Política de Privacidade

A Plataforma é operada por LO SOLUCOES DIGITAIS LTDA, inscrita no CNPJ sob o nº 45.535.063/0001-80, que atua sob a marca Agência Datta ("Datta", "nós"). Lead do Encarregado pelo Tratamento de Dados (DPO): contato@dattacrm.com.br.

Endereço: Avenida João Batista, nº 451 – 2º Andar, Bairro Centro, Martins Soares/MG, CEP 36.972-000.

O Datta CRM é uma ferramenta multiempresa. É essencial distinguir dois cenários:

• Dados da sua conta e organização (cadastro, faturamento, uso da Plataforma): a Datta atua como Controladora.
• Dados dos seus leads que você insere, importa ou recebe via integrações: a sua organização é a Controladora desses dados e a Datta atua como Operadora, tratando-os exclusivamente para executar a Plataforma e sob suas instruções. Você é responsável por possuir base legal adequada (ex.: consentimento, execução de contrato ou legítimo interesse) para tratar os dados de terceiros que carrega na Plataforma.
• Dados de cobrança (CPF ou CNPJ, nome, e-mail, telefone, endereço e faturas): a Datta atua como Controladora, e o Asaas, que processa o pagamento, os trata para cobrar a assinatura e cumprir as obrigações fiscais dele.

• Dados de cadastro e da conta: nome, e-mail, nome da organização, pessoas da equipe convidadas e credenciais de acesso (a senha é guardada só como hash, no servidor da aplicação).
• Dados de cobrança (planos pagos): CPF ou CNPJ, nome, e-mail, telefone e endereço de cobrança, a forma de pagamento escolhida (cartão ou Pix) e o histórico de faturas e pagamentos. Os dados do cartão são digitados em tela do Asaas e a Datta não os recebe nem os guarda.
• Dados inseridos por você: leads, negócios, listas, tags, conversas, vendas, campanhas de e-mail e demais informações que você cria, importa ou recebe na Plataforma.
• Dados de formulários nativos: respostas enviadas pelos formulários publicados pela sua organização (inclusive respostas parciais de formulários conversacionais), registro do consentimento informado no formulário e dados de origem da visita (UTMs, fbclid, gclid e similares).
• Dados de rastreamento e jornada do lead: quando a sua organização instala o script de rastreamento do Datta CRM em seus sites, registramos páginas visitadas, origem da visita, eventos, identificador do visitante e, quando o visitante se identifica (por exemplo, ao enviar um formulário), e-mail, nome e telefone, para ligar a navegação ao lead.
• Dados técnicos e de uso: endereço IP, identificadores de dispositivo/navegador, logs de acesso, ações realizadas e relatórios de erro (para segurança e melhoria do produto).
• Dados de integrações que você conectar: WhatsApp (via Evolution API), Instagram (mensagens, comentários e perfil público de quem interage com a conta conectada), Meta (API de Conversões), Google Analytics 4, TikTok e sistemas externos conectados por webhooks de entrada e de saída.

Dados de usuário do Google. Quando você conecta uma conta do Google para trazer os relatórios do Google Ads e do Google Analytics 4, o uso das informações recebidas das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado. Usamos esses dados só para mostrar à sua organização os próprios relatórios de anúncios e de analytics. Não vendemos esses dados nem os usamos para publicidade. Ninguém da equipe os lê, exceto com o seu consentimento, por segurança ou para cumprir a lei.

• Fornecer e operar a Plataforma (inclusive o envio de e-mails do sistema e das campanhas configuradas por você) — base: execução de contrato.
• Autenticação, segurança e prevenção a fraudes e abusos (inclusive verificação anti-robô em formulários públicos e limitação de requisições) — base: legítimo interesse e cumprimento de obrigação legal.
• Recursos de inteligência artificial (por exemplo, o estúdio de criação de e-mails), que enviam ao provedor de IA o conteúdo que você fornece na conversa e, quando você indica um site, o conteúdo público desse site — base: execução de contrato.
• Atribuição de origem, analytics e jornada do lead nos sites da sua organização — base definida pela sua organização, como Controladora (em regra, consentimento do visitante ou legítimo interesse).
• Envio de eventos e conversões a plataformas de anúncios e de analytics (Meta, Google Analytics 4, TikTok), quando você ativar essas integrações — base: consentimento e/ou legítimo interesse do Controlador (sua organização).
• Suporte, comunicação e melhoria do produto (métricas de uso e monitoramento de erros) — base: legítimo interesse.
• Cobrança da assinatura, emissão de nota fiscal e controle de planos e limites — base: execução de contrato e obrigação legal (fiscal).
• Cumprimento de obrigações legais e regulatórias — base: obrigação legal.

Não vendemos dados pessoais. Compartilhamos dados apenas com prestadores que viabilizam a Plataforma (suboperadores), que tratam os dados conforme nossas instruções e padrões de segurança:

• Supabase — guarda, sem receber dados novos, uma cópia antiga dos dados de algumas contas, das credenciais de acesso e dos arquivos, de antes da mudança para o servidor próprio, até a exclusão dessa cópia (região eu-central-1, Frankfurt, Alemanha).
• Hetzner Online GmbH — servidor da aplicação, gerenciado com Coolify, onde rodam a aplicação web, a autenticação de Usuários, os processos de fundo e o banco de dados (Postgres) de cada conta, um banco separado por conta (Falkenstein, Alemanha).
• Amazon Web Services (Amazon SES) — envio de e-mails de campanha e e-mails do sistema.
• Resend — envio dos e-mails do sistema, inclusive os de autenticação (confirmação de cadastro e de acesso).
• Cloudflare — proteção anti-robô (Turnstile) nos formulários públicos, armazenamento dos arquivos das contas e das cópias de segurança dos bancos de dados (R2) e, quando habilitada, leitura do site do Cliente para o estúdio de e-mail (cópias de segurança: União Europeia).
• Anthropic — geração de e-mails no estúdio de IA (modelos Claude), a partir do pedido do Usuário e das informações da campanha e do site do Cliente.
• OpenRouter — transcrição do pedido gravado em áudio no estúdio de IA; o áudio não é guardado.
• Upstash — limitação de taxa de requisições, para segurança.
• Sentry — monitoramento de erros.
• PostHog — métricas de uso do produto.
• Meta Platforms — entrega das respostas e mensagens dos Fluxos de Instagram e, quando o Cliente ativa, recebimento de eventos pela API de Conversões.
• Evolution API — conexão com o número de WhatsApp do Cliente.
• Google (Google Analytics 4 and Google Ads) — recebimento de eventos e conversões, quando o Cliente ativa essas ferramentas no Rastreamento.
• TikTok — recebimento de eventos e conversões, quando o Cliente ativa essa ferramenta no Rastreamento.
• Asaas — processa a cobrança das assinaturas (cartão e Pix), emite a nota fiscal e guarda os dados de cobrança (CPF ou CNPJ, nome, e-mail, telefone, endereço e faturas).
• Sistemas externos indicados por você — destinos de webhooks de saída e origens de webhooks de entrada que a sua organização configurar.

Também podemos compartilhar dados para cumprir ordens judiciais ou exigências legais.

A Plataforma é hospedada em provedores de nuvem localizados fora do Brasil (atualmente na União Europeia e nos Estados Unidos), e vários dos provedores acima podem processar dados fora do Brasil, inclusive nos Estados Unidos. Nesses casos, a transferência se apoia nas hipóteses do art. 33 da LGPD, como cláusulas contratuais adotadas pelos provedores e a necessidade para a execução do contrato com você.

Na Plataforma, usamos cookies estritamente necessários para autenticação (sessão) e cookies de métrica de uso (PostHog). Você pode gerenciá-los nas configurações do seu navegador; a desativação dos cookies essenciais pode impedir o login.

Nos sites das organizações clientes que instalam o script de rastreamento, podem ser gravados cookies e armazenamento local para identificar o visitante (_dtv, até 365 dias), guardar a origem da visita (_dtc, até 90 dias), guardar dados que o próprio visitante informou (e-mail, nome e telefone, até 365 dias) e ler ou criar identificadores das plataformas de anúncios ativadas (por exemplo, _fbp, _fbc, _ga e _ttp). Cabe à organização cliente informar seus visitantes e obter o consentimento exigido.

• Dados da conta e dados inseridos pela organização: enquanto a conta estiver ativa;
• Registros detalhados de navegação (analytics): cerca de 90 dias; sessões de visita: cerca de 13 meses;
• Histórico de execução de automações: cerca de 90 dias;
• Logs técnicos e de erro: pelo prazo dos respectivos provedores e o necessário à segurança.
• Cópias de segurança: guardadas por 30 dias e depois apagadas;
• CPF ou CNPJ e faturas: a Datta os guarda enquanto a conta existir e os apaga junto com a conta; no Asaas ficam por 5 anos, por obrigação fiscal, mesmo depois que a conta é cancelada ou excluída;
• Dados dos leads e demais dados acima do limite do plano, quando a conta passa para um plano menor: são eliminados ao fim do período de ajuste de 30 dias, descrito nos Termos de Serviço, seção 17.4. Na eliminação, a Datta atua como Operadora e segue as regras do plano da organização Controladora. Esses dados ainda podem constar das cópias de segurança por até 30 dias;

A exclusão da conta da organização é solicitada na Plataforma e confirmada pelo dono da conta por e-mail. Após a confirmação, os dados da organização são eliminados ou anonimizados, ressalvadas as hipóteses de guarda obrigatória previstas em lei. Depois da exclusão, uma cópia de segurança da conta pode ser mantida por até 30 dias, apenas para recuperação em caso de erro, e depois é apagada; as cópias de segurança periódicas também vencem em até 30 dias. Quando uma pessoa pede a exclusão de seus dados, a organização pode excluir o lead e avisar os sistemas conectados apenas com o código do lead.

Você, como titular, pode a qualquer momento solicitar:

• Confirmação da existência de tratamento e acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com base no consentimento;
• Informação sobre compartilhamento e revogação do consentimento;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado.

Para exercer seus direitos, escreva para contato@dattacrm.com.br. Caso sua solicitação se refira a dados tratados por uma organização cliente (que é a Controladora), podemos encaminhá-la a ela. Usuários do Instagram também podem pedir a exclusão pelo próprio Facebook/Instagram, e o pedido chega à Plataforma automaticamente.

Adotamos medidas técnicas e organizacionais para proteger os dados, incluindo isolamento por organização (multi-tenant), controle de acesso, Row-Level Security no banco de dados, criptografia de credenciais e tokens de integração (AES-256-GCM), verificação anti-robô e limitação de requisições em endpoints públicos. Nenhum sistema é completamente imune a incidentes; em caso de incidente relevante, adotaremos as providências e comunicações exigidas pela LGPD.

Podemos atualizar esta Política periodicamente. A versão vigente estará sempre disponível nesta página, com a data de última atualização. Mudanças relevantes poderão ser comunicadas pelos canais da Plataforma.

Esta Política é regida pelas leis da República Federativa do Brasil, em especial a LGPD (Lei nº 13.709/2018). Fica eleito o foro do domicílio do titular para dirimir eventuais controvérsias, quando aplicável.