Política de Privacidade

Versão 1.5 — Outubro de 2026

MAXIMILIAM WIDSON SERVICOS ADMINISTRATIVOS LTDA CNPJ: 40.433.649/0001-10 Endereço: Rua José Antônio Coelho, 473 — Vila Mariana, São Paulo — SP, CEP 04011-061 Encarregado de Dados (DPO): Maximiliam Widson dos Santos Contato de privacidade: suporte@mwstecnologia.com.br

APRESENTAÇÃO

A MAXIMILIAM WIDSON SERVICOS ADMINISTRATIVOS LTDA ("CarLeads", "nós" ou "nosso"), no exercício de suas atividades, coleta e trata dados pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e demais normas aplicáveis.

Esta Política descreve como coletamos, utilizamos, armazenamos, compartilhamos e protegemos os dados pessoais dos titulares que interagem com nossa Plataforma, de forma direta ou indireta.

1. PAPÉIS NA CADEIA DE TRATAMENTO DE DADOS

1.1 A LGPD distingue dois agentes de tratamento:

CONTROLADOR: quem toma as decisões sobre o tratamento dos dados. OPERADOR: quem trata dados em nome do controlador.

1.2 A CarLeads atua em dois papéis distintos e simultâneos:

a) CONTROLADORA: em relação aos dados cadastrais dos Contratantes (revendas e seus usuários) — decisões sobre coleta, finalidade e retenção são tomadas pela própria CarLeads.

b) OPERADORA: em relação aos dados dos Leads (consumidores finais das revendas) — a CarLeads processa esses dados exclusivamente conforme instruções do Contratante (a revenda), que é a Controladora perante os Leads.

1.3 Cada Contratante é responsável por: - Informar seus Leads sobre o tratamento de dados realizado por meio da Plataforma CarLeads; - Obter as bases legais adequadas (consentimento, execução de contrato, legítimo interesse) antes de inserir dados de Leads na Plataforma; - Responder a solicitações de direitos dos Leads relativos aos dados sob seu controle.

2. QUAIS DADOS COLETAMOS

2.1 DADOS DOS CONTRATANTES E USUÁRIOS (CarLeads como Controladora):

Dados cadastrais: - Razão social, CNPJ, endereço, inscrição estadual - Nome completo, cargo, e-mail, telefone dos usuários - Dados de acesso: login, senha (armazenada em hash irreversível) - Dados de pagamento: as cobranças da assinatura são processadas pela Stripe, Inc., mediante cartão de crédito ou PIX; a CarLeads não armazena os dados completos do cartão nem os dados da transação PIX, que ficam sob custódia exclusiva da Stripe

Dados de uso: - Logs de acesso (IP, data/hora, ação realizada) - Métricas de utilização da Plataforma - Preferências e configurações do sistema

2.2 DADOS DOS LEADS (CarLeads como Operadora, a mando do Contratante):

Dados fornecidos pelos Leads via WhatsApp, Messenger, Instagram Direct, formulários ou comentários públicos nas publicações e anúncios da revenda: - Nome completo - Número de telefone / WhatsApp - Nome de perfil e identificador da conta no Facebook ou no Instagram (quando o contato é feito por essas redes) - CPF (quando fornecido voluntariamente) - E-mail - Data de nascimento (quando fornecida voluntariamente para análise de crédito) - Endereço (quando fornecido voluntariamente para análise de crédito) - Interesse de compra (veículo desejado, veículo para troca) - Conteúdo das mensagens de texto enviadas ao WhatsApp, ao Messenger ou ao Instagram Direct da revenda - Texto de comentários públicos feitos nas publicações e anúncios da revenda no Facebook e no Instagram, quando o Contratante liga a resposta automática a comentários - Transcrições de mensagens de áudio (processadas pela IA) - Histórico de atendimento e status no funil de vendas

2.3 DADOS NÃO COLETADOS: - Não coletamos dados de menores de 18 anos intencionalmente. - Não coletamos dados sensíveis (saúde, biometria, convicções religiosas ou políticas) salvo se o Lead os fornecer espontaneamente no contexto de uma negociação.

3. BASES LEGAIS PARA O TRATAMENTO

3.1 O tratamento dos dados pela CarLeads fundamenta-se nas seguintes bases legais previstas no art. 7º e 11 da LGPD:

a) EXECUÇÃO DE CONTRATO (art. 7º, V): tratamento dos dados dos Contratantes e Usuários necessário para a prestação dos serviços contratados.

b) LEGÍTIMO INTERESSE (art. 7º, IX): manutenção de logs de segurança, prevenção a fraudes, melhoria contínua da Plataforma, comunicações sobre atualizações do serviço — sempre respeitando os direitos e expectativas razoáveis dos titulares.

c) CUMPRIMENTO DE OBRIGAÇÃO LEGAL (art. 7º, II): manutenção de registros fiscais, contábeis e obrigações regulatórias.

d) CONSENTIMENTO (art. 7º, I): para envio de comunicações de marketing e novidades sobre o produto, quando solicitado.

3.2 Para os dados dos Leads, a base legal é definida pelo Contratante (Controlador), que deve garantir a adequação antes de inserir dados na Plataforma. A CarLeads, como Operadora, não valida ou define a base legal dos Contratantes perante seus Leads.

4. FINALIDADES DO TRATAMENTO

4.1 Dados dos Contratantes e Usuários são tratados para: - Criação, manutenção e encerramento de contas - Autenticação e controle de acesso - Emissão de cobranças e gestão financeira - Suporte técnico e atendimento ao cliente - Comunicações sobre atualizações, manutenções e novidades do produto - Cumprimento de obrigações legais e regulatórias - Prevenção a fraudes e segurança da Plataforma - Melhoria e desenvolvimento de novas funcionalidades (dados anonimizados ou agregados)

4.2 Dados dos Leads são tratados para: - Automatização do atendimento via WhatsApp, Messenger e Instagram Direct conforme configurado pelo Contratante - Resposta a comentários públicos nas publicações e anúncios da revenda, quando ligada pelo Contratante: uma resposta pública curta, com texto definido pelo Contratante (nunca gerado pela IA), e uma mensagem privada que inicia o atendimento. Reclamações não recebem resposta automática em privado; são encaminhadas à equipe da revenda - Armazenamento no CRM para acompanhamento do funil de vendas - Qualificação automatizada pelo agente de IA - Geração de relatórios e estatísticas para o Contratante - NÃO utilizamos dados de Leads de um Contratante para beneficiar outro Contratante ou para qualquer finalidade alheia à prestação do serviço contratado.

5. COMPARTILHAMENTO DE DADOS

5.1 A CarLeads não vende, aluga ou comercializa dados pessoais.

5.2 Podemos compartilhar dados com terceiros nas seguintes hipóteses:

SUBOPERADORES TÉCNICOS (necessários para o funcionamento da Plataforma):

- Supabase Inc. (EUA) Função: banco de dados relacional e serviço de autenticação Dados: todos os dados armazenados na Plataforma Garantia: cláusulas contratuais padrão para transferência internacional Política: https://supabase.com/privacy

- OpenAI, L.L.C. (EUA) Função: processamento de linguagem natural (respostas da IA) e transcrição de áudios enviados por Leads (Whisper API) Dados: texto das mensagens e áudios dos Leads Garantia: Data Processing Agreement (DPA) com a OpenAI Política: https://openai.com/policies/privacy-policy Importante: a OpenAI afirma não utilizar dados enviados via API para treinamento de modelos (verificar DPA vigente).

- Evolution API / Servidores de WhatsApp (Meta Platforms) Função: envio e recebimento de mensagens WhatsApp Dados: número de telefone e conteúdo das mensagens dos Leads Política: https://www.whatsapp.com/legal/privacy-policy-eea

- Meta Platforms (Messenger e Instagram) Função: envio e recebimento de mensagens no Messenger e no Instagram Direct e, quando ligada pelo Contratante, leitura e resposta de comentários nas publicações e anúncios da revenda Dados: identificador da conta, nome de perfil, conteúdo das mensagens e dos comentários Política: https://www.facebook.com/privacy/policy

- Meta Platforms (anúncios no Facebook e no Instagram) — só para Contratantes que contratam a gestão de anúncios da CarLeads Função: medir os resultados dos anúncios da revenda e otimizar a entrega (Pixel da Meta na vitrine e API de Conversões) Dados: (a) na vitrine, com o consentimento do visitante (item 10.4): páginas e veículos vistos e o contato feito (formulário ou WhatsApp); (b) quando uma venda é registrada no CRM para um Lead que chegou por anúncio da Meta: o evento de compra com o valor e o veículo, e o telefone e o e-mail do Lead apenas em forma criptografada irreversível (hash SHA-256), que a Meta usa só para relacionar a venda ao anúncio. Base legal: consentimento (item a) e legítimo interesse do Contratante em medir a própria publicidade (item b), com minimização dos dados. O titular pode se opor a qualquer tempo (item 8). Política: https://www.facebook.com/privacy/policy

- Cloudflare, Inc. (EUA) Função: rede de acesso aos servidores (túnel), hospedagem do site e do painel e cópias de segurança criptografadas do banco de dados Dados: todos os dados que trafegam pela Plataforma e as cópias de segurança (criptografadas) Política: https://www.cloudflare.com/privacypolicy/

- LWSA S/A – Locaweb (Brasil) Função: servidor virtual (VPS) que executa a aplicação da Plataforma Dados: dados processados pela aplicação durante o atendimento Política: https://www.locaweb.com.br/politica-de-privacidade/

- Resend, Inc. (EUA) Função: envio de e-mails transacionais (relatórios aos gerentes das revendas e avisos do sistema) Dados: e-mail do destinatário e o conteúdo do relatório Política: https://resend.com/legal/privacy-policy

- Stripe, Inc. (EUA) Função: processamento de pagamentos da assinatura (cartão de crédito) Dados: dados de cobrança e do cartão do Contratante — a CarLeads não tem acesso aos dados completos do cartão Política: https://stripe.com/privacy

POR OBRIGAÇÃO LEGAL: - Autoridades governamentais, judiciais ou regulatórias, mediante solicitação formal legalmente fundamentada.

5.3 Exigimos de todos os suboperadores a celebração de Acordo de Processamento de Dados (DPA) compatível com a LGPD e garantias equivalentes de proteção.

6. TRANSFERÊNCIA INTERNACIONAL DE DADOS

6.1 Alguns suboperadores (Supabase, OpenAI, Cloudflare, Resend) estão estabelecidos nos Estados Unidos. A transferência internacional ocorre com base em:

- Cláusulas Contratuais Padrão (Standard Contractual Clauses — SCCs) aprovadas por autoridades de proteção de dados competentes; - Programas de certificação reconhecidos internacionalmente.

6.2 O Contratante, ao aceitar estes Termos, reconhece e consente com a transferência internacional de dados necessária ao funcionamento do serviço.

7. RETENÇÃO E EXCLUSÃO DE DADOS

7.1 Os dados são retidos pelos seguintes prazos:

7.2 Após o prazo, os dados são excluídos de forma segura e irreversível (sobreescrita ou destruição física da mídia), exceto quando sua retenção for exigida por lei, regulação ou ordem judicial.

7.3 O Contratante pode solicitar a exclusão antecipada dos dados de seus Leads a qualquer momento, por escrito, ao e-mail: suporte@mwstecnologia.com.br. A exclusão será processada em até 15 dias úteis.

7.4 COMO PEDIR A EXCLUSÃO DOS SEUS DADOS (passo a passo)

Qualquer pessoa pode pedir a exclusão dos dados que a CarLeads trata sobre ela, inclusive dos dados obtidos por meio das plataformas da Meta: mensagens de WhatsApp, Messenger e Instagram Direct trocadas com a revenda, comentários respondidos e respostas de formulários de anúncios do Facebook e do Instagram. Para pedir:

1. Envie um e-mail para suporte@mwstecnologia.com.br com o assunto "Exclusão de dados". 2. Informe o número de telefone usado no contato (com DDI e DDD) ou, se o contato foi pelo Facebook ou pelo Instagram, o seu nome de usuário nessa rede; e, se souber, o nome da revenda que atendeu você. Esses dados são necessários para localizar o registro. 3. Diga se quer a exclusão de todos os dados ou apenas o encerramento das mensagens automáticas.

O pedido é processado em até 15 (quinze) dias úteis, com confirmação enviada para o mesmo e-mail. São excluídos o cadastro do Lead, o histórico de mensagens e as respostas de formulário. Permanecem apenas os registros cuja guarda é exigida por lei (item 7.2), sem uso comercial.

Para apenas parar de receber mensagens, sem excluir o histórico, responda PARAR (ou STOP) na própria conversa de WhatsApp: o envio automático é encerrado imediatamente.

Se você é Lead de uma revenda, peça primeiro à revenda que atendeu você, que é a Controladora dos seus dados (item 8.3). A CarLeads atende o pedido diretamente quando a revenda não puder ser identificada ou contatada.

8. DIREITOS DOS TITULARES

8.1 Nos termos do art. 18 da LGPD, os titulares de dados têm direito a:

I. CONFIRMAÇÃO: saber se tratamos seus dados; II. ACESSO: obter cópia dos dados que tratamos; III. CORREÇÃO: corrigir dados incompletos, inexatos ou desatualizados; IV. ANONIMIZAÇÃO / BLOQUEIO / ELIMINAÇÃO: de dados desnecessários ou tratados em desconformidade com a LGPD; V. PORTABILIDADE: receber seus dados em formato estruturado; VI. ELIMINAÇÃO: solicitar a exclusão de dados tratados com base no consentimento; VII. INFORMAÇÃO: saber com quem compartilhamos seus dados; VIII.REVOGAÇÃO DO CONSENTIMENTO: quando o tratamento se basear nessa base legal; IX. OPOSIÇÃO: manifestar-se contra tratamento realizado com base em legítimo interesse.

8.2 Para CONTRATANTES E USUÁRIOS: exercer os direitos diretamente com a CarLeads pelo e-mail: suporte@mwstecnologia.com.br.

8.3 Para LEADS (consumidores finais das revendas): os Leads devem exercer seus direitos primeiramente junto ao Contratante (a revenda que os atendeu), que é o Controlador de seus dados. A CarLeads atenderá solicitações de Leads apenas quando o Contratante não puder ser identificado ou contatado.

8.4 Prazo de resposta: até 15 (quinze) dias úteis a partir do recebimento da solicitação devidamente identificada.

8.5 Não cobramos pela análise ou atendimento de solicitações de direitos, salvo nos casos de solicitações repetitivas ou claramente infundadas.

9. SEGURANÇA DOS DADOS

9.1 Adotamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais, incluindo:

- Criptografia em trânsito (TLS 1.2+) e em repouso - Autenticação multifator disponível para acesso administrativo - Controle de acesso baseado em função (RBAC) — cada usuário acessa apenas os dados necessários ao seu papel - Políticas de Row Level Security (RLS) no banco de dados para isolamento entre Contratantes (cada revenda acessa apenas seus próprios dados) - Monitoramento contínuo de acessos e anomalias - Plano de resposta a incidentes de segurança

9.2 Incidentes de segurança que possam afetar direitos e liberdades dos titulares serão comunicados à Autoridade Nacional de Proteção de Dados (ANPD) e ao Contratante afetado no prazo de 72 horas após a ciência, conforme art. 48 da LGPD.

10. COOKIES E TECNOLOGIAS DE RASTREAMENTO

10.1 A Plataforma CarLeads (painel web do CRM) utiliza cookies essenciais para: - Manter a sessão autenticada do usuário - Preferências de idioma e interface - Segurança e prevenção a ataques CSRF

10.2 Não utilizamos cookies de rastreamento publicitário ou de terceiros dentro do painel CRM.

10.3 Ferramentas de medição. Usamos o Google Tag Manager e tags do Google (Google Ads e Google Analytics) para medir o desempenho dos nossos anúncios. Elas carregam assim que você acessa o site, mas com todos os consentimentos negados por padrão (Modo de Consentimento do Google): sem o seu aceite, não gravamos cookies de publicidade ou de análise, e o Google recebe apenas sinais sem identificação, usados em estimativas agregadas. Ao clicar em "Aceitar", você autoriza esses cookies, e pode revogar a autorização a qualquer momento.

10.4 A vitrine pública de cada revenda (endereços /loja/...) pode utilizar o Pixel da Meta quando a revenda contrata a gestão de anúncios da CarLeads. O Pixel só é carregado depois que o visitante clica em "Aceitar" no aviso de cookies; quem recusa navega normalmente, sem o Pixel. A vitrine também guarda, só na sessão do navegador, os parâmetros do link de chegada (como utm_source e o identificador do clique no anúncio) para registrar de qual anúncio ou campanha veio o contato — informação usada para medir os anúncios da revenda.

11. DADOS DE MENORES

11.1 A Plataforma não é destinada a menores de 18 anos. Não coletamos intencionalmente dados de menores. Caso identifiquemos a coleta acidental, os dados serão excluídos imediatamente.

11.2 Recomendamos que os Contratantes orientem seus Leads a não compartilhar dados de menores no contexto do atendimento automotivo.

12. ENCARREGADO DE DADOS (DPO)

12.1 O Encarregado de Dados (Data Protection Officer — DPO) da CarLeads é:

Nome: Maximiliam Widson dos Santos E-mail: suporte@mwstecnologia.com.br Disponibilidade: dias úteis, das 9h às 18h (horário de Brasília)

12.2 O DPO é o canal oficial para: - Exercício de direitos dos titulares - Dúvidas sobre esta Política de Privacidade - Comunicações com a Autoridade Nacional de Proteção de Dados (ANPD) - Reportar suspeitas de violação de dados

13. ALTERAÇÕES NESTA POLÍTICA

13.1 Esta Política pode ser atualizada periodicamente para refletir mudanças na legislação, nas nossas práticas ou nos serviços oferecidos.

13.2 Alterações materiais serão comunicadas aos Contratantes por e-mail com antecedência mínima de 15 (quinze) dias.

13.3 A versão vigente estará sempre disponível em: carleads.ia.br/privacidade

14. LEI APLICÁVEL E FORO

14.1 Esta Política é regida pela legislação brasileira, em especial pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).

14.2 Quaisquer controvérsias serão submetidas ao foro da comarca de São Paulo, Estado de São Paulo, com renúncia a qualquer outro.

GLOSSÁRIO (LGPD — art. 5º)

DADO PESSOAL: informação relacionada a pessoa natural identificada ou identificável.

TITULAR: pessoa natural a quem se referem os dados pessoais.

CONTROLADOR: pessoa natural ou jurídica que toma as decisões referentes ao tratamento de dados pessoais.

OPERADOR: pessoa natural ou jurídica que realiza o tratamento em nome do controlador.

TRATAMENTO: toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração).

ANPD: Autoridade Nacional de Proteção de Dados, órgão federal responsável por zelar pela proteção de dados pessoais no Brasil.

Última atualização: Julho de 2026 MAXIMILIAM WIDSON SERVICOS ADMINISTRATIVOS LTDA — CNPJ 40.433.649/0001-10 suporte@mwstecnologia.com.br | carleads.ia.br/privacidade