Resumo
1. Quem somos e como falar com a gente
- Controlador: MergeDesk, CNPJ 67.715.244/0001-21, com sede em São Carlos/SP.
- Encarregado pelo tratamento de dados (DPO): Antonio Augusto Rigoni Stefano, pelo e-mail contato@mergedesk.com.br.
Seguimos a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018).
2. Quais dados tratamos, para quê e com qual base legal
| Dados | Para quê | Base legal (art. 7º da LGPD) | Por quanto tempo |
|---|---|---|---|
| E-mail e datas de criação da conta e de acesso | Criar sua conta e deixar você entrar | Execução de contrato (inciso V) | Enquanto a conta existir |
| Código de acesso enviado por e-mail | Confirmar que o e-mail é seu. Quem gera e confere é o nosso fornecedor de login | Execução de contrato (inciso V) | Válido só por um curto período; não fica com o MergeDesk |
Cookie de sessão (sfa_sessao) | Manter você conectado. É o único cookie nosso: não serve para publicidade | Execução de contrato (inciso V) | 14 dias, ou até você sair. No servidor fica só uma versão embaralhada |
| Nome, e-mail e fundo ou empresa | Liberar e acompanhar o teste grátis | Procedimentos preliminares a um contrato (inciso V) | Até 2 anos após o fim do teste, salvo se virar assinatura |
Domínio do seu e-mail e, nos domínios .br, a raiz do CNPJ do titular, quando o registro público mostra um CNPJ. Se o titular for pessoa física, o CPF não é guardado | Barrar e-mail temporário e garantir um teste grátis por empresa | Legítimo interesse, para prevenir fraudes (inciso IX) | Até 2 anos |
| Marca embaralhada da sua rede (derivada do endereço IP, de forma irreversível) | Limitar quantos testes grátis começam na mesma rede | Legítimo interesse, para prevenir fraudes (inciso IX) | 30 dias |
| Nome, e-mail, fundo, CPF ou CNPJ e WhatsApp (opcional) | Gerar a cobrança, gerir a assinatura, emitir documentos fiscais e prestar suporte | Execução de contrato (inciso V) e obrigação legal (inciso II) | Enquanto a assinatura existir e por até 5 anos depois, pelas obrigações fiscais |
| Dados de pagamento (cartão e Pix) | Processar o pagamento, no ambiente do Asaas | Execução de contrato (inciso V) | Tratados pelo Asaas; nós não recebemos o número do seu cartão |
| Documentos que você envia (CIM, teaser, modelo financeiro), que podem ter dados pessoais de terceiros, como sócios e funcionários da empresa analisada | Gerar a análise que você pediu | Execução de contrato (inciso V). Quanto aos dados de terceiros, você é o controlador e o MergeDesk é operador | Apagados 24 horas depois do envio. Não entram nos backups |
| Relatórios, dados das análises, pipeline, tese do fundo e preferências, que também podem citar terceiros | Mostrar seu trabalho quando você voltar, de qualquer computador | Execução de contrato (inciso V). Quanto aos dados de terceiros, você é o controlador e o MergeDesk é operador | Até você apagar ou pedir a exclusão. Conta sem assinatura e sem teste ativo: até 12 meses após o último acesso. Cópias de backup somem em até 30 dias |
| Registro de uso da IA: tipo de análise, quantidade, data e consumo técnico, ligados à licença | Controlar as análises do plano, o limite diário e a prevenção a abuso | Execução de contrato (inciso V) e legítimo interesse (inciso IX) | Até 13 meses |
| Registros de acesso: endereço IP, data, hora e endereço pedido | Segurança do serviço e obrigação legal | Obrigação legal (inciso II; art. 15 do Marco Civil da Internet) e legítimo interesse (inciso IX) | 6 meses |
3. O que acontece com seus arquivos no servidor
- Quem pode ver: só a sua conta, pela interface. Ninguém da equipe abre seus relatórios no dia a dia. O acesso técnico ao servidor é restrito e só acontece para manter o serviço funcionando, a seu pedido para suporte ou por obrigação legal.
- Sem criptografia de ponta a ponta: na web, o servidor precisa ler os arquivos para gerar e mostrar os relatórios, então eles não têm a criptografia de ponta a ponta do plano Fundo / Equipe no app. Se o seu NDA exige que o material fique só na sua máquina, use o app para computador.
- Backups: uma vez por dia, contas e relatórios são copiados para outro fornecedor, cifrados antes de sair do servidor, com uma chave que não fica no servidor. Guardamos essas cópias por até 30 dias.
- Não vendemos dados e não usamos seus documentos para treinar modelos de IA.
4. Inteligência artificial
Para gerar as análises, o servidor da web envia o conteúdo dos arquivos que você escolheu ao servidor do MergeDesk (api.mergedesk.com.br), que repassa o pedido ao provedor de inteligência artificial contratado pelo MergeDesk, nos Estados Unidos, e devolve o resultado.
- O provedor de IA processa o conteúdo apenas para gerar a resposta, sem usá-lo para treinar modelos, nos termos do contrato comercial dele, e pode mantê-lo por prazo limitado para segurança e prevenção de abuso.
- O resultado fica na sua conta, como relatório. Do repasse em si, registramos só dados técnicos (tipo de análise, quantidade, data).
- Antes de enviar um material recebido de um vendedor ou broker, confirme se o acordo de confidencialidade (NDA) permite o uso de serviços em nuvem, de ferramentas de IA e de prestadores de serviço.
- No Estudo Setorial, só o setor digitado é enviado ao provedor de busca na web. Nenhum documento é enviado a ele.
5. Dados de terceiros nas suas análises
Documentos e consultas públicas (Receita Federal, Portal da Transparência, tribunais e imprensa) podem trazer dados de sócios, administradores e funcionários das empresas analisadas. Nessas análises, quem define a finalidade é você, que é o controlador desses dados. O MergeDesk fornece a ferramenta e atua como operador: processa e guarda o material em seu nome, enquanto a sua conta existir. Use-o apenas para avaliar negócios, em linha com a LGPD (art. 6º e art. 7º, §§ 3º e 4º).
6. Com quem compartilhamos
Compartilhamos apenas o necessário com os fornecedores que operam o serviço:
| Fornecedor | Para quê | Onde |
|---|---|---|
| Hetzner Online | Servidor onde ficam as contas, os relatórios e, por 24 horas, os documentos enviados | União Europeia (Alemanha ou Finlândia) |
| Supabase | Login: recebe seu e-mail, gera e confere o código de acesso | Empresa nos Estados Unidos; os dados ficam na região escolhida para o projeto |
| Resend | Envio dos e-mails do serviço, como o código de acesso e a chave de licença | Estados Unidos |
| Google Workspace | E-mail de contato e suporte | Estados Unidos |
| Cloudflare | Servidor de licenças (licenças, pedidos e contatos), repasse das análises para a IA, verificação contra robôs no login e guarda dos backups, sempre cifrados | Rede global, inclusive fora do Brasil |
| Asaas | Cobrança e processamento de pagamentos | Brasil |
| Provedor de inteligência artificial | Empresa de IA contratada pelo MergeDesk: processa o conteúdo das análises sob contrato, sem usá-lo para treinar modelos | Estados Unidos |
| Registro.br, Cloudflare DNS e Google DNS | Conferência do e-mail no teste grátis: recebem só o domínio do e-mail, nunca o endereço completo | Brasil e rede global |
| SerpApi | Busca na web do Estudo Setorial (recebe só o termo pesquisado) | Estados Unidos |
| Portal da Transparência (CGU) | Checagem rápida e Raio-X Jurídico: recebe, pelo nosso servidor, o CNPJ consultado e o nome dos sócios (para a checagem de pessoas expostas politicamente) | Brasil |
| Tribunal de Contas da União (TCU) | Certidão consolidada da checagem rápida e do Raio-X: recebe o CNPJ consultado | Brasil |
| BrasilAPI, ReceitaWS, IBGE, Banco Central e OpenStreetMap | Dados públicos: recebem o CNPJ, o setor ou a cidade consultados, sem dizer quem pediu | Brasil e exterior |
| Google Fonts | Fontes tipográficas das páginas (recebe o endereço IP de quem abre a página) | Estados Unidos |
Também podemos compartilhar dados quando exigido por lei, por ordem judicial ou por autoridade competente.
7. Transferência internacional
O servidor da versão web fica na União Europeia, e alguns fornecedores acima armazenam ou processam dados em outros países. Essas transferências seguem o art. 33 da LGPD e se apoiam nas garantias contratuais e de segurança oferecidas por esses fornecedores.
8. Como protegemos os dados
- Conexões criptografadas (HTTPS) entre o seu navegador, o servidor da web e os demais servidores.
- Cada conta roda num processo separado, com usuário próprio do sistema, e a pasta dela fica fechada para as outras.
- Entrada sem senha. O cookie de sessão não pode ser lido por scripts da página nem enviado por outros sites.
- Os PDFs são gerados num ambiente sem acesso à internet, exceto para buscar fontes tipográficas.
- Backups cifrados, com a chave guardada fora do servidor.
Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, nos termos do art. 48 da LGPD.
9. Seus direitos
Pelo art. 18 da LGPD, você pode pedir, a qualquer momento:
- Confirmação de que tratamos os seus dados
- Acesso aos seus dados
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
- Portabilidade dos dados
- Eliminação dos dados tratados com o seu consentimento
- Informação sobre com quem compartilhamos os seus dados
- Informação sobre a possibilidade de não consentir e as consequências
- Revogação do consentimento
- Oposição a um tratamento, se houver descumprimento da lei
Na sua conta: você baixa e apaga cada relatório pelo Histórico, sem precisar pedir.
Para excluir a conta inteira ou fazer outros pedidos: escreva para contato@mergedesk.com.br com o assunto "LGPD", pelo e-mail da conta. Para proteger você, podemos pedir uma confirmação de identidade. Respondemos em até 15 dias. Depois da exclusão, as cópias de backup somem em até 30 dias.
Alguns dados podem ser mantidos mesmo após um pedido de exclusão quando a lei exigir, por exemplo registros fiscais de pagamentos e registros de acesso. Você também pode apresentar reclamação à ANPD (gov.br/anpd).
10. Outras informações
- Menores de idade: o MergeDesk é destinado a profissionais e não é direcionado a menores de 18 anos.
- Mudanças nesta política: podemos atualizar este texto. Mudanças relevantes serão avisadas na própria versão web, e a data abaixo será atualizada.
Versão de 6 de novembro de 2026.