Política de Privacidade

A Perseu desenvolve e opera a Plataforma de Investment Banking, um sistema de CRM e de gestão usado por boutiques de investment banking e M&A (as “organizações”). O acesso é feito apenas por convite de uma organização ou da equipe da Perseu.

Esta política vale para as pessoas que usam a plataforma (sócios, associates, analistas, estagiários e equipe financeira das organizações, além da equipe da Perseu) e explica também como tratamos os dados que as organizações cadastram na plataforma.

• Dados de quem usa a plataforma (nome, e-mail, cargo e registros de acesso): a Perseu é a controladora, porque decide como esses dados são usados para dar acesso e proteger a plataforma.
• Dados que cada organização cadastra (empresas, contatos, oportunidades, mandatos, compradores, atividades, documentos e valores): a organização é a controladora e a Perseu é a operadora, ou seja, tratamos esses dados só para prestar o serviço e conforme as instruções da organização.

• Dados de cadastro e login: e-mail, nome e cargo informados no convite; se a pessoa entrar com Google ou Microsoft, recebemos do provedor apenas o nome, o e-mail, a confirmação de que o e-mail foi verificado e a foto de perfil, quando houver. O login não dá acesso a e-mails, agenda, arquivos ou contatos da conta Google ou Microsoft, e nunca recebemos a senha.
• Agenda conectada (captura automática): quando a própria pessoa conecta a agenda Google ou Microsoft em Sua conta > Conexões, lemos os eventos da agenda principal dela, como descrito na seção “Dados recebidos do Google e da Microsoft”.
• Dados de uso e segurança: data e hora de acesso, endereço IP e informações técnicas do navegador, além do registro de acessos sensíveis (como acesso de suporte, mudanças na equipe de mandatos restritos e exportação da base da organização).
• Registros técnicos: erros do servidor (a página, a hora, a organização e a pessoa logada, sem o conteúdo dos cadastros) e medições de velocidade das telas. Servem só para corrigir falhas e manter a plataforma rápida, e apenas a equipe da Perseu os vê.
• Dados cadastrados pelas organizações: as informações de negócio que a própria organização insere ou importa na plataforma.

• Identificar quem entra, enviar o código de acesso por e-mail e manter a sessão aberta com segurança.
• Aplicar as permissões de cada pessoa (organização, papel, equipe do mandato e mandatos restritos).
• Prestar o serviço contratado pela organização: CRM, dashboards e relatórios.
• Proteger a plataforma, investigar uso indevido e cumprir obrigações legais.

Não vendemos dados, não os usamos para publicidade e não usamos os dados de uma organização para treinar modelos de inteligência artificial nem para atender outra organização.

O login com Google ou Microsoft usa apenas as permissões básicas de identificação (openid, e-mail e perfil). Esses dados servem só para confirmar a identidade da pessoa e criar o acesso dela à organização que a convidou.

Captura automática da agenda: só acontece se a organização ligar o recurso e se a própria pessoa conectar a agenda dela, depois de um aviso na plataforma que explica o que será lido. Com a conexão, lemos dos eventos da agenda principal: data e horário, título, local, link da videochamada e os participantes (nome, e-mail e resposta ao convite). Nunca lemos a descrição nem os anexos dos eventos, e não temos acesso a e-mails, arquivos ou contatos.

Para que usamos a agenda: registrar no CRM da organização as reuniões com pessoas de fora da organização, como atividades; criar os contatos e as empresas novos dessas reuniões; e manter a data do último contato. Eventos privados, reuniões só com pessoas da organização, convites sem resposta e eventos com muitas pessoas de fora nunca entram. A pessoa pode bloquear e-mails e domínios em Sua conta > Conexões > Nunca registrar.

Quem vê: as pessoas da organização veem que a reunião aconteceu, quando e com quem; o título real só aparece para quem participou dela. Reuniões ligadas a mandatos restritos ficam visíveis só para quem participou e para a equipe do mandato. A equipe da Perseu não vê reuniões capturadas, nem com o acesso de suporte.

Guarda e exclusão: a chave de acesso à agenda fica criptografada no cofre do banco de dados e nunca aparece na tela nem nos registros. A pessoa pode desconectar a agenda a qualquer momento em Sua conta > Conexões: a leitura para na hora, a chave é apagada e, no Google, o acesso é revogado. Os dados técnicos da leitura (horários, identificadores dos eventos e e-mails dos participantes) são apagados em até 13 meses. Para apagar o que já foi registrado, a pessoa ou a organização podem pedir a exclusão pelo contato abaixo.

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use). Usamos esses dados só para os recursos descritos acima, visíveis para quem usa a plataforma. Não transferimos esses dados a terceiros, exceto aos fornecedores listados abaixo, que operam a plataforma; não os usamos para publicidade nem para treinar modelos de inteligência artificial; e ninguém da Perseu lê os eventos da agenda de uma pessoa, salvo com o consentimento dela, para segurança, por obrigação legal ou em dados agregados e anônimos para operar a plataforma.

Usamos fornecedores (suboperadores) que tratam dados em nosso nome, somente para a plataforma funcionar e com contratos que incluem obrigações de proteção de dados:

• Supabase: banco de dados, login e armazenamento de arquivos. Guarda todos os dados da plataforma, em servidores em São Paulo, Brasil.
• Render: servidor que executa a plataforma, nos Estados Unidos. Os dados de cada tela passam por ele a cada acesso, sem ficarem guardados lá, além de registros técnicos do servidor.
• Resend: envio do e-mail com o código de acesso. Recebe o e-mail de quem entra e o código, nos Estados Unidos.
• Google e Microsoft: apenas quando a pessoa escolhe entrar com essas contas ou conectar a agenda; recebemos deles só o que está descrito na seção anterior.
• BrasilAPI: quando alguém da organização usa a consulta de razão social pelo CNPJ, enviamos apenas o CNPJ consultado, que é um dado público.

Não compartilhamos os dados das organizações com nenhum outro fornecedor. Também podemos compartilhar dados quando a lei ou uma autoridade competente exigir. Mudanças relevantes nesta lista serão avisadas às organizações com antecedência.

O banco de dados e os arquivos ficam no Brasil. Mas o servidor que executa a plataforma (Render) e o serviço de e-mail de login (Resend) ficam nos Estados Unidos, e o login com Google ou Microsoft envolve servidores desses provedores fora do Brasil. Por isso há transferência internacional de dados pessoais.

Essas transferências seguem as hipóteses do artigo 33 da LGPD, com cláusulas contratuais de proteção de dados firmadas com cada fornecedor e as medidas de segurança descritas nesta política.

• Cada organização só vê os próprios dados: o isolamento é feito pelo próprio banco de dados, registro por registro, e testado automaticamente a cada mudança no sistema.
• Mandatos restritos só aparecem para a equipe do mandato.
• Login sem senha (código por e-mail ou conta Google ou Microsoft verificada) e conexões criptografadas.
• A equipe da Perseu só vê os dados de uma organização com autorização do sócio-admin da organização, por prazo de até 30 dias e somente para leitura, e cada acesso fica registrado e visível para a organização.
• Cópias de segurança diárias do banco de dados, guardadas por 7 dias.

Mantemos os dados enquanto durar o contrato da organização. Itens apagados pela tela ficam 30 dias na lixeira, para permitir a recuperação, e depois são excluídos definitivamente.

Quando o contrato de uma organização termina, ela tem até 90 dias para exportar os dados dela. Depois desse prazo, os dados são excluídos, salvo o que a lei obrigue a manter ou o que o contrato com a organização definir de outra forma. Os registros do banco são excluídos pela própria plataforma; os arquivos enviados (documentos) são excluídos pela equipe da Perseu, em até 30 dias depois do fim do prazo, seguindo um procedimento interno documentado. As cópias de segurança se apagam sozinhas em até 7 dias.

Registros técnicos de erro e as medições de velocidade são guardados por 90 dias. Os dados técnicos da leitura da agenda conectada são guardados por até 13 meses.

Usamos apenas cookies essenciais: os que mantêm o login ativo e lembram qual organização está aberta. Não usamos cookies de publicidade nem de rastreamento.

Pela LGPD, você pode pedir confirmação de que tratamos seus dados, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento e exclusão, além de revogar consentimentos quando o tratamento depender deles.

Para pedidos sobre seus dados de acesso, escreva para rodrigo@perseu.ai. Para dados cadastrados por uma organização (por exemplo, se você é um contato no CRM de uma organização), o pedido deve ser feito à organização, que é a controladora; nós a ajudaremos a responder.

A organização também pode, a qualquer momento, exportar pela plataforma uma planilha com tudo o que o sócio-admin vê (função do sócio-admin, que fica no registro de acessos), o que atende ao direito de portabilidade. Ficam de fora dessa planilha os mandatos restritos de cuja equipe o sócio-admin não faz parte (a barreira de informação vale também aqui: a equipe do mandato restrito exporta esses dados, ou a Perseu faz a exportação completa a pedido da organização, com registro) e os arquivos enviados (documentos), que são baixados um a um ou entregues pela Perseu.

Podemos atualizar esta política quando a plataforma ou a lei mudarem. A data no topo indica a versão em vigor, e mudanças relevantes serão avisadas às organizações.

Dúvidas sobre esta política ou sobre seus dados: rodrigo@perseu.ai.