Política de Privacidade do Kavio CRM
1. Visão Geral
O Kavio CRM ("nós", "nosso", "Plataforma") é uma plataforma SaaS de CRM omnichannel que permite que empresas ("Cliente") gerenciem conversas com seus consumidores finais ("Usuários Finais") através de múltiplos canais, incluindo Instagram Direct, Facebook Messenger, TikTok Business Messaging e WhatsApp. Esta Política descreve como coletamos, usamos, armazenamos e protegemos dados pessoais.
A Feffer Negócios Digitais LTDA é responsável pela operação da Plataforma, pelas integrações e pelo tratamento dos dados abrangidos por esta Política.
Nos dados administrativos de acesso e operação das contas, a Feffer Negócios Digitais LTDA atua como controladora. Nos dados dos contatos e conversas gerenciados por cada Cliente, o Cliente é o controlador e a Feffer atua como operadora em seu nome.
2. Dados que Coletamos
2.1 Dados de Clientes (administradores da Plataforma)
- Nome completo, e-mail, telefone
- CNPJ/CPF e razão social
- Credenciais de acesso (senha criptografada com bcrypt)
- Dados de pagamento (processados por gateway PCI-DSS, não armazenamos números de cartão)
2.2 Dados de Usuários Finais (consumidores dos Clientes)
Quando um Cliente conecta seus canais (Instagram, Facebook, TikTok, WhatsApp) ao Kavio, recebemos dos respectivos provedores os seguintes dados sobre os Usuários Finais que iniciam conversas:
- Identificador da conta (ID Instagram/Facebook/TikTok)
- Nome de usuário (username) e nome de exibição
- Foto de perfil (URL pública)
- Conteúdo das mensagens trocadas (texto, mídia, reações)
- Metadados da conversa (timestamps, status de leitura)
Quando o Cliente ativa a central de comentários de uma conta conectada, tratamos também o texto dos comentários públicos de suas publicações, o nome e o identificador disponibilizados pelo provedor, a referência da publicação e do comentário, datas e o histórico das respostas publicadas pela equipe. A captura é opcional por conta. Receber um comentário não ativa, por si só, mensagens privadas ou respostas automáticas. Esses dados ficam no workspace do Cliente e seguem os controles de acesso e de exclusão desta Política.
2.3 Dados Técnicos
- Endereço IP, user agent, logs de acesso
- Cookies de sessão (essenciais ao funcionamento)
- Eventos de uso da Plataforma (analytics agregado)
3. Base Legal e Finalidades
Tratamos dados pessoais com base em (LGPD Art. 7º e GDPR Art. 6):
- Execução de contrato: entregar o serviço contratado pelo Cliente
- Legítimo interesse: segurança, prevenção a fraudes, melhoria do produto
- Consentimento: envio de comunicações de marketing (opcional)
- Obrigação legal: retenção fiscal, atendimento a autoridades
4. Compartilhamento de Dados
Não vendemos dados pessoais. Compartilhamos exclusivamente com:
- Provedores de infraestrutura: Supabase (banco de dados e armazenamento de mídia), Railway (API e serviços), Vercel (interface do CRM) e Cloudflare (site, entrega de conteúdo e encaminhamento de e-mail), conforme os serviços utilizados pelo Cliente
- Monitoramento técnico: Sentry recebe diagnósticos de falhas da API. Antes do envio, o Kavio filtra o evento para remover conteúdo de mensagens, credenciais, dados de contatos e detalhes de requisições.
- Recursos de voz: conforme a configuração do Cliente, textos para síntese de voz podem ser enviados à xAI ou ElevenLabs, e áudios para transcrição à OpenAI, apenas para executar o recurso solicitado.
- Plataformas de mensageria: Meta Platforms, Inc. (Instagram/Facebook), TikTok Pte. Ltd.: apenas o necessário para enviar/receber mensagens, conforme APIs oficiais
- Provedores de IA: Anthropic, OpenAI: quando o Cliente ativa o atendimento automatizado por IA, mensagens podem ser processadas por estas APIs (sem treinamento de modelo)
- Autoridades públicas: mediante ordem judicial ou requerimento legal
5. Transferência Internacional
Alguns provedores estão localizados fora do Brasil (EUA, União Europeia). Garantimos transferências em conformidade com LGPD Art. 33 e GDPR Cap. V, com Standard Contractual Clauses (SCCs) e adequação técnica.
6. Retenção de Dados
- Dados de Cliente ativo: enquanto durar o contrato + 5 anos para fins fiscais
- Mensagens de Usuários Finais: conforme política de retenção definida pelo Cliente (padrão: 24 meses)
- Logs técnicos: 6 meses
- Backups: 30 dias após exclusão lógica
7. Seus Direitos (LGPD/GDPR)
Como titular de dados, você pode:
- Confirmar a existência de tratamento
- Acessar seus dados
- Corrigir dados incompletos ou desatualizados
- Anonimizar, bloquear ou eliminar dados desnecessários
- Solicitar portabilidade
- Revogar consentimento
- Apresentar reclamação à ANPD ou autoridade equivalente
Para exercer estes direitos, envie e-mail para [email protected] ou use o formulário em kaviocrm.com/exclusao-de-dados.
8. Exclusão de Dados
Para solicitar a exclusão completa dos seus dados (incluindo dados obtidos via Meta ou TikTok), acesse: kaviocrm.com/exclusao-de-dados. Atendemos solicitações em até 15 dias.
9. Dados do Google (Google Agenda e Gmail)
Quando o Cliente conecta a conta Google dele ao Kavio CRM pelo botão Google, usamos a autorização do Google (OAuth 2.0), sem pedir a senha da conta. Na configuração alternativa por IMAP ou SMTP, pode ser necessária uma senha de aplicativo, conforme as regras do provedor; essa credencial fica criptografada.
9.1 O que acessamos e para quê
- Google Agenda: ler os horários ocupados e livres, listar as agendas da conta e criar, alterar ou cancelar eventos. Finalidade única: marcar e gerenciar reuniões entre o Cliente e os contatos dele dentro do CRM.
- Gmail: identificar o endereço autorizado e enviar mensagens em nome do Cliente. O botão Google de e-mail pede apenas autorização de envio, sem acesso à leitura da caixa pelo Gmail API. O recebimento no inbox é configurado separadamente por encaminhamento ou IMAP.
9.2 Uso limitado (Limited Use)
O uso que o Kavio CRM faz das informações recebidas das APIs do Google obedece à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Em termos diretos:
- usamos os dados apenas para entregar as funções descritas em 9.1, dentro da conta do Cliente;
- não vendemos esses dados, nem os usamos para publicidade, criação de perfil ou qualquer finalidade alheia ao CRM;
- não transferimos esses dados a terceiros, exceto quando necessário para prestar o serviço ao próprio Cliente, por exigência legal, ou com o consentimento expresso dele;
- não permitimos leitura humana desses dados, salvo com autorização expressa do Cliente, para resolver um problema que ele relatou, por exigência legal, ou sobre dados agregados e anonimizados usados em operações internas.
9.3 Modelos de inteligência artificial
Dados obtidos do Google não são usados para desenvolver, treinar ou aprimorar modelos de inteligência artificial, nossos ou de terceiros. Quando um recurso de IA do CRM processa um texto a pedido do Cliente, o conteúdo é enviado ao provedor do modelo apenas para gerar aquela resposta, e o provedor é contratualmente proibido de usá-lo para treinamento.
9.4 Armazenamento e exclusão
Os tokens de autorização ficam criptografados em repouso (AES-256). Na integração de e-mail, desconectar o envio remove as credenciais de saída armazenadas pelo Kavio e impede novos envios pelo canal. O recebimento e o histórico de conversas são preservados. Para revogar também a autorização concedida ao Google, o Cliente pode usar myaccount.google.com/permissions. A exclusão dos dados do CRM é solicitada pelo procedimento da seção 8.
10. Segurança
- Criptografia em trânsito (TLS 1.3) e em repouso (AES-256)
- Tokens de acesso armazenados criptografados
- Autenticação multifator disponível
- Logs de auditoria de acesso
- Testes de segurança periódicos
11. Cookies
Usamos cookies essenciais (sessão, autenticação) e analíticos (uso agregado). Cookies de marketing requerem consentimento ativo via banner.
12. Crianças e Adolescentes
O Kavio CRM não é direcionado a menores de 18 anos. Não coletamos dados intencionalmente de menores.
13. Alterações
Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail aos Clientes com 30 dias de antecedência.
14. Contato
Feffer Negócios Digitais LTDA
CNPJ: 48.520.343/0001-03
Encarregado de Dados (DPO): [email protected]