Política de Privacidade — Madmail

Vigência: 15 de agosto de 2026

Esta Política de Privacidade descreve como a N49 Tecnologia, inscrita no CNPJ sob o nº 10.911.509/0001-40, com sede em Porto Alegre/RS, Brasil ("N49", "nós"), trata dados pessoais no âmbito da plataforma Madmail (madmail.com.br), incluindo o painel de controle, a API, a documentação (docs.madmail.com.br) e a página de status (status.madmail.com.br/status/madmail).

Este documento foi elaborado em conformidade com a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e, quando aplicável, o Código de Defesa do Consumidor (Lei nº 8.078/1990).

Esta Política deve ser lida em conjunto com os Termos de Serviço, a Política de Uso Aceitável e o Acordo de Tratamento de Dados — DPA, que inclui a lista pública de suboperadores.

Sumário

1. Papéis da N49: controladora e operadora
2. Quais dados coletamos
3. Finalidades e bases legais (LGPD)
4. Dados dos destinatários dos nossos clientes
5. Compartilhamento de dados e suboperadores
6. Transferência internacional de dados
7. Retenção e eliminação de dados
8. Direitos do titular e canal do Encarregado (DPO)
9. Cookies
10. Segurança da informação
11. Idade mínima e dados de crianças e adolescentes
12. Anti-spam e boas práticas
13. Atualizações desta Política
14. Lei aplicável
15. Contato

1. Papéis da N49: controladora e operadora

O Madmail é uma plataforma de envio de e-mails transacionais e de marketing por API e painel. Por isso, a N49 exerce dois papéis distintos sob a LGPD:

a) Controladora. Para os dados das pessoas que criam conta, usam o painel, contratam e pagam pelo serviço, navegam em nossos sites ou entram em contato conosco, a N49 decide as finalidades e os meios do tratamento e atua como controladora (art. 5º, VI, da LGPD).

b) Operadora. Para os dados pessoais que nossos clientes enviam à plataforma para fins de entrega de e-mails — como endereços de destinatários, nomes, conteúdo das mensagens e listas de contatos ("Dados de Cliente") —, a N49 atua como operadora (art. 5º, VII, da LGPD), tratando esses dados exclusivamente conforme as instruções do cliente, que é o controlador. As condições desse tratamento são detalhadas no nosso Acordo de Tratamento de Dados (DPA), que integra os Termos de Serviço.

Quando esta Política menciona decisões sobre finalidade, retenção ou compartilhamento de Dados de Cliente, essas decisões cabem ao cliente, na condição de controlador.

2. Quais dados coletamos

2.1 Dados de conta (N49 como controladora)

• Cadastro: nome, e-mail, senha (armazenada com hash), empresa, CNPJ/CPF quando informado.
• Faturamento: dados de cobrança e histórico de pagamentos. Dados completos de cartão são tratados diretamente pelo nosso processador de pagamentos; a N49 não armazena o número completo do cartão.
• Comunicações: mensagens enviadas ao suporte, feedback e registros de atendimento.

2.2 Dados de uso e registros técnicos (N49 como controladora)

• Logs de acesso ao painel e à API: endereço IP, data e hora, agente de usuário — mantidos conforme o art. 15 do Marco Civil da Internet.
• Dados operacionais do serviço: chaves de API (em formato protegido), domínios verificados, volumes de envio, métricas de entrega, bounces, reclamações de spam e eventos de webhook.
• Dados de navegação nos nossos sites: sempre os cookies necessários e, apenas se você consentir no aviso de cookies, dados de medição de audiência e de origem da visita (Google Analytics e cookie de campanha) — ver Seção 9.

2.3 Dados de Cliente (N49 como operadora)

• Endereços de e-mail e demais dados de destinatários carregados pelo cliente;
• Conteúdo, assunto e metadados das mensagens enviadas pela plataforma;
• Eventos de entrega associados a esses destinatários (entrega, abertura, clique, bounce, descadastro), quando habilitados pelo cliente. O registro de abertura e clique utiliza tecnologias de rastreamento (pixel de abertura e reescrita de links), conforme detalhado na Seção 4.

3. Finalidades e bases legais (LGPD)

Tratamos dados pessoais, como controladora, com as seguintes finalidades e bases legais do art. 7º da LGPD:

Oposição ao legítimo interesse. Sempre que o tratamento se fundamentar em legítimo interesse ou em outra hipótese de dispensa de consentimento, você pode se opor ao tratamento (art. 18, § 2º, da LGPD) e solicitar informações sobre o teste de balanceamento realizado (avaliação de legítimo interesse — LIA, art. 10, § 3º, da LGPD), pelo canal do Encarregado: privacidade@madmail.com.br. Analisaremos a oposição e, havendo descumprimento da LGPD, cessaremos o tratamento questionado.

O tratamento de Dados de Cliente, na condição de operadora, é realizado sob a base legal identificada pelo cliente controlador, conforme suas instruções documentadas.

4. Dados dos destinatários dos nossos clientes

Se você recebeu um e-mail enviado por meio do Madmail, quem decidiu enviá-lo — e quem definiu a base legal para tratar seus dados — foi o remetente (nosso cliente). Nesse cenário:

• A N49 atua apenas como operadora, processando seus dados para entregar a mensagem e registrar eventos técnicos de entrega;
• Rastreamento de abertura e clique: o cliente remetente pode habilitar, nas configurações da plataforma, o registro de abertura (por meio de pixel de rastreamento incorporado à mensagem) e de cliques (por meio de reescrita de links). Trata-se de tecnologia de rastreamento aplicada aos destinatários, e a responsabilidade pela base legal e pela transparência desse rastreamento perante os destinatários é do cliente, na condição de controlador. A N49 apenas executa a funcionalidade conforme as instruções do cliente;
• A N49 não utiliza os dados de destinatários para fins próprios, não os vende e não os usa para publicidade;
• Pedidos de acesso, correção ou eliminação relativos a esses envios devem ser dirigidos preferencialmente ao remetente. Se você nos contatar diretamente, encaminharemos a sua solicitação ao cliente controlador e prestaremos o apoio necessário. Atenção: o encaminhamento implica compartilhar com o remetente os dados constantes da sua solicitação (como nome, e-mail e teor do pedido), com fundamento na execução do procedimento de atendimento e no legítimo interesse em viabilizar o exercício dos seus direitos (art. 7º, V e IX, da LGPD). Você será informado sobre o encaminhamento e, em denúncias de spam ou abuso, poderá solicitar que sua identidade seja preservada (anonimização do denunciante) — nesse caso, encaminharemos apenas as informações estritamente necessárias à apuração;
• Nossos Termos de Serviço e a Política de Uso Aceitável exigem que os clientes enviem e-mails apenas a destinatários que consentiram (opt-in), incluam mecanismo de descadastro funcional e o honrem no prazo definido na Política de Uso Aceitável, em linha com o CAPEM — Código de Autorregulamentação para Prática de E-mail Marketing, autorregulamentação setorial que adotamos voluntariamente como parâmetro de boas práticas.

5. Compartilhamento de dados e suboperadores

A N49 não vende dados pessoais. Compartilhamos dados apenas nas seguintes hipóteses:

a) Suboperadores e fornecedores de infraestrutura. Utilizamos prestadores de serviço para hospedagem, infraestrutura de envio de e-mail, processamento de pagamentos e monitoramento (por exemplo, provedores de nuvem como a AWS). Esses fornecedores tratam dados apenas conforme nossas instruções e sob contrato com obrigações de proteção de dados. A lista atualizada de suboperadores que tratam Dados de Cliente está disponível em madmail.com.br/subprocessadores e no DPA; alterações são comunicadas aos clientes com antecedência mínima de 14 dias, com direito de objeção fundamentada.

b) Obrigação legal ou ordem de autoridade. Podemos compartilhar dados para cumprir obrigação legal ou regulatória, ou ordem judicial ou de autoridade competente, nos limites do Marco Civil da Internet e da LGPD.

c) Proteção de direitos. Para exercício regular de direitos da N49, de clientes ou de terceiros, inclusive em casos de fraude ou abuso da plataforma.

d) Operações societárias. Em caso de fusão, aquisição ou reorganização, os dados poderão ser transferidos ao sucessor, que permanecerá vinculado a esta Política, com comunicação aos titulares quando exigida.

e) Atendimento a destinatários. Conforme a Seção 4, o encaminhamento de solicitações de destinatários ao cliente controlador envolve o compartilhamento dos dados da solicitação com o remetente, nas condições ali descritas.

6. Transferência internacional de dados

Nossa infraestrutura utiliza provedores localizados fora do Brasil, notadamente nos Estados Unidos. As transferências internacionais são realizadas nos termos do art. 33 da LGPD, com o seguinte mecanismo, identificado por suboperador:

O mecanismo aplicável a cada suboperador consta da lista pública de suboperadores, mantida atualizada. Não nos valemos de hipóteses genéricas: quando eventual transferência específica se amparar em outro fundamento do art. 33 (por exemplo, consentimento específico e destacado efetivamente coletado do titular), isso será informado de forma expressa no momento da coleta.

Independentemente da localização, aplicamos as mesmas salvaguardas técnicas e organizacionais descritas na Seção 10.

7. Retenção e eliminação de dados

Mantemos dados pessoais apenas pelo tempo necessário às finalidades desta Política, com prazos máximos definidos por categoria (princípios da necessidade e da limitação da conservação — art. 6º, III, e arts. 15 e 16 da LGPD):

Dados podem ser mantidos por prazo indeterminado apenas em forma anonimizada (deixando de ser dados pessoais) para estatísticas e melhoria do serviço. Após os prazos aplicáveis, os dados são eliminados de forma segura.

8. Direitos do titular e canal do Encarregado (DPO)

Nos termos do art. 18 da LGPD, você pode solicitar, a qualquer momento:

1. Confirmação da existência de tratamento;
2. Acesso aos dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. Portabilidade dos dados a outro fornecedor, observada a regulamentação da ANPD;
6. Eliminação dos dados tratados com base no consentimento;
7. Informação sobre compartilhamentos com entidades públicas e privadas;
8. Informação sobre a possibilidade de não consentir e as consequências da negativa;
9. Revogação do consentimento;
10. Oposição a tratamento realizado com fundamento em legítimo interesse ou em outra hipótese de dispensa de consentimento (art. 18, § 2º), incluindo o acesso a informações sobre o teste de balanceamento (LIA) — exercida pelo canal do Encarregado abaixo;
11. Revisão de decisões tomadas unicamente com base em tratamento automatizado, quando houver.

Encarregado pelo Tratamento de Dados Pessoais (DPO) Rafael Pinto e Silva N49 Tecnologia Ltda. — [endereço completo da sede], Porto Alegre/RS E-mail: privacidade@madmail.com.br

Prazos de resposta: responderemos imediatamente, em formato simplificado, ou em até 15 (quinze) dias, contados do requerimento, por meio de declaração clara e completa, conforme o art. 19, I e II, da LGPD. Podemos solicitar comprovação de identidade para proteger seus dados. Caso entenda que seus direitos não foram atendidos, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

9. Cookies

Esta seção vale para o site (madmail.com.br e www.madmail.com.br) e para o painel (app.madmail.com.br), onde utilizamos os cookies abaixo — e nenhum outro.

A sua resposta ao aviso de cookies é registrada para todo o domínio madmail.com.br: se você responder no site, o painel já sabe e não pergunta de novo; se responder no painel, o site também. E, para você conferir ou mudar essa resposta a qualquer momento, existe um endereço único: www.madmail.com.br/preferencias-de-cookies. Onde os dois se comportam de forma diferente, está dito abaixo.

A documentação (docs.madmail.com.br) não carrega Google Analytics nem qualquer cookie de medição: lá não há aviso de cookies porque não há nada a consentir. A página de status (status.madmail.com.br) é operada por terceiro e usa apenas cookies necessários ao próprio serviço.

9.1 Cookies necessários

Ficam ativos sempre, porque sem eles o site ou o painel não funcionam. Não dependem de consentimento.

9.2 Cookies de medição de audiência (só com o seu consentimento)

Estes não carregam enquanto você não aceitar. Na primeira vez que você entra — seja no site, seja nas páginas de entrar/criar conta do painel —, aparece um aviso com as opções Aceitar e Recusar, apresentadas com o mesmo destaque, sem opção escondida e sem "X" que decida por você. Enquanto não houver escolha, ou se você recusar, o Google Analytics não é carregado e nenhum dos cookies abaixo é gravado.

Enquanto você não responde. Se você chegou por um link de campanha, os parâmetros dessa URL (os mesmos listados em mm_attrib, e só eles) ficam guardados no armazenamento de sessão do seu navegador até você responder ao aviso — é o que permite registrar a origem correta se você aceitar depois de já ter navegado por algumas páginas. Não é cookie, não é enviado a ninguém, não identifica você e é apagado quando você fecha a aba ou recusa.

Transferência internacional. O Google Analytics trata esses dados nos Estados Unidos. A transferência é amparada nas cláusulas contratuais padrão celebradas com o Google, nos termos do art. 33 da LGPD — ver a Seção 6 e a lista de suboperadores.

Como mudar de ideia. A qualquer momento, abra Preferências de cookies — o link está no rodapé de todas as páginas do site e no aviso exibido pelo painel. A página mostra a sua escolha atual, deixa você trocá-la com um clique (aceitar e recusar, com o mesmo destaque) e confirma na própria tela o que passou a valer. É o mesmo endereço para o site e para o painel, de propósito: a escolha é uma só e o lugar de mudá-la também.

O que acontece quando você recusa. O Google Analytics deixa de carregar imediatamente e apagamos na hora, do seu navegador, os cookies de medição que existirem: os do Google (_ga, _ga_<ID> e _gid) e o nosso mm_attrib. Por precaução, a limpeza remove também eventuais cookies _gcl_* — os que o Google usa para vincular um clique em anúncio à visita. Eles não deveriam existir, porque mantemos os sinais de publicidade desligados (Seção 9.3); se por qualquer motivo existirem, recusar apaga esse vínculo também, que é exatamente o que você pediu ao recusar. Também descartamos o registro temporário de origem descrito acima. Os cookies da Seção 9.1 permanecem, porque sem eles você não consegue usar sua conta. Revogar o consentimento não afeta a legalidade do tratamento feito antes da revogação (art. 8º, § 5º, da LGPD). Você também pode bloquear ou apagar cookies pelo próprio navegador — mas, se bloquear os da Seção 9.1, o serviço poderá não funcionar corretamente.

Onde cada aviso aparece. No site, o aviso aparece na primeira visita e some assim que você responde; daí em diante o caminho para rever é a página de Preferências de cookies. No painel, o aviso aparece apenas nas páginas públicas de entrar e criar conta, e só para quem ainda não respondeu em nenhum dos dois endereços; depois de responder, ele confirma na tela o que ficou registrado e indica a mesma página de preferências. A sua escolha fica guardada por 6 meses, por navegador: em outro aparelho, ou depois de limpar os dados do navegador, perguntamos de novo.

9.3 O que não fazemos

Não usamos, em nossos sites, cookies para publicidade direcionada, remarketing ou construção de perfil comportamental, e não vendemos nem compartilhamos esses dados de navegação com corretores de dados. Os sinais de publicidade do Google (ad_storage, ad_user_data, ad_personalization) ficam desativados na nossa configuração, mesmo depois de você aceitar. Também usamos o Simple Analytics, uma medição de audiência sem cookies e sem identificar visitantes, que por isso não aparece nas tabelas acima.

Atenção: esta seção trata dos sites da N49. O rastreamento de abertura e clique em e-mails enviados por nossos clientes por meio da plataforma é tecnologia distinta, habilitada pelo cliente controlador, e está descrito na Seção 4.

10. Segurança da informação

Adotamos medidas técnicas e organizacionais compatíveis com o art. 46 da LGPD, incluindo:

• Criptografia em trânsito (TLS) e em repouso;
• Autenticação multifator (MFA) disponível para as contas e obrigatória para acessos administrativos internos;
• Controle de acesso por privilégio mínimo e segregação de ambientes;
• Chaves de API armazenadas de forma protegida e revogáveis pelo cliente;
• Testes de intrusão (pentest) periódicos, ao menos anuais, e monitoramento contínuo;
• Registro e trilha de auditoria de eventos relevantes de segurança.

Incidentes de segurança: em caso de incidente que possa acarretar risco ou dano relevante aos titulares, notificaremos a ANPD e os titulares afetados nos termos do art. 48 da LGPD e, quando envolver Dados de Cliente, comunicaremos o cliente controlador sem demora indevida, com as informações necessárias para que cumpra suas próprias obrigações.

Nenhum sistema é absolutamente seguro; recomendamos o uso de senhas fortes, MFA e a proteção adequada das suas chaves de API.

11. Idade mínima e dados de crianças e adolescentes

O Madmail é um serviço destinado a empresas e profissionais. A contratação e a criação de conta são reservadas a pessoas maiores de 18 anos ou legalmente emancipadas, bem como a adolescentes a partir de 16 anos devidamente assistidos por seus representantes legais, na forma da lei civil (arts. 4º e 5º do Código Civil). Não coletamos intencionalmente dados de crianças para criação de contas; se identificarmos conta criada em desacordo com esta regra, ela será encerrada e os dados eliminados.

Clientes que tratem dados de crianças ou adolescentes como destinatários em suas listas são responsáveis, na condição de controladores, por observar o art. 14 da LGPD e o melhor interesse da criança e do adolescente.

12. Anti-spam e boas práticas

O combate ao spam integra a proteção de dados dos destinatários. Exigimos contratualmente que nossos clientes:

• Enviem mensagens apenas a destinatários com consentimento prévio (opt-in); listas compradas ou raspadas são proibidas;
• Incluam identificação verdadeira do remetente e endereço físico válido;
• Ofereçam descadastro claro e o honrem no prazo definido na Política de Uso Aceitável;
• Mantenham taxas de reclamação de spam e de bounce dentro dos limites definidos na Política de Uso Aceitável;
• Observem a LGPD, as políticas dos provedores de destino e o CAPEM (Código de Autorregulamentação para Prática de E-mail Marketing), autorregulamentação setorial sem força de lei que adotamos voluntariamente como parâmetro de boas práticas.

Violações podem levar à suspensão ou ao encerramento da conta, conforme os Termos de Serviço e a Política de Uso Aceitável. Para denunciar abuso ou spam enviado pela nossa plataforma, escreva para contato@madmail.com.br — se preferir, sua identidade será preservada perante o remetente denunciado (ver Seção 4).

13. Atualizações desta Política

Podemos atualizar esta Política para refletir mudanças legais, regulatórias ou do serviço. A versão vigente estará sempre publicada em madmail.com.br, com a data de vigência no topo, e mantemos histórico público das versões anteriores em www.madmail.com.br/legal/politica-de-privacidade.

Alterações relevantes — assim entendidas, por exemplo, as que criem novas finalidades de tratamento, ampliem categorias de dados coletados, alterem bases legais, incluam novos compartilhamentos ou transferências internacionais, ou reduzam direitos ou prazos em desfavor do titular — serão comunicadas aos clientes por e-mail ou pelo painel com antecedência mínima de 30 (trinta) dias da entrada em vigor. Alterações meramente formais ou editoriais podem vigorar a partir da publicação.

Quando a base legal do tratamento for o consentimento, mudanças que o afetem dependerão de novo consentimento, e não de aceitação tácita. Nos demais casos, o uso continuado do serviço após o término do prazo de antecedência indica ciência da nova versão; se você não concordar com as alterações, pode encerrar a conta antes da entrada em vigor, sem prejuízo dos direitos previstos na lei e nos Termos de Serviço.

14. Lei aplicável

Esta Política é regida pelas leis da República Federativa do Brasil, em especial a LGPD, o Marco Civil da Internet e, quando aplicável, o CDC.

A eleição de foro para controvérsias contratuais consta dos Termos de Serviço e aplica-se exclusivamente à relação contratual entre a N49 e seus clientes, ressalvado, quando o cliente se qualificar como consumidor nos termos do CDC, o direito de demandar no foro de seu próprio domicílio. Para titulares que não sejam clientes (como destinatários de e-mails), prevalecem as regras legais de competência.

15. Contato

N49 Tecnologia CNPJ 10.911.509/0001-40 [Endereço completo da sede — logradouro, número, complemento, bairro, CEP] — Porto Alegre/RS, Brasil

• Dúvidas gerais e denúncias de abuso: contato@madmail.com.br
• Privacidade e Encarregado (DPO): privacidade@madmail.com.br
• Termos de Serviço: www.madmail.com.br/legal/termos-de-uso
• Política de Uso Aceitável: www.madmail.com.br/legal/politica-de-uso-aceitavel
• DPA e lista de suboperadores: madmail.com.br/dpa · madmail.com.br/subprocessadores
• Documentação: docs.madmail.com.br
• Status do serviço: status.madmail.com.br/status/madmail