Documento Legal
Política de Privacidade
Vigência: [data a preencher]
Em conformidade com a Lei Geral de Proteção de Dados — Lei nº 13.709/2018 (LGPD).
1. Identificação do Controlador
[RAZÃO SOCIAL] ("SupiChat", "nós", "nosso" ou "nos"), pessoa jurídica inscrita no CNPJ sob o nº [CNPJ], com sede em [endereço a preencher], é a controladora dos dados pessoais tratados nos serviços descritos nesta Política.
Ao acessar ou usar o SupiChat, você confirma que leu e compreendeu esta Política e concorda com o tratamento dos seus dados pessoais nas formas aqui descritas.
2. Encarregado de Dados — DPO (Art. 41 LGPD)
Em conformidade com o art. 41 da LGPD, designamos como Encarregado pelo Tratamento de Dados Pessoais:
- Nome: [Nome do Encarregado]
- E-mail: [dpo@empresa.com.br]
Para exercer seus direitos, tirar dúvidas ou registrar reclamações, entre em contato diretamente com nosso DPO pelo e-mail indicado acima.
3. Dados Pessoais que Coletamos
3.1 Dados de Conta
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| Nome completo | Identificação e personalização | Art. 7, V — execução de contrato |
| Endereço de e-mail | Autenticação, comunicação, recuperação de acesso | Art. 7, V — execução de contrato |
| Número de telefone (WhatsApp) | Autenticação, notificações da conta | Art. 7, V — execução de contrato |
| Senha (armazenada como hash — nunca em texto puro) | Autenticação segura | Art. 7, V — execução de contrato |
| Fuso horário | Agendamento de publicações e notificações | Art. 7, V — execução de contrato |
Login com Google — dados acessados e uso
Ao usar "Continuar com Google", acessamos apenas nome, endereço de e-mail e foto de perfil associados à sua conta Google (escopo padrão openid email profile). Não solicitamos acesso a e-mails, arquivos, agenda, contatos ou qualquer outro dado do Google Workspace.
Esses dados são usados exclusivamente para criar e autenticar sua conta no SupiChat. Nunca usamos dados obtidos via login do Google para publicidade direcionada, nunca os vendemos ou repassamos a corretores de dados, e nunca os usamos para treinar modelos de IA/aprendizado de máquina de uso geral — nem nossos, nem de terceiros. Fora do provedor de infraestrutura que armazena sua conta (Convex Inc., listado na seção 4), esses dados não são compartilhados com nenhum outro terceiro.
Retenção: mantidos enquanto sua conta estiver ativa; após cancelamento, seguem a mesma janela de 30 dias para recuperação e posterior anonimização/exclusão descrita na seção 6.
Você pode revogar o acesso do SupiChat à sua conta Google a qualquer momento em myaccount.google.com/permissions. Isso não exclui automaticamente sua conta no SupiChat — para isso, use os direitos descritos na seção 7 ou as configurações de exclusão de conta.
3.2 Dados Fiscais e de Pagamento
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| CPF ou CNPJ | Emissão de cobranças e notas fiscais; conformidade legal | Art. 7, II — obrigação legal + Art. 7, V |
| Endereço completo | Emissão de documentos fiscais | Art. 7, II — obrigação legal |
| Últimos 4 dígitos e bandeira do cartão | Exibição e gerenciamento da assinatura | Art. 7, V — execução de contrato |
| Token do cartão (via Asaas — nunca o número completo) | Cobranças recorrentes da assinatura | Art. 7, V — execução de contrato |
| Endereço IP do pagante | Requisito antifraude da plataforma de pagamento Asaas | Art. 7, IX — legítimo interesse |
3.3 Dados da Conta do Instagram
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| ID de usuário do Instagram (IGSID) | Identificação única da conexão | Art. 7, V — execução de contrato |
| Nome de usuário e nome de exibição | Configuração e exibição da conta conectada | Art. 7, V — execução de contrato |
| Foto de perfil (URL) | Exibição na interface do SupiChat | Art. 7, V — execução de contrato |
| Token de acesso à API do Instagram | Leitura de mensagens/comentários e envio de respostas automatizadas | Art. 7, V — execução de contrato |
| Posts publicados (feed, reels, stories) | Exibição e análise de conteúdo no Studio de criação | Art. 7, V — execução de contrato |
3.4 Dados de Seguidores e Contatos do Instagram
Quando você conecta seu Instagram e ativa automações ou respostas com IA, o SupiChat processa em seu nome dados das pessoas que interagem com seu perfil:
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| IGSID do seguidor | Identificação única para envio de mensagens | Art. 7, V — contrato entre você e o SupiChat |
| Nome de usuário e nome do seguidor | Personalização de respostas e histórico de contatos | Art. 7, V — execução de contrato |
| Texto de comentários e mensagens diretas | Processamento pela IA para gerar respostas; histórico de conversas | Art. 7, V — execução de contrato |
| Status de seguimento (follower) | Segmentação de automações | Art. 7, V — execução de contrato |
| E-mail e telefone (se fornecidos via automação) | CRM integrado; base de contatos | Art. 7, I — consentimento do titular |
3.5 Dados de Uso e Comportamento
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| Parâmetros UTM (origem, mídia, campanha, conteúdo) | Análise de origem de tráfego e eficácia de marketing | Art. 7, IX — legítimo interesse |
| Referrer e caminho de landing page | Otimização de funil de conversão | Art. 7, IX — legítimo interesse |
| Identificadores de campanha (gclid, fbclid) | Mensuração de conversões de campanhas pagas | Art. 7, IX — legítimo interesse |
| Eventos de produto (cliques, navegação, uso de funcionalidades) | Análise de produto e melhoria de experiência | Art. 7, IX — legítimo interesse |
3.6 Dados de Comunicação e Marketing
| Dado | Finalidade | Base Legal (LGPD) |
|---|---|---|
| E-mail (notificações da conta) | Alertas transacionais sobre o serviço | Art. 7, V — execução de contrato |
| E-mail (marketing e novidades) | Envio de e-mails promocionais e de atualizações do produto | Art. 7, I — consentimento (opt-out disponível) |
| Token de cancelamento de assinatura | Descadastro de e-mails de marketing | Art. 7, I — consentimento |
4. Compartilhamento com Terceiros
Não vendemos, alugamos nem cedemos seus dados pessoais a terceiros para fins de publicidade de terceiros. Compartilhamos dados apenas com prestadores de serviços necessários à operação da plataforma (sub-processadores), todos sujeitos a acordos de confidencialidade e/ou Termos de Serviço que limitam o uso dos dados às finalidades contratadas:
| Sub-processador | País | Dados Compartilhados | Finalidade |
|---|---|---|---|
| Convex Inc. | EUA | Todos os dados armazenados na plataforma | Banco de dados, backend e autenticação |
| Asaas Pagamentos S.A. | Brasil | CPF/CNPJ, endereço, token de cartão | Processamento de pagamentos (PIX e cartão) |
| Meta Platforms, Inc. | EUA | Token de acesso da conta Instagram, IGSID | API oficial do Instagram — leitura de mensagens/comentários e envio de respostas |
| OpenAI, LLC | EUA | Texto de mensagens e configurações de IA | Geração de respostas automáticas com IA |
| Google LLC | EUA | IP anonimizado, eventos de produto | Google Analytics GA4 — métricas de uso |
| FAL.ai | EUA | Prompts de geração de imagem | Geração de imagens com IA para o Studio |
| PostHog, Inc. | EUA/EU | Eventos de produto, ID de usuário anonimizado | Analytics de produto e experiência do usuário |
| Vercel Inc. | EUA | Dados de requisições HTTP | Hospedagem da aplicação web |
| Unsplash, Inc. | EUA | Termos de busca de imagens | Banco de imagens para criação de conteúdo |
Além dos acima, podemos compartilhar dados com autoridades públicas quando exigido por lei, decisão judicial ou regulação, e com sucessores ou adquirentes em caso de fusão, aquisição ou reestruturação societária, mantendo os mesmos níveis de proteção.
5. Transferências Internacionais de Dados
Vários dos nossos sub-processadores estão sediados nos Estados Unidos. Essas transferências ocorrem com fundamento no art. 33 da LGPD, notadamente:
- Inciso V — necessidade da transferência para a execução de contrato do qual o titular é parte ou para procedimentos pré-contratuais relacionados a pedido do titular; e/ou
- Inciso IX — consentimento do titular, quando aplicável.
Mantemos com nossos sub-processadores acordos contratuais que exigem proteção de dados equivalente à conferida pela LGPD, incluindo cláusulas de confidencialidade, processamento apenas para as finalidades contratadas e notificação em caso de incidentes.
6. Prazo de Retenção dos Dados
| Categoria de Dado | Período de Retenção |
|---|---|
| Dados de conta de usuários ativos | Enquanto a conta estiver ativa |
| Dados de conta após cancelamento | 30 dias para recuperação; após esse prazo, anonimização ou exclusão |
| Registros de execuções de IA (aiRuns) | Conforme limite do plano contratado (padrão: 90 dias) |
| Histórico de conversas e mensagens | Enquanto a conta estiver ativa |
| Dados fiscais e de pagamento | 5 anos (art. 195 do Código Tributário Nacional e legislação fiscal aplicável) |
| Logs de webhooks do Instagram | 90 dias |
| E-mails de marketing (opt-in) | Até a solicitação de cancelamento de assinatura |
| Dados de seguidores do Instagram | Até a desconexão da conta ou cancelamento do serviço |
| Dados de analytics (Google Analytics) | 26 meses (padrão da plataforma GA4) |
| Dados de analytics (PostHog) | Conforme configuração da plataforma — tipicamente 12 meses |
Após o término do prazo aplicável, os dados são permanentemente excluídos ou anonimizados, salvo se houver obrigação legal de retenção por prazo superior.
7. Seus Direitos como Titular (Art. 18 LGPD)
Como titular de dados pessoais tratados pelo SupiChat, você tem direito a:
| Direito | O que significa na prática |
|---|---|
| Confirmação e acesso | Saber se tratamos seus dados e receber uma cópia de quais dados possuímos sobre você |
| Correção | Corrigir dados incompletos, inexatos ou desatualizados |
| Anonimização, bloqueio ou eliminação | Para dados desnecessários, excessivos ou tratados em desconformidade com a lei |
| Portabilidade | Receber seus dados em formato estruturado e legível por máquina (JSON, CSV) |
| Eliminação | Eliminação dos dados tratados com base em seu consentimento, quando aplicável |
| Informação sobre compartilhamento | Saber com quais entidades públicas e privadas compartilhamos seus dados |
| Informação sobre não consentimento | Ser informado sobre a possibilidade de não consentir e as consequências disso |
| Revogação do consentimento | Revogar a qualquer momento consentimento dado para tratamentos baseados nele |
| Petição à ANPD | Peticionar à Autoridade Nacional de Proteção de Dados (www.gov.br/anpd) |
Para exercer qualquer um desses direitos, envie uma solicitação por e-mail para [privacidade@empresa.com.br] com o assunto "Exercício de Direitos — LGPD". Inclua seu nome completo, e-mail cadastrado e especifique o direito que deseja exercer.
Responderemos em até 15 dias úteis contados do recebimento da solicitação. Em casos de maior complexidade, poderemos prorrogar o prazo por igual período, comunicando-o a você.
8. Segurança da Informação (Art. 46 LGPD)
Adotamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais contra acessos não autorizados, destruição, perda, alteração ou divulgação:
- Criptografia em trânsito (TLS 1.3) em toda comunicação entre cliente e servidor
- Criptografia em repouso (AES-256-GCM) para credenciais sensíveis como chaves de API de terceiros
- Senhas armazenadas exclusivamente como hash criptográfico — nunca em texto puro
- Tokens de cartão de crédito jamais armazenados diretamente — apenas tokenizados via Asaas
- Controle de acesso baseado em funções (owner, admin, membro) com isolamento multi-tenant rigoroso
- Logs de auditoria de ações administrativas
- Política de exclusão não imediata ("soft delete") com janela de recuperação de 30 dias
Em caso de incidente de segurança que afete dados pessoais, notificaremos a ANPD e os titulares afetados nos prazos previstos em lei, com informações sobre a natureza do incidente, os dados afetados e as medidas adotadas.
9. Cookies e Tecnologias Similares
O SupiChat utiliza cookies e tecnologias equivalentes para:
| Tipo | Finalidade | Base Legal |
|---|---|---|
| Cookies de sessão (autenticação) | Manter você autenticado durante a navegação | Art. 7, V — execução de contrato |
| Cookies de preferências | Salvar configurações de tema e idioma | Art. 7, IX — legítimo interesse |
| Google Analytics (GA4) | Medir audiência e comportamento de uso de forma agregada | Art. 7, IX — legítimo interesse |
| PostHog | Analytics de produto — identificação de funcionalidades mais usadas | Art. 7, IX — legítimo interesse |
Você pode gerenciar ou desabilitar cookies nas configurações do seu navegador. Desabilitar cookies funcionais (sessão) pode impedir o funcionamento correto do serviço.
Para detalhes completos, consulte nossa Política de Cookies.
10. Menores de Idade (Art. 14 LGPD)
O SupiChat é um serviço destinado a empresas e empreendedores, não sendo direcionado a crianças ou adolescentes menores de 18 anos. Não coletamos intencionalmente dados pessoais de menores de 18 anos.
Se você tiver conhecimento de que coletamos dados de uma criança ou adolescente sem o consentimento do responsável legal, entre em contato pelo e-mail [privacidade@empresa.com.br] para que os dados sejam imediatamente eliminados.
11. Alterações nesta Política
Podemos atualizar esta Política periodicamente para refletir mudanças no serviço, na legislação ou nas nossas práticas de privacidade. A data de vigência no topo do documento indica a versão em vigor.
Alterações materiais serão comunicadas por e-mail e/ou por aviso destacado na plataforma com antecedência mínima de 15 dias corridos. O uso contínuo do serviço após a data de vigência constitui aceite da versão atualizada.
12. Contato
Para dúvidas, solicitações ou reclamações sobre esta Política ou o tratamento dos seus dados:
- E-mail geral: [email@empresa.com.br]
- E-mail de privacidade / LGPD: [privacidade@empresa.com.br]
- DPO — Encarregado de Dados: [Nome do Encarregado] — [dpo@empresa.com.br]
- Empresa: [RAZÃO SOCIAL] (CNPJ: [CNPJ])
- Endereço: [endereço a preencher]
- Foro: Fica eleito o foro da Comarca de [cidade] para dirimir quaisquer controvérsias decorrentes desta Política.