Política de privacidade

Esta Política explica quais dados pessoais o OpenLead trata, para quê, com que base na LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018), com quem e por quanto tempo. Ela vale para o site, para a Lista de espera, para quem tem conta (Cliente, Usuário e Parceiro) e para as pessoas cujos dados aparecem na Base.

Quem é o responsável

O OpenLead é o controlador dos dados descritos aqui: quem decide o que é feito com eles.

Fale com a gente pelo e-mail contato@openlead.app. Esse também é o contato do nosso Encarregado pelo tratamento de dados pessoais (o DPO, na sigla em inglês).

O que é o OpenLead

O OpenLead monta listas de Empresas para prospecção a partir do cadastro de CNPJ que a Receita Federal publica todo mês como dado aberto. Essa cópia do cadastro é a Base. O Cliente filtra a Base, vê quantas Empresas existem e exporta uma lista.

Lista de espera

Enquanto o OpenLead não abre, o site tem uma Lista de espera.

• O que guardamos: o seu e-mail e a data em que você entrou na lista. Não pedimos nome, telefone nem outro dado.
• Para quê: mandar um e-mail avisando que o OpenLead abriu. Não usamos o e-mail para propaganda, não vendemos e não passamos para outras empresas.
• Base legal: o seu consentimento (art. 7º, I, da LGPD), dado ao deixar o e-mail no formulário. Você pode retirar o consentimento quando quiser, por um e-mail para contato@openlead.app.
• Até quando: apagamos o seu e-mail 30 dias depois do aviso de lançamento. Se você pedir para sair antes, apagamos quando recebermos o pedido.

Dados de quem visita o site

Como todo site, o servidor guarda dados técnicos de acesso, como o endereço IP, a data e a hora de cada acesso. Eles servem para a segurança e o funcionamento do site. O Marco Civil da Internet (Lei nº 12.965/2014, art. 15) obriga o site a guardá-los por 6 meses (art. 7º, II, da LGPD). Depois disso, são apagados.

No cadastro e em outros formulários, uma verificação contra robôs (Turnstile, da Cloudflare) confere se quem preenche é uma pessoa. Não usamos CAPTCHA de imagem.

Cookies

O OpenLead não usa cookie de propaganda nem de rastreamento de outras empresas. Usamos só:

• Cookie de sessão: mantém você conectado depois de entrar na conta. Sem ele, o login não funciona. Some quando você sai da conta ou quando a sessão vence.
• Cookie de origem do cadastro (ol_attribution): quando você chega pelo link de um Parceiro ou por um link de campanha, ele guarda o código do Parceiro, os parâmetros da campanha (UTM) e por onde você chegou. Dura 90 dias e só é lido se você criar uma conta: serve para ligar a conta ao Parceiro que indicou o OpenLead e para sabermos qual canal traz Clientes. É assinado, para ninguém alterar o conteúdo. Não guarda nome, e-mail nem outro dado pessoal seu. Base legal: o nosso legítimo interesse (art. 7º, IX, da LGPD) em pagar corretamente a Comissão dos Parceiros e medir os canais de divulgação.

Você pode apagar os cookies pelo seu navegador. Sem o cookie de origem, a conta é criada normalmente, só sem o vínculo com o Parceiro.

Dados de quem tem conta

Quem cria uma conta de Cliente, entra numa equipe como Usuário ou é cadastrado como Parceiro nos informa dados que tratamos para prestar o serviço (art. 7º, V, da LGPD, execução do contrato):

• Cadastro: nome, e-mail, CPF ou CNPJ e a confirmação do e-mail.
• Acesso: a senha, guardada só como resumo criptográfico (hash), nunca em texto; o login em duas etapas, quando ligado, e os seus códigos de recuperação; a data e a origem dos acessos.
• Aceite: qual versão dos Termos e desta Política você aceitou, e quando.
• Uso: as Buscas, as Exportações (quem fez, quando, com quais Filtros e campos e quais CNPJs saíram no arquivo) e o uso dos Limites do Plano.
• Cobrança: o Plano, o histórico de cobranças e as notas fiscais. Os dados do cartão são digitados direto na página do Asaas, nossa empresa de pagamentos, e nunca chegam ao OpenLead.
• Parceiros: além do cadastro, a Carteira, as Comissões e os pagamentos feitos a cada Parceiro.

Também usamos esses dados para a segurança da conta (bloqueio depois de tentativas erradas de senha, alerta de acesso estranho) e para avisos sobre a conta, como confirmação de e-mail, recuperação de senha, Exportação pronta, cobrança e mudança destes documentos.

Dados de cobrança e notas fiscais são guardados pelo prazo da lei fiscal (art. 7º, II, da LGPD). O registro das Exportações é guardado por 5 anos, para responder quem recebeu os dados de uma pessoa (art. 18, VII, da LGPD) e para o exercício de direitos em processo (art. 7º, VI).

O que o Parceiro vê. O Parceiro vê, dos Clientes da Carteira dele, o nome, o Plano, a situação do pagamento, o uso dos Limites e a data de entrada. Nunca vê as Buscas, as Fichas abertas nem as Exportações dos Clientes, nem Clientes de outros Parceiros.

Dados da Base

A Base traz dados que a Receita Federal publica como dado aberto. Parte deles é dado pessoal: o nome dos sócios (com o CPF mascarado, como a Receita publica) e, no caso do MEI e do empresário individual, o nome, o endereço, o telefone e o e-mail cadastrados na Receita. A pessoa a quem esses dados se referem é a Titular.

• Para quê: oferecer aos Clientes listas de Empresas para prospecção comercial entre empresas.
• Base legal: o legítimo interesse (art. 7º, IX, da LGPD), respeitando a finalidade, a boa-fé e o interesse público que justificaram a publicação desses dados (art. 7º, §§ 3º e 4º).
• Cuidados: quando a razão social de um MEI traz o nome e o CPF do dono, eles não aparecem em nenhuma tela nem em nenhuma Exportação. Não tentamos descobrir o CPF completo de ninguém nem cruzamos a Base com outras fontes de dados pessoais. Toda Exportação fica registrada.
• De onde veio: todo dado mostra a origem (Receita) e a Data de referência da Base.
• Lista de supressão: quem pede para sair da Base entra na Lista de supressão e deixa de aparecer em Buscas, Fichas, Exportações e no site, também nas Bases dos meses seguintes. O sócio que pede tem só o nome ocultado; a Empresa continua na Base.

O OpenLead não faz contato com as Empresas da Base. Quem exporta uma lista e entra em contato é o Cliente, que responde por esse uso como controlador dos dados que exportou (veja os Termos de uso).

Pedidos do Titular

Para fazer um pedido sobre os seus dados (veja "Seus direitos", mais abaixo), você precisa comprovar que é a Titular, para que ninguém peça em seu nome. Para isso podemos pedir:

• o CNPJ da Empresa e, se você é sócio, o seu nome;
• um e-mail para respondermos;
• um documento de identidade.

O documento de identidade serve só para conferir quem fez o pedido. Ele fica num espaço privado e criptografado da Cloudflare (R2), na Europa, sem acesso público; só o Admin do OpenLead abre, e cada abertura fica registrada. Apagamos o documento 30 dias depois que o pedido é encerrado. O registro do pedido (o que foi pedido, quando e a resposta) fica 5 anos, sem o documento. Base legal: o cumprimento de obrigação legal (art. 7º, II, e art. 18 da LGPD) e o exercício de direitos (art. 7º, VI).

Com quem compartilhamos

Não vendemos dados pessoais. Os dados só passam por empresas que trabalham por nossa conta (pela LGPD, operadoras), cada uma no papel abaixo:

Operadora	Para quê	Onde ficam os dados
Contabo	Servidor do site, do app e do banco de dados	União Europeia
Asaas	Cobrança por cartão de crédito e Pix e emissão da nota fiscal	Brasil
Cloudflare	Cópias de segurança criptografadas, arquivos de Exportação e documentos do Titular (R2); verificação contra robôs (Turnstile)	Europa Ocidental (R2); a verificação contra robôs roda na rede global da Cloudflare, inclusive nos Estados Unidos
Resend	Envio dos e-mails do OpenLead	Envio no Brasil (São Paulo); dados de controle do envio nos Estados Unidos
Sentry	Registro de erros técnicos do sistema, configurado para não receber CPF, e-mail, telefone, nome de sócio nem senha	Estados Unidos

Também entregamos dados quando a lei ou uma ordem de autoridade competente obriga.

Transferência para fora do Brasil

Parte dos dados fica fora do Brasil: na União Europeia (Contabo e Cloudflare R2), nos Estados Unidos (Sentry e dados de controle do envio de e-mail da Resend) e na rede global da Cloudflare, inclusive nos Estados Unidos (verificação contra robôs, o Turnstile). Essa transferência internacional segue o art. 33 da LGPD e é amparada nas cláusulas-padrão contratuais aprovadas pela ANPD (Autoridade Nacional de Proteção de Dados).

Por quanto tempo guardamos

Dado	Até quando
E-mail da Lista de espera	30 dias depois do aviso de lançamento, ou até você pedir para sair
Dados técnicos de acesso (IP)	6 meses
Dados da conta	Enquanto a conta existir; depois, o que a lei manda guardar
Cobranças e notas fiscais	O prazo da lei fiscal
Registro de Exportações	5 anos
Arquivo de uma Exportação	30 dias
Documento do Titular	30 dias depois de encerrado o pedido
Registro de um Pedido do Titular	5 anos
Lista de supressão	Enquanto o OpenLead existir, para a Empresa ou o sócio não voltar nas Bases seguintes
Cookie de origem do cadastro	90 dias

O CPF ou CNPJ de uma conta de Cliente fica guardado mesmo depois que a conta é encerrada: um CPF ou CNPJ é sempre a mesma conta, e quem volta entra na conta antiga.

Cópias de segurança. O banco de dados tem cópias de segurança criptografadas na Cloudflare (R2), na Europa. Quando apagamos um dado, ele some também das cópias em até 30 dias.

Como protegemos

• Todo acesso ao site e ao app usa HTTPS.
• Senhas guardadas só como hash; login em duas etapas obrigatório para o Admin e opcional para os demais.
• O banco de dados não fica exposto na internet, e cada parte do sistema tem só o acesso de que precisa.
• Registros técnicos (logs) e o Sentry nunca recebem CPF, telefone, e-mail, nome de sócio ou senha.
• Um Cliente nunca vê os dados de outro Cliente.

Seus direitos

Pela LGPD (art. 18), você pode pedir:

• a confirmação de que tratamos dados seus;
• acesso aos dados;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• a portabilidade dos dados;
• a eliminação dos dados tratados com o seu consentimento;
• a informação sobre com quem compartilhamos os seus dados, inclusive quais Clientes os receberam numa Exportação;
• a informação sobre a possibilidade de não dar o consentimento e o que acontece se não der;
• a revogação do consentimento;
• a oposição a um tratamento feito sem consentimento, como o da Base, e a saída da Base.

Peça pelo e-mail contato@openlead.app ou, quando estiver no ar, pela página de Pedidos do Titular do site. Respondemos em até 15 dias. Dados da Base que estejam errados na origem precisam ser corrigidos na Receita Federal; a gente explica como.

Se achar que não cuidamos bem dos seus dados, você também pode reclamar na ANPD, o órgão do governo que fiscaliza a LGPD.

Menores de idade

O OpenLead é um serviço para empresas e profissionais. Não é feito para menores de 18 anos, e não tratamos de propósito dados de crianças ou adolescentes.

Mudanças nesta Política

Cada mudança vira uma versão nova, com número e data. As versões anteriores continuam publicadas no site do OpenLead. Quem tem conta precisa aceitar a versão nova no próximo acesso.