Política de Privacidade

1. Quem somos

A Lead Leste, operada pela LEAD LESTE TECNOLOGIA E INTERMEDIACAO DE NEGOCIOS LTDA (CNPJ 66.871.562/0001-19, R. País Leme, nº 215, Conj 1713, Pinheiros, São Paulo/SP, CEP 05.424-150), é a controladora dos dados pessoais coletados através desta Plataforma, nos termos da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).

Encarregado de Proteção de Dados (DPO): [email protected]

2. Dados coletados e finalidade

Compradores:

• Nome completo e empresa: identificação para contato pelos Fornecedores.
• E-mail e WhatsApp: comunicação e entrega da proposta.
• CNPJ (opcional): qualificação e score da demanda.
• IP e User-Agent: segurança, prevenção a fraudes e conformidade legal.
• Dados da contratação pública (quando o Comprador é órgão público ou entidade do Sistema S): nome do órgão, CNPJ do órgão, esfera, modalidade da contratação, número do processo, prazo para envio de proposta e link do edital ou aviso. São dados institucionais da contratação, usados para identificar o órgão, conferir a demanda antes da distribuição e permitir que o Fornecedor avalie o processo.

Contato do setor de compras, quando o Comprador é órgão público ou entidade do Sistema S:

A demanda pública é preenchida por uma pessoa do órgão ou da entidade, em geral do setor de compras ou responsável pelo processo. Nessa etapa são coletados nome, e-mail e telefone funcionais desse contato. Descrevemos abaixo, de forma objetiva, como esses dados são tratados.

• Finalidade: permitir que o Fornecedor que desbloquear a demanda entre em contato com o órgão para responder ao orçamento preliminar, à cotação ou pesquisa de preços, ao chamamento público ou à intenção de registro de preços descrita na demanda.
• Orientação de preenchimento: o formulário pede a caixa institucional da área de compras (por exemplo, compras@ ou licitacao@) em vez do e-mail nominal de um servidor. A orientação aparece no próprio campo, junto com um exemplo, e existe para reduzir a exposição de dado pessoal individual.
• Armazenamento: nome, e-mail e telefone de contato da demanda são gravados criptografados em repouso, com algoritmo AES-256-GCM, e não são exibidos em nenhuma página pública da Plataforma.
• Quando o contato é revelado: apenas ao Fornecedor que desbloqueia a demanda no painel. Antes do desbloqueio, os campos de contato aparecem mascarados para o Fornecedor, que vê somente informações gerais da demanda e do processo.
• Quantos Fornecedores podem ver: no máximo 8 (oito) Fornecedores por demanda. Em demanda pública, cada Fornecedor tem ainda um limite de 5 desbloqueios em cortesia a cada 30 dias corridos, limite que existe justamente para evitar volume excessivo de contatos na caixa institucional do órgão.
• Registro do aceite: no envio da demanda registramos o aceite dos Termos de Uso e desta Política junto com data e hora, endereço IP e identificação do navegador (User-Agent) de quem preencheu, além da versão do termo aceita. Esse registro é mantido conforme o prazo da Seção 6.
• Exercício de direitos: o contato indicado na demanda pode solicitar acesso, correção ou exclusão dos seus dados pelo canal do Encarregado (DPO), na forma da Seção 7.

Fornecedores:

• CNPJ e dados empresariais: validação e exibição no marketplace.
• CPF do responsável: verificação de identidade, armazenado com criptografia AES-256. Coletado com base no legítimo interesse de prevenção a fraudes e cadastros duplicados.
• E-mail, telefone e senha: autenticação e comunicação.
• Dados financeiros de transação: processamento de pagamentos via Asaas (asaas.com).

3. Base legal

O tratamento dos dados pessoais é fundamentado nas seguintes bases legais da LGPD:

• Consentimento (Art. 7º, I): coleta de dados de Compradores via checkbox explícito.
• Execução de contrato (Art. 7º, V): dados de Fornecedores necessários à prestação do serviço.
• Cumprimento de obrigação legal (Art. 7º, II): registros fiscais e financeiros.
• Legítimo interesse (Art. 7º, IX): prevenção a fraudes, segurança da Plataforma, verificação de identidade do responsável pelo cadastro de Fornecedor e medição de eficácia de canais de marketing (atribuição), conforme descrito na Seção 4.

4. Atribuição de marketing

Quando você se cadastra na Plataforma (como Comprador ou Fornecedor), registramos automaticamente um conjunto reduzido de informações que nos permitem entender de qual canal você chegou até nós. Essa medição é o que nos possibilita avaliar a eficácia das campanhas publicitárias e decidir, com responsabilidade, onde investir nosso orçamento de marketing.

Dados coletados na atribuição:

• Parâmetros de campanha (UTMs): utm_source, utm_medium, utm_campaign, utm_content e utm_term, presentes no link em que você clicou.
• Identificadores de clique de anúncio: fbclid (Meta Ads) e gclid (Google Ads), gerados pelas próprias plataformas de anúncio quando você clica em uma campanha.
• Página de origem (referer) e página de entrada (landing page): de qual site externo você veio e em qual página do Lead Leste você iniciou a navegação.
• Endereço IP do cadastro e User-Agent (navegador/dispositivo): registrados no momento da criação da conta, usados em conjunto com os dados acima para diferenciar acessos legítimos de tráfego automatizado e para análise agregada de canais.

Finalidade: medir o desempenho de campanhas de marketing pagas e orgânicas, calcular custo de aquisição por canal, identificar fontes de tráfego que efetivamente geram cadastros qualificados e orientar decisões de alocação de orçamento publicitário. Esses dados não são usados para tomada de decisão automatizada que afete você (art. 20 LGPD).

Base legal, Legítimo interesse (Art. 7º, IX, LGPD): análise da eficácia dos próprios canais de aquisição é interesse legítimo do controlador, está dentro da expectativa razoável do titular (quem clica em um anúncio sabe que aquele clique é mensurado) e foi avaliada como proporcional à finalidade, com mitigações descritas abaixo.

Prazo de retenção e anonimização: os dados de atribuição são mantidos em sua forma completa por até 12 meses após o cadastro. Decorrido esse prazo, executamos rotina automatizada diária que:

• Anonimiza o endereço IP, zerando os dois últimos octetos (exemplo: 177.136.14.17 torna-se 177.136.0.0);
• Apaga integralmente o User-Agent;
• Mantém apenas os parâmetros de campanha (UTMs, fbclid, gclid, referer, landing page), que passam a constituir dado agregado de campanha sem capacidade de identificação do titular.

Acesso interno: os dados de atribuição em sua forma completa só são acessíveis a administradores da Lead Leste, no contexto da área administrativa autenticada. Nenhum desses dados é exibido em páginas públicas, em perfis de Fornecedor, em listagens de Compradores ou em qualquer interface acessível a outros usuários da Plataforma.

Compartilhamento com terceiros: os identificadores fbclid e gclid podem ser devolvidos, no futuro, às próprias plataformas que os geraram (Meta e Google), exclusivamente para a finalidade de conciliar a conversão àquele clique de anúncio (conversion API / enhanced conversions). Esse compartilhamento, quando implementado, será informado nesta Política com antecedência e respeitará as garantias de transferência internacional já descritas. UTMs, IP e User-Agent não são compartilhados com terceiros.

Direito de oposição (Art. 18, § 2º, LGPD): por essa finalidade estar fundada em legítimo interesse, você pode se opor ao tratamento dos seus dados de atribuição a qualquer momento, sem precisar justificar e sem impacto na sua conta ou no uso da Plataforma. Para exercer esse direito:

• Enviar e-mail para [email protected] com o assunto "Oposição: dados de atribuição"; ou
• Usuários autenticados podem solicitar diretamente pela área da conta, opção "Privacidade → Excluir dados de marketing".

O atendimento é feito em até 15 dias úteis e implica a exclusão definitiva dos registros de atribuição vinculados ao seu cadastro.

5. Compartilhamento de dados

Os dados de contato do Comprador são compartilhados exclusivamente com os Fornecedores que desbloquearam o lead na Plataforma, limitados às informações necessárias para o contato comercial.

Também compartilhamos dados com prestadores de serviço que nos auxiliam na operação (processadores de pagamento, serviços de e-mail e infraestrutura de nuvem), sempre mediante contratos de tratamento de dados adequados.

Transferência internacional: alguns prestadores de serviço podem processar dados em servidores localizados fora do Brasil (incluindo AWS, Resend, Upstash e Microsoft), sempre mediante garantias adequadas de proteção equivalentes às exigidas pela LGPD.

Não vendemos dados pessoais a terceiros.

6. Prazo de retenção

• Dados de demandas (leads): 2 anos após a criação.
• Dados de Fornecedores ativos: durante toda a vigência da conta.
• Dados de Fornecedores inativos: 5 anos após encerramento, para fins fiscais.
• Logs de auditoria: 3 anos, para fins de segurança e eventuais disputas.
• Registros de consentimento LGPD: 5 anos.
• Dados de atribuição de marketing: 12 meses em forma completa; após esse prazo, IP é anonimizado (dois últimos octetos zerados) e User-Agent é apagado, conforme Seção 4.

7. Direitos do titular

Você tem os seguintes direitos em relação aos seus dados pessoais:

• Acesso: saber quais dados armazenamos sobre você.
• Retificação: corrigir dados incompletos ou inexatos.
• Exclusão: solicitar a eliminação dos seus dados.
• Portabilidade: receber seus dados em formato estruturado.
• Revogação do consentimento: retirar o consentimento a qualquer momento.
• Oposição: opor-se ao tratamento baseado em legítimo interesse.
• Petição à ANPD: o titular tem o direito de peticionar à Autoridade Nacional de Proteção de Dados (ANPD) em caso de descumprimento desta Política.

Para dados tratados com base em legítimo interesse (incluindo atribuição de marketing), o direito de oposição pode ser exercido a qualquer momento, sem necessidade de justificativa, conforme procedimento descrito na Seção 4.

Para exercer seus direitos, entre em contato com nosso DPO: [email protected]. Responderemos em até 15 dias úteis.

8. Segurança dos dados

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo: criptografia AES-256 para dados sensíveis, HTTPS obrigatório em todas as comunicações, controle de acesso baseado em funções (RBAC), rate limiting e logs de auditoria de acessos com retenção de 3 anos.

9. Cookies e tecnologias similares

Utilizamos cookies essenciais para o funcionamento da Plataforma (autenticação e segurança) e cookies analíticos para melhoria dos nossos serviços. Cookies de terceiros podem ser utilizados por ferramentas de análise integradas.

Análise de uso e gravação de sessão: mediante seu consentimento prévio na categoria “Analíticos”, utilizamos o Microsoft Clarity para registrar de forma pseudonimizada (não anônima: envolve endereço IP, um cookie persistente e a trilha de cliques) como as páginas são usadas, com a finalidade de identificar erros e pontos de dificuldade na interface. A ferramenta é executada apenas em páginas públicas, sem login: não roda em nenhuma área que exija autenticação, seja o painel do fornecedor, a área do comprador ou a administração. Nas páginas públicas que coletam ou repetem dados que você informa, como o formulário de demanda, a tela de revisão e o cadastro de fornecedor (incluindo CNPJ, CPF e dados de contato), esse conteúdo é mascarado no seu navegador antes de qualquer envio, e senhas nunca são capturadas. Esse tratamento se baseia no seu consentimento (art. 7º, I, da LGPD), pode ser recusado ou revogado a qualquer momento no banner de cookies, e os dados são processados pela Microsoft em servidores fora do Brasil, conforme a seção 5.

Você pode configurar seu navegador para recusar cookies, mas isso pode afetar funcionalidades da Plataforma. Consulte nossa Política de Cookies para mais detalhes.

10. Contato e DPO

DPO Lead Leste

E-mail: [email protected]

Endereço: R. País Leme, 215, Conj 1713, Pinheiros, São Paulo/SP, CEP 05.424-150