Aviso de Privacidade — iai CRM

Aqui no iai CRM levamos a privacidade a sério. Antes mesmo de você navegar por nossos canais ou interagir com nossas equipes via WhatsApp ou Instagram, queremos que você saiba como tratamos seus dados pessoais.

Este Aviso de Privacidade aplica-se ao uso da plataforma iai CRM (sistema SaaS de gestão de relacionamento com clientes, operado por Lima & Melo Vestuário LTDA) e às interações que você (Titular dos dados) tenha com as empresas que utilizam a plataforma via canais oficiais (WhatsApp Business, Instagram Direct, email).

O documento foi elaborado em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD), com o Regulamento Geral sobre a Proteção de Dados europeu (GDPR) e com as exigências das plataformas Meta (WhatsApp Business Platform e Instagram Messaging API).

Pra facilitar o entendimento, esses são os termos que aparecem ao longo deste documento:

Anonimização:

Processo que remove a possibilidade de associar, direta ou indiretamente, um dado a um indivíduo identificado.

ANPD:

Autoridade Nacional de Proteção de Dados — órgão federal brasileiro responsável por fiscalizar o cumprimento da LGPD.

Cliente final:

Pessoa física que entra em contato com uma empresa usuária da plataforma via WhatsApp, Instagram, email ou outros canais — geralmente buscando informação sobre produtos, comprando ou recebendo pós-venda.

Controlador:

A quem competem as decisões sobre o tratamento de dados pessoais (no caso, Lima & Melo Vestuário LTDA).

iai CRM:

A plataforma SaaS desenvolvida e operada por Lima & Melo Vestuário LTDA para gerenciar atendimento, leads e vendas via WhatsApp e Instagram. Hospedada em Vercel + Supabase.

Dados Pessoais:

Informação relacionada a pessoa natural identificada ou identificável (nome, telefone, foto, mensagens, etc).

Dados Sensíveis:

Dados sobre origem racial, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos. NÃO coletamos esses dados.

IP:

Endereço de Protocolo de Internet — identificador numérico atribuído a cada dispositivo conectado à rede.

LGPD:

Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais.

Operador:

Pessoa que realiza o tratamento de dados pessoais em nome do Controlador (ex: Vercel, Supabase, Anthropic, Meta).

Site:

O domínio oficial da plataforma iai CRM, suas subpáginas e ambientes vinculados.

Tratamento:

Toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, etc).

Titular:

Pessoa natural a quem se referem os dados pessoais (você).

Usuário Interno:

Colaborador com acesso autorizado ao iai CRM (papéis admin ou colaborador).

WhatsApp Cloud API:

Plataforma oficial do WhatsApp Business operada pela Meta Platforms — usada pelo iai CRM para enviar e receber mensagens.

Instagram Messaging API:

Interface oficial do Instagram operada pela Meta Platforms — usada pelo iai CRM para receber e responder DMs.

Este Aviso aplica-se a:

• Clientes finais (pessoas físicas) que interagem com empresas usuárias da plataforma via WhatsApp, Instagram, email ou site.
• Usuários internos (colaboradores autorizados) que utilizam a plataforma iai CRM para atendimento e gestão.
• Visitantes do site da plataforma e suas subpáginas.

A Lima & Melo Vestuário LTDA é a Controladora dos dados pessoais tratados na plataforma iai CRM e nas interações com os Clientes finais via canais oficiais.

Essa empresa é a única autorizada a tomar decisões sobre o tratamento desses dados pessoais e responde administrativa e judicialmente por esse tratamento.

3.1. Dados que coletamos diretamente

3.1.1. Dados de acesso ao CRM (Usuários Internos)

Para que colaboradores autorizados possam acessar a plataforma, coletamos: nome, email corporativo, foto de perfil (via Google OAuth), papel (admin ou colaborador), endereço IP, registro de data/hora dos acessos.

3.1.2. Dados de atendimento (Clientes finais)

Quando você nos contata via WhatsApp ou Instagram, recebemos: número de telefone (E.164) ou @ do Instagram, nome de exibição público da plataforma, foto de perfil pública, mensagens trocadas (texto, áudio, imagem, vídeo, documentos), data/hora das interações, status de leitura/entrega, origem do contato (campanha de Meta Ads, link UTM, indicação).

3.1.3. Dados de pedido (quando aplicável)

Pra processar pedidos: produto escolhido, quantidade, especificações, personalização, endereço de entrega, forma de pagamento (sem expor número de cartão — pagamentos via Pix ou gateway terceiro), email para envio de NF-e.

3.1.4. Dados que NÃO coletamos

• Dados sensíveis (origem racial, religião, saúde, etc) — exceto se você voluntariamente compartilhar em mensagem.
• Localização precisa (GPS) sem seu consentimento explícito.
• Dados financeiros sensíveis (número de cartão, conta bancária) — pagamentos são processados por gateways terceiros.
• Dados de menores de 18 anos intencionalmente.

3.2. Cookies e tecnologias similares

O iai CRM utiliza apenas cookies essenciais para manter a sessão autenticada dos Usuários Internos. Não usamos cookies de rastreamento publicitário no painel administrativo.

Na primeira visita, exibimos um banner permitindo que você escolha entre "Apenas essenciais" e "Aceitar todos". Sua escolha fica registrada emlocalStoragedo seu navegador.

3.3. Logs de aplicação

Em conformidade com o Marco Civil da Internet (Lei nº 12.965/2014), mantemos registros técnicos de acesso (IP, data/hora, endpoint acessado) por 6 meses. Esses logs ficam armazenados em sistemas próprios e só são acessados mediante ordem judicial ou para investigação de incidentes de segurança.

3.4. Finalidades e bases legais

3.5. Veracidade dos dados

Você é responsável pela veracidade e atualização dos dados que nos fornece. Caso identifique dados incorretos ou desatualizados, pode solicitar correção a qualquer momento (ver Seção 7).

Não vendemos dados pessoais sob nenhuma hipótese. Compartilhamos apenas com prestadores de serviço técnicos essenciais para o funcionamento da plataforma (atuando como Operadores conforme LGPD Art. 5º, VII):

4.1. Transferência internacional

Como você pode notar acima, alguns Operadores estão sediados fora do Brasil. Nessas transferências internacionais, garantimos que sejam aplicadas cláusulas contratuais padrão e certificações reconhecidas conforme exigido pela LGPD (Art. 33-IX) e pelo GDPR (Standard Contractual Clauses).

O iai CRM pode conter links para conteúdo de terceiros (sites de fornecedores, parceiros, gateways de pagamento). Não nos responsabilizamos pela política de privacidade desses terceiros — recomendamos que você leia a política deles antes de fornecer seus dados.

Adotamos medidas técnicas e administrativas adequadas conforme LGPD Art. 46:

• Criptografia em trânsito: TLS 1.3 (HTTPS) em 100% das comunicações
• Criptografia em repouso: AES-256-GCM para tokens de canais
• Controle de acesso: Row Level Security (RLS) por workspace no Postgres
• Auditoria: log interno de toda alteração relevante (audit_log)
• Verificação HMAC-SHA256 em todos webhooks recebidos
• Rate limiting nos endpoints públicos para prevenir abuso
• Backup automático diário (retenção 7-30 dias)
• Senhas nunca armazenadas em texto puro
• Princípio do menor privilégio — colaboradores acessam apenas o necessário

Apesar de empregarmos medidas robustas, nenhum sistema é 100% imune a falhas. Em caso de incidente de segurança que afete seus dados pessoais, comunicaremos a ANPD e os Titulares afetados em até 72 horas, conforme LGPD Art. 48.

Você pode, a qualquer momento, exercer estes direitos gratuitamente:

• Confirmação: saber se tratamos seus dados
• Acesso: receber cópia completa dos dados que mantemos
• Correção: de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
• Portabilidade: receber seus dados em formato estruturado (JSON)
• Eliminação: dos dados tratados com seu consentimento
• Informação sobre compartilhamento: com quais Operadores compartilhamos
• Revogação do consentimento a qualquer momento
• Oposição a tratamento baseado em legítimo interesse
• Revisão de decisões automatizadas tomadas por IA (LGPD Art. 20)

Como exercer: envie email para contato@iaicrm.com com cópia de documento de identidade. Respondemos em até 15 dias úteis (LGPD Art. 19).

Para deletar dados vindos via Facebook/Instagram, você pode também solicitar diretamente em facebook.com/help/delete_account — o callback do nosso CRM (em/api/admin/data-deletion) processa automaticamente.

• Conversas e mensagens: 5 anos após a última interação
• Dados de venda (NF-e): 5 anos (CTN Art. 174 — obrigação fiscal)
• Logs de auditoria: 2 anos
• Logs de acesso (Marco Civil): 6 meses
• Cookies de sessão: 30 dias após último login
• Dados de pedido cancelado/não concretizado: 1 ano

Após esses prazos, anonimizamos ou excluímos automaticamente. Você pode solicitar exclusão antecipada via email do DPO (ver Seção 7).

Este Aviso pode ser alterado a qualquer momento, especialmente para se adequar a novas exigências legais ou a mudanças na plataforma. Notificaremos alterações relevantes com no mínimo 30 dias de antecedência por email para Usuários Internos ativos.

A versão vigente está sempre disponível em /privacy. Versões anteriores ficam arquivadas em log interno por 5 anos.

Este Aviso integra os Termos de Uso do iai CRM.

Para qualquer dúvida, sugestão, reclamação ou exercício de direitos:

Caso entenda que seus direitos não foram respeitados, pode reclamar à Autoridade Nacional de Proteção de Dados: gov.br/anpd