Política de Privacidade

Esta Política de Privacidade descreve como a Marfin ("nós", "nosso") coleta, usa, compartilha e protege informações quando você usa o Marfin Agents, disponível em agents.marfin.co(o "Serviço"). Ao usar o Serviço, você concorda com as práticas descritas aqui.

1. Dados que coletamos

1.1. Dados de conta

• Nome e endereço de email (via autenticação Supabase).
• Identificador único gerado pelo sistema de autenticação.
• Data de criação e último acesso.

1.2. Dados de uso

• Histórico de execuções de agentes (inputs, timestamps, status).
• Consumo de créditos e transações de billing.
• Logs de API e eventos de autenticação (para segurança).

1.3. Dados de integrações (conectores)

Quando você conecta serviços externos (Gmail, Google Calendar, GitHub, Slack, Linear, Notion, Postz, Statz, Wordz ou MCPs custom), nós não armazenamos as credenciais de OAuth (access tokens, refresh tokens) nem as API keys diretamente nos nossos servidores. Essas credenciais são armazenadas com segurança na vault do nosso provedor de infraestrutura de agentes de IA, que gerencia a rotação de tokens e o acesso sob demanda.

Os dados acessados via esses conectores (emails, eventos, repositórios, etc.) são processados pelos agentes em tempo real e não são persistidos pela Marfin, exceto quando necessário para manter o contexto de uma execução em andamento.

1.4. Dados específicos do Google (Google User Data)

Quando você conecta Gmail ou Google Calendar à Marfin, solicitamos os seguintes scopes do Google OAuth 2.0:

• https://www.googleapis.com/auth/gmail.modify — usado para (a) listar e ler emailsquando você pede ao agente algo como "mostra os últimos emails do chefe" ou "abre o email do João"; (b) enviar emails e respostas compostos por você no chat após sua confirmação explícita; (c) aplicar labels(arquivar, marcar como lido) quando você pede explicitamente (ex: "arquiva esse email"). Não movemos mensagens para a lixeira, não excluímos mensagens permanentemente e não acessamos anexos.
• https://www.googleapis.com/auth/calendar.events — usado para (a) listar próximos eventos da sua agenda primária quando você pergunta ao agente sobre seus compromissos; (b) criar eventoscom participantes quando você pede explicitamente (ex: "agende reunião com fulano segunda 15h"); (c) consultar horários livres via freeBusy para o agente sugerir slots. Não acessamos calendários secundários, não criamos ou excluímos calendários, não modificamos compartilhamentos.

Todas as operações acima são disparadas exclusivamente por mensagem explícita do usuário em chat conversacional — nunca em background, batch ou polling automatizado.

Compliance com Google API Services User Data Policy (Limited Use): O uso e a transferência pela Marfin de informações recebidas das APIs do Google para qualquer outro app aderem à Google API Services User Data Policy, incluindo os requisitos de Limited Use. Especificamente:

• (a) não usamos dados de usuário do Google para desenvolver, melhorar ou treinar modelos de IA/ML generalizados;
• (b) não transferimos dados de usuário do Google a terceiros, exceto quando necessário para fornecer ou melhorar funcionalidades visíveis ao usuário que são proeminentes na interface da aplicação solicitante;
• (c) não usamos ou transferimos dados de usuário do Google para servir anúncios;
• (d) não permitimos que humanos leiam os dados de usuário, salvo (i) com seu consentimento explícito para mensagens específicas; (ii) quando necessário para segurança, como investigar abuso; (iii) para cumprir lei aplicável; ou (iv) para operações internas e somente quando os dados foram agregados e anonimizados.

Não armazenamos o conteúdo dos seus emails, eventos ou anexos do Google em nossos servidores além do tempo da requisição HTTP — apenas o token OAuth fica criptografado em vault gerenciada para permitir refresh.

2. Como usamos seus dados

• Autenticar você e manter sua sessão.
• Executar os agentes que você rodar, usando os conectores que você autorizou.
• Cobrar créditos pelas execuções.
• Fornecer suporte e responder solicitações.
• Prevenir fraude, abuso e incidentes de segurança.
• Melhorar o Serviço (agregado e anonimizado).

3. Compartilhamento com terceiros

Compartilhamos dados apenas com os seguintes provedores essenciais:

• Supabase — autenticação e banco de dados (hospedado em infraestrutura SOC 2).
• Provedor de infraestrutura de agentes de IA — execução dos agentes e armazenamento seguro de credenciais OAuth (vault).
• Vercel — hospedagem da aplicação.
• Stripe — processamento de pagamentos (somente quando você compra créditos).

Não vendemos seus dados. Não compartilhamos com anunciantes. Só liberamos dados por exigência legal documentada.

4. Retenção

• Conta ativa: enquanto você tiver cadastro.
• Histórico de execuções: até 12 meses, para fins de suporte e auditoria.
• Dados fiscais de pagamento: pelo prazo legal aplicável (normalmente 5 anos no Brasil).
• Ao deletar sua conta, dados pessoais são removidos em até 30 dias.

5. Seus direitos

Você pode, a qualquer momento:

• Acessar e exportar seus dados.
• Corrigir dados incorretos.
• Desconectar qualquer integração (em /connectors).
• Revogar o acesso OAuth diretamente no provedor (Google, GitHub, etc.).
• Deletar sua conta e todos os dados associados.

Para exercer qualquer direito, escreva pra support@marfin.co. Respondemos em até 15 dias úteis.

6. Segurança

Usamos criptografia TLS em todas as comunicações, separação entre dados de usuários (Row Level Security no Supabase), e vault segura para credenciais OAuth. Nenhum sistema é 100% imune, mas aplicamos as melhores práticas da indústria.

7. Crianças

O Serviço não é destinado a menores de 18 anos. Não coletamos dados conscientemente de crianças.

8. Alterações nesta política

Podemos atualizar essa política periodicamente. Alterações materiais serão comunicadas por email e/ou no próprio Serviço com pelo menos 15 dias de antecedência.

9. Contato

Dúvidas sobre privacidade: support@marfin.co
Marfin Agents — agents.marfin.co