# Política de Privacidade

Como o MEPO trata dados pessoais no site, no cadastro, no portal e na cobrança, quais cookies usa e como você exerce seus direitos.

> Este resumo ajuda a ler o documento. Ele não faz parte do contrato e não o substitui. Se houver diferença, vale o texto completo.

- **Quem trata seus dados**: A SUDO TECH controla os dados do site, do cadastro, da cobrança e do uso do portal. Os dados que uma Organização cliente insere no MEPO são tratados em nome dela.
- **O que tratamos**: Dados de contato, de cadastro, de cobrança, de uso do portal e de segurança. Não pedimos dados sensíveis e não vendemos dados pessoais.
- **Cookies e medição**: No site, só medimos o uso depois que você aceita os cookies. No portal, a medição de uso faz parte do serviço.
- **Fornecedores**: Usamos provedores de hospedagem, de pagamento e de análise de uso, alguns nos Estados Unidos, com garantias legais para a transferência dos dados.
- **Por quanto tempo**: Cada tipo de dado tem um prazo de guarda, e depois o eliminamos. A avaliação sem contratação fica guardada, bloqueada, por 12 meses.
- **Seus direitos**: Peça acesso, correção, eliminação, portabilidade e os demais direitos da LGPD e do GDPR em contato@mepo.so. Respondemos em até 15 dias.
- **Mudanças**: Avisamos por e-mail, com 30 dias de antecedência, as mudanças materiais nesta política.

Atualizado em 16 de outubro de 2026

Esta política explica como a SUDO TECH SERVICOS TECNOLOGICOS LTDA, que opera o MEPO, trata dados pessoais. Nela, “nós” é essa empresa.

## 1. Quem somos e como falar conosco

**1.1 Controladora.** A controladora dos dados descritos nesta política é a SUDO TECH SERVICOS TECNOLOGICOS LTDA, CNPJ 58.279.772/0001-94, com sede na Rua Belo Horizonte, nº 889, Sala Z, Aleixo, CEP 69.060-601, Manaus/AM, Brasil. Ela opera a marca MEPO.

**1.2 Contato e Encarregado.** Para dúvidas, pedidos e reclamações sobre dados pessoais, escreva para contato@mepo.so. O Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD) atende por esse e-mail.

**1.3 Titulares na União Europeia.** Se você está na União Europeia, use o mesmo e-mail. Se designarmos um representante na União Europeia (art. 27 do GDPR), informaremos aqui.

## 2. A quem esta política se aplica

**2.1 Quem está coberto.** Esta política vale para:

(a) quem visita o site mepo.so;

(b) quem fala conosco ou pede uma avaliação;

(c) quem usa o portal (“Usuários”), quanto aos dados de conta, de segurança e de uso que tratamos como controladora;

(d) quem cuida da cobrança da assinatura de uma Organização.

**2.2 Quando somos operadora.** Os dados que uma Organização cliente insere no MEPO, como cadastros de fornecedores e documentos fiscais, são tratados em nome dela. Para esses dados, a Organização é a controladora e nós somos a operadora, nos termos do Anexo de Tratamento de Dados dos Termos de Serviço. A [seção 6](#organizacoes-clientes) explica como exercer seus direitos nesse caso.

## 3. Dados que tratamos

**3.1 Dados por situação.** A tabela mostra os dados que tratamos em cada situação e de onde eles vêm.

**Dados por situação**

| Situação | Dados | Origem |
| --- | --- | --- |
| Visita ao site | Endereço IP, navegador, páginas acessadas, data e hora e idioma | Gerados na visita |
| Visita ao site, só se você aceitar os cookies | Páginas e cliques, origem da visita (campanha, código QR, buscador ou site de referência), erros e gravação da sessão com os campos de formulário mascarados | Gerados na visita, com o seu consentimento |
| Contato e propostas | Nome, e-mail, telefone, empresa, mensagem e histórico de atendimento | Fornecidos por você, por WhatsApp, e-mail ou formulário |
| Cadastro e avaliação gratuita | Nome, e-mail, idioma, Região, nome da empresa, CNPJ ou outro registro fiscal e senha (guardada apenas como hash). No aceite do termo, a versão, a data e a hora, o endereço IP em forma de hash e o navegador | Fornecidos por você e gerados no aceite |
| Uso do portal | Identificador da conta, nome, e-mail e papel no MEPO; eventos de uso, telas, erros e gravação de sessão com todo o texto mascarado; sessão (data, endereço IP e navegador) | Gerados pelo uso |
| Cobrança | Nome e e-mail de quem cuida da assinatura, endereço de cobrança, CNPJ ou outro registro fiscal, forma de pagamento e histórico de faturas. O processador de pagamentos trata os dados do cartão, e nós não vemos o número completo | Fornecidos por você e pelo processador de pagamentos |
| Links enviados por uma Organização cliente | E-mail do destinatário, nome, comentários e decisão de uma revisão de cardápio ou de uma cotação; endereço IP e navegador, para segurança | Fornecidos por você e gerados no acesso |
| Suporte | Mensagens, capturas de tela e dados da Organização e da Unidade que você informar | Fornecidos por você |

**3.2 Ligação entre visita e conta.** Se você aceitar os cookies e depois criar uma conta, podemos ligar a visita à conta para saber qual canal trouxe o cadastro.

**3.3 Dados sensíveis.** Não pedimos dados pessoais sensíveis. Não os envie.

**3.4 Dados obrigatórios.** Para criar a conta e cobrar a assinatura, precisamos dos dados de cadastro e de cobrança. Sem eles, não podemos prestar o serviço. Os demais dados são opcionais.

## 4. Para que usamos os dados e em que base legal

**4.1 Finalidades e bases.** A tabela relaciona cada finalidade à base legal na LGPD e no GDPR.

**Finalidades e bases legais**

| Finalidade | Base legal na LGPD | Base legal no GDPR |
| --- | --- | --- |
| Responder contatos, pedidos de avaliação e propostas | Art. 7º, V (procedimentos preliminares de contrato) e IX (legítimo interesse) | Art. 6(1)(b) e (f) |
| Criar a conta, entregar o MEPO e dar suporte | Art. 7º, V e IX | Art. 6(1)(b) e (f) |
| Cobrar a assinatura, emitir documentos fiscais e guardar registros | Art. 7º, V e II (obrigação legal) | Art. 6(1)(b) e (c) |
| Proteger o serviço, prevenir fraude e abuso e guardar registros de acesso | Art. 7º, II (Marco Civil da Internet) e IX | Art. 6(1)(c) e (f) |
| Analisar o uso do portal e corrigir erros | Art. 7º, IX | Art. 6(1)(f) |
| Analisar o uso do site e a origem das visitas | Art. 7º, I (consentimento) | Art. 6(1)(a) |
| Avisar mudanças em documentos, preços e cobrança | Art. 7º, V e IX | Art. 6(1)(b) e (f) |
| Defender direitos em processos e cumprir ordens de autoridades | Art. 7º, II e VI | Art. 6(1)(c) e (f) |

**4.2 Legítimo interesse.** Quando usamos o legítimo interesse, avaliamos o efeito sobre você. Você pode se opor, nos termos da [seção 11](#direitos).

**4.3 Consentimento.** Quando a base é o consentimento, você pode revogá-lo a qualquer momento, sem prejuízo do tratamento já feito.

**4.4 Pesquisas no portal.** Quando houver pesquisas curtas de satisfação no portal, a resposta é opcional. Não escreva dados pessoais nas respostas.

## 5. Com quem compartilhamos

**5.1 Destinatários.** Compartilhamos dados com os fornecedores e os destinatários abaixo, só no necessário para cada finalidade.

**Destinatários dos dados**

| Destinatário | Para quê | Quais dados |
| --- | --- | --- |
| Provedores de hospedagem e infraestrutura | Hospedar o site, o portal, o servidor e o banco de dados do MEPO, proteger o acesso, guardar arquivos, enviar e-mails do serviço e contar as visitas ao site de forma agregada, sem cookies | Todos os dados do serviço |
| Processador de pagamentos | Processar o pagamento da assinatura | Dados de cobrança |
| Ferramenta de análise de uso | Análise de uso, registro de erros e gravação de sessão | Dados de uso. No site, só com o seu consentimento |
| Aplicativo de mensagens (WhatsApp) | Contato comercial, quando você nos escreve por ele | Número de telefone, nome do perfil e mensagens |
| Provedor de e-mail corporativo | Receber e responder e-mails enviados a nós | Endereço e conteúdo das mensagens |
| Contadores, advogados e outros assessores | Cumprir obrigações e defender direitos | Só o necessário |
| Autoridades | Cumprir a lei ou uma ordem válida | Só o necessário |
| Sucessora da empresa | Em fusão, aquisição ou venda de ativos, com a mesma proteção | Dados do serviço |

**5.2 Sem venda de dados.** Não vendemos dados pessoais.

**5.3 Exigências aos fornecedores.** Exigimos dos fornecedores que tratem os dados só para os fins contratados e com segurança adequada. Os fornecedores que tratam os dados do serviço estão listados, com a finalidade, o país e a garantia de transferência, no [Apêndice V.19](/termos#dpa-anexo-iii) do Anexo de Tratamento de Dados dos Termos de Serviço.

## 6. Dados tratados por conta de uma Organização cliente

**6.1 A Organização é a controladora.** Quando o MEPO trata seus dados por conta de uma Organização cliente, a Organização é a controladora. Isso acontece, por exemplo, se você é fornecedor ou contato cadastrado por ela, ou se recebeu dela um link de revisão de cardápio ou de cotação.

**6.2 Como exercer seus direitos.** Para exercer seus direitos sobre esses dados, fale primeiro com a Organização. Se você escrever para nós, encaminhamos o pedido a ela, nos termos do Anexo de Tratamento de Dados dos Termos de Serviço.

**6.3 Dados de segurança.** Tratamos como controladora os dados técnicos de segurança do acesso a esses links, como o endereço IP e o navegador.

## 7. Cookies e tecnologias semelhantes

Esta seção explica os cookies e os itens de armazenamento que o site mepo.so e o portal portal.mepo.so gravam no seu navegador, por categoria, com nome, finalidade e duração.

### 7.1 O que são cookies

**7.1.1 Cookies.** Cookies são pequenos arquivos que o site grava no navegador para lembrar uma informação, como o idioma que você escolheu. O armazenamento local e o de sessão do navegador funcionam de modo parecido e seguem as mesmas regras. Nesta seção, “cookies” inclui os três.

### 7.2 Categorias

**7.2.1 Essenciais.** Mantêm a sessão no portal, guardam preferências como idioma e tema, lembram a sua escolha sobre cookies e protegem o site contra robôs e ataques. Funcionam sempre, porque sem eles o site e o portal não funcionam.

**7.2.2 Medição.** Mostram como o site e o portal são usados, de onde vêm as visitas e onde há erros, inclusive com a gravação de sessões mascaradas, por meio de uma ferramenta de análise de uso. O site só mede o uso depois que você aceita o aviso de cookies. No portal, a medição faz parte do serviço contratado pela Organização.

**7.2.3 Sem publicidade.** Não usamos cookies de publicidade nem de marketing.

**Cookies essenciais**

| Nome | Finalidade | Duração |
| --- | --- | --- |
| `mepo_locale` | Lembra o idioma no site e no portal | 12 meses |
| `mepo_consent` | Guarda a sua escolha sobre a medição no site: aceitou ou recusou | 12 meses |
| `mepo_consent_sync` | Avisa as outras abas do site da sua escolha, em navegadores sem outro meio para isso. É gravado e apagado no mesmo instante | Menos de 1 segundo |
| `mepo-site-theme` e `theme` | Lembram o tema claro, escuro ou do sistema | Até você apagar os dados do site |
| `__Secure-portal-auth.session_token` | Mantém a sua sessão no portal | Até 7 dias sem uso. Se você entrar sem marcar “Lembrar de mim”, termina ao fechar o navegador |
| `__Secure-portal-auth.dont_remember` | Indica que você não marcou “Lembrar de mim” | Até fechar o navegador |
| `mepo:unit-draft:v1:…` e `mepo:command:v1:…` | Guardam, só no seu navegador, rascunhos de formulários e identificadores de comandos de cada Unidade | Até você concluir a operação ou apagar os dados do site |
| `mepo.home.onboarding.dismissed` | Item antigo que lembrava a dispensa da lista de primeiros passos. O portal o lê e passa a guardar a informação na conta | Até você apagar os dados do site |
| `mepo_locale_sync` | Evita recarregar a página em laço ao trocar de idioma no portal | Até fechar a aba |
| `mepo.menu-review.session` e `mepo.menu-review.csrf` | Mantêm a sessão curta de quem revisa um cardápio por link | Até fechar a aba |
| `__cf_bm` e `cf_clearance` | Proteção contra robôs e ataques, gravados pelo provedor de hospedagem quando a proteção está ativa | Em geral, 30 minutos |

**Cookies de medição**

| Nome | Finalidade | Duração |
| --- | --- | --- |
| `ph_…` (cookies de .mepo.so) | Identificam o navegador na ferramenta de análise de uso e guardam a origem da primeira visita, para ligar o site ao portal | Até 12 meses |
| `ph_…` e `__ph_…` (armazenamento local e de sessão) | Guardam dados da análise de uso, como o código da sessão | Local: até você recusar ou apagar os dados do site. Sessão: até fechar a aba |
| `mepo-site-acquisition` | Guarda, no site, um código aleatório da visita e os rótulos de origem | Até fechar a aba |

### 7.3 Sua escolha no site

**7.3.1 Aviso de cookies.** O aviso aparece na primeira visita, com “Aceitar” e “Recusar” em igual destaque.

**7.3.2 Sem escolha ou com recusa.** Até você decidir, e se você recusar, o site não inicia a ferramenta de análise de uso, não grava cookies de medição, não registra eventos, não mede a origem das visitas e não grava sessões.

**7.3.3 Mudar a escolha.** Você muda a escolha a qualquer momento em “Preferências de cookies”, no rodapé de qualquer página. Ao recusar, paramos a medição e apagamos neste navegador os cookies de medição. Se você apagar o cookie `mepo_consent`, o aviso volta.

**7.3.4 Várias abas.** A decisão vale na hora em todas as abas abertas do site.

### 7.4 Como funciona a medição

**7.4.1 No site.** Se você aceitar, a ferramenta de análise de uso, de um fornecedor nos Estados Unidos, registra páginas, cliques, origem da visita, idioma e erros e grava sessões de navegação com os campos de formulário mascarados, para entendermos como o site é usado e corrigirmos problemas.

**7.4.2 Cookie compartilhado.** O cookie de medição vale para o site e para o portal, porque é um cookie de .mepo.so. Isso permite reconhecer o mesmo navegador nos dois. Se você entrar no portal depois, o cookie passa a ser ligado à sua conta.

**7.4.3 Origem das visitas.** Também com o seu aceite, medimos de onde vêm as visitas, como de um código QR, de um buscador ou de uma campanha. O navegador guarda um código aleatório da visita e os rótulos de origem. Enviamos esses dados a nós para contar as visitas e os cliques nos canais de contato de forma agregada. Não enviamos o endereço da página, os termos de busca nem dados de contato.

**7.4.4 Visita e conta.** Se você aceitar e depois criar uma conta, podemos ligar a visita à conta, como explica esta política.

**7.4.5 No portal.** A medição de uso do portal faz parte do serviço contratado pela Organização e não depende do aviso de cookies do site. Ela funciona desde que a página abre, inclusive na tela de entrada. Quem entra no portal é identificado na medição com nome, e-mail e papel no MEPO.

**7.4.6 Gravação de sessões no portal.** A gravação de sessões do portal mascara todo o texto e todos os campos. As telas abertas por link de convite, de redefinição de senha, de revisão de cardápio ou de cotação de fornecedor não são gravadas.

**7.4.7 Escolha do site e portal.** O aviso de cookies do site não controla a medição do portal. Se você recusar no site, apagamos o cookie compartilhado de .mepo.so, e o portal o grava de novo na visita seguinte.

**7.4.8 Contagem agregada, sem cookies.** O provedor de hospedagem conta as visitas e mede o desempenho do site de forma agregada, sem cookies e sem usar o armazenamento do navegador. Por isso o aviso de cookies não controla essa contagem, que inclui a visita antes de você decidir. A base legal é o legítimo interesse.

### 7.5 Serviços de terceiros

**7.5.1 Pagamento e WhatsApp.** A página de pagamento é do processador de pagamentos e segue as regras de cookies dele. Os links para o WhatsApp abrem o aplicativo ou o site do WhatsApp, que segue as próprias regras.

### 7.6 Como gerenciar no navegador

**7.6.1 Configurações do navegador.** Você também pode apagar, bloquear ou limitar cookies nas configurações do navegador. Bloquear os cookies essenciais pode impedir o login e outras funções básicas.

## 8. Transferências internacionais

**8.1 Onde tratamos os dados.** Tratamos dados no Brasil e usamos fornecedores em outros países, em especial nos Estados Unidos. O país de cada fornecedor consta do [Apêndice V.19](/termos#dpa-anexo-iii) do Anexo de Tratamento de Dados dos Termos de Serviço.

**8.2 Garantias.** Quando enviamos dados a fornecedores fora do Brasil, usamos um mecanismo válido: cláusulas contratuais-padrão, decisão de adequação ou outro previsto no art. 33 da LGPD e nos arts. 44 a 49 do GDPR.

## 9. Por quanto tempo guardamos os dados

**9.1 Prazos.** Guardamos os dados pelo tempo da tabela. Depois, eliminamos ou anonimizamos, salvo se a lei exigir a guarda.

**Prazos de retenção**

| Dados | Prazo | Motivo |
| --- | --- | --- |
| Mensagens de contato e dados de interessados sem contrato | Até 24 meses depois do último contato | Retomar a conversa comercial e comprovar o que foi tratado |
| Pedidos de avaliação feitos no site | 30 dias depois do pedido | Criar a conta e evitar pedidos repetidos |
| Conta de avaliação com e-mail não confirmado | 14 dias depois do cadastro | Permitir a confirmação do e-mail |
| Organização de avaliação sem contratação | 12 meses depois do fim da avaliação, com o acesso bloqueado | Permitir que a empresa contrate depois e retome os dados |
| Conta de acesso e registro do aceite da avaliação | Até 5 anos, ou até você pedir a eliminação, quando a lei permitir | Comprovar o aceite do termo |
| Conta e dados de uso do portal de quem tem contrato | Enquanto houver contrato e, depois, os prazos do Anexo de Tratamento de Dados | Prestar o serviço |
| Registros de contrato, de aceite, de cobrança e documentos fiscais que emitimos | 5 anos depois do fim do contrato | Obrigações fiscais e prazos para defesa de direitos |
| Registros de acesso (endereço IP, navegador, data e hora) | De 6 a 12 meses | Marco Civil da Internet (art. 15) e segurança |
| Eventos de uso do portal e do site | Até 24 meses | Análise do produto |
| Gravações de sessão | Até 30 dias | Corrigir erros |
| Escolha sobre cookies | 12 meses | Lembrar a escolha |

## 10. Como protegemos os dados

**10.1 Medidas.** Protegemos os dados com as medidas do [Apêndice V.18](/termos#dpa-anexo-ii) do Anexo de Tratamento de Dados dos Termos de Serviço, como separação entre clientes, controle de acesso no servidor, criptografia em trânsito, registros de auditoria e armazenamento privado de arquivos.

**10.2 Incidentes.** Se um incidente de segurança puder causar risco ou dano relevante a você, comunicamos você e a autoridade quando a lei exigir.

## 11. Seus direitos

**11.1 Quais direitos.** Você pode pedir:

(a) confirmação de que tratamos seus dados e acesso a eles;

(b) correção de dados incompletos, inexatos ou desatualizados;

(c) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;

(d) portabilidade dos dados;

(e) eliminação dos dados tratados com base no seu consentimento;

(f) informação sobre as entidades com as quais compartilhamos os dados;

(g) informação sobre a possibilidade de não consentir e sobre as consequências da recusa;

(h) revisão de decisões tomadas apenas de forma automatizada;

(i) revogação do consentimento.

Se o GDPR se aplicar a você, também pode pedir a limitação do tratamento e se opor ao tratamento baseado em legítimo interesse.

**11.2 Como pedir.** Escreva para contato@mepo.so e diga qual direito quer exercer. Podemos pedir informações para confirmar a sua identidade.

**11.3 Prazo de resposta.** Respondemos em até 15 dias. Se o pedido for complexo, informamos o motivo e o novo prazo, que respeita o limite da lei aplicável.

**11.4 Reclamação.** Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), no Brasil, ou à autoridade de proteção de dados do seu país na União Europeia, como a CNPD, em Portugal, e a AEPD, na Espanha. Preferimos resolver primeiro com você.

## 12. Decisões automatizadas e inteligência artificial

**12.1 Sem decisões automatizadas sobre você.** Não tomamos decisões baseadas apenas em tratamento automatizado que produzam efeitos jurídicos sobre você ou o afetem de forma semelhante.

**12.2 Recursos com inteligência artificial.** O MEPO tem recursos de sugestão por inteligência artificial para as Organizações clientes. Eles recebem só texto de itens e de preparações, sem dados de conta, e um Usuário confirma todo resultado.

## 13. Crianças e adolescentes

**13.1 Uso por empresas.** O MEPO e o site são para empresas. Não são dirigidos a menores de 18 anos, e não tratamos de propósito dados de crianças. Se soubermos que tratamos, eliminamos.

## 14. Mudanças desta política

**14.1 Versão em vigor.** Atualizamos esta política quando o tratamento ou os cookies mudam. A versão em vigor é a publicada em mepo.so/privacidade, com a data.

**14.2 Aviso de mudança material.** Se a mudança for material, como uma nova finalidade ou um novo tipo de destinatário, avisamos por e-mail os Proprietários das Organizações e, no portal, os demais Usuários, com 30 dias de antecedência, salvo se a lei exigir prazo menor.