Política de privacidade

1. Quem somos

O Duosis CRM é operado por DUOSIS SOLUCOES LTDA (“Duosis”, “nós”), inscrita no CNPJ sob o nº 62.626.322/0001-06, com endereço na Rua Marianna Bronnemann, 230, Sala 7.

Encarregado pelo Tratamento de Dados Pessoais (DPO): contato@duosis.com.br.

O Duosis CRM é um sistema de atendimento e vendas que conecta canais de WhatsApp e contas profissionais do Instagram de uma empresa a um painel único, com responsável, histórico e etapas de funil. O módulo opcional Duosis Ads permite organizar conteúdo e acompanhar campanhas nas contas Meta autorizadas pela empresa. O módulo opcional de agendamentos permite à equipe organizar reservas e publicá-las em um calendário Google ou iCloud autorizado pela empresa.

2. Nossos papéis: controladora e operadora

O Duosis CRM é vendido para empresas, e o tipo de responsabilidade que temos muda conforme o dado:

• Somos controladora dos dados de quem contrata e de quem usa o sistema: cadastro da empresa, nome, e-mail, telefone e perfil de acesso das pessoas do time, além dos registros de uso e cobrança. Decidimos como esses dados são tratados.
• Somos operadora do conteúdo que a empresa contratante coloca no sistema: conversas de WhatsApp e Instagram, contatos, arquivos, notas e atendimentos dos clientes finais dela. Nesse caso, a empresa contratante é a controladora e nós tratamos esses dados apenas seguindo as instruções dela e o contrato.

Se você é cliente de uma empresa que usa o Duosis CRM e quer saber o que é feito com a sua conversa, fale primeiro com essa empresa: é ela quem decide sobre esses dados. Ainda assim, podemos ajudar a encaminhar o pedido.

3. Dados que tratamos

3.1. Dados de cadastro e acesso

• Nome, e-mail, telefone e foto de perfil da pessoa usuária.
• Senha de acesso ao CRM, protegida por hash, sem armazenamento em texto legível.
• Nome da empresa, perfil de acesso (administrador, gestor, supervisor ou agente) e departamentos aos quais a pessoa pertence.

3.2. Dados de atendimento

• Número de telefone, nome e foto de perfil dos contatos que conversam com a empresa pelo WhatsApp. No Instagram, usamos os identificadores fornecidos pela plataforma para aquela conta profissional; um contato do Direct não precisa informar telefone.
• Conteúdo das mensagens trocadas: texto, imagem, vídeo, áudio, documento e figurinha, com data, hora e situação de envio.
• Dados do atendimento: número de protocolo, departamento, responsável, etiquetas, notas internas, etapa do funil e motivo de encerramento.

3.3. Dados técnicos

• Endereço IP, tipo de aparelho, navegador e sistema operacional usados para acessar o sistema.
• Registros de acesso e de ações relevantes dentro do painel, com autor e data, para fins de auditoria e segurança.
• Identificador do aparelho para envio de notificações, quando o aplicativo de celular é usado.

3.4. Dados das integrações Instagram, Facebook e Duosis Ads

• Identificadores e nome de usuário das contas profissionais conectadas, identificação do canal ou filial, permissões concedidas e validade da conexão. Credenciais de integração ficam protegidas no servidor.
• Mensagens e anexos recebidos ou enviados no Direct do canal autorizado, participantes, horários e confirmações disponibilizadas pela Meta.
• Rascunhos, legendas, arquivos de publicação, aprovações, agendamentos, identificadores de publicação e links para conteúdos publicados.
• Contas de anúncios selecionadas, campanhas, status, investimento e métricas disponíveis na Meta, além de vínculos com oportunidades registrados pela empresa no CRM.

3.5. Arquivos destinados à publicação pública

Ao enviar mídia na área de publicação do Duosis Ads, a cópia validada recebe uma URL pública para que a Meta consiga buscá-la. Essa URL pode ser acessada por quem a possuir, inclusive enquanto o conteúdo estiver como rascunho. Envie nessa área apenas arquivos destinados à divulgação; não use esse recurso para documentos sigilosos ou anexos de atendimento.

Os anexos de conversas do WhatsApp e do Direct usam armazenamento privado separado, com acesso controlado. Eles não são transformados em mídia pública de publicação por conectar a conta ao Duosis Ads.

Não pedimos nem precisamos de dados sensíveis (como saúde, religião ou opinião política). Se a empresa contratante inserir esse tipo de informação no sistema, ela é a única responsável pela decisão e pela base legal correspondente.

4. Para que usamos e com que base legal

Não vendemos dados pessoais e não usamos o conteúdo das conversas dos nossos clientes para publicidade nem para treinar modelos de inteligência artificial.

5. Com quem compartilhamos

Compartilhamos dados apenas com quem é necessário para o serviço funcionar, sempre no limite do que cada um precisa:

• Infraestrutura de nuvem — hospedagem dos servidores e do banco de dados do sistema.
• Armazenamento de arquivos — guarda das imagens, áudios, vídeos e documentos trocados nos atendimentos e das mídias destinadas à publicação, conforme a distinção entre acesso privado e público descrita acima.
• Meta e suas plataformas — dados necessários à autorização dos ativos, transmissão de mensagens, publicação do conteúdo aprovado e operações ou consultas de anúncios solicitadas pela empresa. A Meta também trata dados segundo suas próprias regras e políticas de privacidade.
• Serviço de notificações — envio de avisos para o aplicativo de celular.
• Meios de pagamento e contabilidade — processamento de cobranças e cumprimento de obrigações fiscais.
• Autoridades públicas — quando houver ordem judicial ou exigência legal. Nesse caso, avisamos a empresa contratante sempre que for permitido.

Todos os fornecedores são contratados com obrigação de confidencialidade e de tratar os dados apenas conforme nossas instruções. Se o Duosis CRM for transferido em decorrência de reorganização societária, os dados seguem protegidos por esta política até que a sucessora publique uma nova.

6. WhatsApp, Instagram e anúncios Meta

6.1. WhatsApp

A empresa escolhe os canais que conecta ao Duosis CRM. Na integração oficial com a WhatsApp Business Platform, a autorização é feita pelo fluxo da Meta e permite acessar os números e contas empresariais concedidos. Quando disponível o canal por sessão e QR Code, a conexão é identificada separadamente no painel. Credenciais e sessões são protegidas no servidor. A empresa deve respeitar o consentimento dos destinatários, os pedidos de descadastro e as regras de mensagens e modelos da plataforma.

6.2. Instagram e Duosis Ads

Cada Instagram profissional autorizado corresponde a um canal separado, que pode representar uma filial. O login e o consentimento acontecem na Meta; o CRM não pede a senha do Instagram ou do Facebook. O administrador define quem pode acessar o canal e se o atendimento no Direct está habilitado. A resposta pelo Direct depende de uma interação elegível do cliente e da janela permitida pela Meta.

Gerir conteúdo exige que o Duosis Ads esteja habilitado para a empresa, que a capacidade de conteúdo esteja ativa naquele canal e que a autorização da Meta inclua a publicação. Anúncios usam uma autorização própria de Facebook Login e a conta de anúncios selecionada. Conectar uma filial não concede acesso às contas de outras empresas.

6.3. Desconexão e pedidos de exclusão

Desconectar uma integração interrompe novos usos da credencial pelo CRM e desativa as operações vinculadas, preservando o histórico existente. A revogação do acesso e a exclusão dos dados são operações distintas.

Você pode solicitar a exclusão dos dados da integração pelos controles disponibilizados pela Meta ou pelo e-mail contato@duosis.com.br. Quando recebemos um pedido assinado do Instagram, verificamos a identidade e os canais abrangidos, registramos a solicitação e fornecemos um código e uma página de acompanhamento. A equipe de privacidade acompanha a análise e a execução do pedido; receber o protocolo não significa que os dados já foram apagados. A remoção abrange os dados importados dessa integração e suas cópias operacionais, incluindo mensagens, identificadores, anexos e mídias de publicação correspondentes. Só informamos a conclusão depois de verificar a execução do escopo do pedido.

Não apagamos dados de outro canal ou empresa com base no identificador de uma integração diferente. Pedidos relativos ao aplicativo Facebook, ao WhatsApp ou a outros registros do CRM são tratados pelo canal de privacidade, com verificação própria da titularidade. Dados comerciais obtidos de forma independente e registros sujeitos a obrigação legal podem ser preservados, sem manter cópias desnecessárias dos dados cuja exclusão foi solicitada. Consulte as instruções de exclusão e acompanhamento das integrações Meta.

Remover uma mídia do armazenamento do CRM impede novos acessos a essa cópia. A exclusão no CRM não retira automaticamente publicações ou cópias já disponibilizadas em redes sociais, caches ou serviços de terceiros; nesses casos também se aplicam os controles da plataforma correspondente.

As mensagens continuam sujeitas aos termos e à política de privacidade da Meta Platforms, Inc. A Duosis não tem vínculo, patrocínio ou endosso da Meta, e WhatsApp é marca registrada dela. Cabe à empresa contratante garantir que o uso da sua conta de WhatsApp respeita as regras da plataforma e que seus clientes foram informados de que a conversa é registrada em um sistema de atendimento.

6.1. Agendamentos e calendários Google/iCloud

A conexão de calendário é opcional e iniciada pelo administrador ou gestor da empresa em Configurações → Agendamentos. No Google, a própria conta autoriza o acesso na tela do Google. No iCloud, a empresa informa o e-mail da Conta Apple e uma senha específica de aplicativo, que fica cifrada no servidor. Não solicitamos a senha principal da Conta Apple.

• Consultamos identificadores e nomes dos calendários editáveis para permitir que a empresa escolha qual agenda Google ou iCloud receberá os eventos do CRM. Guardamos a identificação da conta, do calendário conectado e as credenciais necessárias para manter a conexão, protegidas no servidor.
• Publicamos nome do cliente, serviço, profissional, horário e situação do agendamento. Criar, remarcar ou cancelar uma reserva no CRM atualiza o evento correspondente no calendário. Observações internas, mensagens e anexos do CRM não são enviados.
• A sincronização parte do CRM. Não importamos eventos externos nem alterações feitas no Google ou iCloud, e compromissos criados fora do CRM não bloqueiam os horários da agenda interna. As pessoas que já têm acesso ao calendário da empresa podem visualizar os eventos publicados, conforme as permissões desse calendário.

Os dados obtidos das APIs do Google são usados apenas para a conexão e as funções de agenda solicitadas pela empresa. Nosso uso e eventual transferência desses dados seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo seus requisitos de Uso Limitado. Não vendemos esses dados, não os utilizamos para publicidade ou anúncios e não os utilizamos para treinar modelos de inteligência artificial. O acesso humano a dados da integração depende de autorização específica do usuário, necessidade de segurança ou obrigação legal, conforme essa política.

Para interromper novos envios, use Desconectar calendário nas configurações. A desconexão remove as credenciais da conexão no CRM; um envio já em andamento ainda pode terminar. As reservas internas e os eventos já publicados são mantidos. Também é possível revogar o acesso do aplicativo na Conta Google ou revogar a senha específica na Conta Apple. Pedidos de acesso, correção ou exclusão de dados podem ser enviados ao contato de privacidade indicado nesta política, com verificação da titularidade e do escopo do pedido.

7. Por quanto tempo guardamos

• Enquanto o contrato durar: dados de cadastro, contatos, mensagens e atendimentos ficam disponíveis no painel.
• Depois do encerramento: a empresa contratante tem 30 dias para exportar seus dados. Passado esse prazo, eles são apagados ou anonimizados em até 90 dias.
• Registros de acesso: guardados por 6 meses, conforme o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).
• Documentos fiscais e contábeis: guardados pelo prazo exigido pela legislação aplicável.

Também podemos manter dados pelo tempo necessário ao exercício regular de direitos em processo judicial, administrativo ou arbitral. Um pedido válido de exclusão dos dados de uma integração é tratado no seu próprio escopo, sem depender do encerramento do contrato inteiro. Eventuais restrições legais ou técnicas são informadas no acompanhamento ou na resposta da equipe de privacidade.

8. Como protegemos

• Comunicação cifrada em trânsito (HTTPS/TLS).
• Senhas guardadas com algoritmo de hash, sem possibilidade de leitura.
• Credenciais de integração cifradas, validação da autenticidade dos eventos recebidos e prevenção de reenvios duplicados.
• Separação lógica entre empresas: toda consulta ao banco é filtrada pela empresa de origem, de modo que uma não alcance os dados da outra.
• Controle de acesso por perfil e por departamento, verificado a cada requisição.
• Sessões de curta duração, renovadas em segundo plano, e registro de ações sensíveis.

Nenhum sistema é totalmente imune a incidentes. Se acontecer um incidente de segurança com risco relevante, comunicamos a empresa contratante e a Autoridade Nacional de Proteção de Dados nos prazos da LGPD.

9. Seus direitos

A LGPD garante a você, a qualquer momento e sem custo, o direito de pedir:

• Confirmação de que tratamos seus dados e acesso a eles.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei.
• Portabilidade dos dados a outro fornecedor.
• Eliminação dos dados tratados com consentimento, salvo nas hipóteses de guarda obrigatória.
• Informação sobre com quem compartilhamos seus dados.
• Revogação do consentimento e informação sobre as consequências de negá-lo.

Para exercer qualquer um deles, escreva para contato@duosis.com.br. Respondemos em até 15 dias. Podemos pedir informações adicionais para confirmar sua identidade antes de atender ao pedido — é uma proteção para você.

Quando o pedido envolver conversas ou contatos de uma empresa que usa o Duosis CRM, encaminhamos a solicitação a ela, que é a controladora desses dados.

10. Transferência internacional

Parte da nossa infraestrutura de hospedagem e de armazenamento de arquivos pode estar localizada fora do Brasil. Nesses casos, a transferência é feita nos termos do art. 33 da LGPD, com cláusulas contratuais que asseguram grau de proteção compatível com a lei brasileira.

11. Cookies e armazenamento local

Usamos cookies de autenticação e proteção da sessão, além de armazenamento local no navegador para preferências, dados básicos da sessão e rascunhos de mensagens. O estado de uma confirmação pendente do Direct pode ser guardado na sessão do navegador por um identificador, sem guardar ali a credencial da Meta ou a URL assinada do anexo. Em aparelhos compartilhados, encerre a sessão do CRM após o uso.

Não usamos cookies de publicidade nem de rastreamento entre sites. Bloquear os cookies essenciais impede o login.

12. Crianças e adolescentes

O Duosis CRM é uma ferramenta de trabalho e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos um cadastro nessa situação, ele será removido.

13. Mudanças nesta política

Podemos atualizar esta política para refletir mudanças no serviço ou na legislação. A data de vigência no topo da página sempre indica a versão atual. Quando a mudança for relevante, avisamos pelo painel ou por e-mail antes de ela passar a valer.

14. Legislação aplicável e foro

Esta política é regida pelas leis da República Federativa do Brasil, em especial pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) e pelo Marco Civil da Internet (Lei nº 12.965/2014).

Fica eleito o foro da comarca de Blumenau/SC para dirimir quaisquer controvérsias decorrentes desta política, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

15. Como falar com a gente

Dúvidas, pedidos ou reclamações sobre privacidade podem ser enviados para nosso Encarregado de Dados:

• E-mail: contato@duosis.com.br
• DUOSIS SOLUCOES LTDA — CNPJ 62.626.322/0001-06
• Rua Marianna Bronnemann, 230, Sala 7

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Veja também os Termos de uso do Duosis CRM.