalmente protegidos.

26. Como apresentar solicitações

Pedidos relacionados a dados pessoais poderão ser encaminhados a lgpd@matcky.com. O solicitante deverá indicar, na medida do possível, seu vínculo com o serviço e o direito que deseja exercer, sem enviar senhas ou documentos desnecessários.

A Matcky poderá solicitar elementos proporcionais de confirmação de identidade ou de representação para evitar a entrega de informações a pessoa indevida. O exercício de direitos será gratuito e não dependerá de contratação adicional.

Quando a Matcky atuar como operadora, o pedido será encaminhado ou articulado com o controlador responsável, com orientação ao titular e colaboração da Matcky dentro de suas atribuições. Quando a decisão lhe couber, a Matcky responderá diretamente.

Serão observados os prazos legais e regulamentares. Para confirmação de tratamento e acesso, a LGPD prevê resposta simplificada imediata ou declaração completa em até 15 dias, ressalvado regime específico aplicável. Impedimentos e razões de eventual não atendimento serão informados de maneira fundamentada.

27. Incidentes de segurança

Suspeitas de vazamento, acesso indevido, perda de informações ou uso irregular deverão ser comunicadas pelo canal oficial. A Matcky deverá avaliar a ocorrência, adotar medidas de contenção, preservar as evidências necessárias e colaborar com os agentes envolvidos.

Quando atuar como operadora, comunicará ao controlador, sem demora injustificada, as informações necessárias à análise e ao cumprimento de suas obrigações. Quando atuar como controladora, realizará as comunicações à ANPD e aos titulares nas hipóteses e nos prazos exigidos pela regulamentação.

As comunicações cabíveis deverão apresentar informações úteis sobre a ocorrência, os possíveis efeitos, as providências adotadas e as medidas recomendadas aos titulares, conforme o conhecimento disponível e as exigências legais.

O canal deverá permitir atendimento acessível, encaminhamento ao responsável e acompanhamento das solicitações. O titular também poderá buscar os canais oficiais da ANPD e os demais órgãos competentes, sem necessidade de renunciar a qualquer direito.