1. Quem somos e como falar conosco

A Zhapio oferece um CRM com atendimento por WhatsApp e Instagram, captação de leads, funis, campanhas e agentes de inteligência artificial para empresas.

Para qualquer assunto de privacidade, incluindo falar com o encarregado pelo tratamento de dados pessoais (DPO), escreva para [email protected].

2. Nosso papel: controladora e operadora

• Somos controladora dos dados das pessoas que usam a Zhapio (titulares de conta e membros de organizações), dos visitantes do site e de quem fala com o nosso suporte.
• Somos operadora dos dados que nossos clientes colocam ou recebem no Serviço: leads, contatos, conversas de WhatsApp e Instagram, registros de ligações, compromissos de agenda, conversas com os agentes de IA e arquivos da base de conhecimento. Nesses casos, o cliente é o controlador: é ele quem decide para que usa esses dados e precisa ter base legal para isso. Tratamos esses dados apenas para prestar o Serviço, conforme as instruções do cliente.
• Se você é lead ou contato de um cliente nosso e quer exercer seus direitos, fale primeiro com a empresa que entrou em contato com você. Se escrever para nós, encaminharemos o pedido a ela e avisaremos você.

3. Dados que tratamos

• Conta: nome, e-mail, telefone, senha (guardada apenas em formato com hash), foto, empresa e preferências.
• Cobrança: plano, histórico de pagamentos e, quando necessário para pagamento ou nota fiscal, CPF ou CNPJ e endereço. Os dados de cartão são tratados pelo Asaas; não guardamos o número completo do cartão.
• Uso e dados técnicos: endereço IP, data e hora de acesso, dispositivo, navegador, páginas e funções usadas, e registros de erro.
• Dados que nossos clientes gerenciam (seção 2): nome, telefone, e-mail e outros campos dos leads e contatos; conteúdo e anexos das mensagens de WhatsApp e Instagram (textos, fotos, vídeos, áudios e documentos); anotações; registros de ligações feitas pelo aplicativo; dados recebidos de formulários do Facebook Lead Ads e do Google Ads.
• Visitantes do site: cookies e identificadores usados para medir anúncios, somente com consentimento (seção 8).

Não pedimos dados sensíveis (saúde, religião, biometria e outros do art. 5º, II, da LGPD). Se um cliente ou um lead enviar esse tipo de dado em uma conversa, ele é tratado apenas como parte da conversa.

4. Para que usamos, com qual base legal e por quanto tempo

5. Inteligência artificial

• Quando você ou sua empresa usa recursos de IA (Copiloto, respostas sugeridas, relatórios, agentes que respondem clientes, transcrição de áudios), o conteúdo necessário é enviado aos provedores de IA listados na seção 6 (OpenAI, Anthropic, Google Gemini e Voyage AI).
• Usamos esses serviços por API e, quando o provedor oferece essa opção, configuramos para que o conteúdo não seja usado para treinar modelos.
• Os agentes de IA que respondem clientes se identificam como assistente virtual e podem passar a conversa para uma pessoa.
• Decisões automatizadas: conforme a configuração do cliente, um agente de IA ou uma automação pode mover um lead de etapa ou distribuí-lo para um atendente. Essas ações ficam registradas e podem ser revistas por uma pessoa. Você pode pedir a revisão de uma decisão tomada só por meio automatizado (art. 20 da LGPD) escrevendo para [email protected].

6. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos dados somente:

• com os fornecedores abaixo, que tratam os dados para prestar o Serviço;
• com as plataformas que você mesmo conecta (Meta, Google, assistentes de IA);
• quando a lei, uma ordem judicial ou uma autoridade competente exigir;
• para proteger direitos, a segurança do Serviço ou de pessoas.

Fornecedores atuais (a maioria processa dados fora do Brasil, principalmente nos Estados Unidos):

• Hostinger: servidores onde o Serviço e o banco de dados funcionam.
• Cloudflare: proteção e entrega do site e da API, armazenamento de arquivos e cópias de segurança (R2), verificação anti-robô (Turnstile) e estatísticas de visitas.
• Meta Platforms: WhatsApp Business, Facebook (login, páginas e Lead Ads), Instagram Direct e, no site, o Pixel de anúncios (só com seu consentimento).
• Google: login e integrações com Google Agenda e Google Ads, modelos de IA Gemini, Google Tag Manager no site (só com seu consentimento) e Firebase para notificações no celular.
• OpenAI: modelos de IA, incluindo a transcrição de áudios.
• Anthropic: modelos de IA.
• Voyage AI: ordenação de trechos da base de conhecimento dos agentes de IA.
• Expo: envio de notificações para o aplicativo Android.
• Resend: envio de e-mails.
• Asaas: cobrança, pagamentos e notas fiscais.
• Sentry: diagnóstico de erros do site, da extensão e do aplicativo.
• Better Stack: armazenamento de registros técnicos do servidor, quando ativado.
• OpenStreetMap: mapas exibidos ao escolher um local no painel.

7. Transferência internacional

Como vários fornecedores ficam no exterior, dados pessoais podem ser transferidos para outros países. Fazemos isso com as garantias previstas no art. 33 da LGPD, como as cláusulas contratuais de proteção de dados oferecidas pelos fornecedores, e somente na medida necessária para prestar o Serviço.

8. Cookies e armazenamento local

• Necessários: o painel guarda no navegador o seu login e preferências. Sem isso, o Serviço não funciona.
• Anúncios (só com consentimento): nas páginas públicas do site usamos o Google Tag Manager e o Pixel da Meta para medir nossas campanhas. Eles só são ativados se você clicar em "Aceitar" no aviso de cookies, e nunca são carregados dentro do painel logado. Você pode mudar a escolha em "Preferências de cookies", no rodapé do site.
• Estatísticas sem cookies: a Cloudflare conta visitas ao site sem usar cookies.

9. Aplicativo para Android

O aplicativo usa a mesma conta do painel. Ele pede estas permissões:

• Telefone e estado das chamadas: para discar o número do lead e perceber quando a ligação terminou. Registramos número discado, data, hora, duração estimada e o resultado que você informa. O aplicativo não lê o histórico de chamadas do aparelho e não grava ligações.
• Localização: usada apenas no momento do check-in de jornada, se a sua organização exigir. Enviamos as coordenadas desse momento; o aplicativo não acompanha sua localização em segundo plano.
• Câmera, fotos e microfone: para enviar fotos, vídeos e áudios que você escolhe em Conversas. Nada é lido da galeria nem gravado sem uma ação sua.
• Notificações: para avisar sobre novos leads e mensagens. Guardamos um identificador do aparelho para isso.
• Exibir sobre outros apps e uso de bateria sem restrição: para manter a sessão de ligações ativa e voltar ao aplicativo depois de cada chamada.

O aplicativo não acessa a sua agenda de contatos.

10. Extensão para navegador (WhatsApp Web)

• A extensão funciona dentro do WhatsApp Web no seu navegador para mostrar dados do CRM, inserir mensagens prontas e agendar envios.
• Quando você usa a sincronização de contatos, enviamos ao Zhapio o nome, o telefone e a foto de perfil dos contatos da sua lista de conversas. Ao enviar uma mensagem pela extensão, registramos o telefone da conversa aberta para associá-la ao lead.
• O envio automático de mensagens agendadas fica desligado até você ativá-lo. O WhatsApp não permite automação em contas pessoais e pode bloquear o número; por isso pedimos sua confirmação antes de ativar.

11. Assistentes de IA conectados (Claude, ChatGPT e outros)

• Você pode autorizar um assistente de IA de outra empresa a consultar o seu CRM. Os dados que ele pede são enviados a essa empresa, por sua instrução, e ela os trata conforme os próprios termos (por exemplo, a política da Anthropic e a política da OpenAI), possivelmente fora do Brasil.
• O assistente só vê o que o seu usuário pode ver. Campos de documentos, como CPF, ficam ocultos, e alterações pedem a sua confirmação.
• Guardamos o registro da conexão e das alterações feitas, mas não o conteúdo das suas conversas com o assistente. Você pode desconectar a qualquer momento em Conectar IA; trocar a senha também encerra as conexões.

12. Dados obtidos da Meta (Facebook, Instagram e WhatsApp)

• Login do Facebook e páginas: ID, nome, e-mail e as páginas que você administra, para vincular sua conta e listar páginas e formulários.
• Lead Ads: respostas dos formulários de anúncios, usadas apenas para criar os leads no seu espaço de trabalho.
• WhatsApp Business: identificadores da conta e do número, e o conteúdo e o status das mensagens enviadas e recebidas pelo número conectado.
• Instagram: com o Login do Instagram (permissões instagram_business_basic e instagram_business_manage_messages), identificadores da conta profissional e as mensagens do Instagram Direct recebidas e enviadas por ela.
• Não usamos dados da Meta para publicidade fora da sua própria conta, não vendemos esses dados e não criamos perfis para terceiros. Seguimos os Termos da Plataforma da Meta.
• Ao desconectar uma conta da Meta, apagamos os tokens de acesso. Para pedir a exclusão dos dados obtidos da Meta, escreva para [email protected] com o assunto "Exclusão de dados Meta", ou remova o Zhapio nas configurações do Facebook.

13. Dados obtidos do Google

• Leads do Google Ads: respostas dos formulários que o Google envia ao seu webhook, usadas apenas para criar os leads no seu espaço de trabalho.
• Conta do Google (se você conectar): e-mail e perfil para identificar a conta; acesso de leitura às contas do Google Ads para listar formulários (não alteramos campanhas); Google Agenda para criar e atualizar os compromissos que você agenda no Zhapio e mostrar os eventos da sua agenda principal no seu espaço de trabalho.
• O uso de dados recebidos das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Não vendemos esses dados, não os usamos para publicidade e não os usamos para treinar modelos de IA.
• Os tokens do Google ficam criptografados. Ao desconectar, revogamos a autorização; você também pode revogá-la em myaccount.google.com/permissions.

14. Exclusão de dados e cópias de segurança

• Você pode excluir sua conta em Configurações. A exclusão definitiva acontece 30 dias depois do pedido. Veja o que é apagado e o que é guardado em Excluir sua conta.
• Leads, contatos e conversas podem ser apagados por você a qualquer momento dentro do Serviço.
• Fazemos cópias de segurança do banco de dados, mantidas por até 12 meses e depois apagadas. Dados excluídos podem permanecer nessas cópias até elas expirarem, sem uso para outros fins.

15. Segurança

Usamos criptografia em trânsito (HTTPS), senhas com hash, tokens de integrações criptografados, controle de acesso por organização e papel, e acesso restrito da nossa equipe. Nenhum sistema é totalmente seguro. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas, nos prazos da regulamentação.

16. Seus direitos

Pela LGPD (art. 18), você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não dar consentimento e as consequências disso;
• revogação do consentimento;
• revisão de decisões tomadas apenas com base em tratamento automatizado (art. 20).

Para exercer esses direitos, escreva para [email protected]. Podemos pedir uma confirmação de identidade. Respondemos em até 15 dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor.

17. Idade mínima

O Serviço é destinado a empresas e a pessoas com 18 anos ou mais. Não coletamos intencionalmente dados de crianças e adolescentes. Se você souber de um caso, escreva para [email protected] e excluiremos os dados.

18. Alterações nesta política

Podemos atualizar esta política. A data no topo mostra a última atualização. Mudanças relevantes serão avisadas por e-mail ou no próprio Serviço antes de entrarem em vigor.

19. Contato

Dúvidas, pedidos e reclamações sobre privacidade: [email protected].