A presente Política de Privacidade (“Política”) regula o tratamento de dados pessoais realizado pela M360M Artificial Intelligence LTDA (“M360M”, “My 360 Memories”, “nós”, “nosso”) em relação a visitantes do site m360m.ai, usuários da plataforma web, aplicativos associados, integrações empresariais (B2B) e serviços conectados, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD), demais normas brasileiras aplicáveis e, quando pertinente, o Regulamento (UE) 2016/679 (GDPR).
1. Identificação do controlador e encarregado
| Razão social | M360M Artificial Intelligence LTDA |
| CNPJ | 67.869.913/0001-10 |
| Sede | Av. Angélica, 2529 — 8° andar, Sala 108, São Paulo — SP, Brasil |
| Website | https://m360m.ai |
| Canal de privacidade | hello@m360m.ai |
| Encarregado (DPO) | André Barretto — andre.barretto@m360m.ai |
| Comercial | sales@m360m.ai |
2. Definições
Para fins desta Política, aplicam-se as definições da LGPD (art. 5º), incluindo:
- Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
- Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético, biométrico, saúde, vida sexual, dado genético ou biométrico;
- Titular: pessoa natural a quem se referem os dados pessoais;
- Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação, etc.);
- Controlador: M360M Artificial Intelligence LTDA;
- Operador / Subprocessador: terceiro que trata dados em nome do M360M;
- Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o controlador, titulares e ANPD.
3. Âmbito de aplicação
Esta Política aplica-se a:
- Navegação no site marketing estático m360m.ai e dev.m360m.ai;
- Cadastro, login e uso da plataforma web M360M (wellbeing 360°, IA, conexões, Neural Sync, agentes);
- Produtos empresariais (ex.: Wellbeing 360°) quando o empregador contrata o M360M como controlador conjunto ou operador — nestes casos, políticas corporativas complementares podem aplicar-se;
- Integrações autorizadas pelo titular, incluindo WhatsApp Business API, Meta, Open Finance, apps de saúde, produtividade e provedores de IA;
- Formulários de contacto comercial e captura de leads no site.
Esta Política não rege sites ou serviços de terceiros acessados via links ou integrações; consulte as políticas respectivas.
4. Dados pessoais tratados
Conforme a interação do titular, tratamos as categorias abaixo, sempre limitadas ao necessário (data minimization):
4.1 Dados de identificação e cadastro
Nome, sobrenome, e-mail, telefone, data de nascimento (quando solicitada), documento de identificação (quando exigido por regulamentação específica ou contrato B2B), foto de perfil, preferências de idioma, identificadores internos (user_uuid), hash de tenant (voucher_hash).
4.2 Dados de autenticação e segurança
Credenciais de acesso (senha processada de forma irreversível — nunca armazenada em texto claro), tokens JWT, tokens CSRF, registos de login, endereço IP, user-agent, geolocalização aproximada derivada de IP, logs de segurança e detecção de fraude.
4.3 Dados de uso da plataforma e conversas
Mensagens de chat, prompts, respostas de IA, histórico de sessões, metadados de agentes, preferências de interação, feedback, validações de memória Neural Sync, transcrições de videoconferência (somente com consentimento explícito).
4.4 Dados de memória, perfil e inferências
Memórias validadas (DNA), padrões derivados (Neural Sync), M360M Brain, objetivos declarados, preferências de wellbeing, inferências não sensíveis geradas para personalização — sempre vinculadas à conta do titular e sujeitas a consentimento quando a natureza do dado exigir.
4.5 Dados de conexões e integrações
Dados importados de aplicativos conectados voluntariamente: finanças (Open Finance), saúde, fitness, nutrição, produtividade, redes sociais, calendário, e-mail, etc., conforme escopo OAuth/API autorizado. Tokens de acesso, refresh tokens e metadados de sincronização.
4.6 Dados Meta / WhatsApp Business API
Número de telefone comercial, WhatsApp Business Account ID, identificadores de conversa, conteúdo de mensagens, status de entrega/leitura, templates utilizados, webhooks, tokens Meta Graph API, registos de opt-in/opt-out e conformidade com políticas WhatsApp Business.
4.7 Dados empresariais (B2B)
Quando aplicável: nome da empresa, cargo, e-mail corporativo, número de colaboradores, mensagens de formulário de demo, contratos, faturamento e dados agregados/anónimos de programas corporativos (Wellbeing 360°).
4.8 Dados sensíveis
Em módulos de saúde, saúde mental, nutrição ou NR-1, podemos tratar dados de saúde ou psicossociais somente com base legal adequada (consentimento específico, tutela da saúde, cumprimento de obrigação legal ou execução de contrato, conforme art. 11 LGPD) e controles reforçados. Programas empresariais exibem indicadores agregados ao RH — nunca dados individuais identificáveis sem consentimento.
4.9 Dados de marketing e leads
Informações de formulários públicos (nome, e-mail, empresa, mensagem), origem UTM, interações com CTAs e cookies estritamente necessários ou analíticos agregados no site marketing.
5. Finalidades e bases legais
| Finalidade | Dados envolvidos | Base legal (LGPD art. 7º / 11) |
|---|---|---|
| Cadastro, autenticação e gestão de conta | Identificação, autenticação | Execução de contrato (V); consentimento quando aplicável (I) |
| Prestação do serviço de IA, memória e agentes | Conversas, memórias, perfil | Execução de contrato (V); consentimento (I) |
| Integração WhatsApp Business / Meta | Telefone, mensagens, tokens Meta | Consentimento (I); execução de contrato (V) |
| Conexão de apps e Open Finance | Dados de terceiros autorizados | Consentimento (I) |
| Processamento com provedores de IA externos | Conteúdo estritamente necessário | Consentimento explícito por integração (I) |
| Wellbeing 360° e NR-1 (B2B) | Saúde psicossocial agregada; dados individuais privados | Contrato; consentimento; obrigação legal (II) para NR-1 |
| Atendimento, suporte e vendas | Contacto, leads | Legítimo interesse (IX); consentimento |
| Segurança, antifraude, auditoria | Logs, IP, tokens | Legítimo interesse (IX); obrigação legal (II) |
| Cumprimento de obrigações legais e regulatórias | Conforme exigência | Obrigação legal (II) |
| Exercício regular de direitos em processo | Conforme necessidade | Exercício regular de direito (VI) |
6. Meta, Facebook e WhatsApp Business API
Quando o titular conecta serviços Meta ou utiliza WhatsApp Business através do M360M:
- O tratamento limita-se às finalidades consentidas: entrega de mensagens, sincronização de conversas autorizadas, autenticação OAuth e conformidade com políticas Meta;
- O M360M não utiliza dados Meta para publicidade comportamental de terceiros nem revende dados a data brokers;
- O titular pode revogar a integração a qualquer momento em Conexões ou solicitar exclusão conforme Instruções de Exclusão de Dados;
- Dados mantidos exclusivamente nos servidores Meta devem ser geridos via ferramentas de privacidade Meta (ver secção 3 de Exclusão de Dados).
7. Cookies e tecnologias similares
7.1 Site marketing (m360m.ai)
Utilizamos cookies estritamente necessários (sessão, segurança, preferência de idioma) e, quando implementados, cookies analíticos agregados sem identificação directa para fins estatísticos. Não utilizamos cookies de publicidade comportamental de terceiros no site estático.
7.2 Plataforma web autenticada
Cookies de autenticação (webappAccessToken, webappRefreshToken, CSRF) são essenciais ao funcionamento. Armazenamento local pode guardar preferências de interface.
7.3 Gestão
O titular pode configurar o navegador para recusar cookies; funcionalidades essenciais podem deixar de operar. Para cookies não essenciais, quando aplicável, solicitaremos consentimento prévio.
8. Compartilhamento e subprocessadores
Não vendemos dados pessoais. Compartilhamos informações apenas com:
| Subprocessador / Categoria | Finalidade | Localização típica |
|---|---|---|
| Amazon Web Services (AWS) | Hospedagem, RDS, S3, ECS, Redis, CloudFront | EUA / Brasil (conforme ambiente) |
| Meta Platforms / WhatsApp | Mensageria Business API, OAuth | EUA / UE |
| Provedores de IA (OpenAI, Anthropic, Google, xAI, etc.) | Processamento de linguagem natural | EUA / global |
| Pinecone | Armazenamento de vetores de memória/IA | EUA |
| Agregadores Open Finance (Pluggy, Belvo, etc.) | Dados financeiros autorizados | Brasil / EUA |
| Provedores de e-mail e suporte | Comunicação transacional | Conforme contrato |
| Profissionais parceiros (B2B2C) | Encaminhamento com consentimento | Brasil |
Subprocessadores são contratualmente obrigados a observar confidencialidade, segurança e finalidade limitada. Lista actualizada disponível mediante solicitação a hello@m360m.ai.
9. Transferências internacionais
Dados podem ser transferidos para países com nível de proteção distinto do Brasil (notadamente EUA), em especial via AWS, Meta e provedores de IA. Adotamos salvaguardas nos termos dos arts. 33 a 36 da LGPD e, quando aplicável, Cláusulas Contratuais Padrão (SCCs), avaliações de impacto, criptografia e controles de acesso. Titulares no EEE beneficiam-se dos mecanismos GDPR aplicáveis.
10. Retenção e eliminação
Retemos dados pelo tempo necessário às finalidades ou conforme exigido por lei:
- Conta activa: enquanto durar a relação contratual ou base legal;
- Após exclusão de conta: eliminação imediata em sistemas operacionais (hard delete via autosserviço) ou em até 15 dias via solicitação formal; ver Exclusão de Dados;
- Logs de segurança: até 12 meses, salvo investigação;
- Dados fiscais/contratuais: prazos legais (tipicamente 5+ anos);
- Auditoria de compliance: registos em
compliance_deletion_logse equivalentes, sem conteúdo pessoal recuperável.
11. Direitos do titular (LGPD art. 18)
O titular tem direito a:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- Portabilidade a outro fornecedor de serviço, mediante requisição expressa;
- Eliminação dos dados pessoais tratados com consentimento;
- Informação sobre entidades com as quais compartilhamos dados;
- Informação sobre a possibilidade de não consentir e consequências;
- Revogação do consentimento;
- Oposição a tratamento em hipóteses legais;
- Revisão de decisões tomadas unicamente com base em tratamento automatizado.
Como exercer: e-mail para hello@m360m.ai ou funcionalidades de autogestão na plataforma. Prazo de resposta: até 15 dias (LGPD art. 18, § 4º). Reclamações: ANPD (gov.br/anpd).
12. Segurança da informação
Implementamos medidas técnicas e organizacionais alinhadas a privacy by design e security by default, incluindo:
- Criptografia TLS 1.2+ em trânsito e AES-256 em repouso;
- Segregação multi-tenant por schema/voucher;
- Autenticação JWT, CSRF, rate limiting e WAF;
- Controle de acesso baseado em funções (RBAC);
- Auditoria em
compliance_deletion_logs,audit_logse trilhas de segurança; - Gestão de credenciais de IA encriptadas (AES-256-GCM).
13. Decisões automatizadas e perfilamento
O M360M utiliza sistemas de IA para personalização, detecção de padrões (Neural Sync) e recomendações. Decisões com efeitos jurídicos ou impacto significativo não são tomadas de forma exclusivamente automatizada sem revisão humana quando exigido por lei. O titular pode solicitar revisão e informações sobre a lógica utilizada, nos limites do segredo comercial e propriedade intelectual.
14. Crianças e adolescentes
O serviço destina-se a maiores de 18 anos. Não colectamos intencionalmente dados de menores sem consentimento do responsável legal. Se tomarmos conhecimento de cadastro indevido, eliminaremos os dados após verificação.
15. Alterações desta Política
Podemos actualizar esta Política para reflectir alterações legais, regulatórias ou operacionais. A versão vigente estará sempre disponível nesta URL com data de vigência. Alterações materiais serão comunicadas por e-mail ou aviso destacado na plataforma com antecedência razoável.
16. Lei aplicável e foro
Esta Política rege-se pelas leis da República Federativa do Brasil. Fica eleito o foro da Comarca de São Paulo — SP, salvo competência absoluta do domicílio do consumidor (CDC).