Política de Privacidade

A Makatea é Controladora dos dados da sua conta e Operadora dos dados da sua carteira. Os dados ficam nos Estados Unidos com criptografia em trânsito e em repouso. A Makatea não vende dados pessoais. A política cobre México, América Latina, União Europeia, Reino Unido, Estados Unidos e Índia. Os direitos são exercidos gratuitamente em rodrigo@makatea.ai.

SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (doravante, "Makatea", "nós" ou o "Controlador"), pessoa jurídica mexicana com RFC SOB240719U87 e endereço na Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México, opera a plataforma de software como serviço (SaaS) Makatea destinada à comunicação, cobrança e gestão de carteira.

Esta Política aplica-se em todos os países onde a Makatea presta o Serviço. As seções específicas por país (Seção 12) cobrem México, Colômbia, Brasil, Equador, Peru, a União Europeia e a Espanha, o Reino Unido, os Estados Unidos e a Índia. Complementam esta Política e, no que couber, prevalecem para os titulares de cada país. Nos demais países aplicam-se esta Política e a lei local de proteção de dados.

1. Identidade e endereço do Controlador

• Razão social: SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V.
• Identificação fiscal (RFC): SOB240719U87 (pessoa jurídica mexicana, constituída em 19 de julho de 2024)
• Endereço: Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México
• Único estabelecimento: México
• E-mail de contato em matéria de privacidade: rodrigo@makatea.ai
• Telefone de contato: +52 81 2007 2062

Contato único de privacidade / Encarregado de Proteção de Dados (DPO / Encarregado no Brasil): José Rodrigo Barrios Villa, rodrigo@makatea.ai. Este é o canal único para todas as jurisdições e para o exercício dos direitos dos titulares.

2. Duplo papel da Makatea: Controlador vs. Encarregado/Operador

A Makatea trata dados pessoais sob dois papéis distintos, e é fundamental distingui-los.

2.1. Dados da CONTA do cliente-usuário · a Makatea atua como CONTROLADOR

Quanto aos dados das pessoas que criam e administram uma conta na Makatea (os usuários das organizações clientes: titulares de conta, administradores e membros), a Makatea atua como Controlador do tratamento (controlador, nos termos da LGPD brasileira, responsable, em outras jurisdições).

2.2. Dados da CARTEIRA de terceiros · a Makatea atua como OPERADOR

Quanto aos dados pessoais dos clientes, devedores ou contatos finais que a organização cliente importa, carrega e gerencia na plataforma (a "carteira"), a Makatea atua como Operador do tratamento (data processor), por conta e conforme as instruções da organização cliente, que é o Controlador desses dados.

Isso significa que:

• A organização cliente determina as finalidades e os meios do tratamento dos dados de sua carteira, é responsável por dispor da base legal/legitimação e do consentimento (quando aplicável) para tratar esses dados e para carregá-los na Makatea, e é responsável por atender aos direitos de seus próprios clientes/devedores.
• A Makatea trata esses dados unicamente para prestar o serviço contratado (gestão de carteira, comunicação, cobrança, conciliação de pagamentos), seguindo as instruções da organização cliente, e não os utiliza para finalidades próprias distintas. A única exceção é a geração de relatórios/insights solicitados pela própria organização, para a qual se processam dados agregados/derivados da carteira (ver Seções 4.1, 6 e 10).
• A relação Controlador–Operador rege-se por um acordo de tratamento de dados (DPA) celebrado entre a Makatea e a organização cliente, que delimita o papel de Operador e inclui cláusulas de segurança, confidencialidade, atendimento de direitos e suboperação. O DPA é aceito eletronicamente ao aceitar os Termos de Serviço (click-wrap) e fica incorporado por referência; não requer assinatura de próprio punho nem um ato de assinatura separado. A organização cliente (Controlador) aceita o DPA ao se cadastrar e contratar o serviço. O texto do DPA está disponível publicamente em https://makatea.ai/pt/legal/dpa.

Se você for um cliente/devedor final cujos dados foram carregados na Makatea por uma empresa com a qual mantém uma relação, e desejar exercer seus direitos, deve dirigir-se em primeiro lugar a essa empresa (o Controlador). A Makatea encaminhará e atenderá as solicitações na sua condição de Operador, conforme as instruções do Controlador.

3. Dados pessoais que tratamos

3.1. Dados da conta do cliente-usuário (Makatea = Controlador)

Coletados diretamente do usuário no momento do cadastro e do uso da plataforma:

• Nome completo
• E-mail (identificador de conta; utilizado para login, recuperação de senha e verificação de e-mail)
• Telefone
• Senha (armazenada sempre de forma criptografada/com hash, nunca em texto puro)
• Nome da organização
• Fuso horário e preferência de idioma (es/en/pt)
• Consentimento de marketing (opt-in: indicador de se aceita receber comunicações promocionais da Makatea)
• Marca temporal (timestamp) de aceitação dos termos
• Função dentro da organização
• Registros de auditoria associados às suas ações, incluindo endereço IP, user-agent (navegador/dispositivo) e marca temporal das ações realizadas na plataforma (criação, atualização, exclusão, login, importação, envio, registro de pagamento)
• Inscrições de notificações push do navegador (endpoint e chaves de criptografia do navegador), quando o usuário as ativa
• Dados de navegação coletados no site público por meio de cookies e tecnologias semelhantes: identificador pseudônimo do navegador, endereço IP, tipo de navegador e dispositivo, sistema operacional, idioma, localização aproximada em nível de cidade, origem da visita (referenciador ou campanha), páginas visualizadas e horários de acesso

Cookies de medição. O site público usa cookies de medição de tráfego, com finalidade estatística. Esses cookies ficam associados a um identificador pseudônimo do navegador, não ao seu nome nem ao seu e-mail, e servem para saber quais páginas são consultadas e de onde chegam os visitantes. Na União Europeia, no Espaço Econômico Europeu e no Reino Unido só são ativados se você os aceitar no aviso de cookies. Podem ser bloqueados ou apagados na configuração do navegador, sem que isso impeça o uso da plataforma. O detalhe está na Política de Cookies, https://makatea.ai/pt/legal/cookies. No Brasil, o tratamento se fundamenta no legítimo interesse (art. 7º, IX, LGPD) e o titular pode opor-se a ele pelos canais indicados nesta Política.

Caráter obrigatório ou facultativo dos dados de conta. No formulário de cadastro são obrigatórios os dados necessários para criar e operar a conta: nome, e-mail, senha e nome da organização. São facultativos: telefone, preferência de idioma/fuso horário e o consentimento de marketing. Consequência de não fornecer os dados obrigatórios: não será possível criar a conta nem prestar o serviço.

3.2. Dados da carteira de terceiros (Makatea = Operador)

Carregados pela organização cliente sobre seus próprios clientes/devedores. A Makatea os armazena e processa por conta do Controlador.

Dados de identificação e contato do terceiro:

• Nome completo (obrigatório)
• Telefone (normalizado para mensageria; os canais operacionais são WhatsApp e e-mail)
• E-mail (opcional)
• Endereço
• Dados de identificação nacional/fiscal, conforme o país, incluindo no México CURP e RFC (armazenados em um campo de identidade)
• Referência externa (identificador do terceiro no sistema de origem do cliente)
• Campos personalizados definidos livremente pela organização cliente
• Etiquetas e notas de texto livre

Dados financeiros e de carteira do terceiro:

• Saldo inicial na importação e situação inicial no sistema de origem
• Ordens de pagamento: valor, moeda, data de vencimento, etiqueta de período, situação (pendente/vencida/paga/cancelada), valor pago
• Créditos e cronogramas de pagamento: valor principal, valor total, número e frequência de períodos, data de início, situação
• Registro de pagamentos (ledger): valor, método de pagamento (transferência/dinheiro/QR/externo), referência/comprovante de pagamento, usuário que registrou o pagamento, marca temporal, notas e registros de estorno
• Comprovantes de pagamento (tipo, referência, quem e quando confirmou, notas)
• Situação da relação derivada do comportamento de carteira (ativo/em risco/inadimplente/inativo/baixado), calculada pelo sistema e não editável manualmente

Dados de identidade/KYC do terceiro (documentos):

• Documentos de identidade e comprovante de endereço (p. ex., identificação oficial frente e verso, comprovante), armazenados em armazenamento privado, com tipo, situação (ok/faltante) e descrição

Natureza sensível / categorias especiais e dados financeiros. Alguns desses dados podem constituir dados patrimoniais/financeiros (saldos, dívidas, comprovantes) e dados de identificação reforçada. Em várias jurisdições, esses dados exigem bases de legitimação reforçadas ou consentimento expresso. A obtenção de tal consentimento/base legal em relação aos terceiros cabe à organização cliente (Controlador), não à Makatea. Quando a Makatea tratar dados financeiros/patrimoniais como Controlador (dados de conta do usuário), coletará o consentimento expresso documentado cabível (ver Seções 5 e 12.1).

Dados de conciliação bancária do terceiro:

• Referência de pagamento fixa do banco, CLABE de origem e apelidos de pagadores aprendidos a partir de transações, linhas de arquivos bancários (nome do pagador, CLABE, data, referência, valor)

Dados de comunicação e interações:

• Texto completo das mensagens (recebidas e enviadas), canal (WhatsApp e e-mail), direção (recebida/enviada), classificação da intenção da mensagem (p. ex., intenção de pagamento, pergunta, objeção, reprogramação, exclusão/"opt-out", sem intenção), metadados da classificação (regra ou modelo, versão, confiança, latência), marca temporal e, se for o caso, URL do arquivo de mídia anexado
• Dados de sequências/campanhas (quando e por que cada mensagem foi programada/enviada)
• Consentimentos e exclusões (opt-out): canais dos quais o terceiro se excluiu e registro de solicitações de exclusão ("não me mandem mais"), conservados como parte do histórico

Canais de comunicação. Os canais de envio operacionais são WhatsApp e e-mail. A Makatea não opera SMS como canal de envio.

Não tratamento de dados de cartão. O processamento de pagamentos com cartão é realizado em ambientes hospedados pelos processadores de pagamento; os dados de cartão não são tratados nem armazenados pela Makatea (ver Seção 6).

4. Finalidades do tratamento

4.1. Dados da conta (Makatea = Controlador)

• Criar, autenticar e administrar a conta do usuário e sua organização (cadastro, login, verificação de e-mail, recuperação de senha, convites)
• Prestar, manter e dar suporte ao serviço contratado
• Gerenciar funções, permissões e isolamento de dados por organização
• Manter registros de auditoria e segurança da plataforma
• Medir o tráfego do site público com finalidade estatística: páginas consultadas, origem das visitas e comportamento agregado de navegação, para melhorar o conteúdo e o serviço
• Monitorar a saúde operacional do serviço de cada organização (estado de conexão dos seus canais, volumes de envio e recebimento, filas de mensagens pendentes, erros de entrega e datas de última atividade). Esse monitoramento usa exclusivamente metadados operacionais: em nenhum caso implica acesso da equipe da Makatea ao conteúdo das mensagens nem aos dados pessoais da carteira da organização
• Gerar relatórios e informações agregadas para a organização (incluídos relatórios semanais com narrativa gerada por IA a partir de métricas agregadas/derivadas, e não de registros individuais completos)
• Marketing (somente se o usuário tiver concedido o consentimento opt-in): envio de comunicações promocionais da Makatea. Esta finalidade não é necessária para a prestação do serviço e pode ser revogada a qualquer momento.

4.2. Dados da carteira de terceiros (Makatea = Operador)

A Makatea trata esses dados exclusivamente por conta e por instrução da organização cliente, para:

• Armazenar e organizar a carteira da organização cliente
• Enviar comunicações de cobrança, lembretes e campanhas aos contatos da organização, pelos canais configurados
• Registrar e classificar interações; aprender preferências de contato (canal preferido, melhor horário, taxa de resposta) para otimizar a comunicação
• Registrar pagamentos e conciliar a carteira (incluída a conciliação bancária)
• Gerenciar documentos de identidade/KYC carregados pela organização
• Manter rastreabilidade e registros de auditoria das operações sobre a carteira

A Makatea não utiliza os dados da carteira para finalidades próprias nem os comercializa. Apenas processa dados agregados/derivados para gerar os relatórios/insights solicitados pela própria organização (ver Seção 6 sobre o suboperador de IA).

5. Base legal / legitimação do tratamento

A base legal varia conforme o papel, o dado e a jurisdição. A tabela a seguir tem caráter geral; o detalhamento por operação concreta exigido pelo padrão peruano é apresentado em seguida.

Detalhamento da base legal por operação (padrão PE, Regulamento D.S. 016-2024-JUS; aplicado também como boa prática):

Esclarecimento (carteira de terceiros). Onde a tabela acima indica "Instrução do Controlador (Makatea como Operador)", deve-se entender que isso descreve o papel de operador da Makatea, e não uma base/hipótese de licitude por si mesma. A hipótese de licitude aplicável a cada operação da carteira (consentimento, execução de contrato, legítimo interesse ou obrigação legal) é determinada e declarada pela organização cliente (Controlador) em seu próprio aviso de privacidade, conforme a lei de sua jurisdição. A Makatea trata esses dados unicamente seguindo tais instruções.

As particularidades por jurisdição (p. ex., autorização prévia, expressa e informada na Colômbia; hipóteses do art. 7º da LGPD no Brasil; hipóteses do art. 7 da LOPDP no Equador; consentimento livre, prévio, expresso, informado e inequívoco no Peru; consentimento expresso para dados sensíveis/financeiros no México) são detalhadas na Seção 12.

6. Transferências, operadores e suboperadores (suboperadores)

Para prestar o serviço, a Makatea utiliza fornecedores tecnológicos que atuam como operadores/suboperadores. A seguir, identificam-se os suboperadores e os dados que recebem. Alguns implicam transferência internacional de dados. Cada suboperador trata os dados sob seus próprios termos e acordos de tratamento/cláusulas contratuais padrão, que se aplicam ao usar seu serviço e ficam incorporados por referência.

A lista por função e país é publicada em https://makatea.ai/pt/legal/subencarregados. A identidade de cada suboperador, sua localização e o mecanismo de legitimação da transferência ficam à disposição do titular ou do Cliente mediante solicitação, pelo canal de contato indicado nesta Política.

A mensageria do WhatsApp é operada sobre infraestrutura própria da Makatea hospedada nos Estados Unidos. Não se trata de um terceiro suboperador independente, mas sim de infraestrutura da própria plataforma; a hospedagem desses dados nos Estados Unidos constitui uma transferência internacional, sujeita às garantias descritas nesta Seção.

Natureza das transferências. Quando a Makatea hospeda ou processa dados da carteira em fornecedores fora do país do titular, o faz na sua condição de Operador, por conta do Controlador. As transferências internacionais aos Estados Unidos são realizadas sob as cláusulas contratuais padrão incorporadas nos termos de cada fornecedor, conforme as variantes reconhecidas por cada jurisdição: no Brasil, as cláusulas-padrão da ANPD (Res. CD/ANPD 19/2024); na Colômbia, o regime de transmissão internacional (Decreto 1377, art. 25); no Equador, as cláusulas-tipo (Res. SPDP-SPD-2026-0004-R) juntamente com o registro de transferências; no Peru, as garantias apropriadas aplicáveis; e na União Europeia e no Reino Unido, as cláusulas contratuais-tipo da Comissão Europeia e seu anexo britânico. Essas transferências são informadas ao titular por meio desta Política.

Não vendemos nem alugamos dados pessoais. A Makatea não comercializa dados pessoais. Os suboperadores listados nesta Seção 6 recebem dados unicamente para prestar o serviço, sob acordos de tratamento de dados; não há compartilhamento de dados com terceiros para fins distintos da prestação do serviço. O envio de métricas agregadas e do nome da organização ao suboperador de análise, localizado nos Estados Unidos, para gerar relatórios constitui um tratamento por um Operador no exterior, sujeito às garantias de transferência internacional aqui descritas.

Não há exportação de dados pessoais a serviços externos adicionais de análise ou CRM distintos dos suboperadores enumerados nesta Seção 6.

7. Conservação dos dados

• As tabelas principais empregam um padrão de exclusão lógica (soft-delete) preferencial em relação à exclusão física: os membros são marcados como "baixados", as ordens são marcadas como "canceladas", sem exclusão em cascata.
• Os registros de interações, pagamentos (ledger) e auditoria são do tipo "append-only" no nível da aplicação (somente são adicionados; não são atualizados nem excluídos na operação normal): conservam o histórico completo, incluídos os estornos registrados como novos eventos.
• Os registros de auditoria conservam instantâneos (snapshots) dos dados antes de sua exclusão (p. ex., nome, telefone, valor, situação).

Critérios e prazos de retenção/eliminação por categoria de dado:

Ao cancelar ou excluir uma conta de organização, os dados pessoais são eliminados ou anonimizados, salvo quando exista obrigação legal de conservação (p. ex., fiscal/contábil), caso em que são conservados unicamente pelo prazo e para a finalidade que tal obrigação exige.

Backups. Os backups são gerenciados pela infraestrutura do fornecedor de banco de dados, localizada nos Estados Unidos, e estão sujeitos a seus próprios prazos de retenção e às garantias de criptografia em repouso descritas na Seção 8.

Quanto à carteira de terceiros, os prazos de conservação são determinados pela organização cliente (Controlador), conforme suas obrigações legais (p. ex., contábeis/fiscais) e as instruções que transmita à Makatea.

8. Medidas de segurança

A Makatea aplica as seguintes medidas técnicas e administrativas:

• Criptografia em trânsito (HTTPS/TLS) em todos os endpoints e chamadas de rede.
• Isolamento de dados por organização em nível de banco de dados em todas as tabelas principais: cada organização acessa unicamente seus próprios dados. A Makatea revisa esse isolamento de forma contínua.
• Armazenamento privado para documentos KYC, mídia e arquivos de conciliação, com acesso restrito à organização proprietária.
• Proteção de segredos de integração: as chaves de integração (por exemplo, as de mensageria e as dos processadores de pagamento) são guardadas criptografadas ou com acesso restrito e não são acessíveis aos usuários da organização.
• Registro de auditoria que captura usuário, ação, recurso, valores anteriores/posteriores, endereço IP, user-agent e marca temporal. A plataforma somente adiciona eventos a esse registro e não oferece operações para modificá-los nem excluí-los.
• Funções transacionais atômicas para operações de pagamento, protegidas contra condições de corrida.
• Acesso restrito do pessoal: o pessoal autorizado da Makatea acessa os dados somente na medida necessária para operar e dar suporte à plataforma, e está sujeito a acordos de confidencialidade quanto aos dados pessoais tratados.

Criptografia em repouso. Os dados em repouso são criptografados com AES-256 na infraestrutura de nuvem que os hospeda, e os dados de pagamento são processados em ambientes PCI-DSS dos processadores de pagamento.

Notificação de incidentes de segurança. Em caso de violação de segurança que afete dados pessoais, a Makatea, na sua condição de Controlador ou Operador conforme o caso, notificará o Controlador, os titulares afetados e/ou a autoridade de controle conforme a lei aplicável (art. 19 LFPDPPP MX; art. 48 LGPD BR; obrigações EC; 48 horas perante a APDP no Peru; arts. 33 e 34 RGPD na União Europeia e no Reino Unido, ver Seção 12). A notificação incluirá a descrição do incidente, os dados afetados, as medidas adotadas e as recomendações ao titular.

9. Direitos dos titulares e como exercê-los

9.1. Se você for usuário da conta (Makatea = Controlador)

Você pode exercer seus direitos diretamente perante a Makatea, conforme sua jurisdição (ver Seção 12 para o catálogo completo e os prazos por país):

• Acesso aos seus dados (todas as jurisdições)
• Retificação / atualização de dados inexatos ou incompletos (todas as jurisdições)
• Cancelamento / eliminação / exclusão de seus dados, com bloqueio prévio onde a lei o preveja (todas as jurisdições)
• Oposição ao tratamento, incluída a oposição ao tratamento automatizado / elaboração de perfis (no México, embutida no direito de oposição do art. 26-II LFPDPPP) (todas as jurisdições)
• Revogação do consentimento (p. ex., marketing) a qualquer momento, sem efeito retroativo (todas as jurisdições)
• Limitação / suspensão do tratamento, direito próprio de BR, EC, PE, União Europeia e Reino Unido; não é um direito autônomo no México sob a LFPDPPP (no MX é canalizado pelo cancelamento-com-bloqueio do art. 24 e pela oposição do art. 26)
• Portabilidade, direito próprio de BR (art. 18 LGPD), EC (art. 20 LOPDP), PE, União Europeia e Reino Unido (art. 20 RGPD); não é um direito autônomo no México sob a LFPDPPP
• Não ser objeto de decisões automatizadas com efeitos jurídicos significativos, no MX exerce-se via a oposição do art. 26-II; em BR, EC, União Europeia e Reino Unido como direito expresso (art. 20 LGPD, art. 22 LOPDP, art. 22 RGPD)

Para o México, os direitos exercíveis perante a Makatea são os direitos ARCO (acesso art. 22, retificação art. 23, cancelamento-com-bloqueio art. 24, oposição art. 26 (incluída a oposição ao tratamento automatizado do art. 26-II)) e a revogação do consentimento (art. 7). A portabilidade e a limitação/suspensão não são direitos autônomos da LFPDPPP mexicana; correspondem a BR/EC/PE (ver Seção 12).

Exclusão e exportação mediante solicitação. Mediante solicitação pelo canal único, a Makatea oferece: (a) a eliminação ou anonimização efetiva de seus dados pessoais (incluído, onde couber, o tratamento de registros append-only e backups), salvo quando exista obrigação legal de conservação; e (b) a exportação de seus dados em formato estruturado e de leitura mecânica (acesso/portabilidade). Essas solicitações são atendidas por meio do canal único de privacidade.

Meios para exercê-los: envie sua solicitação a rodrigo@makatea.ai, identificando-se e indicando o direito que deseja exercer. O exercício desses direitos é gratuito. Os prazos de resposta são indicados por país na Seção 12.

Funções disponíveis na plataforma:

• Exportação para CSV (UTF-8): a interface permite exportar relatórios, conciliação e modelos em formato agregado. Esta função é agregada e no nível da organização; não equivale à exportação de acesso/portabilidade por titular individual, que é atendida mediante solicitação pelo canal único (ver acima).
• Retificação: edição de dados de membros e ordens a partir da interface.
• Cancelamento: baixa de membros e cancelamento de ordens; a eliminação/anonimização efetiva é atendida mediante solicitação pelo canal único.

9.2. Se você for um cliente/devedor da carteira (Makatea = Operador)

Seus direitos são exercidos perante a organização (empresa) que carregou seus dados na Makatea, que é o Controlador. Se você dirigir sua solicitação à Makatea, nós a encaminharemos ao Controlador e a atenderemos conforme suas instruções e a lei aplicável, na nossa condição de Operador.

Para solicitar a exclusão de comunicações (opt-out): você pode responder a qualquer mensagem indicando que não deseja receber mais comunicações; o sistema registra tal exclusão e os canais dos quais você se excluiu.

10. Decisões automatizadas e elaboração de perfis

A plataforma classifica automaticamente as interações (p. ex., intenção de pagamento, objeção, exclusão) mediante regras ou modelos, e deriva a situação da relação do terceiro (ativo/em risco/inadimplente/inativo/baixado) a partir do comportamento de carteira; igualmente aprende preferências de contato (canal, melhor horário, taxa de resposta). Essas funções apoiam a operação de cobrança/comunicação da organização cliente.

Lógica aplicada e consequências:

• A classificação de interações atribui uma etiqueta de intenção à mensagem, mediante regras ou um modelo, com um valor de confiança; serve para priorizar e orientar a resposta do operador.
• A situação da relação é derivada automaticamente do comportamento de pagamento/contato e orienta a estratégia de comunicação da organização.
• O aprendizado de preferências de contato ajusta o canal e o horário de envio para otimizar a comunicação.

Direito à revisão / não sujeição a decisões automatizadas. Essas funções são concebidas como apoio à decisão do operador humano da organização cliente, e não como decisões plenamente automatizadas que produzam por si sós efeitos jurídicos ou significativos sobre o titular. Em qualquer caso, o titular pode solicitar a intervenção humana e a revisão de tais classificações perante o Controlador.

11. Comunicação de alterações a esta Política

A Makatea poderá modificar esta Política de Privacidade. Qualquer modificação será comunicada, com antecedência à sua entrada em vigor, mediante: (i) publicação da versão atualizada na plataforma/site com a data de última atualização destacada, e (ii) notificação ao titular da conta por e-mail cadastrado. Para alterações substanciais que requeiram novo consentimento, este será solicitado antes de aplicar o tratamento correspondente. O uso continuado do serviço após a entrada em vigor das alterações implica seu conhecimento, sem prejuízo dos direitos do titular.

12. Seções específicas por jurisdição

12.1. México (MX) · LFPDPPP

• Marco: Lei Federal de Proteção de Dados Pessoais em Posse dos Particulares (vigente desde 21 de março de 2025; Regulamento de 2011 supletivo). Autoridade: Secretaría Anticorrupción y Buen Gobierno (SABG).

• Caráter deste aviso: integral.

• Aviso de privacidade simplificado (art. 16): no ponto de coleta (formulário de cadastro e qualquer ponto de captura) é exibido o seguinte texto:

  Aviso de Privacidade Simplificado. A SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (o "Controlador"), com endereço na Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México, tratará seus dados pessoais para criar e administrar sua conta, prestar o serviço contratado e, se você autorizar, enviar-lhe comunicações promocionais. Algumas finalidades podem exigir seu consentimento expresso (p. ex., tratamento de dados financeiros/patrimoniais) e podem implicar transferências a fornecedores no exterior. Você pode limitar o uso ou a divulgação de seus dados e revogar o consentimento de marketing escrevendo para rodrigo@makatea.ai ou pelo link de descadastramento em nossas comunicações (art. 15-IV). Você pode conhecer as finalidades que exigem seu consentimento, os terceiros destinatários e exercer seus direitos ARCO consultando o Aviso de Privacidade Integral (este documento), disponível em https://makatea.ai ou solicitando-o a rodrigo@makatea.ai.

• Dados sensíveis e financeiros: o tratamento de dados financeiros/patrimoniais e sensíveis requer consentimento expresso (arts. 7 e 8). Quando a Makatea tratar esses dados como Controlador, coletará e documentará tal consentimento expresso. Quanto à carteira, cabe à organização cliente (Controlador) obter tal consentimento.

• Direitos ARCO + revogação (arts. 22–26): Acesso (art. 22), Retificação (art. 23), Cancelamento (art. 24, com período de bloqueio prévio à eliminação), Oposição (art. 26, inclui a oposição à elaboração de perfis / tratamento automatizado, art. 26-II) e revogação do consentimento (art. 7). A LFPDPPP não reconhece um direito autônomo de portabilidade nem de limitação/suspensão nos moldes da LGPD/RGPD; esses direitos correspondem a outras jurisdições (BR/EC/PE).

• Meios para limitar o uso ou a divulgação (art. 15-IV): você pode solicitar a limitação do uso ou da divulgação de seus dados escrevendo para rodrigo@makatea.ai; quanto ao marketing, você pode revogar seu consentimento a qualquer momento pelo mesmo canal ou pelo link de descadastramento nas comunicações.

• Procedimento de revogação do consentimento (art. 7): para revogar, o titular envia sua solicitação a rodrigo@makatea.ai identificando-se (nome e e-mail de conta) e indicando o consentimento que revoga. A Makatea atende a solicitação dentro dos prazos do art. 31 (20 dias úteis para responder; 15 dias úteis para torná-la efetiva); a revogação produz efeito para o futuro, sem efeito retroativo, sobre o tratamento amparado por tal consentimento. Distinguem-se duas hipóteses: (i) revogação do consentimento de marketing, que também pode ser exercida pelo link de descadastramento nas comunicações e não afeta a prestação do serviço; e (ii) revogação do consentimento expresso para o tratamento de dados financeiros/patrimoniais que a Makatea trata como Controlador, cuja revogação pode limitar ou impedir as finalidades que dependam desses dados.

• Prazos: 20 dias úteis para responder e 15 dias úteis para tornar efetivo o direito (art. 31). Exercício gratuito (art. 34).

• Cláusula de transferência com opção de recusa (art. 35): mediante este aviso, informa-se que seus dados poderão ser transferidos aos terceiros/suboperadores indicados na Seção 6. Se você não desejar que seus dados pessoais sejam transferidos para as finalidades que não são necessárias à relação, poderá manifestar sua recusa comunicando-a a rodrigo@makatea.ai. A ausência de manifestação de recusa será entendida como aceitação das transferências descritas. O tratamento por um Operador não constitui transferência (art. 2). Recurso perante a SABG (arts. 38–39).

• Designação de pessoa ou departamento de dados pessoais (art. 29): contato único de privacidade, José Rodrigo Barrios Villa, rodrigo@makatea.ai. Não existe um registro nacional obrigatório de bancos de dados no México.

• Notificação de violações (art. 19): a Makatea notificará o titular afetado, sem demora, as violações de segurança ocorridas que afetem significativamente seus direitos patrimoniais ou morais, para que possa tomar medidas.

12.2. Colômbia (CO) · Lei 1581 de 2012 e Decreto 1377 de 2013

• Marco: Regime de Habeas Data; autoridade: Superintendencia de Industria y Comercio (SIC).

• Política de Tratamento (Decreto 1377, art. 13): este documento inclui razão social, endereço e contato do Controlador; o tratamento e sua finalidade; os direitos do titular; o procedimento para exercer direitos; a área responsável por petições, consultas e reclamações; e a data de entrada em vigência.

  • Área/pessoa responsável por petições, consultas e reclamações (num. 4): canal único de privacidade, rodrigo@makatea.ai.
  • Data de entrada em vigência (num. 6): 15 de junho de 2026. Vigência do banco de dados: o tratamento subsiste enquanto durar a relação com a organização cliente e conforme os prazos de conservação da Seção 7.

• Aviso de Privacidade de coleta (Decreto 1377, arts. 14–15): distinto desta Política completa, é entregue, no máximo, no momento de coletar os dados. A Makatea o entrega ao titular da conta no cadastro (onde a Makatea é Controlador). Quanto à carteira de terceiros, a Makatea atua como Operador e não tem canal direto com esses titulares na importação em massa: o dever de entregar o aviso de coleta e de obter e conservar a prova da autorização (incluído o dever do art. 10 do Decreto 1377 quanto a dados coletados antes de sua entrada em vigência) cabe à organização cliente (Controlador). Essa obrigação é transferida ao Cliente como instrução e garantia no DPA. Texto do aviso curto que a Makatea entrega ao titular da conta:

  Aviso de Privacidade. A SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. tratará seus dados pessoais para a criação e gestão de sua conta, a prestação do serviço e, com sua autorização, comunicações comerciais. Você tem direito a conhecer, atualizar, retificar e suprimir seus dados e a revogar a autorização. Para dados sensíveis, sua autorização é facultativa. Consulte a Política de Tratamento completa em https://makatea.ai ou solicite-a a rodrigo@makatea.ai.

• Autorização (art. 9; Decreto 1377, arts. 5–9): prévia, expressa e informada; a Makatea (como Operador) e a organização cliente (Controlador) conservam prova da autorização.

• Dados sensíveis (Decreto 1377, art. 6): informa-se expressamente que, por se tratar de dados sensíveis, você não está obrigado a autorizar seu tratamento. A Makatea, como Operador, não solicita dados sensíveis de forma estruturada; no entanto, poderiam ser incorporados dados sensíveis nos campos personalizados, etiquetas e notas de texto livre e nos documentos de identidade/KYC que a organização cliente (Controlador) carregue, cuja finalidade é exclusivamente a gestão de carteira, comunicação e cobrança instruída pelo Controlador. A autorização para dados sensíveis é explícita e separada e é obtida pelo Controlador de seus titulares.

  • Esclarecimento sobre dados financeiros na Colômbia: os dados financeiros, creditícios e de carteira não são "dados sensíveis" no sentido do art. 5 da Lei 1581; seu tratamento rege-se pela Lei 1266 de 2008 (Habeas Data financeiro). Portanto, o regime de autorização separada de dados sensíveis não se aplica aos dados financeiros da carteira, sem prejuízo do regime próprio da Lei 1266 que cabe ao Controlador observar.

• Advertência ao Cliente, Lei 1266 de 2008 (Habeas Data financeiro/comercial): a Lei 1266 de 2008 regula um regime distinto e independente da Lei 1581 de 2012 e do Decreto 1377 de 2013. Se a organização cliente (Controlador) utilizar a plataforma para reportar, gerenciar ou administrar informação financeira, creditícia, comercial ou de serviços negativa de seus devedores (p. ex., com destino a centrais de risco/bancos de dados de informação financeira), poderá ficar sujeita à Lei 1266 de 2008 na sua condição de "fonte" ou "operador" de informação, o que lhe impõe deveres específicos (entre outros: veracidade e qualidade do dado, atualização e retificação oportuna, comunicação prévia ao titular antes de reportar um dado negativo, e observância da caducidade/permanência do dado negativo) bem como o respeito aos direitos reforçados do titular que essa lei reconhece. A Makatea fornece unicamente o software de gestão e comunicação; não opera nem administra centrais de risco nem bancos de dados de informação financeira, e não assume a condição de fonte, operador nem usuário sob a Lei 1266.

• Direitos do titular (art. 8): conhecer, atualizar, retificar; solicitar prova da autorização; ser informado do uso dado a seus dados; apresentar queixas perante a SIC; revogar a autorização e/ou solicitar supressão; acessar gratuitamente seus dados.

• Prazos: consultas: 10 dias úteis (prorrogáveis por 5); reclamações: 15 dias úteis (prorrogáveis por 8); marcação de "reclamação em trâmite".

• Procedimento de consultas (art. 14 Lei 1581): o titular ou seus sucessores poderão consultar a informação que conste no banco de dados dirigindo-se a rodrigo@makatea.ai. A consulta é atendida em no máximo 10 dias úteis a partir de seu recebimento; se não for possível, informa-se ao interessado os motivos da demora e a data de atendimento, que não superará os 5 dias úteis seguintes ao vencimento do primeiro prazo.

• Procedimento de reclamações (art. 15 Lei 1581): a reclamação é apresentada a rodrigo@makatea.ai mediante escrito que contenha: (i) identificação do titular (nome e documento), (ii) descrição dos fatos que dão lugar à reclamação, (iii) endereço de notificação e (iv) os documentos que se queira fazer valer. Se a reclamação estiver incompleta, requisitar-se-á ao interessado dentro dos 5 dias seguintes para que sane a falha; transcorridos 2 meses da data do requerimento sem que o solicitante a sane, entende-se que houve desistência. Uma vez recebida a reclamação completa, inclui-se no banco de dados a anotação "reclamação em trâmite" e o motivo, em prazo não superior a 2 dias úteis, anotação que se mantém até que a reclamação seja decidida. O prazo máximo para atender a reclamação é de 15 dias úteis a partir de seu recebimento; se não for possível, informam-se os motivos e a data de resposta, que não superará os 8 dias úteis seguintes ao vencimento do primeiro prazo.

• Esgotamento prévio (art. 16 Lei 1581): o titular só poderá apresentar queixa perante a SIC após esgotado o trâmite de consulta ou reclamação perante a Makatea (ou o Controlador, conforme o caso).

• Transferência vs. transmissão internacional: dado que a Makatea atua como Operador e hospeda dados em fornecedores no exterior, isso constitui transmissão internacional, amparada pelo regime de transmissão (Decreto 1377, art. 25) incorporado nos termos de cada suboperador, que impõe à Makatea aplicar a política do Controlador, confidencialidade, segurança e atendimento de consultas/reclamações.

• RNBD (Registro Nacional de Bancos de Dados): a inscrição só é obrigatória para sociedades/ESAL com ativos superiores a 100.000 UVT e pessoas jurídicas públicas (Decreto 090 de 2018). Na medida em que a operação efetiva da Makatea na Colômbia torne aplicável este registro, será avaliada e realizada a inscrição correspondente.

• DPO: o canal único de privacidade e de PQR é rodrigo@makatea.ai.

12.3. Brasil (BR) · LGPD (Lei nº 13.709/2018)

• Marco: Lei Geral de Proteção de Dados Pessoais; autoridade: ANPD. Resoluções CD/ANPD nº 18/2024 (Encarregado) e nº 19/2024 (Transferência Internacional).
• Papéis: a Makatea atua como controladora dos dados de cadastro/cobrança da conta do cliente-usuário e como operadora dos dados que o cliente sobe à plataforma (carteira de terceiros), seguindo as instruções do controlador (art. 39, DPA).
• Bases legais (art. 7º): em B2B predominam a execução de contrato (art. 7º, V), o cumprimento de obrigação legal (art. 7º, II) e o legítimo interesse (art. 7º, IX); o consentimento (art. 7º, I) aplica-se ao marketing.
• Forma e duração do tratamento (art. 9º, II): os critérios e prazos de retenção/eliminação por categoria de dado constam na Seção 7 desta Política.
• Direitos do titular (art. 18): confirmação da existência de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários/excessivos/em desconformidade; portabilidade; eliminação dos dados tratados com base no consentimento (salvo o art. 16); informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e revisão de decisões automatizadas (art. 20), ver Seção 10.
• Transferência internacional (art. 33; Res. 19/2024): é realizada aos Estados Unidos sob as cláusulas-padrão contratuais aprovadas pela ANPD (Res. CD/ANPD 19/2024), incorporadas aos termos dos suboperadores localizados nos Estados Unidos e à infraestrutura de mensageria da Makatea. Apenas a UE/EEE conta com decisão de adequação; os Estados Unidos não têm adequação, razão pela qual vigora o mecanismo de cláusulas-padrão.
• Encarregado (DPO), art. 41, §1º-§2º; Res. 18/2024: Encarregado designado: José Rodrigo Barrios Villa; canal público de contato: rodrigo@makatea.ai. (A LGPD não exige residência no Brasil.)
• Registro das operações de tratamento (RoPA, art. 37) e procedimento de comunicação de incidentes à ANPD e aos titulares (art. 48), conforme a lei aplicável.
• Decisões automatizadas (art. 20): ver Seção 10; garante-se o direito de solicitar revisão.

12.4. Equador (EC) · LOPDP

• Marco: Lei Orgânica de Proteção de Dados Pessoais e seu Regulamento (Decreto 904/2023); Resoluções SPDP sobre Delegado (2025-0028-R) e Transferências (SPDP-SPD-2026-0004-R). Autoridade: Superintendencia de Protección de Datos Personales (SPDP).
• Informação prévia (arts. 12–13): identidade e contato do Controlador; finalidades específicas; base de licitude (art. 7); categorias de dados (advertência sobre dados sensíveis); origem quando não obtidos do titular; destinatários; transferências e país de destino com suas garantias; prazos de conservação (Seção 7); existência de decisões automatizadas/perfis e sua lógica (art. 22, Seção 10).
• Prazos/critérios de conservação (art. 12): declarados por categoria de dado na Seção 7.
• Decisões automatizadas e definição de perfis (art. 22): a plataforma realiza classificação de interações, derivação da situação da relação e aprendizado de preferências de contato; sua lógica, importância e consequências, bem como o direito a não ser objeto de decisões automatizadas e a solicitar revisão humana, são descritos na Seção 10.
• Direitos: informação (arts. 12–13), acesso (art. 16), retificação/atualização (art. 17), eliminação/supressão incluído o direito ao esquecimento (art. 18), oposição (art. 19), portabilidade (art. 20), suspensão/limitação (art. 21), não ser objeto de decisões automatizadas (art. 22), consulta ao Registro Nacional, e reclamação perante a SPDP. Exercício gratuito; prazo geral de resposta 15 dias, prorrogáveis. A eliminação ou anonimização efetiva e a exportação dos dados do titular são atendidas mediante solicitação pelo canal único (ver Seção 9.1).
• Papel de Operador: quanto à carteira, a Makatea é operadora do tratamento e existe um contrato de operação (DPA) com as obrigações dos arts. 38 e ss. O texto do DPA está em https://makatea.ai/pt/legal/dpa e é aceito eletronicamente ao contratar o serviço.
• Transferências internacionais (Res. SPDP-SPD-2026-0004-R): são realizadas aos Estados Unidos sob cláusulas-tipo incorporadas nos termos dos suboperadores, mantendo-se o registro de transferências correspondente; os Estados da Comunidade Andina são considerados de tratamento equivalente.
• Delegado de Proteção de Dados (art. 47; Res. 2025-0028-R): Delegado de Proteção de Dados no Equador: José Rodrigo Barrios Villa, rodrigo@makatea.ai. O registro do Delegado perante a SPDP é avaliado e realizado conforme a operação efetiva da Makatea no Equador e a obrigatoriedade por escala/setor.

12.5. Peru (PE) · Lei 29733 e Regulamento D.S. 016-2024-JUS

• Marco: Lei de Proteção de Dados Pessoais e seu Regulamento; autoridade: APDP, Autoridad Nacional de Protección de Datos Personales (MINJUSDH). Aplicação extraterritorial a empresas estrangeiras que oferecem serviços a pessoas no Peru.
• Dever de informar (art. 18): identidade e endereço do Controlador; finalidades específicas; base legal de cada operação de tratamento (detalhamento na Seção 5); caráter obrigatório ou facultativo dos dados e consequências de não os fornecer (declarado na Seção 3.1); destinatários; existência de fluxo transfronteiriço e garantias; prazos de conservação (Seção 7); identificação do banco de dados e sua inscrição no RNPDP; dados do DPO quando obrigatório.
• Direitos e procedimento: informação (art. 18), acesso (art. 19), retificação (art. 20), cancelamento/supressão (art. 20), oposição (art. 21), tratamento objetivo (não ser objeto de decisão baseada apenas em tratamento automatizado/definição de perfis, Seção 10) e portabilidade (quando o tratamento se basear em consentimento ou contrato por meios automatizados). Tutela perante a APDP. Procedimento gratuito.
  • Canal e prazos de atendimento de direitos: as solicitações são apresentadas a rodrigo@makatea.ai. Prazos por direito conforme o Regulamento D.S. 016-2024-JUS: acesso (art. 19): 8 dias úteis (prorrogáveis); retificação (art. 20): 10 dias úteis (prorrogáveis); cancelamento/supressão (art. 20): 10 dias úteis (prorrogáveis); oposição (art. 21): 10 dias úteis (prorrogáveis).
• Consentimento: livre, prévio, expresso, informado e inequívoco; para dados sensíveis, por escrito ou meio equivalente.
• Transferência / fluxo transfronteiriço: é realizada aos Estados Unidos sob garantias apropriadas (cláusulas-tipo) incorporadas nos termos dos suboperadores; o ônus da prova recai sobre o exportador (Makatea/Controlador).
• Registro de Banco de Dados (RNPDP): a inscrição dos bancos de dados no RNPDP é avaliada e realizada conforme a operação efetiva da Makatea no Peru; o código/identificação de cada banco será consignado uma vez obtido.
• Oficial de Dados Pessoais (DPO): obrigatório nas hipóteses de tratamento em larga escala de dados sensíveis ou monitoramento sistemático em larga escala, com implementação escalonada por nível de vendas. A obrigatoriedade do cargo formal é avaliada conforme a escala de operação da Makatea no Peru. Canal de contato em matéria de dados: rodrigo@makatea.ai.
• Incidentes de segurança: notificação à APDP dentro de 48 horas desde a detecção (e aos titulares afetados quando couber), com o conteúdo mínimo legal.

12.6. União Europeia e Espanha · RGPD

• Marco: Regulamento (UE) 2016/679 (RGPD). Na Espanha, também a Ley Orgánica 3/2018. Autoridade na Espanha: Agencia Española de Protección de Datos (AEPD). Nos demais países da UE, a autoridade de cada um.
• Bases legais (art. 6): execução do contrato para a conta, legítimo interesse para segurança e auditoria, obrigação legal para registros fiscais e consentimento para marketing e para os cookies de medição.
• Direitos (arts. 15 a 22): acesso, retificação, apagamento, limitação, portabilidade, oposição e não ficar sujeito a decisões baseadas exclusivamente em tratamento automatizado. O exercício é gratuito e a resposta é dada em um mês, prorrogável por mais dois meses em casos complexos.
• Carteira: a organização cliente é Controladora e a Makatea é Operadora conforme o art. 28, nos termos do DPA e de seu anexo para a UE e o Reino Unido.
• Transferências aos Estados Unidos (arts. 44 a 49): amparadas pelas cláusulas contratuais-tipo aprovadas pela Comissão Europeia, incorporadas nos termos de cada fornecedor.
• Representante (art. 27): a Makatea não tem estabelecimento na UE. Designa representante quando sua operação na UE o exigir. Enquanto isso, o canal único de privacidade atende todas as solicitações.
• Reclamações: o titular pode apresentar reclamação à AEPD ou à autoridade de seu país.

12.7. Reino Unido · UK GDPR

• Marco: UK GDPR e Data Protection Act 2018. Autoridade: Information Commissioner's Office (ICO).
• Direitos, bases legais e papéis: os mesmos da Seção 12.6.
• Transferências: amparadas pelo anexo britânico às cláusulas contratuais-tipo da Comissão Europeia.
• Representante: a Makatea o designa quando sua operação no Reino Unido o exigir.

12.8. Estados Unidos

• As leis estaduais de privacidade aplicam-se conforme o estado de residência do titular e o porte de cada empresa.
• A Makatea não vende dados pessoais nem os compartilha para fins de publicidade direcionada.
• Os titulares podem exercer pelo canal único os direitos que sua lei estadual lhes reconheça.

12.9. Índia · DPDP Act 2023

• Marco: Digital Personal Data Protection Act, 2023, conforme sua entrada em vigor por fases.
• Papéis: quanto à carteira, a organização cliente é Data Fiduciary e a Makatea é Data Processor.
• Direitos: acesso à informação, correção e apagamento, atendimento de queixas e designação de uma pessoa de confiança. São exercidos pelo canal único.

13. Contato

Para qualquer consulta sobre esta Política ou o exercício de seus direitos:

• Controlador: SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (RFC SOB240719U87)
• E-mail de privacidade / exercício de direitos: rodrigo@makatea.ai
• Telefone: +52 81 2007 2062
• Endereço: Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México
• DPA (acordo de tratamento de dados): https://makatea.ai/pt/legal/dpa
• Contato único de privacidade / DPO / Encarregado (BR): José Rodrigo Barrios Villa, rodrigo@makatea.ai (canal único para todas as jurisdições).

Você pode, ademais, apresentar reclamações perante a autoridade de controle de seu país: SABG (México), SIC (Colômbia), ANPD (Brasil), SPDP (Equador), APDP (Peru), AEPD (Espanha) ou ICO (Reino Unido).

14. Lei aplicável e foro

Esta Política de Privacidade rege-se pelas leis dos Estados Unidos Mexicanos. Para a interpretação e o cumprimento desta Política, bem como para qualquer controvérsia dela decorrente, as partes submetem-se à competência dos tribunais de Tepic, Nayarit, México, sem prejuízo dos direitos que a lei aplicável de cada jurisdição reconheça aos titulares e da competência das autoridades de controle indicadas na Seção 13.

15. Idioma

Esta Política é publicada em espanhol, inglês e português. Havendo divergência entre versões, prevalece a versão em espanhol, salvo se a lei do titular exigir outra coisa.