Política de privacidade

1. Introdução

O ConverZAP valoriza a sua privacidade e está comprometido com a proteção dos seus dados pessoais. Esta Política explica como coletamos, usamos, armazenamos, compartilhamos e protegemos as informações de quem usa os nossos produtos, serviços, site e integrações, em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018, "LGPD"). Ao usar o ConverZAP, você declara estar ciente dos termos aqui descritos.

2. Papéis: quem é responsável pelos dados

• Dados dos usuários da plataforma (quem cria conta e trabalha no ConverZAP): o ConverZAP é o controlador.
• Dados dos contatos dos nossos clientes (as pessoas que conversam pelo WhatsApp, pelo Messenger ou pelo Instagram Direct com as empresas que usam o ConverZAP): a empresa cliente é a controladora e o ConverZAP atua como operador, tratando esses dados somente para prestar o serviço e conforme as instruções do cliente.

3. Quais dados coletamos

3.1. Dados fornecidos por você

• nome completo, e-mail e número de telefone;
• nome da empresa ou do projeto;
• credenciais de acesso (a senha é guardada apenas em formato criptografado irreversível);
• informações de pagamento, processadas diretamente pelo intermediador de pagamento (não armazenamos o número do cartão).

3.2. Dados coletados automaticamente

• endereço IP, tipo e versão do navegador e sistema operacional;
• data e hora de acesso, páginas visitadas e dados de uso da plataforma;
• registros da contratação: plano, valor, data e hora, versão dos Termos de uso aceita, IP e navegador no momento do aceite e do pagamento, cancelamentos e histórico de cobranças.

3.3. Dados do WhatsApp (API oficial da Meta)

Quando você conecta o seu número de WhatsApp Business ao ConverZAP, tratamos:

• identificadores da conta do WhatsApp Business e do número conectado, e o token de acesso concedido pela Meta;
• número de telefone e nome de perfil dos contatos que conversam com o seu número;
• conteúdo das mensagens enviadas e recebidas (texto, imagens, áudios e documentos) e os status de entrega e leitura;
• modelos de mensagem (templates), qualidade do número e limites de envio informados pela Meta.

Esses dados são usados apenas para exibir as conversas na caixa de entrada, permitir as respostas da sua equipe e dos agentes de IA configurados por você, enviar as campanhas que você criar e gerar relatórios. Não vendemos esses dados, não os usamos para publicidade e não os compartilhamos com terceiros para outras finalidades.

3.4. Outras integrações

Se você conectar outras contas (por exemplo, o seu site em WordPress, bancos de imagens ou ferramentas por chave de API), tratamos os tokens de acesso, IDs e dados necessários para a integração funcionar. Os tokens e credenciais são armazenados criptografados (AES-256-GCM).

3.5. Dados das suas contas Google

Cada produto do Google é conectado separadamente, por um administrador do workspace, em Configurações → Integrações, com o botão "Continuar com o Google". Só pedimos as permissões do produto que você conectar, e só usamos os dados para o recurso descrito abaixo.

a) Google Agenda. Acessamos somente: o endereço de e-mail da conta, para mostrar qual conta está conectada; a lista de agendas (nome e identificador), para você escolher em qual agenda o agente marca as reuniões; os períodos livres e ocupados da agenda escolhida — não lemos título, descrição, participantes nem qualquer outro conteúdo dos seus eventos; e a permissão de criar, alterar e cancelar, na agenda escolhida, apenas os eventos das reuniões que o agente de IA marcar, com link do Google Meet, convite para o contato e os convidados e o nome e o telefone do contato na descrição. Uso: mostrar ao seu contato os horários disponíveis e criar, remarcar ou cancelar as reuniões pedidas por ele. Os horários livres calculados podem ser enviados ao provedor de inteligência artificial que gera a resposta do agente, apenas para gerar aquela resposta. Armazenamento: o token de atualização (criptografado), o e-mail da conta, as permissões concedidas, a agenda escolhida e o registro das reuniões que o agente marcou (data, link e identificador do evento); não guardamos cópia dos seus eventos nem dos períodos ocupados.

b) Google Planilhas e Google Drive. Pedimos apenas o e-mail da conta e a permissão de acessar somente os arquivos que o próprio ConverZAP criano seu Google Drive (permissão "drive.file") — não vemos, não lemos e não alteramos os seus outros arquivos. Uso: quando você pede, criar uma planilha nova no seu Drive com os contatos do filtro escolhido na tela de Contatos. A planilha passa a ser sua: fica no seu Drive e você decide com quem compartilhar. Armazenamento: o token de atualização (criptografado), o e-mail da conta e as permissões concedidas; não guardamos cópia das planilhas.

c) Google Ads. Pedimos o e-mail da conta e a permissão de acesso à API do Google Ads, usada somente para leitura: listar as contas de anúncios que a conta Google enxerga, para você escolher uma, e ler as campanhas, os grupos de anúncios, os anúncios, as palavras-chave, os termos de pesquisa e as métricas de desempenho dessa conta. Não criamos, não alteramos e não pausamos campanhas ou anúncios, e o gasto com anúncios continua na sua conta do Google Ads. Uso: mostrar o painel de desempenho, sugestões de otimização e a análise por inteligência artificial que você pedir (os números já agregados podem ser enviados ao provedor de IA apenas para gerar essa análise). Armazenamento: o token de atualização (criptografado), o e-mail da conta, a conta de anúncios escolhida e uma cópia das métricas sincronizadas, para montar o painel.

d) Google Analytics e Google Search Console. Pedimos o e-mail da conta e permissões somente de leitura do Google Analytics e do Search Console. Uso: listar as propriedades do Google Analytics 4 e os sites do Search Console que a conta enxerga, para você escolher, e ler os relatórios de tráfego, origem das visitas, páginas, eventos, consultas de pesquisa, cliques e posição, mostrados nos painéis do ConverZAP. Armazenamento: o token de atualização (criptografado), o e-mail da conta e a propriedade e o site escolhidos; os relatórios são lidos na hora e ficam só em memória temporária por alguns minutos.

Exclusão (todos os produtos Google): em Configurações → Integrações → o produto → Desconectar, revogamos o acesso no Google (na Agenda, no Planilhas/Drive e no Ads; no Analytics/Search Console, apagamos a conexão) e apagamos o token e os dados da conexão na hora. Você também pode revogar o acesso a qualquer momento em myaccount.google.com/permissions. O que já foi criado na sua conta Google (eventos e planilhas) continua lá. Os dados sincronizados do Google Ads são apagados junto com o workspace ou a pedido (veja o item 9).

Não vendemos dados recebidos do Google, não os usamos para publicidade, não os transferimos a terceiros (exceto o necessário para prestar estes recursos, por obrigação legal ou em caso de fusão ou aquisição, com aviso), não permitimos que pessoas os leiam (exceto com o seu consentimento, por segurança e prevenção de abuso ou por obrigação legal) e não os usamos para desenvolver, melhorar ou treinar modelos de inteligência artificial ou de aprendizado de máquina generalizados.

Uso Limitado: o uso e a transferência, pelo ConverZAP, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. ConverZAP's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

3.6. Dados das suas contas da Meta (Facebook e Instagram)

Além do WhatsApp (item 3.3), você pode conectar outras contas da Meta, cada uma separadamente, por um administrador do workspace, em Configurações → Integrações, com o botão "Continuar com o Facebook" (ou "Conectar Instagram Direct"). Você escolhe na janela da Meta quais Páginas, contas do Instagram e contas de anúncios compartilha conosco, e só usamos os dados para o recurso descrito abaixo.

a) Publicação no Instagram e no Facebook. Acessamos a lista das Páginas que você compartilhou e a conta profissional do Instagram ligada a cada uma. Uso: publicar nos horários que você agendar os posts, carrosséis, vídeos e Reels que você criar ou aprovar — nada é publicado sem a sua ação — e ler os números das suas publicações e da conta (seguidores, alcance, curtidas, comentários, compartilhamentos e visualizações) para o painel de desempenho. Armazenamento: o token de acesso (criptografado), a Página e a conta do Instagram escolhidas, as publicações agendadas e uma cópia das métricas sincronizadas.

b) Meta Ads. Acesso somente de leitura às contas de anúncios que você compartilhou. Uso: ler as campanhas, os conjuntos de anúncios, os anúncios e as métricas de desempenho para o painel, as sugestões e a análise por inteligência artificial que você pedir (os números já agregados podem ser enviados ao provedor de IA apenas para gerar essa análise). Não criamos, não alteramos e não pausamos anúncios, e o gasto continua na sua conta da Meta. Armazenamento: o token de acesso (criptografado), a conta de anúncios escolhida e uma cópia das métricas sincronizadas.

c) Messenger e Instagram Direct. Acessamos a Página do Facebook e a conta profissional do Instagram que você conectar. Uso: receber as mensagens que as pessoas mandam para a sua Página e para o seu Direct, mostrá-las na caixa de Conversas e enviar as respostas escritas pela sua equipe — de acordo com as regras da Meta (resposta livre até 24 horas depois da última mensagem da pessoa e, até 7 dias, apenas a resposta de um atendente humano). Para identificar a conversa, recebemos o identificador da pessoa naquela Página ou conta e o nome público do perfil dela. A permissão de comentários do Instagram só é usada se você ativar um recurso de responder comentários; hoje, não lemos nem respondemos comentários. Armazenamento: os tokens de acesso (criptografados; o do Instagram é renovado automaticamente antes de vencer), a Página e a conta escolhidas e o conteúdo das mensagens, guardado na caixa de Conversas pelo prazo de retenção que você configurar. Anexos (imagens, áudios, vídeos) não são copiados: mostramos o link fornecido pela Meta.

Exclusão (contas da Meta): em Configurações → Integrações → o produto → Desconectar, apagamos o token e os dados da conexão na hora. Para remover o acesso também do lado da Meta, retire o ConverZAP em Configurações do negócio → Integrações (Facebook) ou em Configurações → Apps e sites (Instagram). As mensagens já recebidas seguem a retenção da caixa de Conversas, e as métricas sincronizadas são apagadas junto com o workspace ou a pedido — veja o item 9 e a página Exclusão de dados.

Não vendemos dados recebidos da Meta, não os usamos para publicidade nem para criar perfis de pessoas, não os compartilhamos com terceiros para outras finalidades e não os usamos para treinar modelos de inteligência artificial. O conteúdo de uma conversa só é enviado ao provedor de IA quando você usa um recurso de IA naquela conversa, apenas para gerar a resposta.

3.7. Conexão com assistentes de inteligência artificial (MCP e API)

Você pode conectar a sua conta do ConverZAP a um assistente de inteligência artificial que você mesmo usa — por exemplo, o Claude, da Anthropic, ou o ChatGPT, da OpenAI — pelo nosso servidor MCP (mcp.converzap.com) ou por uma chave da API pública. A conexão é sempre iniciada por você: você entra na sua conta do ConverZAP, escolhe o workspace e marca as permissões (as de leitura vêm marcadas; as de ação, como enviar mensagens, só valem se você marcar). Na chave da API, as permissões são as que você escolhe ao criar a chave.

O que o assistente acessa: apenas o que as permissões marcadas e o seu papel no workspace permitem, e nunca mais do que você vê no próprio app — por exemplo, contatos, conversas da caixa de entrada, negócios do funil, templates e resultados de campanhas e automações. As ações (enviar ou agendar mensagens, atualizar conversas, contatos e negócios, criar e iniciar campanhas, inscrever contatos em automações) só acontecem quando o assistente as executa a seu pedido, com as mesmas regras do app (janela de 24 horas, opt-out e templates aprovados do WhatsApp) e limites próprios de envio.

Para onde vão os dados: o que o assistente lê é enviado ao provedor do assistente que você escolheu e passa a seguir a política de privacidade e os termos desse provedor. Não escolhemos esse provedor e não compartilhamos dados com ele por nossa iniciativa: ele recebe apenas as respostas às consultas que o seu assistente fizer.

O que guardamos: o registro técnico de cada uso (a operação chamada, data e hora, duração e se deu certo), por 90 dias, para segurança, limites de uso e suporte — sem o conteúdo das respostas. O resultado de cada ação fica guardado por até 24 horas apenas para que a mesma ação, repetida por engano, não seja feita duas vezes. As ações entram também no registro de atividade do workspace, como as feitas no próprio app. Os códigos de acesso da conexão são guardados apenas como resumo criptográfico (hash); o acesso vale 1 hora e é renovado automaticamente enquanto a conexão existir (ela expira depois de 30 dias sem uso). Não recebemos as suas conversas com o assistente, além dos pedidos que ele faz ao ConverZAP.

Como desconectar: em Configurações → API pública → Conexões de IA, clique em Desconectar — o acesso é cortado na hora. Também é cortado se você sair do workspace ou perder o acesso a ele. Você pode ainda remover o conector nas configurações do próprio assistente.

3.8. Medição e publicidade do próprio ConverZAP

Para saber quais canais e anúncios trazem quem se cadastra, usamos ferramentas de medição no nosso site (converzap.com) e no aplicativo (app.converzap.com): o pixel da Meta, o Google Analytics, o Google Tag Manager e um script de medição próprio. Isto se refere aos dados de quem usa a plataforma (item 2) — nunca aos dados dos contatos dos nossos clientes, que não são usados para publicidade em nenhuma hipótese.

O que isso envolve: cookies de medição e de publicidade — entre eles o _fbp e o _fbc, da Meta, que identificam o navegador — e o envio de eventos quando você realiza determinadas ações na nossa plataforma: criar a conta, testar o agente de inteligência artificial, conectar um número de WhatsApp, ativar um agente, iniciar uma conversa, abrir o checkout, cadastrar um cartão e assinar um plano. No caso da assinatura, o valor do plano contratado também é enviado.

Esses eventos saem do seu navegador e também do nosso servidor — o envio pelo servidor é a chamada API de Conversões, e existe para que a medição não dependa de bloqueadores ou de limitações do navegador. O mesmo evento pode sair pelos dois caminhos: ele leva um identificador comum, para não ser contado duas vezes.

Quais dados vão junto: o seu e-mail e o seu telefone apenas na forma de código irreversível (hash SHA-256), que permite à Meta reconhecer um cadastro vindo de um anúncio sem receber o dado legível; um identificador interno da sua conta, também em código irreversível, que serve apenas para a Meta reconhecer que eventos diferentes são da mesma pessoa; o endereço IP; o navegador; e os cookies de medição citados acima. Nunca enviamos o conteúdo das suas conversas, os dados dos seus contatos, nem o seu nome, e-mail ou telefone em texto legível.

Para que a Meta usa: medir o resultado dos nossos anúncios e direcionar a divulgação do ConverZAP, inclusive para formar públicos semelhantes. Esse tratamento se apoia no nosso legítimo interesse (art. 7º, IX, da LGPD) em divulgar o serviço e entender o que funciona.

Google Ads (conversões offline). Além da Meta, para medir os nossos anúncios no Google Ads, enviamos ao Google, a partir do nosso servidor, conversões offline correspondentes a esses mesmos marcos — testar o agente de inteligência artificial, conectar um número de WhatsApp, cadastrar um cartão e assinar um plano. Essas conversões são identificadas apenas pelo GCLID, o identificador anônimo que o Google acrescenta ao link quando você chega por um anúncio dele, acompanhado de qual marco ocorreu e, no caso da assinatura, do valor do plano. Nenhum dado pessoal vai nesse envio: nem e-mail, nem telefone, nem endereço IP, nem o seu nome. Serve apenas para o Google reconhecer que um clique no anúncio virou um cadastro ou um cliente. O seu cadastro inicial também é medido pela ligação entre o Google Analytics e o Google Ads, já descrita acima.

Como se opor: você pode desativar ou apagar cookies no seu navegador (inclusive por extensões de bloqueio), ajustar as preferências de anúncios na sua conta da Meta e do Google e usar o complemento de desativação do Google Analytics. Você também pode se opor ao tratamento ou pedir a exclusão dos seus dados pelo nosso contato, no item 13. Desativar essas ferramentas não afeta o funcionamento da plataforma.

4. Custos da API oficial do WhatsApp

As mensagens enviadas pela API oficial do WhatsApp são cobradas pela Meta diretamente do cliente, na forma de pagamento cadastrada no Gerenciador de Negócios (Business Manager / portfólio empresarial) da Meta do próprio cliente. O ConverZAP não intermedeia, não cobra e não repassa esses valores: a assinatura do ConverZAP cobre apenas o uso da plataforma. Por isso não temos acesso aos dados de pagamento que o cliente cadastra na Meta.

5. Finalidades do tratamento

• criar e gerenciar a sua conta e o seu workspace;
• prestar os serviços contratados e manter a plataforma funcionando;
• processar pagamentos da assinatura e emitir notas fiscais;
• oferecer suporte técnico;
• enviar comunicações transacionais, de segurança e de atualização do serviço;
• cumprir obrigações legais e regulatórias;
• prevenir fraudes e abusos e garantir a segurança da plataforma;
• comprovar a contratação e gerir as cobranças da assinatura;
• responder a reclamações, contestações de cobrança (chargebacks) e disputas junto ao intermediador de pagamento e às instituições financeiras, e defender direitos em processos judiciais, administrativos ou arbitrais;
• melhorar a experiência de uso e desenvolver novas funcionalidades;
• medir o resultado dos nossos canais e anúncios e divulgar o ConverZAP, conforme o item 3.8.

6. Base legal

• execução de contrato (art. 7º, V);
• cumprimento de obrigação legal ou regulatória (art. 7º, II);
• exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI);
• legítimo interesse (art. 7º, IX), inclusive para segurança e prevenção a fraudes;
• consentimento, quando aplicável (art. 7º, I).

A base legal varia conforme o dado e a finalidade. Os registros de contratação, de acesso e de uso usados para comprovar a contratação e responder a contestações de cobrança são tratados com base na execução do contrato, no exercício regular de direitos e no legítimo interesse — não dependem de consentimento.

A medição dos nossos canais e a divulgação do ConverZAP (item 3.8) se apoiam no legítimo interesse, e você pode se opor a qualquer momento, pelos caminhos descritos naquele item — sem prejuízo do uso da plataforma.

Para os dados dos contatos, cabe ao cliente (controlador) ter base legal para o tratamento, incluindo o consentimento (opt-in) exigido pelo WhatsApp para o envio de mensagens.

7. Compartilhamento de dados

Compartilhamos dados apenas com:

• Meta Platforms (WhatsApp Business Platform, Messenger, Instagram, Páginas do Facebook e Meta Ads), para enviar e receber as mensagens, publicar e ler os dados das contas que o cliente conectar;
• Meta Platforms, também para medir os anúncios do PRÓPRIO ConverZAP: os eventos e os dados descritos no item 3.8 (e-mail e telefone apenas como código irreversível, IP, navegador e cookies de medição) — nunca o conteúdo de conversas nem dados dos contatos dos nossos clientes;
• provedores de inteligência artificial (Google, Anthropic e OpenAI), quando o cliente usa agentes de IA ou recursos de geração de texto — o conteúdo necessário é enviado apenas para gerar a resposta, pelas APIs pagas desses provedores, que não usam esses dados para treinar os seus modelos;
• prestadores de serviço essenciais: hospedagem em nuvem, intermediador de pagamento (Stripe), envio de e-mails e serviços de enriquecimento de dados públicos de empresas usados pelo cliente;
• intermediador de pagamento e instituições financeiras, em caso de contestação de uma cobrança: apenas os registros necessários para comprovar a contratação e o uso (dados de contato do titular da conta, datas, plano, valor, versão dos Termos aceita, IPs, navegadores e registros de acesso e uso da plataforma) — nunca o conteúdo das conversas com os contatos;
• Google, nas contas Google que o cliente conectar (Agenda, Planilhas e Drive, Ads, Analytics e Search Console), apenas para os recursos descritos no item 3.5;
• assistentes de inteligência artificial conectados pelo próprio cliente (por exemplo, Claude ou ChatGPT, pelo servidor MCP ou pela API pública), apenas com as permissões que ele marcar, conforme o item 3.7;
• integrações conectadas pelo próprio cliente (por exemplo, o site ou outras ferramentas), conforme a configuração dele;
• autoridades públicas, mediante requisição legal.

Em nenhum caso os dados são vendidos, alugados ou cedidos para fins comerciais de terceiros.

8. Armazenamento e segurança

Os dados são armazenados em servidores seguros, no Brasil e/ou em outros países que garantam nível de proteção adequado, conforme a LGPD. Adotamos medidas técnicas e organizacionais para prevenir acesso não autorizado, perda, destruição ou alteração indevida: conexões criptografadas (HTTPS), criptografia de tokens e credenciais, isolamento dos dados de cada workspace e controle de acesso por perfil.

9. Retenção e exclusão

Os dados são mantidos enquanto a conta estiver ativa e pelo tempo necessário para cumprir as finalidades desta Política, exigências legais ou contratuais e para resguardar direitos em processos administrativos ou judiciais. Depois disso, são excluídos ou anonimizados de forma segura. Ao desconectar uma integração, o token e os dados da conexão são apagados na hora. O cliente pode configurar prazos de retenção das conversas e pedir a exclusão a qualquer momento — veja a página Exclusão de dados.

10. Direitos do titular

Nos termos da LGPD, você pode, a qualquer momento:

• confirmar a existência de tratamento e acessar os seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados;
• revogar o consentimento e pedir a portabilidade dos dados.

Envie o pedido para contato@converzap.com. Se você é contato de uma empresa que usa o ConverZAP, pode fazer o pedido diretamente a ela ou a nós, que encaminhamos.

11. Cookies

Usamos cookies essenciais para manter você conectado e lembrar as suas preferências (como o tema da tela); cookies de medição, para entender o uso do site e do aplicativo; e cookies de publicidade, de terceiros, para medir e direcionar os nossos anúncios — entre eles os da Meta (_fbp e _fbc) e os do Google, conforme o item 3.8.

Você pode gerenciar, bloquear ou apagar cookies no navegador. Bloquear os de medição e de publicidade não afeta o funcionamento da plataforma; bloquear os essenciais, sim.

12. Alterações nesta Política

Podemos alterar esta Política a qualquer momento, publicando a nova versão nesta página. Mudanças relevantes serão avisadas por e-mail ou na plataforma. Cada versão é numerada e datada, e as versões anteriores continuam disponíveis em app.converzap.com/privacidade/versoes.

13. Contato

Dúvidas ou solicitações sobre esta Política: contato@converzap.com.