Política de Privacidade da WavUps CRM + IA

1. Quem somos e como falar com a gente

• Empresa: WavUps Tecnologia LTDA, CNPJ 62.387.012/0001-78.
• Endereço: Rua 1500, 526, Sala 1303, Centro · Balneário Camboriú, SC · CEP 88330-526.
• Encarregado pelo tratamento de dados (DPO): João Pedro Alves de Souza.
• Contato: contato@proativia.com. Para correspondência escrita, endereçar ao DPO no endereço acima.

2. Nosso papel: controladora e operadora

Quando somos operadora, tratamos os dados só para prestar o serviço contratado e seguindo as instruções do cliente. Se você é um contato de um cliente nosso e quer exercer seus direitos, fale primeiro com a empresa que o atende. Se ela não responder, também podemos ajudar, mas a decisão sobre esses dados é dela.

Não pedimos dados pessoais sensíveis. Como o cliente escreve livremente em conversas e notas, esse tipo de dado pode aparecer. Ele é protegido da mesma forma e o cliente responde pela legitimidade de tratá-lo.

3. Quais dados tratamos

4. De onde vêm os dados

• De você, quando se cadastra, usa a Plataforma, fala com o suporte ou preenche um formulário.
• Do cliente e dos seus usuários, que cadastram e importam dados dos contatos.
• Dos canais que o cliente conecta (WhatsApp, Instagram, Messenger), dos formulários públicos e do Google Agenda.
• Da extensão WavUps Echo, quando um usuário grava uma reunião (seção 8).
• Do seu navegador, por meio de cookies e tecnologias parecidas, conforme a seção 11.

5. Para que usamos os dados e em que base legal

Não vendemos dados pessoais e não os usamos para finalidades incompatíveis com as acima.

6. Inteligência artificial

Usamos IA em recursos como a IA de atendimento (que conversa com os contatos do cliente), o Assistente de IA dentro da Plataforma, os resumos de conversas, a análise de atendimentos e a transcrição e a análise das reuniões do WavUps Echo (seção 8).

• Dados que vão ao modelo: apenas o necessário para a tarefa, como as mensagens da conversa e os dados do lead (nome, contato, documento, endereço, notas, campos personalizados), faturas e eventos da agenda quando a pergunta exige, inclusive os sincronizados com o Google Agenda (seção 7). O Assistente só inclui o que o usuário que pergunta já pode ver. Em arquivos anexados, o modelo recebe só as colunas e uma pequena amostra.
• Provedores: usamos a API da Anthropic (Claude), a API do Google Gemini, em plano pago, e a Fireworks AI, cobrada por uso. Eles podem processar os dados fora do Brasil (seção 10). Nenhum deles usa os dados enviados para treinar, retreinar ou melhorar modelos. A Fireworks AI não armazena as mensagens nem o áudio. A Anthropic e o Google guardam as solicitações por tempo limitado, só para segurança e detecção de abuso, e depois as apagam.
• Sem treinamento de modelos com dados dos clientes: a WavUps não usa os dados da Plataforma para treinar modelos de IA próprios ou de terceiros.
• Histórico do Assistente: as conversas com o Assistente ficam guardadas na conta, visíveis só para o usuário que as teve, e podem ser excluídas por ele.
• Supervisão humana: o Assistente não executa ações que alteram dados sem a aprovação do usuário. A IA de atendimento tem as mensagens identificadas e qualquer usuário pode assumir a conversa.
• Classificações: a IA pode classificar conversas (por exemplo, "precisa de humano" ou "sem resposta") e a temperatura do lead, para organizar o trabalho do time. Isso não decide nada sobre direitos de ninguém. Se você quiser que uma decisão baseada em tratamento automatizado seja revista, peça pelo contato da seção 18.
• Responsabilidade do cliente: quem usa a IA de atendimento deve informar os contatos e usar a ferramenta de acordo com a lei e com as regras de cada canal.

7. Dados recebidos do Google e da Meta

Google. Esta parte vale para os dados que recebemos das APIs do Google: o login com Google e a integração com o Google Agenda. A integração com o Google Agenda é opcional e só acontece quando você a conecta na Plataforma.

• Uso: os dados do Google servem apenas para oferecer e melhorar os recursos que você vê na Plataforma (entrar, ver e sincronizar a agenda). Você também pode pedir ao Assistente de IA que consulte ou altere a sua agenda.
• O que não fazemos: não vendemos os dados do Google; não os usamos para publicidade, inclusive anúncios personalizados ou redirecionados; não os repassamos a corretores de dados ou revendedores de informação; não os usamos para avaliar crédito nem para conceder empréstimos; e não montamos bancos de dados com eles para outros fins.
• Inteligência artificial: os dados obtidos pelas APIs do Google Workspace não são usados para desenvolver, melhorar ou treinar modelos de IA ou de aprendizado de máquina generalizados ou não personalizados, nem são transferidos a terceiros para isso. Quando você usa um recurso de IA que envolve a agenda, os dados vão ao provedor de IA (seção 6) só para responder àquele pedido, e esses provedores não os usam para treinar modelos.
• Compartilhamento: só repassamos dados do Google aos provedores que operam a Plataforma (hospedagem, banco de dados e processamento em nuvem) e aos provedores de IA da seção 6, sempre para prestar o serviço, ou quando a lei exigir. Não transferimos dados do Google a terceiros para nenhum outro fim.
• Acesso humano: pessoas da WavUps não leem os dados do Google, salvo com a sua autorização expressa para suporte, quando necessário por segurança (por exemplo, para investigar abuso) ou por exigência legal.
• Proteção: veja a seção 14. Em resumo, os dados trafegam sempre criptografados, as credenciais de acesso são guardadas criptografadas e só no servidor, e o acesso a elas é restrito aos serviços que fazem a sincronização.
• Retenção e exclusão: veja a seção 12. Ao desconectar o Google Agenda na Plataforma, revogamos o acesso junto ao Google e apagamos as credenciais e os eventos importados. Você também pode revogar o acesso a qualquer momento em myaccount.google.com/permissions e pedir a exclusão dos dados pela página de exclusão de dados.

O uso e a transferência, para qualquer outro aplicativo, das informações recebidas das APIs do Google pela WavUps obedecem à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. (WavUps's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.)

Meta (WhatsApp, Instagram e Messenger). Quando o cliente conecta esses canais, recebemos pelas APIs da Meta as mensagens, identificadores dos contatos (como telefone ou nome de usuário), mídia e dados de perfil que a Meta disponibiliza. Usamos para exibir as conversas, permitir o envio e acionar a IA de atendimento. Não vendemos esses dados nem os usamos para publicidade. Para pedir a exclusão, veja a página de exclusão de dados.

8. WavUps Echo: gravação de reuniões e extensão do Chrome

O WavUps Echo grava o áudio de reuniões feitas no navegador (como Google Meet, Zoom e Microsoft Teams na web), transcreve a conversa e prepara uma análise com resumo, objeções e próximos passos. A gravação é feita pela extensão WavUps Echo para o Google Chrome, que só funciona conectada a uma conta da Plataforma com acesso ao Echo. A extensão serve só a esse propósito.

• Só por ação do usuário: a extensão grava apenas a aba em que o usuário clicou em "Iniciar gravação", depois de confirmar o aviso de consentimento, e para quando ele clica em parar, fecha a aba ou o limite de duração é atingido. Enquanto grava, o ícone da extensão mostra um selo.
• O que a extensão não faz: não lê o conteúdo das páginas, não registra o histórico de navegação, não acessa outras abas e não grava em segundo plano. O endereço da aba é lido no próprio navegador só para reconhecer a plataforma da reunião e não é enviado à WavUps.
• Login: feito na página da própria Plataforma, pelo padrão OAuth com PKCE. A senha nunca passa pela extensão. Os tokens ficam só na sessão do navegador e são apagados quando o navegador fecha ou o usuário sai.
• Consentimento dos participantes: o cliente é o controlador das gravações e responde pela base legal do tratamento e por informar os participantes de que a reunião está sendo gravada. A extensão mostra o aviso de consentimento e só começa a gravar depois que o usuário o confirma.
• Inteligência artificial: a transcrição é feita pela Fireworks AI, que não armazena o áudio, e a análise pela Anthropic (Claude), nas condições da seção 6. Nenhum provedor usa as gravações para treinar modelos.
• Quem vê: a reunião fica visível para o usuário que a gravou e para os administradores da conta que enxergam todos os leads.
• Resumo para os participantes: preparamos um resumo neutro da reunião, sem a transcrição e sem a análise interna, e só o usuário decide se o compartilha, por e-mail aos endereços que digitar ou por um link público. O e-mail leva o nome de quem gravou e o da empresa, e o link mostra o título, a data, o tipo da reunião, o nome da empresa e o resumo a quem o tiver, sem login, até ser desativado. Pedimos aos buscadores que não indexem esse link. O cliente, como controlador, responde pelo conteúdo do resumo e por quem o recebe.
• Retenção e exclusão: o áudio é apagado automaticamente 30 dias depois da gravação. A transcrição e a análise ficam na conta até serem excluídas. Excluir a reunião na Plataforma apaga o áudio, a transcrição e a análise. A nota já registrada no lead continua como histórico do CRM e pode ser excluída à parte.
• Proteção: os trechos de áudio vão direto, com conexão criptografada, para armazenamento privado por links assinados e temporários, e cada trecho é conferido antes de ser aceito.

O uso dos dados tratados pela extensão WavUps Echo obedece à Política de Dados do Usuário da Chrome Web Store, incluindo os requisitos de Uso Limitado: os dados são usados só para gravar, transcrever e analisar as reuniões, não são vendidos, não são usados para publicidade nem para avaliar crédito, e não são transferidos a terceiros fora dos casos desta Política. (The use of information collected by the WavUps Echo extension adheres to the Chrome Web Store User Data Policy, including the Limited Use requirements.)

9. Com quem compartilhamos

Compartilhamos dados somente quando necessário e com quem tem contrato conosco, nestas categorias:

• Infraestrutura: hospedagem, banco de dados, armazenamento de arquivos e processamento em nuvem.
• Pagamentos: provedores que processam a assinatura e os meios de pagamento escolhidos pelo cliente.
• Comunicação: envio de e-mails transacionais e notificações push.
• Canais de mensagens e agenda: Meta (WhatsApp, Instagram, Messenger) e Google (login e Agenda), por iniciativa do cliente.
• Inteligência artificial: provedores de modelos de IA, nas condições da seção 6.
• Monitoramento: ferramentas que registram erros e desempenho da Plataforma.
• Estatísticas e marketing: Google Analytics (site e Plataforma) e Meta (só o site), somente com o seu consentimento. Na Plataforma não enviamos dados dos contatos dos clientes: as páginas são registradas sem nomes nem identificadores de leads, conversas ou faturas.
• Parceiros indicadores: quem indicou uma conta vê apenas o nome da conta, o status da assinatura, o plano, os valores pagos e a data do último pagamento, para calcular a comissão. Não vê dados dos contatos.
• Indique e ganhe: a conta que indicou vê só o nome abreviado da empresa indicada (a primeira palavra e as iniciais das demais) e a situação da indicação. Para conferir se a indicação vale, comparamos o e-mail e o celular das duas contas, sem mostrá-los a ninguém.
• Autoridades: quando a lei ou uma ordem judicial exigir.

Os provedores atuam como operadores sob contrato, tratando os dados só para as finalidades acima. A lista completa de quem trata dados em nosso nome está disponível mediante pedido ao DPO, por contato@proativia.com, e pode ser formalizada em aditivo de tratamento de dados.

10. Transferência internacional de dados

O banco de dados principal da Plataforma fica em servidores no Brasil. Alguns provedores que contratamos tratam dados fora do país, como o armazenamento de arquivos, os modelos de inteligência artificial, as notificações push, o monitoramento de erros, os serviços do Google e da Meta e o processamento de pagamentos. Os países incluem os Estados Unidos.

Nessas transferências, exigimos dos provedores um nível de proteção compatível com a LGPD e adotamos os mecanismos que a lei prevê, como as cláusulas-padrão contratuais aprovadas pela ANPD ou o reconhecimento de país com proteção adequada.

11. Cookies e tecnologias parecidas

Usamos cookies e o armazenamento do navegador para manter você conectado, lembrar preferências e, se você permitir, medir a audiência do site e o uso da Plataforma (estatísticas) e a eficácia dos anúncios (marketing). Cookies necessários não dependem de consentimento.

• No primeiro acesso, o aviso de cookies permite aceitar todos, rejeitar os não essenciais ou personalizar. Rejeitar não impede o uso da Plataforma.
• Para mudar a escolha, use "Preferências de cookies" no rodapé das páginas públicas ou no menu do seu usuário, na Plataforma. Também é possível bloquear cookies pelo navegador, mas algumas funções podem deixar de funcionar.
• Na área logada da Plataforma, com o seu consentimento, usamos só o Google Analytics, para entender quais funções são usadas. Registramos a página sem nomes nem identificadores de leads, conversas ou faturas, e o seu usuário por um código interno (nunca nome, e-mail ou telefone). Ferramentas de marketing não carregam ali.
• Com consentimento de estatísticas, guardamos o identificador do Google Analytics do seu navegador junto da conta para registrar, pelos nossos servidores, o cadastro, o início do teste grátis, as compras, as renovações e os cancelamentos. Se você retirar o consentimento, o identificador é apagado no próximo acesso.
• Os formulários e as faturas públicas dos clientes e o portal de parceiros não carregam ferramentas de estatística nem de marketing.
• Para diagnosticar falhas, usamos uma ferramenta de monitoramento que registra erros e, em parte das sessões, uma reprodução da tela com textos e mídias mascarados por padrão.

12. Por quanto tempo guardamos os dados

Podemos guardar dados por mais tempo quando a lei exigir ou para nos defendermos em processos, apenas pelo tempo necessário.

13. Seus direitos

Pela LGPD, você tem direito de pedir:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados sem respaldo na lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com o seu consentimento;
• informação sobre as entidades com as quais compartilhamos dados;
• informação sobre a possibilidade de não dar consentimento e suas consequências;
• revogação do consentimento, a qualquer momento, de forma simples e gratuita;
• revisão de decisões tomadas apenas por tratamento automatizado.

Como pedir: escreva para contato@proativia.com ou use a página de exclusão de dados. Para proteger você, podemos confirmar sua identidade antes de atender. Respondemos pedidos de exclusão em até 7 dias úteis e os demais pedidos em até 15 dias. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

14. Como protegemos os dados

Mantemos procedimentos de segurança técnicos e administrativos para proteger a confidencialidade, a integridade e a disponibilidade dos dados, inclusive dos dados sensíveis e dos dados recebidos do Google e da Meta:

• Criptografia em trânsito: toda comunicação com a Plataforma, com as APIs do Google e da Meta e com os provedores de IA usa conexão criptografada (HTTPS/TLS).
• Criptografia em repouso: as credenciais de acesso ao Google Agenda são guardadas criptografadas (AES-256-GCM), com uma chave que fica só nos servidores da Plataforma, fora do banco de dados. Os arquivos ficam no Google Cloud Storage, que criptografa os dados armazenados.
• Senhas guardadas apenas como hash; chaves de API guardadas como hash e mostradas uma única vez.
• Acesso por papéis (proprietário, administrador e membro) e visibilidade de leads configurável por conta. Cada conta enxerga apenas os próprios dados.
• Limites de tentativas de login, de cadastro e de redefinição de senha.
• Credenciais de integrações (como o acesso ao Google Agenda) guardadas só no servidor, nunca devolvidas ao navegador e usadas apenas pelos serviços que fazem a integração. A integração com o Google Agenda é pessoal: só o usuário que a conectou pode usá-la ou desconectá-la.
• Novos arquivos ficam em armazenamento privado, entregues por links assinados e temporários. O áudio do WavUps Echo fica em armazenamento privado no Brasil.
• Acesso interno restrito: pessoas da WavUps só acessam dados de clientes quando necessário para suporte autorizado, segurança ou exigência legal.
• Monitoramento de erros e de segurança, e controle do que cada recurso de IA pode ler e alterar.

Nenhum sistema é totalmente imune a falhas. Mantenha sua senha em sigilo, use redes e dispositivos confiáveis e nos avise de qualquer suspeita. Se ocorrer um incidente que possa causar risco ou dano relevante, comunicamos a ANPD e os titulares afetados, nos termos da LGPD.

15. Crianças e adolescentes

A Plataforma é destinada a empresas e profissionais maiores de 18 anos. Não tratamos intencionalmente dados de crianças e adolescentes como usuários. Se identificarmos um cadastro nessa situação, ele será excluído.

16. Formulários, faturas e links públicos dos clientes

Quando você preenche um formulário, abre uma fatura ou acessa um link compartilhado por uma empresa que usa a WavUps, os dados vão para essa empresa, que é a controladora, e nós tratamos como operadora. Essas páginas não carregam ferramentas de estatística nem de marketing da WavUps. Para exercer seus direitos, fale com a empresa que enviou o link.

17. Alterações desta Política

Podemos atualizar esta Política. Em mudanças relevantes, avisamos por e-mail e dentro da Plataforma com pelo menos 30 dias de antecedência, e pedimos novo consentimento quando a lei exigir. A versão vigente e a data da última atualização estão sempre no topo desta página.

18. Fale com o nosso encarregado

• DPO: João Pedro Alves de Souza
• E-mail: contato@proativia.com
• Endereço para correspondência (aos cuidados do DPO): Rua 1500, 526, Sala 1303, Centro · Balneário Camboriú, SC · CEP 88330-526

Esta Política se aplica a quem usa os serviços da WavUps no Brasil e segue a lei brasileira.