Política de Privacidade — ÁtimoCRM

1. Quem somos

O ÁtimoCRM é um serviço de gestão de relacionamento com clientes (CRM) operado por Marcos Gomes Vieira, empresário individual inscrito no CNPJ sob o nº 65.576.005/0001-02, com sede na Av. Senador Virgílio Távora, 99, Apt 2201, Meireles, Fortaleza/CE, CEP 60.170-265 (doravante "ÁtimoCRM", "nós" ou "Controlador").

Esta Política descreve como tratamos dados pessoais em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — "LGPD"), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor.

2. A quem esta Política se aplica

Esta Política aplica-se a toda pessoa que crie uma conta no ÁtimoCRM ou utilize qualquer parte do serviço disponível em https://atimocrm.com.br. O serviço é destinado exclusivamente a profissionais maiores de 18 anos para uso comercial. Não direcionamos o ÁtimoCRM a crianças ou adolescentes e não coletamos dados de menores de 18 anos de forma intencional.

3. Definições rápidas

• Titular: a pessoa física a quem os dados se referem.
• Dado pessoal: qualquer informação que identifique ou torne identificável uma pessoa física.
• Controlador: quem decide a finalidade e os meios do tratamento.
• Operador: quem trata os dados em nome do Controlador.
• ANPD: Autoridade Nacional de Proteção de Dados.

4. Quais dados coletamos

4.1. Dados que você nos fornece

Ao criar e usar sua conta, coletamos:

• Nome completo, e-mail, telefone e senha (esta última armazenada apenas como hash bcrypt — nunca em texto claro);
• Nome e, se preenchido, CPF/CNPJ da sua organização;
• Foto de perfil (opcional);
• Informações que você insere no produto: contatos, empresas, leads, anotações, tarefas, modelos de mensagens.

4.2. Dados gerados pelo seu uso

• Endereço IP, identificador de sessão, navegador e sistema operacional;
• Datas e horários de acesso, ações realizadas no sistema (logs de auditoria);
• Status de entrega/leitura das mensagens enviadas pelos módulos de WhatsApp e Instagram.

4.3. Dados dos seus contatos no CRM

Quando você insere dados de terceiros no ÁtimoCRM (clientes, leads, contatos), você é o Controlador desses dados e o ÁtimoCRM atua como Operador (art. 39 da LGPD), tratando-os exclusivamente conforme as suas instruções e para os fins do contrato de uso do serviço.

Nessa condição, é de sua responsabilidade exclusiva:

• Garantir base legal adequada (consentimento, execução de contrato, legítimo interesse, etc.) para a coleta e o tratamento dos dados que você inserir na plataforma;
• Manter sua própria política de privacidade visível aos titulares cujos dados você gerencia no ÁtimoCRM;
• Atender, nos prazos legais, às solicitações de exercício de direitos (acesso, correção, eliminação, portabilidade, entre outros) feitas por esses titulares;
• Informar aos titulares sobre qualquer compartilhamento de dados que você faça por meio das integrações ativadas no produto;
• Adotar medidas técnicas e administrativas de segurança compatíveis com a sensibilidade dos dados que tratará na plataforma, incluindo a guarda responsável das credenciais de acesso da sua equipe.

4.4. Dados pessoais sensíveis (art. 11 da LGPD)

O ÁtimoCRM não trata dados pessoais sensíveis de forma intencional como parte do funcionamento do serviço — não solicitamos informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dados referentes à saúde, vida sexual, orientação sexual, dados genéticos ou biométricos. Se você, como Controlador dos dados dos seus contatos no CRM, optar por inserir voluntariamente esse tipo de informação em campos livres (anotações, notas, mensagens), você assume a responsabilidade integral pela base legal e pelas salvaguardas adicionais exigidas pelo art. 11 da LGPD. Recomendamos fortemente que dados sensíveis não sejam armazenados na plataforma.

4.5. Direct do Instagram

Quando a sua organização conecta uma conta profissional do Instagram ao ÁtimoCRM (pelo login do Instagram, com as permissões instagram_business_basic e instagram_business_manage_messages), recebemos da Meta e tratamos, apenas para exibir e responder as mensagens do Direct dentro do ÁtimoCRM:

• Da conta conectada: o identificador da conta profissional, o nome de usuário (@), o nome, a foto de perfil e o token de acesso concedido pela Meta. O token é guardado cifrado, nunca aparece em registros e é renovado automaticamente enquanto a conta estiver conectada;
• Das pessoas que conversam com a conta: o identificador que a Meta atribui a cada pessoa para aquela conta, o nome, o @ e a foto de perfil, e o conteúdo das conversas (textos, imagens, vídeos, áudios e arquivos, além de reações, edições e confirmações de leitura);
• Publicações, reels e stories compartilhados na conversa ou que mencionem a conta: guardamos apenas o link informado pela Meta, sem copiar a mídia. A foto de perfil também é guardada só como link;
• Anúncios: quando a conversa começa por um anúncio do Instagram, os dados do anúncio informados pela Meta (identificador e título), para indicar a origem do lead.

O ÁtimoCRM não usa esses dados para publicidade, não os vende e não os usa para treinar modelos de inteligência artificial. Não publicamos conteúdo nem lemos comentários, seguidores ou métricas da conta. Mensagens só saem em nome da conta quando alguém da equipe responde, ou quando uma automação ou o agente de IA ativados pela organização respondem, sempre dentro das regras da Meta (em geral, até 24 horas depois da última mensagem da pessoa). Quando uma pessoa apaga uma mensagem que enviou pelo Instagram, apagamos o conteúdo e o arquivo dessa mensagem no ÁtimoCRM assim que a Meta nos avisa. Sobre os dados das pessoas que conversam com a conta, a organização é a Controladora e o ÁtimoCRM é o Operador, como no item 4.3.

4.6. Sentinela (avaliação do atendimento por inteligência artificial)

Quando a sua organização ativa a Sentinela, as conversas de WhatsApp e Instagram atendidas pela equipe são analisadas por modelos de inteligência artificial da OpenAI para avaliar o atendimento de cada vendedor, montar os relatórios do dia e da semana e sugerir mensagens durante a conversa. Para isso tratamos:

• o texto das mensagens dessas conversas e os áudios, que são transcritos (a transcrição fica guardada para não ser feita de novo);
• quando alguém pede o Raio-X de um lead, também os dados do lead (funil, etapa, valor e responsável), as tarefas pendentes e as anotações do contato;
• o resultado de cada avaliação: notas, pontos fortes, sugestões de melhoria e pequenos trechos da conversa citados como evidência. A conversa inteira não é copiada para as avaliações.

Os gestores da organização veem as avaliações de toda a equipe; cada vendedor vê só as próprias. Conversas de grupo não são analisadas. A organização pode desligar a Sentinela e apagar todas as avaliações, relatórios, dicas e transcrições a qualquer momento em Configurações → Sentinela. Sobre esses dados, a organização é a Controladora e o ÁtimoCRM é o Operador, como no item 4.3.

5. Por que tratamos seus dados (finalidades)

• Criar e manter sua conta e a da sua organização;
• Autenticar acessos e proteger contra fraude e uso indevido;
• Prestar as funcionalidades contratadas (pipeline, conversas de WhatsApp e Instagram, importações, tarefas e, quando ativada, a avaliação do atendimento pela Sentinela);
• Enviar comunicações operacionais (códigos de verificação, recuperação de senha, alertas de segurança);
• Cumprir obrigações legais, regulatórias e fiscais;
• Aprimorar o serviço com base em métricas de uso agregadas, sem identificar usuários individualmente.

6. Bases legais (art. 7º da LGPD)

• Execução de contrato — para tudo que é necessário para o ÁtimoCRM funcionar para você (criação de conta, prestação das funcionalidades, cobrança quando aplicável).
• Consentimento — para o aceite desta Política e para comunicações não-operacionais que você venha a optar por receber.
• Cumprimento de obrigação legal — para guarda de registros fiscais e de logs exigidos por lei.
• Legítimo interesse — para prevenção a fraudes, segurança da plataforma e melhorias agregadas, sempre respeitando seus direitos e liberdades.

7. Com quem compartilhamos seus dados (operadores)

Para operar o serviço, contratamos terceiros que tratam dados pessoais estritamente em nosso nome e sob nossas instruções:

• Railway Corp. (Estados Unidos) — hospedagem da aplicação, do banco de dados PostgreSQL e do armazenamento de arquivos (mídias do WhatsApp e do Instagram).
• Resend, Inc. (Estados Unidos) — envio de e-mails transacionais (códigos de verificação, recuperação de senha, alertas).
• Meta Platforms Ireland Ltd. (Irlanda) — quando você conecta sua linha de WhatsApp ou sua conta profissional do Instagram ao ÁtimoCRM, integramos com esses serviços por meio de interfaces autorizadas pela Meta. As mensagens trocadas seguem também as políticas de privacidade do WhatsApp e do Instagram.
• Google LLC (Estados Unidos) — quando a sua organização ativa a detecção automática de agendamentos do Radar Comercial, trechos das conversas são analisados pelo modelo de inteligência artificial Gemini, pela API do Google, apenas para identificar agendamentos.
• Agente de atendimento com IA (Átimo IA) — quando a sua organização ativa o agente, as mensagens das conversas que ele atende são enviadas ao serviço Átimo IA para gerar as respostas.
• OpenAI (Estados Unidos) — quando a sua organização ativa a Sentinela (item 4.6), as conversas analisadas, os áudios a transcrever e os dados do lead usados no Raio-X são enviados à API da OpenAI para gerar as avaliações, os relatórios e as sugestões de mensagem.

Não vendemos, alugamos ou cedemos dados pessoais a terceiros para fins de marketing. Compartilhamos dados com autoridades públicas apenas mediante ordem judicial, requisição legal ou para defesa de direitos.

7.1. Integrações ativadas por você

O ÁtimoCRM permite que você ative integrações com plataformas externas — por exemplo, o envio de mensagens via WhatsApp, a importação de planilhas e o uso de chaves de API (API Keys) para conectar sistemas próprios (ERPs, automações, formulários). A ativação dessas integrações é decisão exclusiva sua, na qualidade de Controlador dos dados que decide trafegar por cada canal.

Os dados pessoais que transitam por essas integrações passam a ser governados também pelos termos de uso e políticas de privacidade das respectivas plataformas de destino, sobre as quais o ÁtimoCRM não exerce controle nem ingerência. Antes de ativar uma integração, recomendamos revisar os termos da plataforma envolvida e adequar o aviso de privacidade que você mantém perante seus próprios titulares ao novo fluxo de dados.

8. Transferência internacional de dados (art. 33 da LGPD)

Como os operadores listados acima estão sediados fora do Brasil (Estados Unidos e Irlanda), seus dados podem ser transferidos internacionalmente. Essas transferências ocorrem com base nas hipóteses legais do art. 33, em especial a execução de contrato do qual o titular é parte.

9. Cookies e armazenamento local

Usamos exclusivamente cookies e armazenamento local estritamente necessários para o funcionamento da conta (manutenção da sessão, tokens de autenticação e preferências de interface). Não utilizamos cookies de publicidade, rastreamento de terceiros, Google Analytics, pixel da Meta ou ferramentas similares.

10. Por quanto tempo guardamos seus dados

• Dados da conta e do CRM: mantidos enquanto a conta estiver ativa. Após o cancelamento, são eliminados em até 30 dias, ressalvadas as retenções abaixo.
• Dados fiscais e contábeis: 5 anos, contados do fato gerador, conforme o art. 173 do Código Tributário Nacional.
• Logs de acesso à aplicação: 6 meses, conforme o art. 15 do Marco Civil da Internet.
• Backups: ciclos de retenção rotativos de até 30 dias após o expurgo do ambiente de produção.
• Instagram: o token de acesso é apagado assim que a conta remove o acesso do ÁtimoCRM pelo Instagram ou quando a conexão é excluída. As conversas ficam com a organização enquanto a conta do ÁtimoCRM estiver ativa, salvo pedido de exclusão (item 12.1).
• Sentinela: as avaliações, os relatórios, as dicas e as transcrições de áudio ficam com a organização enquanto a conta estiver ativa, ou até os gestores apagarem esses dados em Configurações → Sentinela.

11. Como protegemos seus dados

Aplicamos medidas técnicas e organizacionais proporcionais ao risco, incluindo:

• Criptografia em trânsito (TLS) em todas as comunicações com a aplicação;
• Senhas armazenadas com hash bcrypt (custo 12) — nunca em texto claro;
• Tokens de acesso do WhatsApp e do Instagram guardados cifrados (AES-256-GCM);
• Conferência da assinatura de todo aviso (webhook) recebido da Meta;
• Autenticação por tokens JWT de curta duração com refresh rotativo;
• Verificação por código de e-mail no acesso a novas organizações;
• Controle de acesso por papéis (OWNER, ADMIN, MEMBER) e isolamento de dados por organização;
• Registros de auditoria das ações sensíveis;
• Limitação de taxa de requisições para mitigar abusos.

Nenhum sistema é absolutamente imune a incidentes. Caso ocorra incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável a partir da confirmação do evento — e em todo caso conforme os critérios do art. 48 da LGPD — comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD), informando, no mínimo:

• A descrição da natureza dos dados pessoais afetados;
• A indicação dos titulares envolvidos, quando possível;
• As medidas técnicas e de segurança utilizadas para a proteção dos dados;
• Os riscos relacionados ao incidente;
• As medidas adotadas ou a serem adotadas para reverter ou mitigar os efeitos do incidente.

Suspeitas de incidente de segurança envolvendo o ÁtimoCRM podem ser reportadas ao e-mail suporte@atimocrm.com.br com o assunto"Incidente de Segurança" — analisamos com prioridade.

12. Seus direitos como titular (art. 18 da LGPD)

Você pode, a qualquer momento e gratuitamente:

• Confirmar a existência de tratamento de seus dados;
• Acessar os dados que mantemos sobre você;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Solicitar a portabilidade dos seus dados a outro fornecedor;
• Solicitar a eliminação de dados tratados com base no seu consentimento;
• Obter informação sobre com quem compartilhamos seus dados;
• Ser informado sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• Revogar o consentimento a qualquer momento.

Para exercer qualquer desses direitos, escreva para suporte@atimocrm.com.br. Responderemos no prazo legal de 15 dias, podendo ser estendido em caso de complexidade justificada.

12.1. Como pedir a exclusão dos dados do Instagram

• Conta profissional conectada: no Instagram, abra Configurações → Apps e sites, remova o ÁtimoCRM e peça a exclusão dos dados. A Meta nos avisa na hora: o acesso é cortado e as conversas, mensagens e mídias do Instagram dessa conta são apagadas do ÁtimoCRM. Os contatos e leads que a organização criou continuam no CRM, sem o @ e a foto do Instagram. O pedido recebe um código de confirmação e uma página para acompanhar a situação. Os gestores da organização também podem pedir a exclusão pelo suporte@atimocrm.com.br.
• Pessoa que conversou com uma empresa pelo Direct: a empresa é a Controladora desses dados; peça a exclusão diretamente a ela. Se preferir, escreva para suporte@atimocrm.com.br informando o seu @ e a empresa, e encaminharemos o pedido.

13. Encarregado de Proteção de Dados (DPO)

O Encarregado pelo Tratamento de Dados Pessoais do ÁtimoCRM pode ser contatado pelo e-mail suporte@atimocrm.com.br. Em casos que envolvam a ANPD, indique no assunto da mensagem "LGPD — DPO" para que sua solicitação seja priorizada.

14. Crianças e adolescentes

O ÁtimoCRM não se destina a menores de 18 anos. Se identificarmos que coletamos dados de um menor sem o devido amparo legal, eliminaremos os dados imediatamente. Se você é responsável legal e acredita que um menor sob sua guarda forneceu dados ao ÁtimoCRM, entre em contato pelo canal indicado acima.

15. Alterações nesta Política

Podemos atualizar esta Política para refletir mudanças no serviço, na legislação ou em nossos operadores. Mudanças relevantes serão sinalizadas no próximo acesso à plataforma por meio de aviso bloqueante, exigindo seu novo aceite para continuar usando o ÁtimoCRM. O histórico de versões fica registrado ao final deste documento e o aceite de cada versão é registrado na sua conta com data e hora.

16. Lei aplicável e foro

Esta Política é regida pelas leis da República Federativa do Brasil. Fica eleito o foro da Comarca de Fortaleza/CE para dirimir quaisquer controvérsias decorrentes desta Política, sem prejuízo do direito do titular consumidor de optar pelo foro do seu domicílio.