Política de Privacidade

Versão 1.0 — Maio de 2026

MAXIMILIAM WIDSON SERVICOS ADMINISTRATIVOS LTDA CNPJ: 40.433.649/0001-10 Endereço: Rua José Antônio Coelho, 473 — Vila Mariana, São Paulo — SP, CEP 04011-061 Encarregado de Dados (DPO): Maximiliam Widson dos Santos Contato de privacidade: suporte@mwstecnologia.com.br

APRESENTAÇÃO

A MAXIMILIAM WIDSON SERVICOS ADMINISTRATIVOS LTDA ("CarLeads", "nós" ou "nosso"), no exercício de suas atividades, coleta e trata dados pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e demais normas aplicáveis.

Esta Política descreve como coletamos, utilizamos, armazenamos, compartilhamos e protegemos os dados pessoais dos titulares que interagem com nossa Plataforma, de forma direta ou indireta.

1. PAPÉIS NA CADEIA DE TRATAMENTO DE DADOS

1.1 A LGPD distingue dois agentes de tratamento:

CONTROLADOR: quem toma as decisões sobre o tratamento dos dados. OPERADOR: quem trata dados em nome do controlador.

1.2 A CarLeads atua em dois papéis distintos e simultâneos:

a) CONTROLADORA: em relação aos dados cadastrais dos Contratantes (revendas e seus usuários) — decisões sobre coleta, finalidade e retenção são tomadas pela própria CarLeads.

b) OPERADORA: em relação aos dados dos Leads (consumidores finais das revendas) — a CarLeads processa esses dados exclusivamente conforme instruções do Contratante (a revenda), que é a Controladora perante os Leads.

1.3 Cada Contratante é responsável por: - Informar seus Leads sobre o tratamento de dados realizado por meio da Plataforma CarLeads; - Obter as bases legais adequadas (consentimento, execução de contrato, legítimo interesse) antes de inserir dados de Leads na Plataforma; - Responder a solicitações de direitos dos Leads relativos aos dados sob seu controle.

2. QUAIS DADOS COLETAMOS

2.1 DADOS DOS CONTRATANTES E USUÁRIOS (CarLeads como Controladora):

Dados cadastrais: - Razão social, CNPJ, endereço, inscrição estadual - Nome completo, cargo, e-mail, telefone dos usuários - Dados de acesso: login, senha (armazenada em hash irreversível) - Dados de pagamento: cobranças realizadas diretamente pela CarLeads via transferência bancária ou PIX; não armazenamos dados de cartão

Dados de uso: - Logs de acesso (IP, data/hora, ação realizada) - Métricas de utilização da Plataforma - Preferências e configurações do sistema

2.2 DADOS DOS LEADS (CarLeads como Operadora, a mando do Contratante):

Dados fornecidos pelos Leads via WhatsApp ou formulários: - Nome completo - Número de telefone / WhatsApp - CPF (quando fornecido voluntariamente) - E-mail - Data de nascimento (quando fornecida voluntariamente para análise de crédito) - Endereço (quando fornecido voluntariamente para análise de crédito) - Interesse de compra (veículo desejado, veículo para troca) - Conteúdo das mensagens de texto enviadas ao WhatsApp da revenda - Transcrições de mensagens de áudio (processadas pela IA) - Histórico de atendimento e status no funil de vendas

2.3 DADOS NÃO COLETADOS: - Não coletamos dados de menores de 18 anos intencionalmente. - Não coletamos dados sensíveis (saúde, biometria, convicções religiosas ou políticas) salvo se o Lead os fornecer espontaneamente no contexto de uma negociação.

3. BASES LEGAIS PARA O TRATAMENTO

3.1 O tratamento dos dados pela CarLeads fundamenta-se nas seguintes bases legais previstas no art. 7º e 11 da LGPD:

a) EXECUÇÃO DE CONTRATO (art. 7º, V): tratamento dos dados dos Contratantes e Usuários necessário para a prestação dos serviços contratados.

b) LEGÍTIMO INTERESSE (art. 7º, IX): manutenção de logs de segurança, prevenção a fraudes, melhoria contínua da Plataforma, comunicações sobre atualizações do serviço — sempre respeitando os direitos e expectativas razoáveis dos titulares.

c) CUMPRIMENTO DE OBRIGAÇÃO LEGAL (art. 7º, II): manutenção de registros fiscais, contábeis e obrigações regulatórias.

d) CONSENTIMENTO (art. 7º, I): para envio de comunicações de marketing e novidades sobre o produto, quando solicitado.

3.2 Para os dados dos Leads, a base legal é definida pelo Contratante (Controlador), que deve garantir a adequação antes de inserir dados na Plataforma. A CarLeads, como Operadora, não valida ou define a base legal dos Contratantes perante seus Leads.

4. FINALIDADES DO TRATAMENTO

4.1 Dados dos Contratantes e Usuários são tratados para: - Criação, manutenção e encerramento de contas - Autenticação e controle de acesso - Emissão de cobranças e gestão financeira - Suporte técnico e atendimento ao cliente - Comunicações sobre atualizações, manutenções e novidades do produto - Cumprimento de obrigações legais e regulatórias - Prevenção a fraudes e segurança da Plataforma - Melhoria e desenvolvimento de novas funcionalidades (dados anonimizados ou agregados)

4.2 Dados dos Leads são tratados para: - Automatização do atendimento via WhatsApp conforme configurado pelo Contratante - Armazenamento no CRM para acompanhamento do funil de vendas - Qualificação automatizada pelo agente de IA - Geração de relatórios e estatísticas para o Contratante - NÃO utilizamos dados de Leads de um Contratante para beneficiar outro Contratante ou para qualquer finalidade alheia à prestação do serviço contratado.

5. COMPARTILHAMENTO DE DADOS

5.1 A CarLeads não vende, aluga ou comercializa dados pessoais.

5.2 Podemos compartilhar dados com terceiros nas seguintes hipóteses:

SUBOPERADORES TÉCNICOS (necessários para o funcionamento da Plataforma):

- Supabase Inc. (EUA) Função: banco de dados relacional e serviço de autenticação Dados: todos os dados armazenados na Plataforma Garantia: cláusulas contratuais padrão para transferência internacional Política: https://supabase.com/privacy

- OpenAI, L.L.C. (EUA) Função: processamento de linguagem natural (respostas da IA) e transcrição de áudios enviados por Leads (Whisper API) Dados: texto das mensagens e áudios dos Leads Garantia: Data Processing Agreement (DPA) com a OpenAI Política: https://openai.com/policies/privacy-policy Importante: a OpenAI afirma não utilizar dados enviados via API para treinamento de modelos (verificar DPA vigente).

- Evolution API / Servidores de WhatsApp (Meta Platforms) Função: envio e recebimento de mensagens WhatsApp Dados: número de telefone e conteúdo das mensagens dos Leads Política: https://www.whatsapp.com/legal/privacy-policy-eea

POR OBRIGAÇÃO LEGAL: - Autoridades governamentais, judiciais ou regulatórias, mediante solicitação formal legalmente fundamentada.

5.3 Exigimos de todos os suboperadores a celebração de Acordo de Processamento de Dados (DPA) compatível com a LGPD e garantias equivalentes de proteção.

6. TRANSFERÊNCIA INTERNACIONAL DE DADOS

6.1 Alguns suboperadores (Supabase, OpenAI) estão estabelecidos nos Estados Unidos. A transferência internacional ocorre com base em:

- Cláusulas Contratuais Padrão (Standard Contractual Clauses — SCCs) aprovadas por autoridades de proteção de dados competentes; - Programas de certificação reconhecidos internacionalmente.

6.2 O Contratante, ao aceitar estes Termos, reconhece e consente com a transferência internacional de dados necessária ao funcionamento do serviço.

7. RETENÇÃO E EXCLUSÃO DE DADOS

7.1 Os dados são retidos pelos seguintes prazos:

| Categoria de Dado | Prazo de Retenção | |------------------------------|--------------------------------------------| | Dados cadastrais (Contrat.) | Durante o contrato + 1 ano após encerramento| | Dados de Leads | Durante o contrato + 1 ano após encerramento| | Logs de acesso e segurança | 6 meses | | Dados financeiros/fiscais | 5 anos (obrigação fiscal — Lei nº 9.430/96)| | Backups | Até 30 dias após geração do backup seguinte|

7.2 Após o prazo, os dados são excluídos de forma segura e irreversível (sobreescrita ou destruição física da mídia), exceto quando sua retenção for exigida por lei, regulação ou ordem judicial.

7.3 O Contratante pode solicitar a exclusão antecipada dos dados de seus Leads a qualquer momento, por escrito, ao e-mail: suporte@mwstecnologia.com.br. A exclusão será processada em até 15 dias úteis.

8. DIREITOS DOS TITULARES

8.1 Nos termos do art. 18 da LGPD, os titulares de dados têm direito a:

I. CONFIRMAÇÃO: saber se tratamos seus dados; II. ACESSO: obter cópia dos dados que tratamos; III. CORREÇÃO: corrigir dados incompletos, inexatos ou desatualizados; IV. ANONIMIZAÇÃO / BLOQUEIO / ELIMINAÇÃO: de dados desnecessários ou tratados em desconformidade com a LGPD; V. PORTABILIDADE: receber seus dados em formato estruturado; VI. ELIMINAÇÃO: solicitar a exclusão de dados tratados com base no consentimento; VII. INFORMAÇÃO: saber com quem compartilhamos seus dados; VIII.REVOGAÇÃO DO CONSENTIMENTO: quando o tratamento se basear nessa base legal; IX. OPOSIÇÃO: manifestar-se contra tratamento realizado com base em legítimo interesse.

8.2 Para CONTRATANTES E USUÁRIOS: exercer os direitos diretamente com a CarLeads pelo e-mail: suporte@mwstecnologia.com.br.

8.3 Para LEADS (consumidores finais das revendas): os Leads devem exercer seus direitos primeiramente junto ao Contratante (a revenda que os atendeu), que é o Controlador de seus dados. A CarLeads atenderá solicitações de Leads apenas quando o Contratante não puder ser identificado ou contatado.

8.4 Prazo de resposta: até 15 (quinze) dias úteis a partir do recebimento da solicitação devidamente identificada.

8.5 Não cobramos pela análise ou atendimento de solicitações de direitos, salvo nos casos de solicitações repetitivas ou claramente infundadas.

9. SEGURANÇA DOS DADOS

9.1 Adotamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais, incluindo:

- Criptografia em trânsito (TLS 1.2+) e em repouso - Autenticação multifator disponível para acesso administrativo - Controle de acesso baseado em função (RBAC) — cada usuário acessa apenas os dados necessários ao seu papel - Políticas de Row Level Security (RLS) no banco de dados para isolamento entre Contratantes (cada revenda acessa apenas seus próprios dados) - Monitoramento contínuo de acessos e anomalias - Plano de resposta a incidentes de segurança

9.2 Incidentes de segurança que possam afetar direitos e liberdades dos titulares serão comunicados à Autoridade Nacional de Proteção de Dados (ANPD) e ao Contratante afetado no prazo de 72 horas após a ciência, conforme art. 48 da LGPD.

10. COOKIES E TECNOLOGIAS DE RASTREAMENTO

10.1 A Plataforma CarLeads (painel web do CRM) utiliza cookies essenciais para: - Manter a sessão autenticada do usuário - Preferências de idioma e interface - Segurança e prevenção a ataques CSRF

10.2 Não utilizamos cookies de rastreamento publicitário ou de terceiros dentro do painel CRM.

10.3 A Landing Page (site público) pode utilizar cookies analíticos para medir o tráfego. Nesse caso, um banner de consentimento será exibido.

11. DADOS DE MENORES

11.1 A Plataforma não é destinada a menores de 18 anos. Não coletamos intencionalmente dados de menores. Caso identifiquemos a coleta acidental, os dados serão excluídos imediatamente.

11.2 Recomendamos que os Contratantes orientem seus Leads a não compartilhar dados de menores no contexto do atendimento automotivo.

12. ENCARREGADO DE DADOS (DPO)

12.1 O Encarregado de Dados (Data Protection Officer — DPO) da CarLeads é:

Nome: Maximiliam Widson dos Santos E-mail: suporte@mwstecnologia.com.br Disponibilidade: dias úteis, das 9h às 18h (horário de Brasília)

12.2 O DPO é o canal oficial para: - Exercício de direitos dos titulares - Dúvidas sobre esta Política de Privacidade - Comunicações com a Autoridade Nacional de Proteção de Dados (ANPD) - Reportar suspeitas de violação de dados

13. ALTERAÇÕES NESTA POLÍTICA

13.1 Esta Política pode ser atualizada periodicamente para refletir mudanças na legislação, nas nossas práticas ou nos serviços oferecidos.

13.2 Alterações materiais serão comunicadas aos Contratantes por e-mail com antecedência mínima de 15 (quinze) dias.

13.3 A versão vigente estará sempre disponível em: carleads.com.br/privacidade

14. LEI APLICÁVEL E FORO

14.1 Esta Política é regida pela legislação brasileira, em especial pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).

14.2 Quaisquer controvérsias serão submetidas ao foro da comarca de São Paulo, Estado de São Paulo, com renúncia a qualquer outro.

GLOSSÁRIO (LGPD — art. 5º)

DADO PESSOAL: informação relacionada a pessoa natural identificada ou identificável.

TITULAR: pessoa natural a quem se referem os dados pessoais.

CONTROLADOR: pessoa natural ou jurídica que toma as decisões referentes ao tratamento de dados pessoais.

OPERADOR: pessoa natural ou jurídica que realiza o tratamento em nome do controlador.

TRATAMENTO: toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração).

ANPD: Autoridade Nacional de Proteção de Dados, órgão federal responsável por zelar pela proteção de dados pessoais no Brasil.

Última atualização: Maio de 2026 MAXIMILIAM WIDSON SERVICOS ADMINISTRATIVOS LTDA — CNPJ 40.433.649/0001-10 suporte@mwstecnologia.com.br | carleads.com.br/privacidade