Resumo em 30 segundos
1. Quem somos e como falar com a gente
Esta política explica como o MergeDesk trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018).
- Controlador: CNPJ 67.715.244/0001-21, com sede em São Carlos/SP, titular do MergeDesk.
- Encarregado pelo tratamento de dados (DPO): Antonio Augusto Rigoni Stefano, pelo e-mail contato@mergedesk.com.br.
Ela vale para quem visita o site, baixa o app, faz o teste grátis, assina o MergeDesk ou usa o app no dia a dia.
2. Quais dados tratamos, para quê e com qual base legal
| Dados | Onde coletamos | Para quê | Base legal (art. 7º da LGPD) | Por quanto tempo |
|---|---|---|---|---|
| Nome, fundo ou empresa, e-mail e, se você escrever, como faz a triagem hoje | Formulário de download e de demonstração do site | Liberar o download, responder ao seu contato, oferecer suporte e apresentar o produto | Legítimo interesse (inciso IX) e procedimentos preliminares a um contrato a seu pedido (inciso V) | Até 2 anos, ou antes se você pedir a exclusão |
| Nome, e-mail e fundo ou empresa | Cadastro do teste grátis, no app | Liberar e acompanhar o seu teste | Procedimentos preliminares a um contrato (inciso V) | Até 2 anos após o fim do teste, salvo se virar assinatura |
| Nome, e-mail, fundo, CPF ou CNPJ e WhatsApp (opcional) | Pedido de assinatura (site ou app) | Gerar a cobrança, gerir a assinatura, emitir documentos fiscais e prestar suporte | Execução de contrato (inciso V) e cumprimento de obrigação legal ou regulatória (inciso II) | Enquanto a assinatura existir e por até 5 anos depois, pelas obrigações fiscais |
| Dados de pagamento (cartão e Pix) | Ambiente de pagamento do Asaas | Processar o pagamento | Execução de contrato (inciso V) | Tratados pelo Asaas; nós não recebemos o número do seu cartão |
| Código de identificação do computador (gerado a partir de um identificador do Windows e embaralhado de forma irreversível), nome do computador, versão do app, datas de acesso e quantidade de análises concluídas | App, ao ativar e conferir a licença | Validar a licença, respeitar o limite de computadores por plano, garantir um teste por computador, prevenir uso indevido e prestar suporte | Execução de contrato (inciso V) e legítimo interesse para segurança e prevenção a fraudes (inciso IX) | Enquanto a licença existir e por até 5 anos depois |
| Registros técnicos de acesso (endereço IP, data e hora) | Servidores que hospedam o site e o servidor de licenças | Segurança e funcionamento do serviço | Legítimo interesse (inciso IX) e cumprimento de obrigação legal (Marco Civil da Internet, Lei nº 12.965/2014) | Pelo prazo legal e pelo necessário à segurança |
| Conteúdo dos arquivos que você envia para análise (CIM, teaser, modelo financeiro), que pode conter dados pessoais de terceiros, como sócios e funcionários da empresa analisada | App, quando você roda uma análise | Gerar a análise que você pediu, pelo nosso provedor de IA | Execução de contrato (inciso V). Quanto aos dados de terceiros, você é o controlador e o MergeDesk atua como operador | Não é guardado pelo MergeDesk. O provedor de IA pode mantê-lo por prazo limitado, só para segurança, conforme o contrato com ele |
| Registro de uso da IA: tipo de análise, quantidade, data e consumo técnico (tokens), ligados à licença | Servidor do MergeDesk, a cada análise | Controlar as análises do plano, o limite diário e a prevenção a abuso | Execução de contrato (inciso V) e legítimo interesse (inciso IX) | Até 13 meses |
| Relatórios compartilhados com a equipe, sempre criptografados de ponta a ponta (não temos a chave), e, de cada computador da equipe, o nome do computador, a chave pública e o nome de quem o usa (se a pessoa preencher) | App, quando a equipe usa a nuvem do MergeDesk (plano Fundo / Equipe) | Compartilhar o histórico entre os computadores aprovados da equipe | Execução de contrato (inciso V) | Enquanto a assinatura existir; quem gerou um relatório pode apagá-lo da equipe a qualquer momento |
3. O que nós não coletamos
- Não guardamos o conteúdo dos seus documentos (CIM, teaser, modelo financeiro) nem os relatórios gerados: eles ficam no seu computador, na pasta de dados do app, ou na pasta da equipe que você escolher. Quando você roda uma análise, o conteúdo passa pelo nosso servidor só para chegar ao provedor de IA e voltar com o resultado: não é gravado nem lido por pessoas.
- Equipe na nuvem do MergeDesk (plano Fundo / Equipe): só os relatórios gerados são compartilhados, nunca o CIM, o teaser ou o modelo financeiro. Cada relatório é criptografado no seu computador (AES-256-GCM) antes de sair, com uma chave que existe apenas nos computadores aprovados da sua equipe. Nós guardamos somente blocos cifrados com identificadores aleatórios: não conseguimos ler o conteúdo, os nomes das empresas nem os nomes dos arquivos, e não temos cópia da chave. Vemos apenas dados técnicos necessários ao serviço: tamanho, data de envio e qual computador da equipe enviou. A equipe pode, a qualquer momento, usar a pasta da própria empresa em vez da nuvem.
- Dados de navegação para publicidade: o site não usa cookies de rastreamento nem pixels de anúncio. Para saber quantas pessoas visitam cada página, usamos o Cloudflare Web Analytics, que mede as visitas de forma agregada, sem cookies e sem identificar você.
4. Inteligência artificial e o conteúdo dos seus documentos
A IA está incluída no seu plano. Para gerar as análises, o app envia o conteúdo dos arquivos que você escolher ao servidor do MergeDesk (api.mergedesk.com.br), por conexão criptografada. O servidor repassa o pedido ao provedor de inteligência artificial contratado pelo MergeDesk, nos Estados Unidos, e devolve o resultado ao app.
- O MergeDesk não grava o conteúdo enviado nem o resultado. Registramos só dados técnicos da chamada (tipo de análise, quantidade de tokens, data), para controlar as análises do plano e a segurança.
- O provedor de IA processa o conteúdo apenas para gerar a resposta, sem usá-lo para treinar modelos, nos termos do contrato comercial dele, e pode mantê-lo por prazo limitado para segurança e prevenção de abuso.
- Dados de terceiros nos documentos (por exemplo, sócios e funcionários da empresa analisada): você é o controlador e o MergeDesk atua como operador, conforme os Termos de Uso.
- Antes de enviar um material recebido de um vendedor ou broker, confirme se o acordo de confidencialidade (NDA) permite o uso de ferramentas de IA e de prestadores de serviço.
- No Estudo Setorial, só o termo de pesquisa (o setor digitado) é enviado ao nosso provedor de busca na web, para trazer fontes iniciais. Nenhum documento é enviado a ele.
5. Dados de terceiros nas suas análises
Algumas ferramentas, como o Raio-X Jurídico e as Transações, consultam fontes públicas a seu pedido (Receita Federal, Portal da Transparência, tribunais e imprensa) e podem exibir dados de sócios e administradores das empresas analisadas, como nomes, participação societária e processos públicos.
Nessas consultas, quem define a finalidade é você, que é o controlador desses dados nas suas análises. O MergeDesk fornece a ferramenta e, ao rodar a pesquisa pela IA, atua como operador: processa o pedido em seu nome e não guarda os resultados, que ficam no seu computador. Use-os apenas para a finalidade de avaliação de negócios e em linha com a LGPD, inclusive com os princípios de necessidade e boa-fé (art. 6º) e com as regras para dados de acesso público (art. 7º, §§ 3º e 4º).
6. Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Compartilhamos apenas o necessário com fornecedores que operam o serviço:
| Fornecedor | Para quê | Onde |
|---|---|---|
| Cloudflare | Hospedagem do site e do servidor de licenças (licenças, pedidos e contatos) e repasse das análises para a IA, sem gravar o conteúdo | Rede global, inclusive fora do Brasil |
| Asaas | Cobrança e processamento de pagamentos | Brasil |
| Provedor de inteligência artificial | Empresa de IA contratada pelo MergeDesk: processa o conteúdo das análises sob contrato, sem usá-lo para treinar modelos e sem guardá-lo | Estados Unidos |
| Cloudflare Web Analytics | Contagem agregada de visitas ao site, sem cookies e sem identificar o visitante | Rede global |
| Google Fonts | Fontes tipográficas do site (recebe o endereço IP de quem visita) | Estados Unidos |
| Cloudflare R2 | Armazenamento dos relatórios da equipe (somente cifrados), das bases públicas de empresas e de due diligence (dívida ativa da União, IBAMA e cadastro do MTE, consultadas pelo CNPJ, sem gravar a consulta) e dos arquivos de instalação e atualização | Rede global, inclusive fora do Brasil |
| SerpApi, LLC | Busca na web das fontes iniciais do Estudo Setorial (recebe só o termo pesquisado) | Estados Unidos |
| Portal da Transparência (CGU) | Checagem rápida e Raio-X Jurídico: recebe, pelo nosso servidor, o CNPJ consultado e o nome dos sócios (para a checagem de pessoas expostas politicamente). Não guardamos o resultado | Brasil |
| Tribunal de Contas da União (TCU) | Certidão consolidada da checagem rápida e do Raio-X: recebe o CNPJ consultado | Brasil |
Também podemos compartilhar dados quando exigido por lei, por ordem judicial ou por autoridade competente.
7. Transferência internacional
Alguns fornecedores acima armazenam ou processam dados fora do Brasil. Essas transferências seguem o art. 33 da LGPD e se apoiam nas garantias contratuais e de segurança oferecidas por esses fornecedores.
8. Como protegemos os dados
- Conexões criptografadas (HTTPS) entre o app, o site e os nossos servidores.
- Licenças assinadas digitalmente, sem dados de documentos.
- Acesso ao painel de licenças restrito a pessoas autorizadas, com credenciais guardadas fora do app.
- Os documentos e relatórios ficam no seu computador; o conteúdo enviado para análise trafega criptografado e não é gravado pelo MergeDesk.
Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, nos termos do art. 48 da LGPD.
9. Seus direitos
Pelo art. 18 da LGPD, você pode pedir, a qualquer momento:
- Confirmação de que tratamos os seus dados
- Acesso aos seus dados
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
- Portabilidade dos dados
- Eliminação dos dados tratados com o seu consentimento
- Informação sobre com quem compartilhamos os seus dados
- Informação sobre a possibilidade de não consentir e as consequências
- Revogação do consentimento
- Oposição a um tratamento, se houver descumprimento da lei
Como pedir: escreva para privacidade@mergedesk.com.br com o assunto "LGPD" e o e-mail usado no cadastro. Para proteger você, podemos pedir uma confirmação de identidade. Respondemos em até 15 dias.
Alguns dados podem ser mantidos mesmo após um pedido de exclusão quando a lei exigir, por exemplo registros fiscais de pagamentos. Você também pode apresentar reclamação à ANPD (gov.br/anpd).
Os dados que ficam no seu computador estão sob o seu controle: você pode apagá-los no Histórico do app, na pasta de dados do app ou desinstalando o MergeDesk.
10. Outras informações
- Menores de idade: o MergeDesk é destinado a profissionais e não é direcionado a menores de 18 anos.
- Armazenamento local: o app guarda as suas preferências e a autorização da licença no próprio computador. O site guarda, no seu navegador, apenas o que for necessário para funcionar.
- Mudanças nesta política: podemos atualizar este texto. Mudanças relevantes serão avisadas no site ou no app, e a data de vigência abaixo será atualizada.
Vigente desde 19 de outubro de 2026.