Política de Privacidade

O S-Flow é um software de gestão comercial operado por Demetrius Ferreira da Silva Consultoria em Tecnologia da Informação Ltda. (nome fantasia Synaxis Data), CNPJ 63.439.846/0001-42, com sede na Rua Pais Leme, 215, conj. 1713, Pinheiros, CEP 05424-150, São Paulo/SP, Brasil.

Há dois papéis distintos, e eles mudam quem responde pelo quê:

• Dados dos clientes contratantes (a empresa que assina o S-Flow e seus usuários internos): a Synaxis Data é controladora.
• Dados dos leads e clientes finais tratados dentro da plataforma: a empresa contratante é a controladora e a Synaxis Data atua como operadora, seguindo as instruções dela e o contrato firmado.

a) Conta e uso da plataforma. Nome, e-mail corporativo, organização, unidade, perfil de acesso, registros de autenticação e logs técnicos (data/hora, endereço IP, agente do navegador).

b) Dados de leads inseridos ou captados pelo contratante. Nome, telefone/WhatsApp, e-mail, interesse declarado, histórico de conversas e de atendimento, estágio no funil, valor de contrato e agendamentos.

c) Identificadores de publicidade e origem (first-party). Parâmetros UTM e identificadores de clique entregues pelas plataformas quando o visitante chega por um anúncio — fbclid e cookies _fbc/_fbp (Meta), gclid, gbraid e wbraid (Google), ttclid (TikTok) — além de endereço IP e agente do navegador no momento do envio do formulário. Servem exclusivamente para atribuir a origem do lead e medir o resultado do investimento.

d) Dados obtidos das plataformas de anúncio via API. Métricas agregadas das contas de anúncio autorizadas pelo contratante: nome, status, objetivo e orçamento de campanhas, investimento, impressões, cliques e conversões. Esses dados são estatísticos e não identificam pessoas.

Não tratamos intencionalmente dados sensíveis (art. 5º, II da LGPD) nem dados de menores de 16 anos sem o consentimento específico do responsável; quando o serviço do contratante envolve menores, os dados de contato são do responsável legal.

• Operar o CRM: registrar, organizar e acompanhar leads, atendimentos e agendamentos.
• Atender e lembrar por WhatsApp o contato que solicitou informação, incluindo lembretes de compromissos agendados.
• Medir a eficácia da publicidade: atribuir cada lead à campanha de origem e calcular custo por lead e por matrícula.
• Enviar conversões offline às plataformas de anúncio (ver seção 4), para que o anunciante saiba quais anúncios geraram resultado real.
• Gerar resumos e recomendações com apoio de inteligência artificial sobre desempenho comercial (seção 6).
• Cumprir obrigações legais, exercer direitos em processos e garantir a segurança da plataforma.

Bases legais (LGPD art. 7º): execução de contrato (I e V), legítimo interesse na medição e na segurança (IX), cumprimento de obrigação legal (II) e, quando aplicável, consentimento do titular (I) — notadamente para comunicação por WhatsApp e cookies não essenciais.

Quando um lead avança no funil (agendamento, comparecimento, contrato assinado), o S-Flow pode informar esse evento à plataforma que originou o clique, para medição de resultado. Nesse envio:

• os dados pessoais de contato (e-mail, telefone, nome) são convertidos em hash irreversível SHA-256 antes de sair da nossa infraestrutura — a plataforma consegue comparar, não ler;
• o identificador de clique (fbc/fbp, gclid, ttclid) é enviado como recebido, pois é ele que faz a correspondência com o anúncio;
• é enviado o tipo de evento, a data e, quando houver, o valor financeiro do contrato;
• cada envio fica registrado em log auditável na base do contratante, com o conteúdo transmitido e a resposta da plataforma.

Destinatários: Meta Platforms (Conversions API), Google (Google Ads API, importação de conversões offline) e TikTok (Events API), conforme os canais que o contratante ativar. O tratamento posterior por essas empresas é regido pelas políticas de privacidade delas.

O acesso às contas de anúncio acontece por autorização explícita do contratante (OAuth ou token emitido por ele), pode ser revogado por ele a qualquer momento e é restrito ao mínimo necessário. Declaramos que:

• os dados obtidos dessas APIs são usados apenas para exibir desempenho de campanhas ao próprio anunciante dentro do S-Flow e para enviar de volta as conversões dele;
• não vendemos esses dados, não os cedemos a terceiros, não os usamos para publicidade própria e não os combinamos com dados de outros anunciantes;
• não usamos dados obtidos dessas APIs para treinar modelos de inteligência artificial de propósito geral;
• os dados ficam segregados por organização (isolamento por linha no banco, com Row-Level Security), de modo que um contratante nunca acessa os dados de outro;
• ao término do contrato ou à revogação do acesso, interrompemos a coleta e eliminamos as credenciais.

A plataforma usa modelos de linguagem (Google Gemini e Anthropic Claude) para resumir desempenho comercial, sugerir textos de atendimento e apoiar decisões de mídia. Enviamos a esses provedores resumos agregados e trechos operacionais — não enviamos bases completas de contatos. Os provedores atuam como operadores, sob contrato que veda o uso do conteúdo para treinar seus modelos. A decisão final é sempre de um usuário humano; a IA propõe, não executa sozinha.

• Google Cloud / Firebase App Hosting — hospedagem da aplicação (região us-east4, EUA).
• Supabase — banco de dados PostgreSQL e autenticação.
• Resend — envio de e-mails transacionais (convite, redefinição de senha).
• Evolution API / WhatsApp — transmissão das mensagens de atendimento.
• Meta, Google e TikTok — medição de publicidade, conforme a seção 4.
• Google (Gemini) e Anthropic (Claude) — processamento de linguagem natural, conforme a seção 6.

Há transferência internacional de dados para os Estados Unidos e outros países onde esses fornecedores operam, com salvaguardas contratuais (cláusulas-padrão e compromissos de segurança), nos termos dos arts. 33 e 34 da LGPD.

Nas páginas de captação usamos cookies próprios (first-party) para preservar a origem da visita (_sflow_gclid, _sflow_fbclid, _sflow_ttclid e equivalentes) e cookies estritamente necessários para manter a sessão autenticada na plataforma. Cookies de medição podem ser recusados no banner da página de captação, sem prejuízo ao envio do formulário.

Dados de leads são mantidos enquanto durar o contrato com a empresa contratante e, depois, pelo prazo necessário ao cumprimento de obrigações legais ou ao exercício de direitos (em regra, 5 anos). Logs técnicos de acesso são mantidos por 6 meses (art. 15 do Marco Civil da Internet). Encerrado o contrato, os dados são eliminados ou devolvidos ao contratante em formato estruturado, a critério dele.

Tráfego cifrado em trânsito (TLS), segredos guardados em cofre gerenciado (Google Secret Manager), acesso ao banco restrito por Row-Level Security com isolamento por organização, autenticação com senha e sessão verificada no servidor, e registro auditável das operações sensíveis. Nenhum sistema é imune a incidentes: em caso de incidente de segurança relevante, comunicamos o contratante e a ANPD nos prazos legais.

O titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação de consentimento (LGPD art. 18). Escreva para privacidade@synaxisdata.ia.br. Respondemos em até 15 dias. Quando o pedido envolver dados de lead de um cliente contratante, encaminhamos a solicitação ao controlador e o apoiamos no atendimento.

Podemos atualizar esta política para refletir mudanças legais ou de produto. A data de última atualização fica no topo da página; mudanças materiais são comunicadas aos contratantes por e-mail.