Política de Privacidade
Identificação do Controlador
O Métri é uma plataforma SaaS de precificação de procedimentos estéticos desenvolvida e operada por:
CNPJ: 67.577.176/0001-81
E-mail do Encarregado (DPO): metrigestao@gmail.com
Na qualidade de controladora de dados pessoais, nos termos do art. 5.º, VI, da Lei 13.709/2018 (LGPD), a empresa acima identificada é responsável pelas decisões relativas ao tratamento de dados pessoais dos usuários da plataforma Métri.
Quais dados coletamos e por quê
Coletamos apenas os dados estritamente necessários para fornecer e melhorar nossos serviços, observando os princípios de minimização e finalidade previstos no art. 6.º da LGPD. Abaixo, listamos cada categoria de dado, sua finalidade e a base legal aplicável:
| Dado | Finalidade | Base legal (LGPD) |
|---|---|---|
| Nome completo | Identificação do usuário; emissão de nota fiscal | Execução de contrato (art. 7.º, V) e obrigação legal (art. 7.º, II) |
| CPF | Obrigação fiscal; emissão de nota fiscal pela Receita Federal | Obrigação legal (art. 7.º, II) |
| Endereço completo | Emissão de nota fiscal; verificação cadastral | Obrigação legal (art. 7.º, II) |
| Acesso ao sistema; comunicações sobre o serviço contratado | Execução de contrato (art. 7.º, V) e legítimo interesse (art. 7.º, IX) | |
| Senha | Autenticação e acesso seguro à conta | Execução de contrato (art. 7.º, V) — armazenada exclusivamente em hash criptográfico (bcrypt) |
| Documentos fiscais (PDFs e XMLs de Notas Fiscais Eletrônicas — NF-e) | Extração automatizada de dados de insumos e custos para alimentar os cálculos de precificação da plataforma. O processamento é realizado via API de Inteligência Artificial (OpenAI) e os arquivos não são armazenados após a extração. | Execução de contrato (art. 7.º, V) — funcionalidade opcional acionada pelo próprio usuário |
| Dados de uso (logs, sessões, IP) | Segurança da plataforma; diagnóstico de falhas; melhoria do produto | Legítimo interesse (art. 7.º, IX) |
| Dados de marketing | Envio de conteúdo promocional, novidades e ofertas por e-mail | Consentimento livre e específico (art. 7.º, I) — somente se marcado no cadastro |
Como usamos e armazenamos os dados
O tratamento dos seus dados pessoais é realizado apenas para as finalidades descritas nesta Política, observando os princípios de finalidade, adequação e necessidade da LGPD (art. 6.º, I, II e III).
Infraestrutura de armazenamento — Supabase:
Todos os dados cadastrais, de procedimentos, insumos e configurações da plataforma são armazenados de forma segura no Supabase (supabase.com), plataforma de banco de dados gerenciada que opera sobre infraestrutura da AWS com criptografia em repouso (AES-256) e em trânsito (TLS 1.2+). O Supabase atua como operador de dados nos termos do art. 5.º, VII da LGPD, sob contrato que exige conformidade com as boas práticas de proteção de dados.
Processamento de documentos fiscais — OpenAI:
Quando o usuário opta por importar Notas Fiscais Eletrônicas (PDFs ou XMLs de NF-e), o conteúdo do documento é enviado à API da OpenAI (openai.com) exclusivamente para extração automatizada de dados de insumos (descrição do produto, quantidade e valor unitário), que são então utilizados para pré-preencher o cadastro de insumos na plataforma. Após a extração:
- O arquivo original não é armazenado nos servidores do Métri ou da OpenAI;
- Os dados extraídos ficam disponíveis apenas na conta do usuário no Supabase;
- A OpenAI atua como operador sob política de uso de dados via API que proíbe o uso de dados de API para treinamento de modelos sem consentimento explícito.
A funcionalidade de importação de NF-e é sempre opcional e acionada exclusivamente pelo usuário.
Retenção de dados:
- Enquanto sua conta estiver ativa: todos os dados cadastrais e de uso são mantidos para prestação do serviço contratado.
- Após o encerramento da conta: dados são mantidos por 5 (cinco) anos para cumprimento de obrigações fiscais e legais, conforme o prazo prescricional previsto no Código Tributário Nacional.
- Dados tratados exclusivamente com base em consentimento podem ser eliminados antecipadamente mediante solicitação (ver Seção 5).
Não compartilhamos seus dados pessoais com terceiros para fins comerciais, de publicidade ou qualquer outra finalidade não prevista nesta Política.
Compartilhamento de dados
Seus dados são compartilhados apenas com os serviços terceiros estritamente necessários para a operação da plataforma, todos atuando como operadores de dados sob contrato com cláusulas de proteção adequadas. Abaixo, a lista completa dos sub-processadores:
| Serviço | Finalidade | Dados acessados |
|---|---|---|
| Supabase | Banco de dados e autenticação | Todos os dados cadastrais e da plataforma |
| Stripe | Processamento de pagamentos e assinaturas | Nome, e-mail e dados de cobrança (cartão processado diretamente pela Stripe; o Métri não armazena dados de cartão) |
| OpenAI | Extração de dados de notas fiscais (NF-e) para pré-preenchimento de insumos | Conteúdo do documento fiscal enviado pelo usuário (não armazenado após o processamento) |
Além dos sub-processadores acima, seus dados também podem ser compartilhados nas seguintes hipóteses excepcionais:
- Cumprimento de obrigação legal ou regulatória — quando exigido por autoridades governamentais, como a Receita Federal, o Poder Judiciário ou a Autoridade Nacional de Proteção de Dados (ANPD).
- Proteção de direitos — em procedimentos judiciais, administrativos ou arbitrais nos quais o Métri seja parte ou tenha interesse legítimo.
Direitos do titular (art. 18 da LGPD)
Nos termos do art. 18 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:
- Confirmação de tratamento: saber se tratamos seus dados pessoais.
- Acesso: receber cópia dos dados que mantemos sobre você.
- Correção: corrigir dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
- Portabilidade: receber seus dados em formato estruturado e interoperável para transferência a outro fornecedor, observados segredos comerciais.
- Eliminação dos dados tratados com consentimento: solicitar a exclusão de dados cuja base legal seja o consentimento, salvo quando a retenção for obrigatória por lei.
- Informação sobre compartilhamento: saber com quais entidades seus dados são compartilhados.
- Revogação do consentimento: retirar o consentimento a qualquer momento, sem prejuízo de tratamentos já realizados.
- Revisão de decisões automatizadas: solicitar revisão humana de decisões tomadas exclusivamente com base em tratamento automatizado que afetem seus interesses.
Exclusão de conta: você pode solicitar a exclusão completa da sua conta e de todos os dados associados a qualquer momento, enviando e-mail para metrigestao@gmail.com com o assunto "Exclusão de conta — LGPD". Após a confirmação, procederemos à exclusão de todos os dados dentro de 30 dias, salvo os dados cuja retenção seja obrigatória por lei (ex.: dados fiscais pelo prazo prescricional de 5 anos).
Como exercer seus demais direitos: envie um e-mail para metrigestao@gmail.com identificando-se como titular e descrevendo sua solicitação. Responderemos em até 15 (quinze) dias úteis.
Segurança dos dados
Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais contra acesso não autorizado, perda, alteração ou destruição acidental, incluindo:
- Criptografia de senhas: armazenamos senhas exclusivamente em formato hash com algoritmo bcrypt (ou equivalente de segurança similar), garantindo que nem a equipe do Métri tenha acesso à sua senha em texto claro.
- Criptografia em trânsito: todas as comunicações entre seu dispositivo e nossos servidores utilizam protocolo HTTPS/TLS.
- Controle de acesso por função (RBAC): os dados são acessíveis apenas aos colaboradores e sistemas que necessitam deles para desempenhar suas funções.
- Monitoramento e logs de acesso: registramos e monitoramos acessos para detectar e responder a incidentes de segurança.
Caso identifique qualquer vulnerabilidade ou incidente, entre em contato imediatamente com metrigestao@gmail.com.
Transferência internacional de dados
Alguns de nossos fornecedores de infraestrutura podem estar sediados ou armazenar dados fora do Brasil. Nestes casos, garantimos que a transferência ocorre:
- Para países com nível de proteção adequado reconhecido pela ANPD; ou
- Com base em cláusulas contratuais padrão que garantam proteção equivalente à LGPD.
Stripe: sede nos EUA, certificação PCI DSS Nível 1. Transferência com base em adequação reconhecida e cláusulas contratuais padrão.
OpenAI: sede nos EUA. Dados de documentos fiscais enviados à API não são armazenados após o processamento, conforme a política de uso de dados via API da OpenAI.
Alterações nesta Política
Podemos atualizar esta Política de Privacidade para refletir mudanças em nossas práticas ou para cumprir novos requisitos legais. Quando realizarmos alterações relevantes:
- Notificaremos você por e-mail com, no mínimo, 15 (quinze) dias de antecedência.
- A data da versão atualizada será exibida no topo deste documento.
- Para alterações que exijam novo consentimento, solicitaremos sua manifestação expressamente.
O uso continuado da plataforma após o prazo de notificação implica aceitação das alterações realizadas.
Contato e canal de privacidade
Para qualquer dúvida, solicitação ou reclamação relativa ao tratamento dos seus dados pessoais, entre em contato exclusivamente pelo canal de privacidade:
Prazo de resposta: até 15 dias úteis
Você também tem o direito de apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD), acessível em www.gov.br/anpd.