Política de Privacidade

Publicado em 09/07/2026 · Atualizado em 12/10/2026

Última atualização: 12 de outubro de 2026 (v2.14), em substituição à v2.13, publicada em 11 de outubro de 2026 · Mahalo Ventures, inscrita no CNPJ sob nº 49.834.051/0001-08, com sede em Porto Alegre/RS, é a controladora responsável pelo tratamento descrito nesta Política e pela operação do CFO. Canal de privacidade: privacidade@cfo.com.br.

Esta Política explica como tratamos dados pessoais conforme a LGPD (Lei nº 13.709/2018) e o Marco Civil da Internet (Lei nº 12.965/2014). Ela cobre três universos distintos: (A) os dados de quem usa o Serviço; (B) os dados das contas empresariais (equipes); e (C) os dados de terceiros presentes nas bases públicas que o Serviço organiza — sócios, administradores e empresários que podem nunca ter usado o CFO.

Medição, estatística e anúncios

Os três tratamentos abaixo ficam ligados para todos os visitantes e usuários, com base no legítimo interesse do CFO (LGPD, art. 7º, IX, e art. 10, I: apoio e promoção das atividades do controlador). Eles não dependem do aceite dos Termos nem de consentimento, e o Serviço não oferece um controle para desligá-los na página ou no painel da conta; o sinal Global Privacy Control (GPC) enviado pelo navegador também não os desliga. Os direitos do art. 18 da LGPD, inclusive a oposição a tratamento feito com base em legítimo interesse em caso de descumprimento da lei (art. 18, § 2º), são exercidos pelo encarregado (seção 12), e cada pedido é analisado nos termos da lei (seção 10). A avaliação de legítimo interesse de cada tratamento está registrada e pode ser pedida ao encarregado.

Medição no CFO. O que é: na primeira visita com JavaScript, antes do cadastro, o servidor cria um identificador aleatório, guardado no cookie __Host-cfo_journey (Secure, HttpOnly); no servidor fica só o resumo criptográfico (hash) dele. A esse identificador ligamos a categoria da página de entrada (início, planos, cadastro, conta, documentação ou outra), o canal de origem da visita em categorias (ChatGPT, Google, Meta, outro site ou direto; pago ou orgânico) e, nas campanhas do CFO, o código da campanha e do anúncio; no cadastro, a primeira e a última origem dos 7 dias anteriores; depois, o primeiro pagamento aplicado (com o valor só quando há prova do valor cobrado) e a autorização, a conexão e a primeira consulta do conector MCP. Não entram nessa medição nome, e-mail, IP, navegador, endereços completos, buscas, CNPJs consultados nem o conteúdo das consultas; navegador identificado como robô não recebe identificador, e com a conta conectada não se cria identificador nem se registram visitas — para a conta valem só os vínculos feitos no cadastro. Para quê: saber, internamente, quais canais trazem cadastros e clientes; nunca para contato, oferta ou publicidade dirigida à pessoa. Quem recebe: ninguém fora do CFO. Prazo: até 90 dias desde a criação do identificador, sem prorrogação; a ligação a um pedido de cadastro não concluído sai em até 24 horas. A confirmação do cadastro em outro aparelho não leva a ligação.
Google Analytics 4. O que é: estatística de uso do site. O Google recebe: um identificador do navegador (cookies _ga e _ga_*); a cada página, o endereço sem os parâmetros (só os de campanha, utm_*, são mantidos: termos buscados, CNPJs abertos e identificadores de anúncio não vão), o título da página e a página de origem sem parâmetros; os dados técnicos que o próprio gtag.js manda (idioma, resolução de tela, navegador e sistema, e o IP da conexão, que, segundo o Google, o GA4 não registra nem armazena); e os eventos do site — cadastro enviado (etapa de confirmação do código), lista de planos vista (com os planos e preços exibidos) e, enviados pelo servidor com o mesmo identificador, cadastro concluído (com o método: e-mail, WhatsApp ou o provedor do login social), login (com o método: senha, código de verificação ou o provedor do login social) e compra (plano e ciclo, valor e o número interno da assinatura). Eventos de "medição otimizada" do GA4 (rolagem, cliques para outros sites, downloads, formulários, vídeo) dependem da configuração da propriedade no painel do Google. Google Signals, personalização de anúncios e os sinais de anúncios ficam desligados no próprio código; o CFO não envia ao Google nome, e-mail nem o número da conta; o número interno da assinatura, enviado na compra, só o CFO consegue ligar à conta. Para quê: medir audiência, aquisição e o funil de cadastro. Quem recebe: Google (EUA), que nos devolve estatísticas. Prazo: os dados por usuário ficam no Google pelo prazo de retenção configurado na propriedade do CFO, de no máximo 14 meses; os cookies _ga expiram no navegador até 2 anos depois da última visita.
Conversões de anúncios da OpenAI. O que é: vale só para quem chega por um anúncio do CFO no ChatGPT. O endereço desse clique traz um identificador criado pela OpenAI (oppref); guardamos esse identificador por até 7 dias e, se a conta for criada nesse prazo, enviamos à OpenAI um identificador técnico do evento, o tipo (cadastro concluído), o horário, o endereço do site e o identificador do clique. Não enviamos nome, e-mail, telefone, IP, navegador nem o que você consulta. A conexão e a primeira consulta do MCP são contadas só no CFO. Quem chega pelo anúncio vê, na própria página, um aviso com o que é enviado e a base legal. Para quê: medir o resultado da campanha que o CFO contrata. Quem recebe: OpenAI (EUA), que trata o evento conforme os termos do programa de anúncios dela e, pelo identificador do clique, pode ligá-lo ao clique no anúncio e à conta do ChatGPT em que o anúncio apareceu. Prazo: o identificador do clique, até 7 dias; a ligação do cadastro à campanha, até 90 dias; pedidos de cadastro não concluídos perdem a prova em até 24 horas.

Recusas e revogações feitas antes desta versão (v2.14), quando a medição no CFO e as conversões de anúncios dependiam de permissão expressa, continuam valendo: o navegador que recusou a medição no CFO não recebe identificador nem tem visitas registradas, e o cadastro de quem recusou as conversões — no navegador ou na conta — não é enviado à OpenAI. O Serviço não registra recusas novas.

A · Dados de quem usa o Serviço

1. Dados que coletamos

Cadastro: nome, e-mail, telefone, empresa (opcional) e finalidade de uso informada.
Pagamento (planos pagos): CPF/CNPJ do titular do pagamento e dados da transação. O número integral do cartão é enviado diretamente ao gateway contratado e não é intencionalmente armazenado nos sistemas do CFO; guardamos apenas o token de cobrança e os 4 últimos dígitos.
Registros de acesso (obrigação legal — Marco Civil, art. 15): para quem tem conta, a data, a hora e o endereço IP de cada login e dos demais eventos da conta ficam na trilha de eventos da conta, por no mínimo 6 meses (seção 8). De quem acessa sem conta, hoje o registro é o dos registros técnicos do servidor, descritos abaixo, guardado por 30 dias.
Logs operacionais e de auditoria (finalidade própria: segurança, prevenção a abuso, suporte, cota e administração da conta): parâmetros das consultas realizadas, consumo de cota, exportações, eventos da conta e dados de sessão — com acesso restrito e retenção limitada (seção 8).
Busca gratuita (sem conta): registramos o termo pesquisado (que pode conter nome de pessoa) e o IP, para limitar abuso e medir o uso — acesso restrito, retenção de ~90 dias, sem uso para remarketing. Se você deixar o e-mail para criar conta, ele é guardado para pré-preencher o cadastro.
Cookies: usamos cookies para autenticação, segurança e medição de uso — entre eles: (a) um cookie de sessão, estritamente necessário para autenticação, e um cookie técnico de 15 minutos que marca o início do login social e guarda apenas o nome do provedor; e, só quando você marca a opção, um cookie de até 7 dias que mantém o acesso neste navegador (Manter conectado, no login) e um de até 90 dias que dispensa o código do 2º fator neste computador (Não pedir o código, na verificação em 2 fatores) — os dois guardam um identificador aleatório; no servidor ficam apenas um resumo criptográfico (hash) desse identificador, o nome do navegador e do sistema (sem IP e sem versão) e as datas, para que você veja e encerre cada acesso na página Segurança; (b) os cookies _ga/_ga_* do Google Analytics 4, para estatística de uso do site, ligados para todos (ver Medição, estatística e anúncios); no GA4, Google Signals, personalização e remarketing permanecem desativados; (c) cookies próprios de medição, que não identificam o visitante: o identificador aleatório da medição no CFO (__Host-cfo_journey, até 90 dias), um identificador aleatório que indica em que ponto as pessoas desistem do cadastro e que, no ato do cadastro, guarda por até 24 horas o percurso enviado (abaixo) até a conta ser criada, e o registro de origem da visita, guardado no navegador por até 1 ano — site de origem (endereço sem parâmetros), primeira página vista, página de entrada com os parâmetros de campanha da própria URL e, quando houver, o CNPJ da empresa aberta por link direto, além do botão do próprio site que levou ao cadastro; (d) cookies técnicos da Cloudflare (__cf_bm, cf_clearance), necessários à proteção anti-robô (Turnstile) e à entrega do site; e (e) os cookies que guardam a recusa feita no regime anterior (cfo_journey_block e cfo_ads_choice), regravados nas visitas para não vencerem, sem identificar você. Os cookies do GA4 e os de medição não são essenciais ao funcionamento do site: o navegador ou uma extensão podem bloqueá-los ou apagá-los, e o Serviço continua funcionando.
Origem do cadastro: ao criar a conta, o registro de origem da visita é copiado para a conta, com o endereço IP, o navegador e o aparelho informados pelo navegador (User-Agent) e a data da primeira visita que o Google Analytics atribui ao navegador. Esses dados servem para medir os canais de aquisição e para a segurança do cadastro, como a indicação de conta duplicada ou de cadastro automatizado. O registro existe enquanto a conta existir e é apagado na exclusão (seção 9).
Percurso antes do cadastro: o navegador guarda, no armazenamento local do próprio aparelho, que não é cookie, as páginas do site vistas nos 30 dias anteriores, com título e horário, e os termos buscados no site, com números de CPF, de telefone e endereços de e-mail mascarados. A lista só sai do aparelho no ato do cadastro (pedido do código, envio do formulário de cadastro ou clique em entrar com Google, LinkedIn, GitHub ou Discord) e é ligada à conta quando ela nasce; se o ato não resultar em conta nova, como no login de uma conta que já existe, na desistência ou num erro, a lista enviada é apagada em até 24 horas. Serve apenas para entendermos, internamente, o que levou ao cadastro: não é usada para contato, oferta, publicidade ou remarketing, nem compartilhada. Quem está conectado não tem percurso registrado, nem o navegador que envia o sinal Global Privacy Control; para apagar o que já está no aparelho, basta limpar os dados do site no navegador.
Registros técnicos do servidor (logs de acesso e de erro): para segurança, prevenção a abuso, diagnóstico de falhas e medição de audiência, inclusive do tráfego que chega por assistentes de inteligência artificial, o servidor web registra cada requisição a cfo.com.br e a mcp.cfo.com.br: data e hora; endereço IP de origem e o país informado pela Cloudflare; método e endereço acessado, com os parâmetros da URL; página de origem (Referer); navegador ou aplicativo (User-Agent); código de resposta, volume de dados, tempos de processamento e identificadores técnicos da requisição. Antes da gravação, são trocados por asteriscos, e o nome do parâmetro fica: o valor de todo parâmetro que funcione como credencial ou código de acesso (chave de API, token, senha, código de verificação, parâmetros de autorização OAuth e códigos de links de descadastro, de convite, de vínculo e de pagamento); o dos identificadores de clique e de rastreio de anúncios (como gclid, fbclid e oppref); o dos parâmetros de e-mail, pelo nome (e, email, q_email e login_hint) ou por qualquer valor que contenha @, também codificado (como %40); e o dos parâmetros de telefone e de CPF, só pelo nome (tel, ddd, telefone, celular e cpf). Os demais parâmetros ficam como chegaram, como o termo pesquisado e os parâmetros de campanha (utm_*): um CPF ou telefone digitado num campo livre, como a busca (por exemplo, ?q=123.456.789-09), fica no registro. O conteúdo das requisições (formulários e chamadas à API e ao MCP) e os cabeçalhos de autenticação não são registrados. O registro de erros do servidor guarda a mensagem técnica completa, que pode conter o endereço acessado e a página de origem sem a troca por asteriscos; nas páginas cujo endereço leva credencial, código ou contato (login social, cadastro e verificação, autorização OAuth e MCP, pagamento, descadastro, convite e vínculo), ele guarda só as falhas críticas do servidor. Esses registros ficam no servidor de aplicação, nos EUA, com acesso restrito à administração técnica, não entram nas cópias de segurança e são apagados automaticamente em até 30 dias; o registro de erros da aplicação, em até 35 dias. São distintos dos registros de acesso do Marco Civil, descritos acima, que seguem prazo próprio.
Conectores MCP (ChatGPT, Claude e outros assistentes de IA): quando você conecta o CFO a um assistente pelo conector MCP, a plataforma escolhida por você chama o CFO em seu nome com os parâmetros da consulta e recebe as respostas, que podem conter dados pessoais de terceiros presentes nas fontes públicas (seção 5). O CFO registra a autorização e a conexão (o aplicativo autorizado e identificadores técnicos), as consultas como as da API (parâmetros, quantidade de resultados e o IP de origem, que é o do servidor da plataforma; seção 8) e, na trilha da conta, um evento por chamada com a ferramenta usada, o resultado e a duração. A sua conversa com o assistente não chega ao CFO. A plataforma trata as perguntas e as respostas como controladora própria, conforme os termos e a política dela, aceitos por você ao usá-la: ela não é operadora do CFO, e o CFO não é operador dela. Para encerrar o acesso, use Desconectar no painel da conta ou remova o conector na própria plataforma.

2. Para que usamos e bases legais (dados de usuários)

Operar sua conta e prestar o Serviço — execução de contrato (art. 7º, V).
Processar pagamentos e recorrência — execução de contrato (art. 7º, V).
Guarda de registros de acesso — obrigação legal (art. 7º, II, c/c Marco Civil, art. 15).
Segurança, auditoria e antifraude (logs operacionais, limites) — legítimo interesse (art. 7º, IX).
Retenção de registros fiscais e de cobrança — obrigação legal (art. 7º, II).
Comunicações sobre o Serviço (confirmações, avisos de cobrança e renovação) — execução de contrato / legítimo interesse.
Estatística de uso do site (Google Analytics 4) — legítimo interesse (art. 7º, IX), ligado para todos, com as salvaguardas de Medição, estatística e anúncios.
Medição no CFO (origem das visitas ligada ao cadastro, ao primeiro pagamento e ao uso do MCP) — legítimo interesse (art. 7º, IX; art. 10, I), uso interno.
Conversões de anúncios da OpenAI (só cadastro vindo de clique pago no ChatGPT) — legítimo interesse (art. 7º, IX; art. 10, I), com aviso na chegada pelo anúncio.
Registros técnicos do servidor (logs de acesso e de erro) — legítimo interesse (art. 7º, IX): segurança, prevenção a abuso, diagnóstico e medição de audiência.
Conectores MCP — execução de contrato (art. 7º, V) quanto à conta, à autorização e à entrega da consulta pelo canal escolhido por você; os dados de terceiros presentes nas respostas seguem as bases do produto (seção 5).
Medição dos canais de aquisição e segurança do cadastro (registro de origem, IP e navegador no cadastro) — legítimo interesse (art. 7º, IX), com as salvaguardas da seção 1.
Entender o que levou ao cadastro (percurso antes do cadastro) — legítimo interesse (art. 7º, IX), uso interno, sem remarketing.

B · Contas empresariais (equipes)

3. Administrador do contrato e usuários vinculados

Nesta seção, Administrador do contrato é quem contrata e administra o plano (na interface, "titular do contrato") e usuário vinculado é quem usa um assento da equipe (na interface, "operador") — nomenclatura distinta de "titular de dados" da LGPD.

Se sua conta é de usuário vinculado, o Administrador vê, durante o vínculo e para administração do contrato: as consultas realizadas (recurso e critérios), a identificação da chave de API utilizada, as empresas consultadas e reveladas, o consumo de cota e os eventos administrativos da conta no âmbito do contrato. Ele não vê sua senha, seu endereço IP, nem atividade de períodos fora do vínculo. Você é informado disso no primeiro acesso.
Se o contrato for cancelado ou cortado por inadimplência, sua conta é desvinculada: vira uma conta Free pessoal e independente, e o Administrador deixa de ver sua atividade a partir da desvinculação.
Se o Administrador regularizar o pagamento, você recebe um convite para voltar e só retorna se aceitar expressamente — ninguém é revinculado automaticamente. Recusar ou ignorar o convite mantém sua conta pessoal intacta; ao aceitar, a visibilidade vale a partir do aceite.

4. Confidencialidade das suas consultas

Pesquisas, listas, filtros, watchlists, integrações, consultas e exportações que você realiza são informações confidenciais: usamos apenas para prestar, proteger, manter e aprimorar o Serviço, cumprir obrigações legais e prevenir fraude e abuso. Não são vendidas nem disponibilizadas a outros clientes, e não são usadas para treinar modelos, gerar rankings, recomendar empresas a terceiros ou alimentar outros produtos.

C · Dados de terceiros nas bases públicas (o produto)

5. O que tratamos, e como

O CFO organiza registros de fontes públicas oficiais — o inventário completo, fonte a fonte, com o que não está na base, é público em /fontes. Entre os dados tratados há dados pessoais de terceiros (pessoas que podem nunca ter usado o CFO):

Societário (RFB): nome de sócios, administradores e empresários, CPF parcialmente mascarado na própria fonte, qualificação, participação e datas. Registro mascarado não é necessariamente anônimo — tratamos como dado pessoal.
PEP (CGU): sinalização de sócio que consta na base de Pessoas Expostas Politicamente (seção 6).
Sanções e listas públicas: CEIS/CNEP (CGU), Lista Suja do trabalho escravo (MTE), autuações ambientais (IBAMA) — vinculadas à empresa e, quando a fonte traz, a pessoas.
Dívidas públicas: dívida ativa da União (PGFN) e de estados que publicam devedores; a fonte pode incluir pessoa física (ex.: sócio na dívida ativa).
Vínculos por nome: domínio .br registrado em nome de pessoa física homônima de sócio; títulos minerários (ANM) vinculados por razão social — sempre marcados como indício, não prova.
Contatos empresariais: telefone e e-mail cadastrais de estabelecimentos, que podem se referir a pessoa natural (MEI, empresário individual, representante).
Associações inferidas: redes societárias (empresas ligadas por sócios em comum) — vínculo cadastral, não reconhecimento jurídico de grupo econômico.

A natureza pública da fonte não afasta a LGPD. A Mahalo Ventures atua como controladora independente das operações de coleta, organização, normalização, indexação, associação, atualização e disponibilização desses dados. Essas operações são realizadas, conforme a natureza do dado e a finalidade específica, com fundamento no legítimo interesse da Mahalo Ventures e de seus clientes na prevenção a fraudes, verificação de contrapartes (KYC/due diligence), proteção do crédito, compliance e prospecção empresarial legítima (art. 7º, IX e X); no exercício regular de direitos; e nas demais hipóteses da LGPD — avaliando necessidade, proporcionalidade, expectativa dos titulares e salvaguardas por categoria de tratamento. Quem acessa, exporta ou reutiliza os dados passa a ser controlador independente do próprio tratamento posterior.

Sem decisões automatizadas: o CFO não tem score proprietário nem caixa-preta — não classifica risco, não recomenda aprovação/reprovação e não toma decisões sobre pessoas. Cada sinal é um fato público com link para a fonte primária; a conclusão é da análise humana de quem consulta (e os Termos exigem validação humana para decisões adversas).

6. PEP — como funciona a sinalização

O CFO compara o nome de sócios pessoa física com a base pública de PEP (CGU) e confirma a correspondência pelos dígitos visíveis do CPF (o CPF completo não está disponível em nenhuma das fontes). Exibimos cargo e vigência, com a fonte.
Falsos positivos são possíveis (homonímia com coincidência de dígitos). A condição de PEP não representa irregularidade ou risco comprovado: correspondências são indicativas e devem ser confirmadas na fonte oficial antes de qualquer decisão.
O sinal é exibido a usuários autenticados no dossiê da empresa e segue o registro da fonte (inclusive vigências encerradas, marcadas como histórico). Contestações: seção 10.

7. Contestação e correção (para quem está na base)

Empresas, representantes ou titulares que identifiquem informação incorreta, desatualizada ou indevidamente associada podem pedir verificação ao encarregado (seção 12), indicando o registro. Analisamos a origem e, conforme o caso: corrigimos erro de processamento nosso; atualizamos pela fonte mais recente; inserimos ressalva de contestação; restringimos temporariamente a exibição em caso de risco relevante e dúvida fundamentada; ou orientamos a correção junto ao órgão de origem, quando o erro estiver na própria fonte. Quando a informação tiver sido reproduzida corretamente de fonte pública oficial, poderemos manter sua exibição enquanto houver base legal, sem prejuízo de indicar a fonte e registrar a contestação. O procedimento completo está nos Termos de Uso.

Regras gerais

8. Retenção

Cadastro: enquanto sua conta existir.
Origem do cadastro: enquanto a conta existir; no navegador, o registro de origem expira em até 1 ano.
Percurso antes do cadastro: 90 dias a partir do cadastro, com expurgo diário; a lista enviada num ato que não virou conta, em até 24 horas; no navegador, itens com mais de 30 dias saem da lista e não são enviados.
Registros de acesso (Marco Civil): de quem tem conta, na trilha de eventos da conta, no mínimo 6 meses, como exige a lei, e expurgados em até 12 meses; de quem acessa sem conta, os registros técnicos do servidor (30 dias).
Medição no CFO: até 90 dias desde a criação do identificador; a ligação a um pedido de cadastro não concluído, até 24 horas.
Google Analytics 4: no Google, pelo prazo de retenção configurado na propriedade do CFO, de no máximo 14 meses.
Conversões de anúncios da OpenAI: identificador do clique, até 7 dias; ligação do cadastro à campanha, até 90 dias; os marcos locais sem a campanha ficam enquanto a conta existir.
Recusas do regime anterior: no navegador, 1 ano depois da última visita (são regravadas nas visitas); na conta, enquanto a conta existir.
Registros técnicos do servidor: logs de acesso e de erro do servidor web, até 30 dias; registro de erros da aplicação, até 35 dias; fora das cópias de segurança.
Logs operacionais e de auditoria (consultas, cota, trilha de eventos): até 12 meses, com expurgo automático. Termos da busca gratuita: ~90 dias.
Acessos lembrados (Manter conectado e Não pedir o código): até 7 e 90 dias, respectivamente, ou antes, quando você encerra o acesso na página Segurança ou quando a senha é trocada; o primeiro também termina ao sair da conta naquele navegador; vencidos são apagados diariamente.
Registros fiscais e de cobrança: pelo prazo exigido pela legislação fiscal (em regra, 5 anos).
Dados das fontes públicas: seguem o ciclo de publicação de cada fonte (snapshots atualizados; registros encerrados marcados como histórico quando a fonte assim os traz).

9. Exclusão de conta

Ao solicitar a exclusão, eliminaremos ou anonimizaremos os dados pessoais que não sejam mais necessários: nome, e-mail, telefone, empresa, IPs e demais dados do cadastro são apagados ou substituídos, inclusive o registro de origem do cadastro, o percurso antes do cadastro, a medição no CFO, a ligação a campanhas de anúncios, a recusa registrada na conta e o e-mail citado na trilha de eventos da conta; senha, 2FA, acessos lembrados, logins sociais e chaves de API são destruídos ou revogados; token e dados de cartão são dissociados; sessões são encerradas e o login é definitivamente desativado — a operação não é reversível. Poderemos conservar, com acesso restrito, dados necessários ao cumprimento de obrigações legais ou regulatórias (fiscais, registros de acesso), ao exercício regular de direitos, à prevenção de fraudes, à gestão de cobranças e à segurança do Serviço, pelos prazos aplicáveis — inclusive a evidência do aceite dos Termos. A anonimização é empregada quando a identificação do titular deixar de ser possível por meios próprios ou mediante esforços razoáveis (LGPD, art. 12); onde isso não for viável (ex.: registro fiscal de transação), o dado é conservado sob a base legal correspondente, e não como dado anônimo.

10. Seus direitos (LGPD)

Qualquer titular — usuário do Serviço ou pessoa presente nas bases públicas — pode solicitar: confirmação e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; oposição a tratamento feito com base em legítimo interesse, em caso de descumprimento da LGPD (art. 18, § 2º), inclusive quanto à medição, à estatística e aos anúncios, analisada nos termos da lei; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e suas consequências, quando o consentimento for a base; revogação de consentimento; e revisão de decisões tomadas unicamente com base em tratamento automatizado (o CFO não as toma — seção 5). Para exercer, escreva ao encarregado (seção 12), que poderá pedir comprovação de identidade para proteger o próprio titular. Responderemos nos prazos da LGPD; quando um pedido não puder ser integralmente atendido (ex.: registro sob retenção legal ou reproduzido corretamente de fonte pública), explicaremos o fundamento. Você também pode peticionar perante a ANPD.

11. Compartilhamento e transferência internacional

Não vendemos seus dados. Compartilhamos com operadores estritamente para prestar o Serviço:

OVHcloud (hospedagem — EUA) — servidor dedicado em Virgínia, onde rodam o Serviço e o banco de dados, com réplica dos dados no Brasil;
Stripe (processamento de pagamento por cartão — EUA, com entidade no Brasil) — recebe nome, e-mail, telefone e os dados do cartão, digitados diretamente no ambiente da Stripe: o número do cartão não passa pelos nossos servidores nem é por nós armazenado. A cobrança aparece como Mahalo Ventures na fatura;
Banco Inter (emissão de PIX e boleto, Brasil) — recebe nome, CPF/CNPJ e endereço do pagador, exigidos para registrar a cobrança;
OVEYON (e-mail transacional — EUA) — envia os e-mails do Serviço; se o provedor de um destinatário bloquear a entrega, a mensagem pode sair pelo SMTP2Go (EUA/Nova Zelândia), usado pelo OVEYON como rota de contingência;
Cloudflare (CDN, proteção e anti-robô — EUA e rede global);
Google (Analytics 4 — EUA) — identificador do navegador, páginas vistas (sem parâmetros, com o título), dados técnicos do gtag.js e os eventos de cadastro, login, planos vistos e compra (com o número interno da assinatura), conforme Medição, estatística e anúncios.

Há ainda dois destinatários fora dessa lista:

OpenAI (EUA) — recebe o evento de cadastro de quem chegou por anúncio do CFO no ChatGPT, com o identificador do clique, conforme Medição, estatística e anúncios, e o trata segundo os termos do programa de anúncios dela;
a plataforma de IA que você conecta pelo MCP (por exemplo, OpenAI ou Anthropic, em regra nos EUA) — recebe, a seu pedido, as respostas das consultas que você faz por ela, como controladora própria (seção 1).

O servidor principal do Serviço fica nos EUA, com réplica no Brasil, e os operadores e destinatários acima que ficam no exterior (entre eles o Google e a OpenAI) recebem os dados descritos nesta Política nos EUA. A LGPD (arts. 33 e seguintes) e a Resolução CD/ANPD nº 19/2024 exigem para essas transferências um mecanismo autorizado, como as cláusulas-padrão contratuais; a formalização desses mecanismos com cada operador e destinatário está em andamento. Informações adicionais sobre países e salvaguardas podem ser solicitadas ao encarregado. Podemos ainda fornecer dados em cumprimento de ordem judicial ou requisição legal válida, na medida estritamente necessária, e transferi-los em caso de reorganização societária, aquisição ou venda do negócio, preservadas as obrigações desta Política e a comunicação aplicável.

12. Encarregado (DPO)

Contato do encarregado pelo tratamento de dados pessoais (DPO): dpo@cfo.com.br. O canal serve para exercício de direitos, dúvidas sobre tratamento, contestação de registros (seções 7 e 10) e comunicações da ANPD.

13. Segurança e incidentes

Adotamos medidas técnicas e organizacionais razoáveis: mecanismos de derivação de senha reconhecidos pelo mercado (atualmente Argon2id, substituíveis por tecnologia equivalente ou superior), transporte criptografado (HTTPS), tokenização de cartão no gateway, controle de acesso, limites e bloqueio por IP. Nenhum sistema é 100% imune. Quando um incidente de segurança com dados pessoais puder acarretar risco ou dano relevante aos titulares, realizaremos as comunicações exigidas à ANPD e aos titulares afetados nos prazos e condições da regulamentação aplicável (LGPD, art. 48; Resolução CD/ANPD nº 15/2024).

14. Menores de idade

O Serviço é destinado a maiores de 18 anos e a contextos empresariais; não é direcionado a crianças ou adolescentes, e contas devem ser criadas por pessoas civilmente capazes.

15. Alterações

Podemos atualizar esta Política. A versão vigente é a publicada nesta página, com a versão e a data da última atualização no topo; ela vale a partir dessa data. Versões anteriores ficam arquivadas e podem ser solicitadas ao encarregado.

Veja também os Termos de Uso e o inventário de fontes em /fontes.