Política de privacidade

1. Quem somos

O LeadFlow é um sistema online de CRM e atendimento, acessado em leadflow.projetosgs.com.br. Ele é operado pela G.S. AGENCY AND SERVICES LTDA, nome fantasia Tripé Lançamentos, CNPJ 41.245.775/0001-04, com sede em Santana de Parnaíba/SP. Nesta política, “nós” e “LeadFlow” se referem a essa empresa.

O LeadFlow é de uso interno: nós o usamos nos nossos próprios projetos e o oferecemos às equipes das empresas que atendemos (as “empresas clientes”). Ele não é vendido ao público e não tem cadastro aberto. O acesso é feito por convite.

Em resumo, o LeadFlow permite que uma empresa organize contatos, negócios e funis de venda e atenda os seus clientes pelo WhatsApp e pelo Instagram num lugar só, com automações e, se ela quiser, ajuda de inteligência artificial.

2. A quem esta política se aplica

Esta política vale para:

• Pessoas da equipe que entram no painel do LeadFlow (donos, administradores e usuários de cada conta).
• Contatos e leads: pessoas que conversam com uma empresa cliente pelo WhatsApp ou pelo Instagram atendido pelo LeadFlow, ou cujos dados a empresa cliente cadastrou no CRM.
• Quem conecta uma conta do WhatsApp Business ou do Instagram ao LeadFlow pelo login da Meta.
• Visitantes das páginas públicas (login, esta política, os termos de uso e a página de exclusão de dados).

Quem decide sobre cada dado (controlador e operador)

A LGPD separa quem decide sobre os dados (o controlador) de quem trata os dados em nome de outro (o operador). No LeadFlow:

• Para os dados dos contatos e leads de uma empresa cliente (conversas, cadastro no CRM, negócios), a empresa cliente é a controladora e nós somos operadores: guardamos e processamos esses dados para que ela possa atender os clientes dela, conforme as configurações e as instruções dela.
• Para os dados de login da equipe e do responsável por cada conta, e para os dados técnicos de segurança, nós somos os controladores.

Se você é um contato ou lead e quer saber o que uma empresa faz com os seus dados, o primeiro canal é a própria empresa com quem você conversou. Se você nos procurar, encaminhamos o pedido a ela e ajudamos a cumpri-lo (veja a seção 10).

3. Quais dados tratamos

3.1. Equipe que usa o painel

• Nome, e-mail e o papel na conta (dono, administrador ou usuário).
• Senha, guardada apenas como resumo criptográfico (hash). Ninguém da nossa equipe consegue ver a sua senha.
• Verificação em duas etapas, quando você decide ligá-la, com os dados necessários para conferir o código.
• Registros de acesso: endereço IP, navegador, data e hora, tentativas de login e aparelhos já reconhecidos. Usamos isso para segurança e para limitar tentativas de acesso.
• Preferências do painel, como o estado do menu.

3.2. Dados que as empresas clientes guardam sobre os contatos delas

Cada empresa cliente decide o que cadastra. Em geral, isso inclui:

• Nome, telefone, e-mail, @ do Instagram, tags, campos personalizados e anotações da equipe.
• Empresas ligadas ao contato, negócios, etapa no funil de vendas e atividades.
• Conversas pelo WhatsApp e pelo Instagram: texto, áudio, imagem, vídeo e documentos.
• Registro de autorização (opt-in) para receber campanhas e o pedido de saída (“SAIR”), quando houver.
• Quando a empresa conecta a Hotmart: os dados do evento de compra enviados pela Hotmart (por exemplo, nome e contato do comprador, produto e situação da compra), que viram negócios no CRM.

Não pedimos dados sensíveis (como saúde, religião ou opinião política). Mas, se um contato enviar um dado assim numa conversa, ele fica guardado como parte da conversa daquela empresa cliente. Não usamos esse dado para nenhuma outra finalidade.

3.3. Dados recebidos da Meta (WhatsApp e Instagram)

• Identificador do número de WhatsApp ou da conta do Instagram conectada.
• Nome e foto de perfil dos contatos, quando a Meta os envia.
• Conteúdo das mensagens, das mensagens diretas (DMs), dos comentários e das respostas e menções em stories.
• Status de entrega e de leitura das mensagens.
• Custo informado pela Meta para cada mensagem paga da API oficial.
• Tokens de acesso às contas conectadas. Eles ficam guardados cifrados e nunca aparecem na tela nem nos registros (logs) do sistema.

Na conexão por QR code, o LeadFlow recebe as mensagens do número conectado do mesmo jeito que o WhatsApp Web recebe.

3.4. Dados técnicos

• Endereço IP, tipo de navegador, data e hora dos acessos.
• Registros de erro e de funcionamento, que não incluem o conteúdo das conversas nem dados pessoais dos contatos.
• Cookies estritamente necessários (veja a seção 12).

4. Para que usamos os dados e com qual base legal

Tratamos dados só para fazer o LeadFlow funcionar e para mantê-lo seguro. As bases legais estão no art. 7º da LGPD:

• Prestar o serviço (login, guardar e mostrar contatos e conversas, enviar e receber mensagens, rodar automações, campanhas e integrações): execução de contrato (art. 7º, V) com a empresa cliente e com a equipe dela.
• Mandar e-mails do sistema (convite, nova senha, avisos de segurança): execução de contrato.
• Proteger as contas (limite de tentativas de login, reconhecer aparelhos, investigar acessos estranhos e erros): legítimo interesse (art. 7º, IX), sempre limitado ao necessário.
• Guardar registros de acesso e atender ordens de autoridades: cumprimento de obrigação legal (art. 7º, II), como o art. 15 do Marco Civil da Internet, e exercício regular de direitos (art. 7º, VI).
• Campanhas pela API oficial do WhatsApp: só são enviadas a quem deu autorização (opt-in). Quem colhe essa autorização é a empresa cliente; o LeadFlow guarda o registro e respeita o pedido de saída. Quando a base legal for o consentimento (art. 7º, I), ele pode ser revogado a qualquer momento.

Para os dados dos contatos, a base legal de cada tratamento é definida pela empresa cliente, que é a controladora. Nós tratamos esses dados conforme as instruções e as configurações dela.

Não usamos os dados para publicidade, não montamos perfis para vender a terceiros e não vendemos dados.

5. Inteligência artificial (opcional)

O LeadFlow tem agentes de inteligência artificial opcionais. Eles só funcionam quando a empresa cliente decide ligá-los. Quando ligado, o agente lê a conversa e sugere uma resposta para a equipe ou envia a resposta, conforme a configuração escolhida pela empresa.

• O agente pode usar um modelo de IA que roda no nosso próprio servidor ou um provedor externo escolhido pela empresa cliente.
• Por padrão, conversas com dados pessoais só são enviadas a provedores marcados como autorizados a receber dados pessoais.
• O LeadFlow não usa as conversas para treinar modelos de IA.
• Quando a empresa escolhe um provedor externo, os dados enviados a ele também seguem as regras desse provedor. Cabe à empresa cliente conferir essas regras antes de ligar o agente.
• Respostas de IA podem conter erros. Recomendamos que a equipe revise o que o agente sugere ou envia.

Nós também usamos um conector (MCP) que permite que ferramentas de IA usadas pela nossa própria equipe consultem e operem o LeadFlow, com chave de acesso própria. Ele é usado para dar suporte e manter o sistema, e não para qualquer outra finalidade.

6. Com quem compartilhamos

Compartilhamos dados apenas com quem precisa deles para o serviço funcionar:

• Hostinger: servidor (VPS) onde o LeadFlow roda e onde o banco de dados fica guardado.
• Resend: envio dos e-mails do sistema (convite, nova senha). Recebe o e-mail do destinatário e o conteúdo da mensagem.
• Cloudflare (serviço R2): guarda as cópias de segurança, que são cifradas antes do envio.
• Meta (WhatsApp e Instagram): as mensagens enviadas e recebidas passam pelos serviços da Meta, que trata esses dados conforme as políticas dela.
• Hotmart, quando a empresa cliente conecta essa integração: recebemos dela os eventos de compra.
• Destinos escolhidos pela empresa cliente: webhooks, chamadas à API do LeadFlow e provedores de IA externos que a própria empresa configurar. Esses envios são de responsabilidade da empresa que os configurou.
• Autoridades, quando a lei ou uma ordem judicial nos obrigar.

Hostinger, Resend e Cloudflare atuam como operadores: tratam os dados apenas para prestar o serviço contratado por nós.

7. Transferência internacional

O servidor do LeadFlow fica nos Estados Unidos, e outros fornecedores (Resend, Cloudflare e a própria Meta) também podem tratar dados fora do Brasil. Isso significa que os dados podem ser transferidos para outros países.

Fazemos essa transferência nas hipóteses permitidas pelo art. 33 da LGPD, como quando ela é necessária para executar o contrato com a empresa cliente e para atender os pedidos dela, e escolhemos fornecedores que oferecem garantias de proteção de dados e padrões reconhecidos de segurança. Os dados continuam protegidos pelas medidas descritas na seção 9.

8. Por quanto tempo guardamos

Quando uma conta é excluída, todos os dados dela (contatos, negócios, conversas, mídias, canais e tokens) são apagados em cascata do banco de dados. As cópias de segurança que ainda contêm esses dados expiram em até 30 dias. Podemos guardar por mais tempo apenas o que a lei exigir.

9. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• Conexão sempre cifrada (HTTPS).
• Senhas guardadas apenas como resumo (hash) e verificação em duas etapas opcional.
• Tokens e chaves de acesso cifrados com AES-256.
• Separação por cliente no banco de dados: cada empresa cliente só vê os dados dela.
• Acesso por papel (dono, administrador, usuário), com limite de tentativas de login.
• Registros (logs) sem conteúdo de conversa e sem dados pessoais dos contatos.
• Cópias de segurança cifradas.

Nenhum sistema na internet é totalmente imune a falhas ou ataques. Se acontecer um incidente de segurança que possa causar risco ou dano relevante, avisaremos as empresas clientes afetadas e, quando a lei exigir, a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares.

10. Seus direitos

Pela LGPD (art. 18), você tem direito a:

• Confirmar se tratamos dados seus e ter acesso a eles.
• Corrigir dados incompletos, errados ou desatualizados.
• Pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei.
• Pedir a portabilidade dos dados para outro fornecedor.
• Pedir a eliminação dos dados tratados com base no seu consentimento.
• Saber com quem compartilhamos os seus dados.
• Saber que pode não dar o consentimento e o que acontece nesse caso.
• Revogar o consentimento.
• Se opor a um tratamento que descumpra a lei.

Para exercer qualquer um desses direitos, escreva para garasira@gmail.com. Respondemos em até 15 dias. Podemos pedir alguma informação para confirmar que o pedido é seu, para proteger os seus dados de pedidos falsos.

Se você é contato ou lead de uma empresa cliente, o pedido é sobre dados que pertencem àquela empresa. Nesse caso, encaminhamos o pedido a ela e ajudamos a cumpri-lo dentro do prazo. Para pedir a exclusão, veja também a página de exclusão de dados.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

11. Dados recebidos da Meta

Os dados que recebemos pelas APIs do WhatsApp Business e do Instagram são usados de acordo com os Termos da Plataforma Meta, as políticas do WhatsApp Business e as políticas do Instagram. Na prática:

• Usamos esses dados somente para o atendimento e para as automações que a empresa cliente configurou (por exemplo, responder uma mensagem ou transformar um comentário em mensagem privada).
• Não usamos esses dados para publicidade, não os vendemos e não os compartilhamos além do que está na seção 6.
• Os tokens de acesso ficam cifrados e são usados apenas para enviar e receber mensagens da conta conectada.

Você pode remover o acesso do LeadFlow a qualquer momento:

• No Facebook: Configurações → Segurança e login → Apps e sites.
• No Instagram: Configurações → Segurança → Apps e sites.
• No próprio LeadFlow: desconectando o canal na tela Canais.

Para pedir a exclusão dos dados, siga os passos da página de exclusão de dados.

12. Cookies

O LeadFlow usa apenas cookies e armazenamentos estritamente necessários:

• Sessão de login, para manter você conectado.
• Preferência do menu do painel.
• Aparelho conhecido, para a segurança da conta (por exemplo, para reconhecer um aparelho já confirmado).

Não usamos cookies de propaganda nem ferramentas de rastreamento de terceiros. Se você bloquear esses cookies no navegador, o login pode deixar de funcionar.

13. Crianças e adolescentes

O LeadFlow é uma ferramenta de trabalho e não é destinado a menores de 18 anos. Não coletamos de propósito dados de crianças ou adolescentes para uso do painel. Se uma empresa cliente atender menores pelos canais conectados, ela é responsável por cumprir as regras da LGPD para esse público.

14. Mudanças nesta política

Podemos atualizar esta política quando o sistema ou a lei mudarem. A data da versão em vigor aparece no topo da página (versão atual: 12/10/2026). Quando a mudança for relevante, avisaremos os responsáveis pelas contas no painel ou por e-mail.

15. Contato e encarregado

O responsável pelo LeadFlow é a G.S. AGENCY AND SERVICES LTDA (Tripé Lançamentos), CNPJ 41.245.775/0001-04, Santana de Parnaíba/SP. O contato do encarregado pelo tratamento de dados pessoais (DPO) é garasira@gmail.com. Use esse endereço para dúvidas, pedidos sobre os seus dados ou para relatar um problema de segurança.

Veja também os termos de uso e a página de exclusão de dados.