A presente Política de Privacidade (“Política”) regula o tratamento de dados pessoais realizado pela M360M Artificial Intelligence LTDA (“M360M”, “My 360 Memories”, “nós”, “nosso”) em relação a visitantes do site m360m.ai, usuários da plataforma web, aplicativos associados, integrações empresariais (B2B) e serviços conectados, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD), demais normas brasileiras aplicáveis e, quando pertinente, o Regulamento (UE) 2016/679 (GDPR).
1. Identificação do controlador e encarregado
| Razão social | M360M Artificial Intelligence LTDA |
| CNPJ | 67.869.913/0001-10 |
| Sede | Av. Angélica, 2529 — 8° andar, Sala 108, São Paulo — SP, Brasil |
| Website | https://m360m.ai |
| Canal de privacidade | hello@m360m.ai |
| Encarregado (DPO) | André Barretto — andre.barretto@m360m.ai |
| Comercial | sales@m360m.ai |
2. Definições
Para fins desta Política, aplicam-se as definições da LGPD (art. 5º), incluindo:
- Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
- Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético, biométrico, saúde, vida sexual, dado genético ou biométrico;
- Titular: pessoa natural a quem se referem os dados pessoais;
- Tratamento: toda operação realizada com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação, etc.);
- Controlador: M360M Artificial Intelligence LTDA;
- Operador / Subprocessador: terceiro que trata dados em nome do M360M;
- Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o controlador, titulares e ANPD.
3. Âmbito de aplicação
Esta Política aplica-se a:
- Navegação no site marketing estático m360m.ai e dev.m360m.ai;
- Cadastro, login e uso da plataforma web M360M (wellbeing 360°, IA, conexões, Neural Sync, agentes);
- Produtos empresariais (ex.: Wellbeing 360°) quando o empregador contrata o M360M como controlador conjunto ou operador — nestes casos, políticas corporativas complementares podem aplicar-se;
- Integrações autorizadas pelo titular, incluindo WhatsApp Business API, Meta, Open Finance, apps de saúde, produtividade e provedores de IA;
- Formulários de contacto comercial e captura de leads no site.
Esta Política não rege sites ou serviços de terceiros acessados via links ou integrações; consulte as políticas respectivas.
4. Dados pessoais tratados
Conforme a interação do titular, tratamos as categorias abaixo, sempre limitadas ao necessário (data minimization):
4.1 Dados de identificação e cadastro
Nome, sobrenome, e-mail, telefone, data de nascimento (quando solicitada), documento de identificação (quando exigido por regulamentação específica ou contrato B2B), foto de perfil, preferências de idioma, identificadores internos (user_uuid), hash de tenant (voucher_hash).
4.2 Dados de autenticação e segurança
Credenciais de acesso (senha processada de forma irreversível — nunca armazenada em texto claro), tokens JWT, tokens CSRF, registos de login, endereço IP, user-agent, geolocalização aproximada derivada de IP, logs de segurança e detecção de fraude.
4.3 Dados de uso da plataforma e conversas
Mensagens de chat, prompts, respostas de IA, histórico de sessões, metadados de agentes, preferências de interação, feedback, validações de memória Neural Sync, transcrições de videoconferência (somente com consentimento explícito) — e, pela assinatura dos Termos (item 11.4), tudo o que o titular conecta e faz na plataforma: documentos e ficheiros enviados, e-mails, agendas, mensagens e os dados dos apps e contas que conecta, para construir o seu Brain e, conforme a seção 5, contribuir para o Super Brain.
4.4 Dados de memória, perfil e inferências
Memórias validadas (DNA), padrões derivados (Neural Sync), M360M Brain, objetivos declarados, preferências de wellbeing, inferências não sensíveis geradas para personalização — sempre vinculadas à conta do titular e sujeitas a consentimento quando a natureza do dado exigir.
4.5 Dados de conexões e integrações
Dados importados de aplicativos conectados voluntariamente: finanças (Open Finance), saúde, fitness, nutrição, produtividade, redes sociais, calendário, e-mail, etc., conforme escopo OAuth/API autorizado. Tokens de acesso, refresh tokens e metadados de sincronização.
4.6 Dados Meta / WhatsApp Business API
Número de telefone comercial, WhatsApp Business Account ID, identificadores de conversa, conteúdo de mensagens, status de entrega/leitura, templates utilizados, webhooks, tokens Meta Graph API, registos de opt-in/opt-out e conformidade com políticas WhatsApp Business.
4.7 Dados empresariais (B2B)
Quando aplicável: nome da empresa, cargo, e-mail corporativo, número de colaboradores, mensagens de formulário de demo, contratos, faturamento e dados agregados/anónimos de programas corporativos (Wellbeing 360°).
4.8 Dados sensíveis
Em módulos de saúde, saúde mental, nutrição ou NR-1, podemos tratar dados de saúde ou psicossociais somente com base legal adequada (consentimento específico, tutela da saúde, cumprimento de obrigação legal ou execução de contrato, conforme art. 11 LGPD) e controles reforçados. Programas empresariais exibem indicadores agregados ao RH — nunca dados individuais identificáveis sem consentimento.
4.9 Dados de marketing e leads
Informações de formulários públicos (nome, e-mail, empresa, mensagem), origem UTM, interações com CTAs e cookies estritamente necessários ou analíticos agregados no site marketing.
5. Finalidades e bases legais
| Finalidade | Dados envolvidos | Base legal (LGPD art. 7º / 11) |
|---|---|---|
| Cadastro, autenticação e gestão de conta | Identificação, autenticação | Execução de contrato (V); consentimento quando aplicável (I) |
| Prestação do serviço de IA, memória e agentes | Conversas, memórias, perfil | Execução de contrato (V); consentimento (I) |
| Integração WhatsApp Business / Meta | Telefone, mensagens, tokens Meta | Consentimento (I); execução de contrato (V) |
| Conexão de apps e Open Finance | Dados de terceiros autorizados | Consentimento (I) |
| Processamento com provedores de IA externos | Conteúdo estritamente necessário | Consentimento explícito por integração (I) |
| Wellbeing 360° e NR-1 (B2B) | Saúde psicossocial agregada; dados individuais privados | Contrato; consentimento; obrigação legal (II) para NR-1 |
| Atendimento, suporte e vendas | Contacto, leads | Legítimo interesse (IX); consentimento |
| Segurança, antifraude, auditoria | Logs, IP, tokens | Legítimo interesse (IX); obrigação legal (II) |
| Cumprimento de obrigações legais e regulatórias | Conforme exigência | Obrigação legal (II) |
| Exercício regular de direitos em processo | Conforme necessidade | Exercício regular de direito (VI) |
6. Meta, Facebook e WhatsApp Business API
Quando o titular conecta serviços Meta ou utiliza WhatsApp Business através do M360M:
- O tratamento limita-se às finalidades consentidas: entrega de mensagens, sincronização de conversas autorizadas, autenticação OAuth e conformidade com políticas Meta;
- O M360M não utiliza dados Meta para publicidade comportamental de terceiros nem revende dados a data brokers;
- O titular pode revogar a integração a qualquer momento em Conexões ou solicitar exclusão conforme Instruções de Exclusão de Dados;
- Dados mantidos exclusivamente nos servidores Meta devem ser geridos via ferramentas de privacidade Meta (ver secção 3 de Exclusão de Dados).
7. Cookies e tecnologias similares
7.1 Site marketing (m360m.ai)
Utilizamos cookies estritamente necessários (sessão, segurança, preferência de idioma) e, quando implementados, cookies analíticos agregados sem identificação directa para fins estatísticos. Não utilizamos cookies de publicidade comportamental de terceiros no site estático.
7.2 Plataforma web autenticada
Cookies de autenticação (webappAccessToken, webappRefreshToken, CSRF) são essenciais ao funcionamento. Armazenamento local pode guardar preferências de interface.
7.3 Análise de uso (item dos Termos)
A análise de como a plataforma é usada — telas abertas, funções usadas, passos concluídos ou com erro e contagens de erros de campos — faz parte do consentimento único dado na assinatura dos Termos de Uso (LGPD, art. 7º, I e art. 8º; GDPR, art. 6.1.a): quem entra na plataforma autenticada autorizou-a; não há um termo separado. Os dados ficam em contadores diários por voucher e unidade, ligados a um pseudónimo (sem nome, e-mail, IP ou user agent), até 800 dias (pseudónimo até 120 dias), e são enviados ao Google Analytics no Consent Mode v2 enquanto o item estiver ligado. O titular pode desligar a análise de uso a qualquer momento em Configurações → Termos e Políticas (webapp) ou no menu da conta (admin-client), com efeito imediato — nada mais é medido nem enviado ao Google; a análise de uso não é condição para usar a plataforma. Publicidade e marketing (Google Ads, Meta) são uma escolha separada. Nas páginas públicas (site, entrar, cadastro), a medição só ocorre com a escolha de medição na barra de cookies. O que a plataforma acessa e guarda do conteúdo do titular (conversas, documentos, contas conectadas) está nas seções 4 e 5 e no item 11.4 dos Termos — não é "medição", é o Brain do titular.
7.4 Gestão
O titular pode configurar o navegador para recusar cookies; funcionalidades essenciais podem deixar de operar. Para cookies não essenciais, quando aplicável, solicitaremos consentimento prévio.
8. Compartilhamento e subprocessadores
Não vendemos dados pessoais. Compartilhamos informações apenas com:
| Subprocessador / Categoria | Finalidade | Localização típica |
|---|---|---|
| Amazon Web Services (AWS) | Hospedagem, RDS, S3, ECS, Redis, CloudFront | EUA / Brasil (conforme ambiente) |
| Meta Platforms / WhatsApp | Mensageria Business API, OAuth | EUA / UE |
| Provedores de IA (OpenAI, Anthropic, Google, xAI, etc.) | Processamento de linguagem natural | EUA / global |
| Amazon Bedrock (AWS) — modelos de terceiros | Execução de modelos de IA de terceiros; deteção de abuso pela AWS (ver 8.1) | Região AWS onde o pedido é processado |
| Pinecone | Armazenamento de vetores de memória/IA | EUA |
| Agregadores Open Finance (Pluggy, Belvo, etc.) | Dados financeiros autorizados | Brasil / EUA |
| Provedores de e-mail e suporte | Comunicação transacional | Conforme contrato |
| Profissionais parceiros (B2B2C) | Encaminhamento com consentimento | Brasil |
Subprocessadores são contratualmente obrigados a observar confidencialidade, segurança e finalidade limitada. Lista actualizada disponível mediante solicitação a hello@m360m.ai.
8.1 Modelos de terceiros via Amazon Bedrock — retenção para deteção de abuso
Parte dos pedidos de IA é processada por modelos de terceiros (por exemplo, Anthropic Claude) através do Amazon Bedrock, serviço da AWS. Isto aplica-se a qualquer tráfego encaminhado para o Bedrock, incluindo o trilho de modelos dos agentes da plataforma e as sessões de IDE (por exemplo, Claude Code) que usam o Bedrock. A conta AWS da M360M opera o Bedrock no modo de retenção de dados exigido para alguns modelos (como Claude Fable 5.1): nesse modo, a AWS pode guardar as entradas e as respostas desses pedidos por até 30 dias para deteção automática de abuso e o tráfego sinalizado pelos classificadores pode ser revisto por pessoas da AWS, nos termos e políticas da AWS e do fornecedor do modelo. Segundo a AWS, esses dados são guardados e tratados pela AWS, na região onde o pedido é processado, e não são partilhados com o fornecedor do modelo. A AWS também aplica deteção automática de material de abuso sexual infantil. Documentação da AWS: Amazon Bedrock abuse detection.
9. Transferências internacionais
Dados podem ser transferidos para países com nível de proteção distinto do Brasil (notadamente EUA), em especial via AWS, Meta e provedores de IA. Adotamos salvaguardas nos termos dos arts. 33 a 36 da LGPD e, quando aplicável, Cláusulas Contratuais Padrão (SCCs), avaliações de impacto, criptografia e controles de acesso. Titulares no EEE beneficiam-se dos mecanismos GDPR aplicáveis.
9-A. Dados de serviços Google
Quando você conecta sua conta Google (por exemplo Gmail, Google Drive ou Google Agenda), a M360M acessa somente os dados que você autorizar, e apenas para oferecer as funcionalidades que você ativou na plataforma — como organizar, pesquisar, resumir e responder aos seus conteúdos, a seu pedido.
Você controla esses dados: pode escolher o que conectar, revisar seus aceites a qualquer momento em Configurações e desconectar sua conta Google na M360M ou em myaccount.google.com/permissions.
Não vendemos esses dados, não os usamos para publicidade e não os compartilhamos com terceiros, exceto com os fornecedores necessários para prestar o serviço, conforme os aceites que você concedeu, ou quando exigido por lei.
O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado.
Google services data
When you connect your Google account (for example Gmail, Google Drive or Google Calendar), M360M accesses only the data you authorize, and only to provide the features you turned on in the platform — such as organizing, searching, summarizing and replying to your content, at your request.
You control this data: you can choose what to connect, review your consents at any time in Settings, and disconnect your Google account in M360M or at myaccount.google.com/permissions.
We do not sell this data, we do not use it for advertising, and we do not share it with third parties, except with the providers needed to deliver the service, as covered by the consents you gave, or when required by law.
M360M's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), including the Limited Use requirements.
10. Retenção e eliminação
Retemos dados pelo tempo necessário às finalidades ou conforme exigido por lei:
- Conta activa: enquanto durar a relação contratual ou base legal;
- Após exclusão de conta: eliminação imediata em sistemas operacionais (hard delete via autosserviço) ou em até 15 dias via solicitação formal; ver Exclusão de Dados;
- Logs de segurança: até 12 meses, salvo investigação;
- Dados fiscais/contratuais: prazos legais (tipicamente 5+ anos);
- Auditoria de compliance: registos em
compliance_deletion_logse equivalentes, sem conteúdo pessoal recuperável.
11. Direitos do titular (LGPD art. 18)
O titular tem direito a:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- Portabilidade a outro fornecedor de serviço, mediante requisição expressa;
- Eliminação dos dados pessoais tratados com consentimento;
- Informação sobre entidades com as quais compartilhamos dados;
- Informação sobre a possibilidade de não consentir e consequências;
- Revogação do consentimento;
- Oposição a tratamento em hipóteses legais;
- Revisão de decisões tomadas unicamente com base em tratamento automatizado.
Como exercer: e-mail para hello@m360m.ai ou funcionalidades de autogestão na plataforma. Prazo de resposta: até 15 dias (LGPD art. 18, § 4º). Reclamações: ANPD (gov.br/anpd).
12. Segurança da informação
Implementamos medidas técnicas e organizacionais alinhadas a privacy by design e security by default, incluindo:
- Criptografia TLS 1.2+ em trânsito e AES-256 em repouso;
- Segregação multi-tenant por schema/voucher;
- Autenticação JWT, CSRF, rate limiting e WAF;
- Controle de acesso baseado em funções (RBAC);
- Auditoria em
compliance_deletion_logs,audit_logse trilhas de segurança; - Gestão de credenciais de IA encriptadas (AES-256-GCM).
13. Decisões automatizadas e perfilamento
O M360M utiliza sistemas de IA para personalização, detecção de padrões (Neural Sync) e recomendações. Decisões com efeitos jurídicos ou impacto significativo não são tomadas de forma exclusivamente automatizada sem revisão humana quando exigido por lei. O titular pode solicitar revisão e informações sobre a lógica utilizada, nos limites do segredo comercial e propriedade intelectual.
14. Crianças e adolescentes
O serviço destina-se a maiores de 18 anos. Não colectamos intencionalmente dados de menores sem consentimento do responsável legal. Se tomarmos conhecimento de cadastro indevido, eliminaremos os dados após verificação.
15. Alterações desta Política
Podemos actualizar esta Política para reflectir alterações legais, regulatórias ou operacionais. A versão vigente estará sempre disponível nesta URL com data de vigência. Alterações materiais serão comunicadas por e-mail ou aviso destacado na plataforma com antecedência razoável.
16. Lei aplicável e foro
Esta Política rege-se pelas leis da República Federativa do Brasil. Fica eleito o foro da Comarca de São Paulo — SP, salvo competência absoluta do domicílio do consumidor (CDC).
17. M360M e Wiklik — suplemento do Office (Word, Excel, PowerPoint, Outlook) e extensão do navegador
Esta seção vale para o M360M for Office e o Wiklik for Office (suplemento do Microsoft Office para Word, Excel, PowerPoint e Outlook) e para a extensão M360M/Wiklik para Chrome (e navegadores compatíveis). Wiklik é a marca para pessoas e M360M a marca para empresas; o controlador e as regras são os mesmos desta Política.
17.1 O que é lido
- Conteúdo do documento, planilha, apresentação ou e-mail do Office: somente quando o utilizador pede uma ação ao suplemento (por exemplo, resumir, redigir, analisar ou preencher). Não lemos ficheiros em segundo plano.
- Página do navegador: somente a página que o utilizador envia à M360M/Wiklik pela extensão.
- Sites de IA, WhatsApp Web e portais de laboratório: o conteúdo desses sites só é lido quando o utilizador liga o recurso correspondente na extensão e apenas nos sites que ele permitiu.
- Atividade de navegação: o histórico de páginas visitadas só é registado se o utilizador ligar a opção "atividade"; desligada por padrão.
- Dados de conta e de funcionamento (identificador do utilizador, idioma, registos técnicos de erro) necessários para autenticar e operar o suplemento e a extensão.
17.2 Para onde vão os dados
Os dados seguem por HTTPS exclusivamente para a conta M360M/Wiklik do próprio utilizador, onde são tratados conforme as seções 4, 5 e 8 desta Política. Não enviamos esses dados a terceiros além dos subprocessadores listados na seção 8, necessários para prestar o serviço.
17.3 O que não fazemos
Os dados lidos pelo suplemento e pela extensão não são vendidos, não são usados para publicidade nem para criar perfis de crédito ou de publicidade, e não são usados para outra finalidade além de prestar as funções que o utilizador pediu.
17.4 Como revogar
- Em Definições → Sites que permitiu (na extensão), remova qualquer site ou desligue o recurso ou a "atividade".
- Desinstale o suplemento (Office → Suplementos) ou a extensão (gestão de extensões do navegador) a qualquer momento; a leitura cessa de imediato.
- Para apagar a conta e os dados associados, siga /exclusao-de-dados.html ou escreva para hello@m360m.ai.