Política de Privacidade

1. Quem somos

O Hepthos CRM é operado por GNS Tech Serviços LTDA, CNPJ 40.397.210/0001-80, Rua Antônio Drumond 392, Monte Castelo, Fortaleza – CE, CEP 60325-700, Brasil. Encarregado de dados (DPO): contato@gnstech.com.br.

Somos controladores dos dados de quem contrata o Hepthos CRM (lojistas e suas equipes). Para os dados dos clientes finais que conversam com o lojista, atuamos como operadores, em nome e seguindo as instruções do lojista, que é o controlador.

2. Dados que tratamos

• Do lojista e da equipe: nome, e-mail, telefone, papel na conta e registros de acesso.
• De cobrança: nome ou razão social, CPF ou CNPJ (no Brasil), e-mail de cobrança, país e o status da assinatura. Dados de cartão são tratados apenas pelos processadores de pagamento; o Hepthos CRM não os armazena.
• Credenciais de integração: chaves de IA, tokens do WhatsApp, do Instagram e de sistemas conectados — sempre cifradas.
• Dos clientes finais: número de telefone ou identificador do Instagram, nome e foto de perfil, conteúdo das mensagens (texto, áudio, imagem, comentários e respostas a stories) e as transcrições ou descrições geradas por IA a partir delas.
• De uso: registros técnicos e das ações do atendente de IA (por exemplo, consulta de estoque ou agendamento).

3. Para que usamos

Para prestar o serviço: receber e enviar mensagens, gerar respostas, transcrever áudios, descrever imagens, executar ações pedidas pelo cliente final e passar a conversa para a equipe do lojista. Também para cobrar a assinatura, prevenir fraude, dar suporte e mostrar métricas ao lojista. Não vendemos dados pessoais e não usamos as conversas para publicidade.

4. Base legal e retenção

Tratamos dados com base na execução de contrato, no legítimo interesse de operar e proteger o serviço, no cumprimento de obrigações legais (inclusive fiscais) e, quando exigido, no consentimento.

Cada lojista define por quanto tempo guarda as conversas; passado esse prazo, os dados são apagados automaticamente. Dados de cobrança são mantidos pelo prazo exigido pela lei fiscal.

5. Com quem compartilhamos

• Meta Platforms — API oficial do WhatsApp Business e API do Instagram, para receber e enviar mensagens.
• Provedores de IA escolhidos pelo lojista (Google, OpenAI, Anthropic ou Groq) — recebem o conteúdo necessário para gerar a resposta.
• Sistemas conectados pelo lojista (agenda, planilhas, ERP) — recebem só o necessário para a ação pedida.
• Infraestrutura em nuvem (Supabase e Amazon Web Services) — banco de dados e arquivos, com isolamento por cliente.
• Pagamentos — Asaas Gestão Financeira S.A. (Brasil) e Paddle.com (fora do Brasil, como revendedor e Merchant of Record).
• Serviços de e-mail transacional e de monitoramento de erros — sem acesso ao conteúdo das conversas.

6. Transferência internacional

Alguns desses fornecedores processam dados fora do Brasil (por exemplo, nos Estados Unidos e na União Europeia). Essas transferências seguem o art. 33 da LGPD, com cláusulas contratuais e fornecedores que adotam salvaguardas de proteção de dados.

7. Segurança

Os dados de cada cliente ficam isolados no banco (segurança por linha), credenciais são cifradas com AES-256-GCM e nunca aparecem em registros, e as notificações recebidas da Meta e dos meios de pagamento têm a assinatura verificada antes de qualquer processamento.

8. Cookies e armazenamento no navegador

O site e o painel usam apenas armazenamento essencial: a sessão de login e a preferência de idioma. Não usamos cookies de publicidade nem rastreamento de terceiros. O checkout do Paddle, quando aberto, pode usar cookies próprios necessários ao pagamento.

9. Seus direitos

Pela LGPD, você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação e informações sobre compartilhamento, além de revogar consentimento. Quem está em Israel tem os direitos da Lei de Proteção da Privacidade (inclusive após a Emenda 13), e quem está em outros países, os da lei local aplicável.

Clientes finais devem fazer o pedido ao lojista com quem conversaram, informando o número de telefone ou o perfil usado; nós apoiamos o lojista no atendimento. Lojistas podem escrever para contato@gnstech.com.br. Pedidos de exclusão feitos pelo Facebook seguem a página de exclusão de dados.

10. Crianças

O Hepthos CRM é um serviço para empresas e não se destina a menores de 18 anos como contratantes.

11. Alterações

Podemos atualizar esta política. A data no topo mostra a última versão; mudanças relevantes são avisadas no painel ou por e-mail.

12. Dados de contas Google (Agenda, Gmail, Planilhas e Drive)

Quando o administrador da empresa conecta uma conta Google em Integrações, o Hepthos CRM pede permissão apenas para as habilidades que ele ligar, cada uma na hora em que é ativada. Os acessos são:

• Agenda (calendar.events, calendar.freebusy, calendar.calendars.readonly e calendar.calendarlist.readonly): listar as agendas para a empresa escolher uma, consultar horários livres e criar eventos de agendamento pedidos pelo cliente final.
• E-mail (gmail.send): enviar e-mails em nome da empresa, como confirmações e orçamentos, quando o atendente os aciona. Não lemos nem listamos a caixa de entrada.
• Planilhas (spreadsheets.readonly): ler somente as planilhas que a empresa indicar, para responder a perguntas do cliente final, como preços e estoque. Não alteramos planilhas.
• Drive (drive.file): ler somente os arquivos que a empresa escolher na janela de seleção do Google, para o atendente responder com base neles. Não temos acesso aos demais arquivos do Drive e não alteramos nem apagamos nenhum arquivo.
• Login (openid, email e profile): identificar você quando entra com o Google.

Como guardamos: os tokens de acesso são cifrados com AES-256-GCM, só são decifrados em memória no momento de usar e nunca aparecem em logs. O resultado de cada consulta feita pelo atendente fica registrado na conversa (painel "Ações"), para a empresa auditar.

Como usamos e com quem compartilhamos: usamos os dados do Google somente para entregar essas funções à empresa. Não vendemos esses dados, não os usamos para publicidade e não os usamos para treinar modelos de IA. Trechos consultados podem ser enviados ao provedor de IA que a empresa configurou (Google Gemini, OpenAI, Anthropic ou Groq), com a chave da própria empresa, apenas para gerar a resposta ao cliente final.

Como remover: ao desconectar a conta em Integrações, apagamos os tokens do nosso sistema. A empresa também pode revogar o acesso a qualquer momento em myaccount.google.com/permissions. Para apagar os demais dados da conta, escreva para contato@gnstech.com.br.

O uso e a transferência, pelo Hepthos CRM, das informações recebidas das APIs do Google para qualquer outro app obedecerão à Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado.

13. Contato

Encarregado de dados (DPO): contato@gnstech.com.br.