Política de Privacidade

A Matilha é um sistema de gestão para pequenos e médios negócios, operado pela Vira-Lata Lab, nome empresarial 64.893.353 Lucas Marques Machado, inscrita no CNPJ sob o número 64.893.353/0001-40, com sede em Parque São Francisco, Itatiba/SP.

Esta política explica como tratamos dados pessoais, nos termos da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados (LGPD).

Esta é a parte mais importante do documento, porque muda de quem é cada obrigação. A Matilha ocupa dois papéis diferentes ao mesmo tempo:

Na prática: se você é dono de uma oficina e cadastra o telefone e a placa de um cliente seu na Matilha, o controlador desses dados é você, não a Matilha. Cabe a você informar seus clientes sobre o que coleta e por quê, e ter base legal para isso. Nós tratamos esses dados apenas para operar o sistema, sob as suas instruções.

Se você é cliente final de um negócio que usa a Matilha e quer exercer direitos sobre seus dados, o caminho mais curto é falar com o próprio negócio. Se preferir falar conosco, encaminhamos ao controlador e ajudamos no que for tecnicamente necessário.

Esses dados são de responsabilidade do negócio contratante. A lista varia conforme os módulos contratados e o segmento:

Atenção a dados sensíveis. Alguns segmentos podem registrar informação de saúde, como ficha de anamnese em clínica ou estúdio. A LGPD trata isso como dado pessoal sensível e exige base legal específica. Se o seu negócio guarda esse tipo de informação na Matilha, a responsabilidade por essa base legal é sua.

As bases legais que usamos, conforme o artigo 7º da LGPD:

Não vendemos dados pessoais. Nunca. Compartilhamos apenas com os fornecedores de infraestrutura necessários para o serviço existir:

Quando o negócio liga um canal de venda (iFood, Mercado Livre, Shopee), a Matilha recebe desse canal os dados do pedido necessários para prepará-lo e registrá-lo como venda — por exemplo, pedido: nome do cliente, itens, observações, endereço de entrega e forma de pagamento. Esses canais tratam os dados dos seus usuários pelas próprias políticas.

Quando o negócio conecta o próprio número de WhatsApp, as mensagens saem em nome dele, e a conta na Meta é do negócio. A Matilha guarda apenas o acesso necessário para enviar e receber por esse número, cifrado, e o apaga quando o número é desconectado.

Também podemos compartilhar dados quando houver ordem judicial ou requisição de autoridade competente. Se isso acontecer e a lei permitir avisar, avisamos.

O banco de dados da Matilha fica em território brasileiro, na região de São Paulo. Mas a aplicação que lê esse banco roda em servidores nos Estados Unidos, o WhatsApp e o Instagram são operados pela Meta fora do Brasil e as respostas automáticas são geradas pela OpenAI, também nos Estados Unidos. Isso significa que existe transferência internacional de dados.

Ela acontece com base no artigo 33 da LGPD, para execução do contrato, e exigimos dos fornecedores cláusulas contratuais de proteção equivalentes às garantias da lei brasileira.

Encerrado o contrato e vencidos os prazos acima, os dados são apagados ou anonimizados.

O que está implementado hoje:

• Isolamento por negócio no próprio banco de dados. A separação não depende do código da aplicação acertar o filtro: o banco recusa a leitura de dados de outra empresa.
• Conexão cifrada em toda a comunicação com o sistema.
• Permissão por papel: quem é profissional enxerga o que precisa para trabalhar, não a base inteira.
• Links públicos, como o comprovante de ordem de serviço, usam endereço não adivinhável e mostram apenas o que o próprio cliente já sabe. Nada de custo interno ou dado de terceiros.
• Segredos de integração ficam em cofre de variáveis de ambiente, nunca no código.

Nenhum sistema é imune. Se ocorrer incidente de segurança com risco relevante, comunicamos os afetados e a Autoridade Nacional de Proteção de Dados nos prazos da lei.

O artigo 18 da LGPD garante a você, a qualquer momento e sem custo:

• Confirmar se tratamos dados seus e acessar esses dados
• Corrigir dado incompleto, inexato ou desatualizado
• Pedir anonimização, bloqueio ou eliminação de dado desnecessário ou tratado fora da lei
• Pedir a portabilidade dos dados a outro fornecedor
• Eliminar dados tratados com base em consentimento
• Saber com quem compartilhamos seus dados
• Revogar consentimento
• Se opor a tratamento feito com base em legítimo interesse

Respondemos em até 15 dias. Para pedir qualquer um desses direitos, use o contato da seção 13.

No painel, usamos apenas o necessário para o serviço funcionar: um cookie de sessão que mantém você conectado e lembra preferências básicas.

No site da Matilha (a página inicial, as páginas de cada tipo de negócio, planos, módulos, cadastro, login, termos e esta política), usamos também cookies de medição e de publicidade, do Google Analytics e dos que o Google Tag Manager carrega: servem pra saber quantas pessoas visitam, de onde vieram, quais anúncios trouxeram quem se cadastrou e pra mostrar anúncio da Matilha a quem já visitou o site. Quem trata esses dados são o Google e as redes onde a Matilha anuncia, nos servidores delas, fora do Brasil. Não vendemos audiência e não usamos esses cookies no painel nem nas páginas dos negócios.

Nessas mesmas páginas, um cookie nosso (mtl_origem) guarda por 60 dias de onde a visita veio: o link ou o anúncio que trouxe você e a página em que entrou. Se você se cadastrar, isso fica junto da conta da empresa, pra eu saber qual canal trouxe quem assina. Não sai daqui e não serve pra anúncio.

Nas páginas abertas ao cliente final (agendamento, cardápio, pedido pela mesa, fila, recibo e ordem de serviço), o navegador guarda só o que a página precisa pra funcionar, como o pedido em andamento ou o lugar na fila, sem medição nem publicidade. Na primeira visita, a página avisa desse uso.

Dá pra bloquear os cookies de medição e de publicidade no navegador ou com uma extensão de bloqueio, sem perder nada do site.

Bloquear esse cookie no navegador impede o login, porque é ele que sustenta a sessão.

A Matilha não é destinada a menores de 18 anos, e não criamos conta para menores. Um negócio pode legitimamente atender menores, como uma barbearia que corta cabelo de criança. Nesse caso, o negócio é o controlador e cabe a ele obter o consentimento de ao menos um dos pais ou do responsável legal, na forma do artigo 14 da LGPD.

Para exercer direitos, tirar dúvidas sobre esta política ou relatar um problema de privacidade:

Encarregado pelo tratamento de dados pessoais
Lucas Marques Machado
privacidade@viralatalab.com.br

Você também pode reclamar diretamente à Autoridade Nacional de Proteção de Dados, pelo site gov.br/anpd.

Quando mudarmos algo relevante, atualizamos a data no topo desta página e avisamos no painel antes de a mudança valer. Continuar usando a Matilha depois disso significa que você está ciente da versão nova.