Política de Privacidade do Digiflow

1. Quem somos

O Digiflow é operado por GS Marketing & Negócios Digitais Ltda, CNPJ 26.855.503/0001-32, com sede no Brasil (“GS”, “nós”). Contato do encarregado de dados (DPO): contato@digiflow.systems. Esta política vale para o site digiflow.systems e para o aplicativo app.digiflow.systems (“Plataforma”).

2. Papéis na LGPD

Para os dados de visitantes do site e dos usuários que contratam o Digiflow (dados de conta e cobrança), a GS é controladora. Para os dados que os clientes inserem ou recebem na Plataforma (contatos, leads, conversas de WhatsApp, agenda, financeiro de seus próprios clientes), o cliente é o controlador e a GS atua como operadora, tratando os dados somente conforme as instruções do cliente e esta política.

3. Dados que coletamos

• Site: nome, e-mail, telefone, empresa e mensagem enviados nos formulários; dados de navegação (páginas, origem, UTMs, dispositivo) e cookies de análise e marketing, apenas com consentimento.
• Conta: nome, e-mail, telefone, cargo, foto, papel na equipe, registros de acesso (IP, data e hora, navegador) e dados de faturamento da empresa contratante.
• Plataforma (como operadora): contatos e empresas cadastrados pelo cliente (nome, telefone, e-mail, CPF/CNPJ, endereço, campos personalizados, tags, arquivos); mensagens e mídias trocadas pelo WhatsApp Business por meio da API oficial da Meta; eventos de agenda (inclusive do Google Calendar, quando o cliente conecta); oportunidades, contratos, pagamentos, despesas, notas fiscais e documentos; dados de pedidos de plataformas de delivery e ERP conectados; dados de contas de anúncio conectadas (leitura de métricas); mensagens do Instagram Direct e do Messenger; mensagens do canal WhatsApp Web, quando o cliente conecta um número por ele; imóveis, fotos e dados de proprietários, quando o cliente usa a Imobiliária; e áudios de voz, quando o cliente liga a voz nos agentes de IA.
• Dados sensíveis (como operadora): na função Implantação, usada por corretoras de planos de saúde, a Plataforma recebe documentos de identificação e a declaração de saúde do beneficiário, para preencher a proposta e enviá-la à operadora escolhida pelo cliente. Esses dados só são tratados para essa finalidade e só são acessados por quem o cliente autoriza.

4. Para que usamos

Prestar o serviço contratado; autenticar usuários e manter a segurança; enviar avisos operacionais; emitir cobranças e notas; atender pedidos de suporte; melhorar o produto com métricas agregadas; cumprir obrigações legais; e, com consentimento, comunicação de marketing da GS.

5. Bases legais

Execução de contrato (art. 7º, V), cumprimento de obrigação legal (art. 7º, II), legítimo interesse para segurança e melhoria do serviço (art. 7º, IX) e consentimento para cookies de marketing e comunicações promocionais (art. 7º, I), que pode ser retirado a qualquer momento.

6. Com quem compartilhamos

Vercel Inc. (hospedagem do site e do aplicativo), Supabase Inc. (banco de dados, autenticação e arquivos, região São Paulo), Meta Platforms (API do WhatsApp Business, Instagram, Messenger, Facebook Login e API de Marketing, conforme os Termos e a política de privacidade da Meta), Google LLC (Google Calendar, Google Ads e Perfil da Empresa, quando o cliente conecta), Resend (envio de e-mails transacionais, de campanhas e de cobranças), Stripe (pagamento da assinatura), Anthropic e OpenAI (inteligência artificial, ver item 8A), Sentry (registro de erros técnicos, configurado para não enviar dados pessoais), serviços de notificação do navegador e do celular (Google, Apple e Mozilla, apenas o aviso), plataformas de pedidos (quando o cliente conecta lojas), portais imobiliários (ZAP Imóveis, VivaReal, OLX e outros, apenas os anúncios que o cliente publica), o sistema da operadora de saúde escolhida pelo cliente na Implantação, provedores de consulta pública de CNPJ e CEP, e o ambiente nacional da NFS-e (prefeituras e Receita) para emissão de notas. Mensagens do canal WhatsApp Web passam por um servidor operado pela GS no Brasil. Não vendemos dados pessoais. Autoridades podem receber dados mediante obrigação legal.

7. Uso dos dados do Google

O uso e a transferência de informações recebidas das APIs do Google pelo Digiflow seguem a Google API Services User Data Policy, inclusive os requisitos de Uso Limitado. Usamos o acesso ao Google Calendar apenas para ler disponibilidade e criar ou atualizar eventos do agendamento do próprio usuário; não usamos esses dados para publicidade nem os transferimos a terceiros fora do necessário para a função.

8. Dados da Meta (WhatsApp e Facebook)

As mensagens do WhatsApp são recebidas e enviadas pela API oficial da Meta e armazenadas na Plataforma para o cliente atender seus contatos. Tokens de acesso são criptografados. O cliente é responsável por ter base legal para conversar com seus contatos e por respeitar as políticas comerciais do WhatsApp (opt-in, janela de 24 horas, templates aprovados).

8A. Inteligência artificial

Algumas funções enviam dados à Anthropic ou à OpenAI para o modelo de IA responder, sempre por API oficial e somente quando o cliente usa a função: os agentes de atendimento (mensagens da conversa e dados do contato), a leitura de documentos da Implantação (documentos e declaração de saúde), o tratamento de fotos de imóveis, o laudo de avaliação de mercado, a análise de condomínios e o resumo do assistente. Os agentes de IA respondem automaticamente ao cliente final quando o cliente do Digiflow liga essa função; a qualquer momento o titular pode pedir para falar com uma pessoa da equipe e pedir a revisão de uma decisão tomada só por meio automatizado (art. 20 da LGPD).

9. Cookies

Necessários (sessão, preferências de tema e consentimento) sempre ativos; análise (Google Analytics) e marketing (Meta Pixel) apenas após o aceite no banner, com opção de recusar e de mudar depois em “Preferências de cookies” no rodapé.

10. Retenção

Dados de conta: enquanto durar o contrato e por até 5 anos após, para obrigações fiscais e defesa em processos. Dados tratados como operadora: pelo prazo definido pelo cliente; ao encerrar a conta, o cliente pode exportar e pedir a exclusão, que ocorre em até 30 dias, salvo retenção legal. Negociações apagadas pelo usuário ficam em lixeira por 7 dias e depois são removidas definitivamente; as demais exclusões feitas dentro da Plataforma são imediatas. Registros de acesso (entrada, IP, data, hora e aparelho) e de ações administrativas: 6 meses, conforme o Marco Civil da Internet. Registros de segurança (tentativas com falha, bloqueios e alertas) e registros técnicos do sistema: 90 dias.

11. Segurança

Criptografia em trânsito (HTTPS) e de segredos em repouso, isolamento por conta no banco de dados (Row Level Security), controle de acesso por papel, verificação em duas etapas (obrigatória para a administração da plataforma), registro de acesso e de ações administrativas, backups do provedor e revisão de acessos. Nenhum sistema é 100% seguro; incidentes relevantes serão comunicados aos titulares e à ANPD conforme a lei. O resumo de como protegemos os dados fica em Segurança e privacidade e a situação do sistema em tempo real, na página de status.

12. Transferência internacional

Alguns operadores (Vercel, Meta, Google, Resend, Stripe, Anthropic, OpenAI e Sentry) processam dados fora do Brasil, principalmente nos Estados Unidos, com cláusulas contratuais e garantias adequadas (art. 33 da LGPD).

13. Seus direitos

Confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, revogação de consentimento e eliminação, nos termos do art. 18 da LGPD. Pedidos pelo e-mail contato@digiflow.systems; respondemos em até 15 dias. Se você é contato de um cliente do Digiflow, o pedido pode ser encaminhado ao controlador (o cliente) para atendimento. O administrador da conta do cliente pode baixar ou apagar os dados de um contato direto pela ficha dele, e o pedido fica registrado. Veja também como excluir seus dados.

14. Crianças e adolescentes

A Plataforma não é destinada a menores de 18 anos e não coletamos intencionalmente dados de crianças.

15. Alterações

Podemos atualizar esta política; mudanças relevantes serão avisadas no site ou por e-mail. A versão vigente é sempre a publicada nesta página.