Política de Privacidade

# Política de Privacidade Mufrid ## 1. Quem somos Mufrid Brasil Consultoria LTDA, CNPJ 65.673.465/0001-59 ("Mufrid"). Sede: Alegre-ES, Brasil. Site: mufrid.com.br. Aplicativos: apps.mufrid.com.br. **Encarregado de Tratamento de Dados (DPO):** Pedro Loureiro · dpo@mufrid.com.br · pedro.loureiro@colafoods.com.br (transição até setup do alias dedicado). ## 2. Quando esta política se aplica Esta política cobre qualquer dado pessoal que você nos forneça ao usar: - O fluxo de autenticação Sextante em apps.mufrid.com.br - Aplicativos Mufrid Universal acessados via subpaths (apps.mufrid.com.br/...) - Canais de contato (e-mail, formulários públicos) Apps que são operados por outras controladoras (Cola Foods, MLClinic, RAPDCC/SES-ES) têm suas próprias políticas. A Mufrid é operadora nesses casos. ## 3. O que coletamos **Para autenticação (obrigatório):** - E-mail (chave de identificação) - Hash criptográfico do seu IP (não o IP em si) - User-Agent do navegador (versão/SO) - Eventos de login/logout com timestamp **Opcional, se você fornecer:** - Telefone - Nome - Foto de perfil **Cookies estritamente necessários** (sessão de login). Não usamos cookies de marketing nem de rastreamento entre sites. ## 4. Base legal por finalidade (LGPD Art. 7º e 11) | Finalidade | Base legal | Período de retenção | |---|---|---| | Autenticação e operação da conta | Art. 7º V (execução de contrato) | Enquanto a conta estiver ativa + 5 anos pós-encerramento (prescrição civil) | | Logs de segurança (auth_audit_events) | Art. 7º II (cumprimento de obrigação legal — LGPD Art. 37) | 5 anos | | Registro de consentimentos | Art. 7º II (obrigação probatória) | 10 anos | | Atendimento de solicitações DSR | Art. 7º II | 5 anos | | Comunicação não-essencial (marketing) | Art. 7º I (consentimento opt-in) | Até revogação | | Análise de uso agregada e anônima | Art. 7º IX (legítimo interesse) | Indefinido (dado anonimizado) | Não tratamos dados pessoais sensíveis (Art. 5º II) para autenticação. Se um app Mufrid Universal tratar dados sensíveis (ex.: saúde), o controlador específico fornecerá base legal própria. ## 5. Seus direitos (LGPD Art. 18) Você pode, a qualquer momento: - **Confirmar** se a Mufrid trata seus dados - **Acessar** os dados que temos sobre você - **Corrigir** dados incorretos ou desatualizados - **Anonimizar, bloquear ou eliminar** dados desnecessários ou tratados em desconformidade - **Solicitar portabilidade** (formato estruturado, JSON ou CSV) - **Obter informação** sobre com quem compartilhamos seus dados - **Revogar consentimento** (para finalidades baseadas em consentimento) - **Opor-se** a tratamentos baseados em legítimo interesse **Como exercer:** apps.mufrid.com.br/dsr — canal oficial, com protocolo numerado, resposta em até **15 dias úteis**. Você também pode escrever direto pra dpo@mufrid.com.br. ## 6. Compartilhamento de dados (subprocessadores) Não vendemos seus dados. Compartilhamos apenas com operadores essenciais à operação: | Operador | Função | Jurisdição | Transferência internacional | |---|---|---|---| | Supabase Inc. | Banco de dados + autenticação + storage | EUA (hosting sa-east-1 BR) | Sim — SCC + adendo LGPD | | Vercel Inc. | Hospedagem frontend + CDN | EUA | Sim — SCC + EU-US DPF | | Google LLC | E-mail corporativo (Workspace) | EUA | Sim — SCC + EU-US DPF | | Registro.br / NIC.br | Registro do domínio e DNS | Brasil | Não | Lista completa e atualizada: apps.mufrid.com.br/dsr (link "subprocessadores"). Atualizamos sempre que adicionamos ou removemos um operador. ## 7. Segurança - TLS 1.3 em todas as conexões (HTTPS obrigatório) - HSTS preload em mufrid.com.br - SPF + DKIM + DMARC em e-mail - Senhas verificadas contra HaveIBeenPwned (HIBP) - Princípio do menor privilégio: cada coluna sensível com RLS no banco - Logs de auditoria imutáveis (append-only) - Backups criptografados, retenção e descarte conforme política - Detecção de anomalias em login (geolocalização nova, MFA, etc) ## 8. Incidentes de segurança (LGPD Art. 48) Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, notificamos: - **A ANPD** em até 2 dias úteis - **Os titulares afetados** em prazo razoável - **Conteúdo da notificação:** natureza dos dados afetados, titulares envolvidos, medidas técnicas/segurança aplicadas, riscos, medidas adotadas para reverter ou mitigar ## 9. Crianças e adolescentes Mufrid não oferece serviço destinado a menores de 18 anos. Se descobrirmos que um menor criou conta sem consentimento parental, eliminaremos os dados imediatamente. ## 10. Mudanças nesta política Esta política é versionada (`version` no banco). Mudanças relevantes serão comunicadas por e-mail aos usuários ativos e exigirão re-aceite quando afetarem base legal ou finalidade. Histórico de versões disponível mediante solicitação ao DPO. ## 11. Foro Foro da Comarca de Alegre, Estado do Espírito Santo, Brasil, para dirimir questões decorrentes desta política. --- *Versão de trabalho v0.2 — em revisão jurídica pelo Dr. André Branco. Não vinculante até aprovação.*