← Todos os documentos legais

Política de Privacidade — MCP Bridge — AI for Bitrix24

1. Introdução

Esta Política de Privacidade descreve como a HUB DESPACHOS Y PYMES S.L. (“HUB Consultores”, “nós”, “nos”) coleta, usa, armazena e protege dados pessoais quando você (o “Usuário”) instala e usa o aplicativo MCP Bridge for Bitrix24 (o “Software”) em um portal Bitrix24.

Esta Política é regida pelo Regulamento Geral de Proteção de Dados da União Europeia (GDPR — Regulation (EU) 2016/679) e pela Lei Orgânica espanhola de Proteção de Dados Pessoais e Garantia dos Direitos Digitais (LOPDGDD — Ley Orgánica 3/2018).

Ao instalar o Software, o Usuário aceita as práticas descritas nesta Política. Se o Usuário não concordar, não deverá instalar nem usar o Software.

2. Controlador de Dados e Encarregado de Proteção de Dados

Controlador de Dados:

• HUB DESPACHOS Y PYMES S.L.
• Número de identificação fiscal (CIF): B76816875
• Endereço: Avenida Benito Pérez Armas, 2 - PTL 2,6 B, Santa Cruz de Tenerife, Espanha
• Email: [email protected]
• Telefone: +34 822 684 008

Encarregado de Proteção de Dados (DPO): A HUB Consultores não designou formalmente um DPO porque suas operações de processamento não atendem aos critérios obrigatórios do Artigo 37 do GDPR. Para solicitações relacionadas à privacidade, entre em contato conosco diretamente em [email protected] com a linha de assunto “MCP Bridge — Privacy Request”.

3. Nosso Papel: Controlador vs Processador

O Software envolve dois cenários distintos de processamento:

3.1 Atuamos como Controlador de Dados para:

• Credenciais de autenticação e dados de roteamento (tokens OAuth, mcp_token, member_id, user_id)
• Registros de aplicativos cliente autorizados (Connected Apps)
• Telemetria operacional (logs de requisições, contadores de métricas, relatórios de erro)

Estes são processados para operar o Software e constituem nossos próprios registros comerciais. As disposições desta Política aplicam-se integralmente a eles.

3.2 Atuamos como Processador de Dados para:

• Dados de CRM (leads, negócios, contatos, empresas, tarefas, comentários, arquivos) que a organização do Usuário armazena no Bitrix24 e que transitam pelo Software em tempo real quando o Usuário emite uma solicitação por meio de um assistente de IA.

Nesse cenário, a organização do Usuário é a Controladora de Dados desses dados de CRM, e a HUB Consultores atua como Processadora de Dados em seu nome nos termos do Artigo 28 do GDPR. Os termos que regem essa relação de processamento estão estabelecidos em nosso Contrato de Processamento de Dados (DPA) disponível em https://mcp.hubtool.net/legal/dpa-en, que faz parte do EULA aceito na instalação.

Nós não armazenamos os dados de CRM: encaminhamo-los diretamente do Bitrix24 ao assistente de IA que o Usuário autorizou. Nenhuma cópia ou cache do conteúdo de CRM é retido em nossa infraestrutura além da duração da requisição HTTP específica.

4. Informações que Coletamos (como Controlador de Dados)

Processamos a quantidade mínima de dados estritamente necessária para operar o Software. Categorias coletadas:

4.1 Dados de autenticação e roteamento

• Tokens de acesso e refresh OAuth emitidos pelo Bitrix24 quando o Usuário instala o Software. Usados para fazer requisições à API do portal Bitrix24 do Usuário em nome do Usuário.
• Token MCP (mcp_token) gerado por nós quando o Software é instalado. Usado pelos assistentes de IA para se autenticarem perante o Software em cada requisição.
• Identificador do portal Bitrix24 (member_id), identificador do usuário (user_id) e domínio do portal (por exemplo, example.bitrix24.com). Usados para roteamento multi-tenant. Observação: member_id e user_id são identificadores pseudonimizados nos termos do Considerando 26 do GDPR, o que significa que podem ser vinculados a uma pessoa física e são, portanto, considerados dados pessoais.

4.2 Aplicativos cliente autorizados

• Registros de clientes MCP de terceiros (como Claude.ai, ChatGPT) que o Usuário autorizou a usar o Software via OAuth 2.1. Cada registro contém o nome do cliente, o ID do cliente e o carimbo de data/hora da autorização.

4.3 Telemetria operacional

• Logs de requisições com um ID de correlação. Esses logs contêm metadados HTTP (método, código de status, duração), o nome da ferramenta chamada, o member_id e o user_id. Eles não contêm o conteúdo dos payloads das requisições nem os dados de CRM do Usuário.
• Contadores de métricas agregadas (número de chamadas de ferramentas por tipo, taxas de erro, tempos de resposta) usados para monitoramento do serviço. Cada evento está vinculado a um member_id e a um user_id — dados pessoais pseudonimizados.
• Relatórios de erro enviados ao Sentry, nosso provedor de monitoramento de erros, quando o Software encontra exceções inesperadas. Os relatórios de erro podem incluir stack traces e metadados HTTP, mas não incluem os dados de CRM do Usuário, corpos de requisições, tokens de autenticação, cookies ou identificadores de sessão. Isso é imposto por duas camadas na inicialização do SDK do Sentry: (i) send_default_pii=False, que suprime a captura automática de cookies, cabeçalhos e contexto do usuário pelo SDK; e (ii) um filtro personalizado before_send que substitui qualquer variável local de stack trace cujo nome corresponda a um padrão típico de CRM (por exemplo, tasks, items, leads, contacts, email, phone) por um placeholder de redação antes de o evento sair do processo do aplicativo.

4.4 Dados que NÃO armazenamos

Explicitamente, não armazenamos, fazemos cache nem copiamos nenhum dos seguintes:

• Os dados de CRM do Usuário além da duração de uma requisição individual à API (ver Seção 3.2).
• O conteúdo de mensagens ou prompts trocados entre o Usuário e o assistente de IA.
• Quaisquer documentos comerciais, arquivos ou anexos armazenados no portal Bitrix24.

5. Finalidades e Base Legal (Art. 6 do GDPR)

6. Tomada de Decisão Automatizada e Elaboração de Perfis (Art. 13(2)(f) do GDPR)

O Software não realiza tomada de decisão automatizada, incluindo elaboração de perfis, que produza efeitos jurídicos ou efeitos similarmente significativos sobre o Usuário ou qualquer pessoa física. O Software atua como uma ponte transparente entre o assistente de IA do Usuário e o Bitrix24: qualquer “decisão” ou “recomendação” é gerada pelo assistente de IA de terceiros escolhido pelo Usuário (por exemplo, Claude.ai, ChatGPT), e não por nós.

7. Dados de Crianças (Art. 8 do GDPR)

O Software não é direcionado a menores. É uma ferramenta B2B para organizações que operam um portal Bitrix24. Não coletamos conscientemente dados pessoais de qualquer pessoa com menos de 18 anos. Se tomarmos conhecimento de que coletamos inadvertidamente dados de um menor, iremos excluí-los prontamente.

8. Retenção de Dados

Quando o Usuário desinstala o Software de seu portal Bitrix24, todos os tokens OAuth associados, o mcp_token e os registros de Connected Apps são excluídos de nosso banco de dados no prazo de 24 horas, em conformidade com a cláusula equivalente do Contrato de Processamento de Dados (Seção 11 do DPA).

9. Compartilhamento de Dados e Terceiros (Subprocessadores)

Compartilhamos dados apenas com as seguintes categorias de destinatários, todos selecionados por sua postura de segurança e seus compromissos de conformidade com o GDPR:

Uma lista completa e atualizada de subprocessadores é mantida como parte do Contrato de Processamento de Dados (DPA) e pode ser solicitada em [email protected].

Nós nunca vendemos dados pessoais. Não compartilhamos dados com terceiros de marketing, publicidade ou análise.

9.1 Direito de oposição a novos subprocessadores

Quando contratarmos um novo subprocessador que processe dados pessoais em nome de um controlador (Seção 3.2), notificaremos os Usuários afetados com pelo menos 30 dias de antecedência. Os Usuários podem se opor à mudança por escrito dentro desse prazo; se as objeções não puderem ser resolvidas, o Usuário pode rescindir o acordo de processamento pertinente.

10. Transferências Internacionais de Dados

A própria infraestrutura do Software (servidores de aplicação, banco de dados, monitoramento de erros) está hospedada dentro do Espaço Econômico Europeu (EEE): servidores de aplicação e banco de dados na Hetzner (Nuremberg, Alemanha) e monitoramento de erros na região da UE do Sentry (Frankfurt, Alemanha). Não armazenamos dados de CRM em repouso em nenhum local.

A principal transferência de dados pessoais para fora do EEE que pode ocorrer em conexão com o Software é a transferência ulterior de dados de CRM ao assistente de IA que o Usuário autorizou (por exemplo, Claude.ai, ChatGPT), que pode estar localizado nos Estados Unidos ou em outro lugar. Essa transferência ocorre mediante instrução documentada do Usuário — materializada quando o Usuário autoriza um assistente específico por meio do fluxo OAuth do Software. Conforme estabelecido no DPA, a organização do Usuário atua como exportadora de dados para essa transferência ulterior e é responsável, nos termos do Capítulo V do GDPR, por garantir um mecanismo de transferência apropriado com o assistente escolhido.

Para essa transferência ulterior, aplicam-se as seguintes salvaguardas, em ordem de aplicabilidade:

• Standard Contractual Clauses da Comissão Europeia (Decision 2021/914) firmadas entre o exportador de dados e o provedor do assistente. Na data de vigência desta Política, esse é o mecanismo documentado publicamente tanto pela Anthropic (Claude) quanto pela OpenAI (ChatGPT) para dados pessoais da UE.
• Certificação EU-US Data Privacy Framework da parte receptora, quando — e somente quando — o provedor se autocertificou e permanece na lista ativa do DPF (verifique o status atual em dataprivacyframework.gov).

Nós não invocamos as derrogações do Art. 49 do GDPR (incluindo o “consentimento explícito” do Art. 49(1)(a)) como salvaguarda de rotina para essas transferências. Conforme as Diretrizes 2/2018 do EDPB, essas derrogações são excepcionais e não apropriadas para transferências que sejam repetitivas ou sistemáticas, o que as transferências do Software são em uso normal.

Ao autorizar um assistente fora do EEE, o Usuário aceita que suas solicitações e os dados de CRM correspondentes serão processados por esse assistente em sua jurisdição. Não temos controle sobre como o assistente processa ou retém essas informações; recomendamos que o Usuário consulte a própria política de privacidade de cada assistente.

11. Seus Direitos (GDPR)

Como titular dos dados, você tem os seguintes direitos:

• Direito de acesso (Art. 15) — solicitar uma cópia dos dados pessoais que mantemos sobre você.
• Direito de retificação (Art. 16) — solicitar a correção de dados imprecisos ou incompletos.
• Direito ao apagamento (Art. 17) — solicitar a exclusão de seus dados, sujeita a obrigações legais de retenção.
• Direito à limitação do processamento (Art. 18).
• Direito à portabilidade de dados (Art. 20) — receber seus dados em um formato estruturado e legível por máquina.
• Direito de oposição (Art. 21) — opor-se ao processamento baseado em interesse legítimo.
• Direito de retirar o consentimento — quando o processamento for baseado em consentimento (Art. 7(3)). A retirada não afeta a licitude do processamento anterior à retirada.

Se o fornecimento de dados é obrigatório: Os dados descritos na Seção 4 são estritamente necessários para operar o Software. Se o Usuário não desejar que seus dados sejam processados, não deverá instalar o Software. Não há obrigação contratual ou legal de fornecer esses dados; a única consequência da recusa é que o Software não pode funcionar.

Para exercer qualquer direito, envie uma solicitação para [email protected] com a linha de assunto “MCP Bridge — Privacy Request” e uma descrição razoável de sua solicitação. Respondemos no prazo de 30 dias corridos.

Você também tem o direito de apresentar uma reclamação à Agência Espanhola de Proteção de Dados (AEPD) em https://www.aepd.es, ou à autoridade supervisora de seu país de residência na UE.

12. Medidas de Segurança

Implementamos medidas técnicas e organizacionais apropriadas ao risco, incluindo:

• Criptografia em trânsito (HTTPS / TLS 1.2+, com preferência por TLS 1.3) para todas as comunicações entre o Usuário, o Software e o Bitrix24.
• Criptografia em repouso em nível de aplicação para tokens OAuth e o mcp_token: armazenados como texto cifrado Fernet (biblioteca cryptography) usando uma TOKEN_ENCRYPTION_KEY mantida fora do banco de dados, com suporte a rotação de chaves. Um vazamento apenas do banco de dados, sem a chave, é criptograficamente insuficiente para recuperar qualquer token.
• Hashing SHA-256 do mcp_token para o índice de busca exclusivo, de modo que o identificador primário usado para autenticação nunca seja armazenado em texto claro. A lista de bloqueio de tokens revogados também armazena apenas hashes SHA-256, nunca os tokens originais.
• Criptografia em nível de disco para o volume do banco de dados, fornecida pelo provedor de hospedagem em nuvem na camada de infraestrutura (complementar à criptografia em nível de aplicação acima).
• Limitação de taxa e detecção de intrusões para mitigar ataques de força bruta ou de enumeração.
• Logs de auditoria para eventos relevantes de segurança (instalação, autorização OAuth, rotação de token, revogação manual).
• Princípio do menor privilégio nos escopos OAuth — solicitamos apenas os escopos mínimos estritamente necessários para a funcionalidade do Software (crm, user_brief, task, im, imopenlines, bizproc).
• Revisões de segurança regulares e atualizações de dependências.

13. Notificação de Violação de Dados Pessoais

Na hipótese de uma violação de dados pessoais suscetível de resultar em risco aos direitos e liberdades de pessoas físicas, iremos:

1. Notificar a AEPD no prazo de 72 horas após tomar conhecimento da violação (Art. 33 do GDPR).
2. Notificar os Usuários afetados sem demora injustificada quando a violação for suscetível de resultar em alto risco a seus direitos e liberdades, descrevendo a natureza da violação, as prováveis consequências e as medidas tomadas para tratá-la (Art. 34 do GDPR).
3. Manter um registro interno de todas as violações, independentemente de exigirem ou não notificação, conforme exigido pelo Art. 33(5) do GDPR.

As notificações aos Usuários serão enviadas por meio do painel “What’s new” do Software e por email ao contato registrado no portal Bitrix24, quando disponível.

14. Alterações a Esta Política

Podemos atualizar esta Política de Privacidade periodicamente para refletir mudanças no Software, requisitos legais ou nossas práticas. Alterações substanciais serão anunciadas por meio do painel de notificações “What’s new” do Software e por email ao endereço de contato registrado no portal Bitrix24, quando disponível. A data de vigência e a versão no topo desta Política serão atualizadas em conformidade.

O uso continuado do Software após uma atualização da Política constitui aceitação da Política atualizada.

15. Contato

Para qualquer questão, solicitação ou preocupação relacionada à privacidade, entre em contato conosco em:

• Email: [email protected] (linha de assunto: “MCP Bridge — Privacy Request”)
• Endereço: HUB DESPACHOS Y PYMES S.L., Avenida Benito Pérez Armas, 2 - PTL 2,6 B, Santa Cruz de Tenerife, Espanha
• Telefone: +34 822 684 008

Last updated: 2026-06-05 Version: 1.2

Changelog

v1.2 (2026-06-05) — Revisão de reforço do GDPR (alinhamento com o DPA v1.1):

• §4.3 — Reforçada a afirmação sobre o Sentry: referência explícita à configuração send_default_pii=False e ao filtro personalizado before_send aplicado a variáveis locais de stack trace que correspondam a padrões típicos de CRM.
• §8 — Prazo de exclusão para tokens OAuth, mcp_token e registros de Connected Apps unificado em “no prazo de 24 horas” em todas as linhas da tabela de retenção, alinhando-se ao §11 do DPA.
• §9 — Tabela de subprocessadores atualizada: região da UE do Sentry explícita (Frankfurt — ingest.de.sentry.io); data center da Hetzner especificado (Nuremberg, Alemanha); salvaguardas por linha para qualquer transferência fora do EEE; esclarecimento de que o assistente de IA atua como controlador separado para o próprio processamento da resposta pelo assistente. Para a Anthropic (Claude) e a OpenAI (ChatGPT), o mecanismo de transferência primário é identificado como Standard Contractual Clauses (2021); o EU-US Data Privacy Framework é tratado como salvaguarda condicional sujeita à verificação pelo Usuário do status atual de certificação do provedor em dataprivacyframework.gov.
• §10 — Seção de transferências internacionais reescrita conforme as Diretrizes 2/2018 do EDPB, com as SCCs (2021) identificadas como a salvaguarda primária para a transferência ulterior ao assistente de IA e o EU-US Data Privacy Framework como salvaguarda condicional que exige verificação do Usuário na lista oficial do DPF. O “consentimento explícito” do Art. 49(1)(a) removido como salvaguarda de rotina.
• §12 — Medidas de segurança expandidas para evidenciar a criptografia Fernet em nível de aplicação de tokens OAuth e do mcp_token, o hashing SHA-256 para índices de busca e a lista de bloqueio de tokens revogados, com a criptografia em nível de disco esclarecida como medida complementar.

v1.1 (2026-05-21) — Adicionada a distinção Controlador/Processador, referência ao DPA, tomada de decisão automatizada do Art. 13(2)(f), dados de crianças do Art. 8, declaração de DPO, notificação de violação ao usuário do Art. 34, esclarecimento sobre identificadores pessoais pseudonimizados e direitos de oposição a subprocessadores.