1. Introdução e papéis
Esta Política descreve como o OctoDesk trata dados pessoais na plataforma, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Em relação aos dados dos contatos e conversas do Cliente, a Organização atua como controladora e o OctoDesk como operadora. Em relação aos dados de cadastro e cobrança do Cliente, o OctoDesk atua como controlador.
2. Dados que coletamos
- Cadastro e acesso: nome, e-mail, CPF ou CNPJ, telefone/celular, endereço comercial e senha (armazenada de forma criptografada).
- Organização: razão social, nome fantasia, logomarca, endereço, site e demais dados comerciais informados.
- Conexão de canais: identificadores das contas conectadas (WhatsApp Cloud API/coexistência, Instagram, Facebook, LinkedIn, Telegram, Mercado Livre, OLX e TikTok Shop quando disponível), tokens de acesso, username/@ e informações públicas do perfil (por exemplo, seguidores e status de verificação no Instagram), estritamente para viabilizar o atendimento. No canal de e-mail, guardamos o endereço e as credenciais de acesso aos servidores IMAP/SMTP informados, armazenadas de forma criptografada.
- Atendimento: mensagens e conversas (texto, imagens, documentos e áudios), dados de contatos e leads (nome, telefone, e-mail, foto de perfil), compromissos da agenda e eventos de histórico do funil.
- Campanhas de disparo em massa: nome e telefone dos destinatários, status de opt-in, origem e prova do consentimento (data, IP, usuário, nome e hash do arquivo), template e variáveis utilizadas, eventos de envio/entrega/leitura/resposta/falha, configurações da campanha e registros de opt-out e bloqueio.
- API de integração: chaves de API (armazenadas como hash e de forma cifrada), metadados das requisições, chaves de idempotência e status dos envios.
- Notificações push: identificador do dispositivo/navegador, endpoint de assinatura, chaves técnicas e preferências de aviso.
- Aceites e provas: registros de aceite dos Termos e desta Política, declaração de opt-in e ciência de risco de campanhas (data, IP e usuário).
- Transcrições de áudio: quando habilitado, áudios recebidos são convertidos em texto por provedores de IA.
- Origem por anúncio: quando o contato inicia a conversa a partir de um clique em anúncio (Clique-para-WhatsApp, no Facebook/Instagram), guardamos a identificação do anúncio e da campanha (plataforma, título do criativo, link e identificador do clique) na ficha do contato, para contextualizar o atendimento.
- Canal Site (widget): o nome informado pelo visitante e as mensagens trocadas; a conversa fica salva no navegador do visitante por até 24 horas para retomada.
- Cobrança: dados necessários ao pagamento (CPF/CNPJ, celular, CEP e endereço), enviados ao processador de pagamentos, e registros de assinaturas e faturas.
- Uso e segurança: logs de acesso, eventos técnicos e de integração.
3. Como usamos os dados
- Prestar e operar o Serviço (atendimento multicanal, agenda, CRM, agentes de IA e campanhas de disparo em massa).
- Executar campanhas autorizadas, respeitando opt-in, opt-out, bloqueios e os limites/qualidade da Meta.
- Operar a API de envio transacional e as notificações push, quando habilitadas.
- Responder automaticamente com agentes de IA e transcrever áudios, quando habilitado pelo Cliente.
- Autenticar usuários e controlar permissões dentro da Organização.
- Processar pagamentos e gerir assinaturas, faturas e cobranças.
- Enviar comunicações transacionais (boas-vindas, segurança, avisos de conta e de assinatura).
- Garantir segurança, prevenir fraudes e abusos (incluindo limites no widget do site) e cumprir obrigações legais.
4. Bases legais
Tratamos dados com base na execução de contrato, no legítimo interesse (segurança, prevenção a fraudes e melhoria do Serviço), no consentimento (quando aplicável) e no cumprimento de obrigações legais ou regulatórias (incluindo fiscais, para registros financeiros).
Nas campanhas de disparo em massa, a Organização atua como controladora dos dados dos destinatários e deve definir a base legal aplicável (normalmente o consentimento/opt-in). O OctoDesk atua como operadora, executando os envios conforme as instruções do Cliente e as políticas da Meta.
5. Compartilhamento
- Plataformas dos canais e provedor de tecnologia parceiro (Zernio): nas conexões de WhatsApp, Instagram, Facebook, LinkedIn, Telegram e TikTok Shop (quando disponível), os dados necessários ao envio e recebimento de mensagens — incluindo templates, mídias e campanhas — passam pela Meta e pelo provedor parceiro, conforme as políticas das próprias plataformas.
- Serviços de push dos navegadores (Google, Mozilla, Apple e similares): entrega das notificações push, quando ativadas pelo usuário.
- Mercado Livre e OLX: as mensagens dos anúncios são trocadas diretamente pelas APIs oficiais das próprias plataformas, sem intermediário.
- Servidores de e-mail do Cliente: no canal de e-mail, as mensagens são recebidas e enviadas diretamente pelos servidores IMAP/SMTP informados pelo Cliente.
- Processador de pagamentos (Asaas): para emitir cobranças, processar Pix, boleto ou cartão e gerir assinaturas.
- Provedores de IA e transcrição (ex.: DeepSeek, Groq, OpenAI): conteúdo necessário para gerar respostas e transcrever áudios.
- Infraestrutura e e-mail: hospedagem com datacenter no Brasil e envio de e-mails transacionais.
- Não vendemos dados pessoais. Compartilhamentos ocorrem apenas na medida necessária à prestação do Serviço, com contratos e salvaguardas adequadas.
6. Cookies e armazenamento local
Usamos cookies estritamente necessários para autenticação e funcionamento do Serviço. O widget do canal Site usa o localStorage do navegador do visitante para salvar a sessão da conversa por até 24 horas. Você pode gerenciar cookies/localStorage nas configurações do navegador, mas alguns recursos podem deixar de funcionar.
7. Retenção e exclusão
- Os dados são mantidos enquanto a conta estiver ativa e pelo tempo necessário às finalidades desta Política ou exigido por lei.
- As mensagens de atendimento ficam disponíveis enquanto a conta existir e podem ser removidas pelo próprio Cliente (excluir contato ou limpar a conversa).
- Dados de campanhas (destinatários e eventos) são mantidos pelo prazo configurado pela Organização (padrão de 365 dias) após a conclusão ou o cancelamento, podendo ser expurgados antes. A lista de opt-outs e a prova de opt-in podem ser mantidas por prazo superior para evitar novos envios a quem pediu descadastro e para defesa legal.
- Registros técnicos e de integração (logs e eventos) são mantidos por até 30 dias.
- Ao excluir a conta, os dados de negócio da Organização são removidos e a assinatura é cancelada. Registros financeiros (assinaturas, vínculos de cobrança e faturas) podem ser conservados após o encerramento para cumprimento de obrigações legais, fiscais e de defesa em processos, nos termos do art. 16 da LGPD.
8. Segurança
Adotamos medidas técnicas e organizacionais para proteger os dados, incluindo criptografia de senhas, armazenamento de chaves de API como hash e de forma cifrada, registro de provas de opt-in com hash, controle de acesso por Organização, conexões seguras (HTTPS) e limites de uso contra abusos. Nenhum sistema é totalmente infalível, mas mantemos práticas de segurança adequadas e revisões periódicas.
9. Direitos do titular
Nos termos do art. 18 da LGPD, você pode solicitar confirmação de tratamento, acesso, correção, anonimização ou eliminação de dados, portabilidade e revogação de consentimento. Na plataforma, o administrador da conta pode exportar os dados em JSON (Perfil → Privacidade e dados) e excluir a conta pelo próprio painel. Na área Campanhas → LGPD, é possível consultar por telefone, exportar o histórico em JSON e apagar os dados de campanhas daquele número, com opção de manter ou remover o opt-out. A lista de Contatos também pode ser exportada em CSV pelo administrador. Para outros pedidos, fale conosco pelo e-mail abaixo.
10. Transferência internacional
A hospedagem dos dados é feita em datacenter no Brasil. Parte dos dados pode ser processada por provedores localizados fora do Brasil (ex.: Meta/Zernio, Mercado Livre, OLX, TikTok Shop quando disponível, processador de pagamentos, provedores de IA/transcrição e serviços de push dos navegadores), sempre com garantias contratuais adequadas e conforme a legislação aplicável.
11. Alterações desta política
Esta Política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas pelos canais oficiais e a versão vigente estará sempre disponível nesta página.
12. Contato e encarregado (DPO)
Para questões de privacidade e proteção de dados: contato@octodesk.com.br.
