Política de Privacidade

1. Sobre este documento

Esta Política de Privacidade descreve, de forma transparente, como a Munion coleta, utiliza, armazena, compartilha e protege dados pessoais ao oferecer (i) o site institucional em munion.com.br e (ii) a plataforma SaaS de notificações automatizadas via WhatsApp disponibilizada em munion.com.br/app (em conjunto, a "Plataforma").

O documento foi elaborado em estrita observância:

• ao direito fundamental à intimidade, à vida privada, à honra e à imagem (Constituição da República Federativa do Brasil, art. 5º, X);
• à inviolabilidade do sigilo das comunicações (Constituição, art. 5º, XII);
• à Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018);
• ao Marco Civil da Internet (Lei nº 12.965/2014, em especial arts. 7º, 10 a 15);
• ao General Data Protection Regulation — GDPR (Regulamento UE 2016/679), quando aplicável a titulares no Espaço Econômico Europeu;
• ao Código de Defesa do Consumidor (Lei nº 8.078/1990), no que couber;
• aos princípios da Lei nº 14.133/2021 (Nova Lei de Licitações e Contratos Administrativos), por se tratar de produto destinado à Administração Pública municipal.

A leitura deste documento é dirigida a visitantes do site, a usuários autorizados da Plataforma e, no que couber, a cidadãos destinatários de notificações enviadas por nossos clientes — entes da Administração Pública municipal.

2. Identificação do Controlador e do Encarregado

Controlador dos dados (art. 5º, VI, LGPD):

• Razão social: 51.274.666 MURILO MARCAL DE ARAUJO
• CNPJ: 51.274.666/0001-79
• Nome fantasia: Munion
• E-mail institucional: [email protected]
• Site oficial: https://munion.com.br

Encarregado pelo Tratamento de Dados Pessoais — DPO (art. 41, LGPD):

• Canal de contato: [email protected]
• Assunto recomendado: "Encarregado — LGPD"

Comunicações dirigidas ao Encarregado por este canal serão tratadas com prioridade e respondidas no prazo legal de até 15 (quinze) dias, conforme art. 19 da LGPD.

3. Glossário

Para evitar ambiguidades, adotamos as definições do art. 5º da LGPD:

• Dado pessoal: qualquer informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde, à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Titular: a pessoa natural a quem se referem os dados pessoais.
• Controlador: quem toma as decisões sobre o tratamento dos dados pessoais.
• Operador: quem realiza o tratamento de dados pessoais em nome do Controlador.
• Tratamento: toda operação realizada com dados pessoais (coleta, uso, acesso, transmissão, armazenamento, eliminação, entre outras).
• Base legal: fundamento jurídico que autoriza o tratamento (arts. 7º e 11 da LGPD).
• Anonimização: utilização de meios técnicos razoáveis que tornem o dado não associável a um indivíduo.

4. A quem esta Política se aplica

Esta Política se aplica a três categorias de titulares, com regimes jurídicos distintos:

4.1 Visitantes do site (munion.com.br)

Pessoas que acessam nossas páginas públicas — incluindo páginas institucionais, blog e formulários de contato — sem necessariamente possuir vínculo contratual conosco. Para essa categoria, a Munion atua como Controladora.

4.2 Usuários autorizados da Plataforma (munion.com.br/app)

Servidores públicos, gestores e prepostos formalmente autorizados pela Prefeitura contratante a operar a Plataforma Munion. Para essa categoria, a Munion atua como Controladora dos dados de identificação e acesso operacional.

4.3 Cidadãos beneficiários das notificações

Munícipes que recebem mensagens enviadas pela Prefeitura por meio da nossa Plataforma — por exemplo, lembretes de consultas no SUS, comunicados escolares ou avisos sobre transporte público. Para essa categoria, a Munion atua exclusivamente como Operadora (art. 5º, VII, LGPD), sob orientação e responsabilidade do ente público contratante, que é o Controlador.

Importante: quando você é cidadão atendido por uma Prefeitura e recebeu uma notificação enviada por meio da Munion, o tratamento dos seus dados é regido pela Política de Privacidade da própria Prefeitura. Solicitações de acesso, correção ou eliminação devem ser dirigidas, em primeira instância, ao Encarregado de Dados do município. Atuaremos prontamente em apoio ao Controlador, conforme a Cláusula de Operador firmada em contrato.

5. Quais dados tratamos, finalidades e bases legais

Tratamos apenas os dados estritamente necessários para cumprir as finalidades descritas, em estrita observância ao princípio da minimização (art. 6º, III, LGPD).

5.1 Dados de visitantes do site

5.2 Dados informados em formulários e em conversas no WhatsApp comercial

Quando você preenche um formulário de contato ou inicia uma conversa pelo canal de WhatsApp comercial da Munion, coletamos voluntariamente os seguintes dados:

Os dados informados nesses canais ficam armazenados em infraestrutura controlada pela Munion, sem repasse a CRMs de terceiros para fins comerciais.

5.3 Dados de usuários autorizados da Plataforma (/app)

5.4 Dados de cidadãos beneficiários (Munion atua como Operadora)

Em nome da Prefeitura contratante, processamos os dados estritamente necessários ao envio das notificações:

• nome do cidadão;
• número de telefone com WhatsApp ativo;
• identificador do serviço público vinculado (ex.: código da consulta agendada, matrícula escolar, linha de transporte) — exclusivamente para personalização da mensagem;
• status de entrega, leitura e resposta da notificação.

Não captamos novos contatos por iniciativa própria. As notificações são enviadas exclusivamente a cidadãos com relacionamento ativo previamente estabelecido entre o município e o titular, atendendo aos princípios da finalidade e da adequação (art. 6º, I e II, LGPD) e ao limite estabelecido pela Prefeitura Controladora.

Não tratamos dados sensíveis (art. 11, LGPD) por iniciativa própria. Eventual presença de informação sensível no conteúdo da mensagem é definida pela Prefeitura Controladora, com bases legais próprias — em regra, tutela da saúde (art. 11, II, "f") ou execução de políticas públicas (art. 11, II, "b" e "c", LGPD).

6. Cookies e tecnologias similares

Adotamos uma abordagem minimalista quanto a cookies.

Caso futuramente venhamos a adotar ferramentas que utilizem cookies analíticos não-essenciais ou publicitários, esta Política será atualizada com antecedência e exibiremos banner de consentimento granular previamente à instalação dos cookies, em conformidade com o Guia Orientativo da ANPD sobre Cookies (set/2023).

7. Compartilhamento de dados com terceiros

Compartilhamos dados pessoais apenas quando estritamente necessário à execução do serviço, mediante contrato com cláusulas específicas de proteção de dados e dever de confidencialidade.

A Munion não comercializa, não vende e não cede dados pessoais a terceiros para fins de publicidade ou perfilamento comportamental.

Em situações excepcionais, poderemos compartilhar dados:

• com autoridades públicas, quando exigido por lei, ordem judicial ou requisição administrativa formalmente fundamentada (art. 7º, II e III, e art. 11, II, "a", LGPD);
• com assessores jurídicos, contábeis e auditores, sob dever de sigilo profissional, no estrito limite necessário ao exercício regular de direitos;
• em operações societárias (fusão, aquisição, incorporação), com notificação prévia aos titulares e mantidas as obrigações desta Política.

A lista de operadores poderá ser atualizada conforme a evolução do serviço; alterações relevantes serão objeto de aviso prévio na seção 17 (Histórico de versões).

8. Transferência internacional de dados

A Plataforma Munion utiliza infraestrutura de hospedagem operada pela Railway Corp., em servidores localizados nos Estados Unidos da América.

Em razão disso, dados pessoais tratados pela Plataforma podem ser objeto de transferência internacional, nos termos do art. 33 da LGPD. A Munion garante que tal transferência ocorre exclusivamente com base nas seguintes salvaguardas:

• adoção, junto à Railway, de cláusulas contratuais específicas de proteção de dados pessoais (DPA — Data Processing Agreement), garantindo nível de proteção compatível com a LGPD (art. 33, II, "d");
• criptografia obrigatória dos dados em trânsito (TLS 1.2+) e em repouso (AES-256);
• vedação contratual à utilização dos dados para finalidade diversa da contratada;
• compromisso da Railway de cooperar com o exercício dos direitos dos titulares.

O titular tem direito a ser informado sobre essa transferência (art. 9º, V, LGPD) e a solicitar esclarecimentos adicionais pelo canal indicado na seção 11.

9. Segurança da informação

Adotamos medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46, LGPD).

Medidas adotadas, sem prejuízo de outras:

• criptografia em trânsito com TLS 1.2 ou superior em todas as comunicações entre cliente e servidor;
• criptografia em repouso (AES-256) para dados armazenados em banco de dados;
• controle de acesso baseado em função (RBAC) na Plataforma /app, com princípio do menor privilégio;
• autenticação multifator disponibilizada para contas administrativas;
• armazenamento de senhas exclusivamente por hash criptográfico (bcrypt ou equivalente, com salt único);
• logs de auditoria com retenção mínima de 6 meses (art. 15 do Marco Civil);
• plano interno de resposta a incidentes, com notificação à ANPD em até 2 (dois) dias úteis quando aplicável, conforme Resolução CD/ANPD nº 15/2024;
• cláusulas de confidencialidade com todos os operadores e prestadores;
• privacidade desde a concepção e por padrão (privacy by design and by default);
• revisões periódicas de superfícies de ataque, dependências e permissões.

Nenhum sistema é absolutamente invulnerável. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos e nas formas previstos pela LGPD e pela regulamentação da ANPD.

10. Retenção e eliminação dos dados

Mantemos os dados pessoais somente pelo tempo necessário ao cumprimento das finalidades para as quais foram coletados ou conforme exigência legal:

Após o decurso dos prazos, os dados são eliminados ou anonimizados de forma irreversível, ressalvadas as hipóteses do art. 16 da LGPD (cumprimento de obrigação legal, estudo por órgão de pesquisa, transferência a terceiro mediante requisitos legais, ou uso exclusivo do controlador vedado o acesso por terceiro, desde que anonimizados).

11. Direitos do titular e como exercê-los

Em conformidade com o art. 18 da LGPD, você tem direito a, a qualquer tempo e mediante requisição:

1. Confirmar a existência de tratamento dos seus dados;
2. Acessar os dados que tratamos sobre você;
3. Corrigir dados incompletos, inexatos ou desatualizados;
4. Anonimizar, bloquear ou eliminar dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. Solicitar a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, observados os segredos comercial e industrial;
6. Eliminar dados pessoais tratados com base no seu consentimento, ressalvadas as hipóteses do art. 16 da LGPD;
7. Obter informação sobre as entidades públicas e privadas com as quais compartilhamos dados;
8. Obter informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
9. Revogar o consentimento anteriormente fornecido, a qualquer tempo, mediante manifestação expressa;
10. Peticionar perante a Autoridade Nacional de Proteção de Dados — ANPD (https://www.gov.br/anpd/).

Para titulares no Espaço Econômico Europeu, asseguramos também os direitos previstos nos arts. 15 a 22 do GDPR, incluindo o direito de oposição e o direito de não ser submetido a decisões automatizadas com efeitos jurídicos significativos.

Como exercer: solicitações devem ser dirigidas ao Encarregado pelo Tratamento de Dados pelo e-mail [email protected], com o assunto "LGPD — Solicitação de Titular".

Para sua segurança, poderemos solicitar informações adicionais para confirmação da sua identidade, a fim de impedir que terceiros não autorizados acessem indevidamente seus dados (art. 9º, §1º, LGPD).

Prazo de resposta: até 15 (quinze) dias, contados do recebimento da requisição (art. 19, II, LGPD), prorrogável fundamentadamente nas hipóteses previstas em lei.

O exercício dos direitos é gratuito.

Para cidadãos beneficiários (categoria 4.3): quando você foi notificado por uma Prefeitura por meio da nossa Plataforma, o Controlador dos seus dados é o próprio município. Recomendamos contatar primeiro o Encarregado de Dados da Prefeitura. Caso necessário, podemos ajudar a direcionar sua solicitação — basta nos escrever.

12. Crianças e adolescentes

A Plataforma Munion não é destinada a crianças e adolescentes. Não realizamos coleta intencional de dados pessoais de menores de 18 anos diretamente no site institucional ou no /app.

Eventuais dados de crianças ou adolescentes tratados em nome da Prefeitura Controladora — por exemplo, no contexto de comunicados escolares destinados aos responsáveis — observam o art. 14 da LGPD, com tratamento baseado no melhor interesse do menor e mediante consentimento específico e em destaque do responsável legal, sob responsabilidade do município Controlador.

13. Decisões automatizadas

A Munion não toma decisões totalmente automatizadas com efeitos jurídicos sobre titulares ou que afetem significativamente seus interesses (art. 20, LGPD). Os fluxos automatizados de envio de notificações são configurados, supervisionados e auditados pelos servidores da Prefeitura Controladora. Em qualquer caso, asseguramos o direito de revisão por pessoa natural, mediante requisição.

14. Alterações nesta Política

Esta Política pode ser atualizada periodicamente para refletir mudanças legais, operacionais ou tecnológicas. A versão vigente estará sempre disponível em https://munion.com.br/privacidade, com indicação da data da última atualização.

Alterações materiais — que ampliem finalidades, modifiquem bases legais ou incluam novos compartilhamentos — serão comunicadas previamente aos titulares por meios razoáveis (e-mail, aviso destacado na Plataforma e banner no site), com antecedência adequada à eventual manifestação de oposição ou revogação de consentimento.

O histórico de versões é mantido na seção 17.

15. Lei aplicável e foro

Esta Política é regida pela legislação brasileira, em especial pela Constituição da República Federativa do Brasil, pela Lei nº 13.709/2018 (LGPD), pela Lei nº 12.965/2014 (Marco Civil da Internet) e pelo Código Civil (Lei nº 10.406/2002).

Fica eleito o foro do domicílio do Controlador, sem prejuízo de qualquer outro mais benéfico ao titular, em especial na forma do art. 101, I, do Código de Defesa do Consumidor.

A invalidade ou ineficácia de qualquer disposição desta Política não prejudicará a validade das demais.

16. Quadro-resumo das bases legais utilizadas

Para sua referência rápida, listamos as bases legais que fundamentam os tratamentos descritos nesta Política:

• Consentimento (art. 7º, I, LGPD) — manifestação livre, informada e inequívoca do titular;
• Cumprimento de obrigação legal ou regulatória (art. 7º, II) — ex.: guarda de logs (Marco Civil), retenção fiscal;
• Execução de políticas públicas (art. 7º, III; art. 11, II, "b" e "c") — base aplicável à Prefeitura Controladora;
• Execução de contrato ou de procedimentos preliminares a contrato (art. 7º, V) — ex.: atendimento a solicitações de demonstração;
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI);
• Proteção da saúde (art. 11, II, "f") — base sensível aplicável à Prefeitura Controladora em fluxos de saúde;
• Legítimo interesse do controlador ou de terceiro (art. 7º, IX) — ex.: prevenção a fraudes, métricas agregadas de audiência.

17. Histórico de versões