O ZapIA CRM é uma plataforma de gestão de relacionamento com clientes (CRM) com inteligência artificial integrada ao WhatsApp, desenvolvida e operada pela ZapIA CRM Tecnologia CNPJ 37.892.972/0001-48 ("ZapIA", "nós", "nosso").
Esta Política de Privacidade descreve como tratamos os dados pessoais de nossos clientes (empresas contratantes), usuários do sistema (atendentes, gestores) e leads/contatos atendidos via WhatsApp.
Nos comprometemos a cumprir integralmente a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais legislações aplicáveis.
Nossos papéis sob a LGPD (Art. 5º, VI e VII). O ZapIA atua em dois papéis distintos, a depender do tipo de dado:
Coletamos os seguintes dados, conforme o tipo de relação:
| Categoria | Dados Coletados | Quem |
|---|---|---|
| Usuários do sistema | Nome, e-mail, senha (hash bcrypt), cargo, empresa | Atendentes e gestores |
| Leads / Contatos | Número de telefone (WhatsApp), nome, histórico de mensagens, foto de perfil pública, transcrição de áudios enviados | Clientes finais atendidos pelo bot |
| Mídias de conversa | Áudios, imagens, vídeos e documentos enviados/recebidos nas conversas (armazenados em CDN — ver seção 5) | Leads e operadores |
| Formulários e pesquisas (WhatsApp Flows) | Respostas a formulários nativos e pesquisas de satisfação (NPS), incluindo comentários em texto livre | Leads que respondem aos formulários |
| Eventos de conversão (Meta Ads) | Quando a empresa-cliente ativa a integração: telefone/e-mail pseudonimizados (hash SHA-256), identificador de clique de anúncio, valor da venda — ver seções 5 e 6 | Leads vindos de anúncios |
| Dados de uso | Logs de acesso, IP, ações no painel, tokens consumidos pela IA | Todos os usuários |
| Empresa contratante | Razão social, CNPJ, e-mail de faturamento (dados de pagamento via gateway ASAAS) | Empresa cliente |
Utilizamos os dados para as seguintes finalidades:
| Tratamento | Base Legal (LGPD) |
|---|---|
| Atendimento e histórico de conversa dos leads via WhatsApp | Art. 7º, V — Execução de contrato/procedimento preliminar (o lead inicia o contato comercial) e/ou Art. 7º, IX — Legítimo interesse da empresa-cliente, definido por ela como Controladora |
| Coleta de dados sensíveis em formulários/NPS, quando aplicável | Art. 11, I — Consentimento específico e destacado, obtido pela empresa-cliente (Controladora) |
| Envio de eventos de conversão à Meta Ads (publicidade/mensuração) | Art. 7º, I — Consentimento e/ou Art. 7º, IX — Legítimo interesse, conforme definido pela empresa-cliente (Controladora) ao ativar a integração |
| Cadastro de usuários do sistema | Art. 7º, V — Execução de contrato |
| Logs de auditoria e segurança | Art. 7º, II — Cumprimento de obrigação legal |
| Análise de desempenho e melhoria da plataforma | Art. 7º, IX — Legítimo interesse do controlador |
| Faturamento e dados fiscais | Art. 7º, II — Cumprimento de obrigação legal |
A definição da base legal aplicável ao tratamento dos dados dos leads cabe à empresa-cliente (Controladora). Para apoiá-la, a plataforma permite que a empresa, ao receber um novo lead, envie os termos de consentimento ao titular pelo WhatsApp; o lead pode aceitar ou recusar para prosseguir, e o registro do aceite (data/hora e versão do termo) é armazenado no banco de dados, conforme o Art. 8º da LGPD. A ativação desse fluxo de consentimento é configurável pela empresa-cliente.
Para prestar o serviço, compartilhamos dados com os subprocessadores (suboperadores) listados abaixo, cada um com finalidade específica. Não vendemos, alugamos nem cedemos bancos de dados de leads a terceiros.
| Subprocessador | Finalidade | Dados tratados | País |
|---|---|---|---|
| Meta — WhatsApp Cloud API | Envio e recebimento de mensagens via WhatsApp Business | Telefone, nome, mensagens e mídias | EUA (transf. intl.) |
| Meta — Conversions API (Ads) | Mensuração e otimização de campanhas publicitárias (quando ativada pela empresa-cliente) | Telefone/e-mail pseudonimizados (hash SHA-256), identificador de clique de anúncio, valor da venda | EUA (transf. intl.) |
| Google — Gemini (IA) | Geração e assistência de respostas; transcrição de áudios (ver seção 7) | Conteúdo das conversas (texto e áudio), nome, status do lead | EUA (transf. intl.) |
| Cloudflare R2 | Armazenamento e entrega (CDN) das mídias das conversas | Áudios, imagens, vídeos e documentos das conversas | EUA (transf. intl.) |
| Calendly | Agendamento de reuniões/atendimentos | Nome, e-mail, telefone e dados do evento do lead | EUA (transf. intl.) |
| Google Calendar / Meet | Agendamento e videochamadas | Nome e e-mail do lead (convidado) | EUA (transf. intl.) |
| Resend | Envio de e-mails transacionais (notificações ao operador) | E-mail e nome do operador | EUA (transf. intl.) |
| Serviços de push (Google FCM, Apple, Mozilla) | Entrega de notificações push aos dispositivos | Endereço de push do dispositivo, título e corpo da notificação | EUA / global (transf. intl.) |
| Google Drive (via Rclone) | Cópia de segurança (backup) de logs de auditoria | Logs de auditoria | EUA (transf. intl.) |
| ASAAS | Processamento de assinaturas e pagamentos (boleto/Pix/cartão) | Dados de faturamento da empresa contratante | Brasil |
| Oracle Cloud Infrastructure | Hospedagem do servidor e banco de dados | Dados da plataforma em geral | Brasil (região São Paulo) |
Não armazenamos dados de cartão de crédito — o processamento de pagamento é feito diretamente pelo ASAAS.
Integração com a Meta Ads (Conversions API). Para que as empresas-clientes possam medir e otimizar o resultado de seus anúncios, a plataforma oferece uma integração com a Meta Conversions API (CAPI). Quando ativada, ela compartilha com a Meta Platforms eventos de conversão (por exemplo: lead qualificado, agendamento, compra), contendo identificadores pessoais pseudonimizados por hash criptográfico SHA-256 (telefone e e-mail), o identificador do clique de anúncio e dados como valor e moeda da venda. Esse compartilhamento é utilizado pela Meta para mensuração e para otimização de público (incluindo públicos semelhantes/Lookalike), o que caracteriza tratamento para finalidade publicitária.
Mídias das conversas (Cloudflare R2). As mídias trocadas nas conversas (áudios, imagens, vídeos e documentos) são armazenadas no serviço de objetos Cloudflare R2 e entregues por CDN. Como o WhatsApp e o painel exigem uma URL acessível para exibir esse conteúdo, os arquivos ficam disponíveis por um endereço (URL) de difícil adivinhação, mas não protegido por senha. Utilizamos caminhos não-enumeráveis como salvaguarda. A finalidade é exclusivamente a entrega da mídia via WhatsApp e a exibição no painel de atendimento. A exclusão de dados remove também os arquivos de mídia (ver nossa Política de Exclusão de Dados).
Para prestar o serviço, parte dos dados é tratada por fornecedores localizados fora do Brasil, principalmente nos Estados Unidos. São eles:
O atendimento do ZapIA é assistido por inteligência artificial generativa, fornecida pelo Google Gemini. Para gerar e sugerir respostas, qualificar o lead e oferecer recursos de copiloto ao atendente, o modelo de IA processa:
Esse processamento envolve transferência internacional de dados (servidores do Google, ver seção 6). Adotamos os princípios de minimização e segurança no envio dessas informações.
Em conformidade com o Art. 20 da LGPD, informamos que a plataforma realiza perfilamento e classificação automatizada de leads como ferramenta de apoio comercial. Especificamente, a IA:
A lógica geral baseia-se na análise de sinais de interesse e de objeção presentes na conversa. Não detalhamos o algoritmo específico por se tratar de segredo comercial, mas garantimos que ele não é utilizado para fins discriminatórios.
| Tipo de dado | Prazo padrão de retenção |
|---|---|
| Histórico de mensagens dos leads | Até 12 meses após o último contato (configurável pela empresa-cliente) |
| Dados do lead (nome, telefone) | Até 24 meses após o último contato (configurável pela empresa-cliente) |
| Logs de auditoria de tratamento | 5 anos (accountability — LGPD Art. 37) |
| Logs de acesso/conexão | 6 meses (Marco Civil da Internet, art. 15) |
| Dados de faturamento | 5 anos (obrigação fiscal) |
| Dados de usuários após cancelamento | 30 dias após encerramento do contrato |
| Cópias de segurança (backup) | Backup diário automático, mantendo as 7 cópias mais recentes no servidor + cópia em nuvem (Google Drive) |
Os prazos de retenção dos dados dos leads são configuráveis pela empresa-cliente (Controladora), dentro dos limites legais. Após o prazo, os dados são excluídos permanentemente ou anonimizados de forma irreversível.
Nos termos da LGPD (Art. 18), você tem os seguintes direitos:
Adotamos as seguintes medidas técnicas e organizacionais:
Em caso de incidente de segurança que afete dados pessoais, notificaremos os responsáveis e a ANPD no prazo legal (72 horas após ciência).
Nosso site institucional (zapiacrm.com.br) utiliza cookies e tecnologias semelhantes, divididos em duas categorias:
| Ferramenta | Finalidade | Dados coletados |
|---|---|---|
Google Analytics (ID G-CMS3M7MDWB) | Análise de audiência e comportamento de navegação (analytics) | Endereço IP, páginas visitadas, origem do acesso, identificadores de cookie (_ga) |
Meta Pixel (ID 1241757181418118) | Mensuração e otimização de anúncios; remarketing (marketing) | Endereço IP, navegação, eventos de página, identificadores de cookie (_fbp) |
Esses dados são transferidos para a Google e a Meta, que os tratam nos Estados Unidos (ver seção 6).
Prazo de retenção dos dados de análise. No Google Analytics, os dados em nível de evento são retidos por 2 meses e os dados de usuário por 14 meses, sendo automaticamente excluídos pela Google após esses períodos. Os dados de mensuração da Meta (Pixel) seguem as políticas de retenção da própria Meta.
Como recusar. Você pode bloquear ou apagar cookies nas configurações do seu navegador. Para os cookies de análise e marketing, você também pode utilizar os mecanismos de exclusão dos próprios fornecedores: o complemento de desativação do Google Analytics e as preferências de anúncios da Meta.
A plataforma de gestão (app.zapiacrm.com.br) utiliza tokens de sessão armazenados no localStorage do navegador, estritamente necessários para autenticação.
O ZapIA CRM é destinado exclusivamente a empresas e profissionais maiores de 18 anos. Não coletamos intencionalmente dados de menores. Se identificarmos que um contato é menor de idade, seus dados serão excluídos imediatamente.
Ao criar uma conta na plataforma, a empresa-cliente declara ter lido e aceito esta Política de Privacidade e os nossos Termos de Uso.
Esta política pode ser atualizada periodicamente. Alterações relevantes serão notificadas por e-mail aos clientes ativos com antecedência mínima de 15 dias. A data da última atualização está indicada no topo deste documento.
O uso continuado do serviço após a notificação constitui aceite das novas condições.
Para exercer seus direitos, esclarecer dúvidas sobre esta política ou obter informações sobre as salvaguardas de transferência internacional, entre em contato com o nosso Encarregado de Proteção de Dados (DPO).
ZapIA CRM Tecnologia — CNPJ 37.892.972/0001-48
Encarregado: Samuel Mendes
Canal de privacidade: [email protected]
Site: zapiacrm.com.br
Prazo de resposta: até 15 dias úteis