Política de Privacidade do Crivo by mesttra

Versão 1.1 · Minuta de 7 de setembro de 2026 · Para revisão jurídica

Esta Política explica, em linguagem clara, como a [definir: razão social da mesttra] ("mesttra") trata dados pessoais no site crivo.mesttra.com e na plataforma Crivo, nos termos dos arts. 6º, VI, e 9º da Lei nº 13.709/2018 (LGPD). Ela vale para três grupos de pessoas, cada um com uma seção própria.

1. Quem trata os dados e como falar conosco

Controladora para o site e para as contas de usuário: a mesttra, CNPJ [definir], [definir: endereço].

Operadora para os dados que chegam nos convites: a mesttra trata esses dados em nome da empresa cliente, que é a controladora (seção 4).

Encarregado pelo tratamento de dados (art. 41 da LGPD): [definir: nome], e-mail [definir: privacidade@mesttra.com]. [Alternativa se a mesttra optar pela dispensa prevista para agentes de pequeno porte, Res. CD/ANPD nº 2/2022, art. 11: "A mesttra é agente de pequeno porte e mantém o canal privacidade@mesttra.com para atendimento aos titulares e à ANPD."]

2. Visitantes do site e pedidos de contato

O que coletamos. Se você preencher o formulário de contato: nome, empresa, e-mail, telefone (opcional), perfil da empresa, volume estimado de convites e a mensagem que escrever. A navegação no site não usa cookies de rastreamento nem ferramentas de análise de terceiros; o site guarda no seu navegador apenas a preferência de tema (claro ou escuro).

Para que. Retornar o seu pedido de contato e apresentar a plataforma.

Base legal. Execução de procedimentos preliminares a pedido do titular (art. 7º, V) e legítimo interesse da mesttra em responder a quem a procurou (art. 7º, IX).

Com quem compartilhamos. O pedido é enviado por e-mail à equipe comercial da mesttra pelo provedor de e-mail transacional (Anexo III do Acordo de Tratamento de Dados). Não vendemos nem cedemos esses dados.

Por quanto tempo. Até o retorno do contato e por [definir, sugestão 12 meses]; se houver contratação, os dados passam a seguir a seção 3.

3. Usuários da plataforma

O que coletamos. Nome, e-mail corporativo, senha (guardada apenas como resumo criptográfico irreversível), papel na empresa (administrador ou analista), preferência de segundo fator, registros de acesso (data, hora, endereço IP, ação) e as decisões que você registra na plataforma (que convite orçou, pediu informações ou agradeceu, e quando).

Para que. Autenticar você, proteger a conta, permitir que a sua empresa saiba quem decidiu o quê (rastreabilidade), enviar mensagens do sistema (convite de acesso, código de segundo fator, redefinição de senha, aviso de decisão) e cumprir obrigações legais.

Base legal. Execução do contrato entre a mesttra e a sua empresa (art. 7º, V), legítimo interesse na segurança da conta e na prevenção a fraudes (art. 7º, IX) e obrigação legal de guarda de registros de acesso (Lei nº 12.965/2014, art. 15).

Cookies. A plataforma usa um cookie de sessão estritamente necessário (crivo_session, com as marcações HttpOnly, Secure e SameSite) e, durante o segundo fator, um cookie temporário de dez minutos. Não há cookies de publicidade ou análise.

Por quanto tempo. Enquanto a sua conta existir. Registros de acesso: [definir, entre 6 meses e 5 anos] (mínimo de 6 meses pelo art. 15 do Marco Civil da Internet). Decisões registradas: enquanto o contrato da sua empresa durar, pois são o histórico da própria empresa.

Seus direitos. Os da seção 5, exercidos diretamente com a mesttra.

4. Pessoas cujos dados chegam nos convites

Quando uma empresa cliente encaminha ao Crivo um convite de orçamento recebido, esse e-mail e seus anexos costumam conter dados de quem o enviou ou de quem é indicado como contato: nome, cargo, empresa, e-mail e telefone profissionais, além do conteúdo comercial do pedido.

Quem responde por esse tratamento. A empresa cliente, que recebeu o convite e decidiu encaminhá-lo, é a controladora. A mesttra é operadora: trata os dados apenas para entregar a triagem àquela empresa, conforme o Acordo de Tratamento de Dados. A base legal é definida pela empresa cliente; em geral, execução do contrato ou dos procedimentos preliminares entre ela e a sua empresa (art. 7º, V) e legítimo interesse dela em organizar os pedidos que recebe (art. 7º, IX).

O que o Crivo faz com esses dados. Lê o e-mail e os anexos para extrair as informações do pedido (o que é, onde, quanto, quando), aplica as regras da empresa cliente e mostra o resultado à equipe dela. Antes de enviar trechos a um provedor de inteligência artificial para leitura, o Crivo substitui por marcadores os nomes de pessoas, telefones e valores, salvo se a empresa cliente tiver desativado esse mascaramento (decisão registrada). O provedor de IA é contratado com proibição de uso dos dados para treinamento.

O que o Crivo não faz. Não envia nenhuma mensagem a você. Não toma decisão automatizada sobre você: a decisão de participar ou não do orçamento é de uma pessoa da empresa cliente. Não cruza os seus dados entre empresas clientes diferentes.

Por quanto tempo. O e-mail e os anexos são eliminados após 365 dias do recebimento (a empresa cliente pode ajustar esse prazo dentro de [definir: 90 a 730 dias]). Os campos extraídos e a decisão registrada permanecem enquanto o contrato da empresa cliente durar, como histórico dela.

Seus direitos. Os da seção 5. Como a controladora é a empresa cliente, dirija o pedido a ela. Se você escrever à mesttra, encaminharemos o pedido à empresa cliente em até 5 dias úteis e informaremos a você a quem foi encaminhado, sem decidir no mérito (art. 18, § 3º, e art. 39 da LGPD).

5. Direitos dos titulares (art. 18 da LGPD)

Você pode pedir, a qualquer tempo e gratuitamente: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade a outro fornecedor, observados os segredos comercial e industrial; informação sobre com quem compartilhamos; informação sobre a possibilidade de não fornecer consentimento e suas consequências; e revogação do consentimento, quando essa for a base legal.

Como pedir. Pelo e-mail [definir: privacidade@mesttra.com], informando nome e o e-mail pelo qual acredita constar em nossos sistemas. Para proteger você, podemos pedir confirmação de identidade antes de atender.

Prazos. Confirmação de tratamento e acesso: em formato simplificado, de imediato; em declaração completa, em até 15 dias (art. 19, II). Demais pedidos: em até 15 dias, ou informaremos por escrito o motivo de não podermos atender de imediato.

Reclamação. Você também pode se dirigir à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

6. Compartilhamento e transferência internacional

A mesttra usa fornecedores para hospedar a plataforma, enviar e receber e-mails, ler documentos com inteligência artificial e emitir cobranças. A lista completa, com a função e o país de cada um, está no Anexo III do Acordo de Tratamento de Dados e é mantida atualizada. Fornecedores fora do Brasil recebem dados com base em cláusulas contratuais padrão aprovadas pela ANPD (Res. CD/ANPD nº 19/2024) ou em outro mecanismo previsto no art. 33 da LGPD. A mesttra não vende dados pessoais e não os compartilha para fins de publicidade.

7. Segurança

Adotamos medidas técnicas e administrativas proporcionais aos riscos, descritas no Anexo II do Acordo de Tratamento de Dados, entre elas: isolamento dos dados de cada empresa cliente imposto pelo banco de dados; criptografia em trânsito; senhas guardadas apenas como resumo criptográfico; segundo fator de autenticação; limite de tentativas de acesso; registro de auditoria; e ambiente de desenvolvimento sem dados reais. Em caso de incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos a ANPD e os afetados nos prazos da Res. CD/ANPD nº 15/2024.

8. Crianças e adolescentes e dados sensíveis

A plataforma é ferramenta empresarial e não se destina a menores de 18 anos nem ao tratamento de dados pessoais sensíveis. Se tais dados chegarem incidentalmente em um documento, não são extraídos como campo e seguem a eliminação da seção 4.

9. Alterações desta Política

Publicaremos a versão vigente, com data, em crivo.mesttra.com/privacidade [definir: endereço final] e no rodapé da tela de login. Alterações relevantes serão comunicadas aos administradores das empresas clientes por e-mail.

Histórico de versões: 1.1 (07/09/2026) primeira versão como documento separado.