Proteção de dados

Tradução fornecida apenas para fins informativos; somente a versão em alemão é vinculante.

Versão 2026-11-09

Âmbito de aplicação desta política de privacidade

Esta política de privacidade aplica-se exclusivamente ao site oficial da Customermates e ao serviço de nuvem gerenciado operado por Benjamin Wagner, ainda que esse serviço seja disponibilizado em outro domínio ou sob outra marca operada por ele. Ela não descreve nenhum tratamento realizado por um administrador independente de uma instalação self-hosted.

Um administrador independente de uma instalação self-hosted define por conta própria suas finalidades, sua infraestrutura, seus prestadores de serviços, os destinatários, o prazo de armazenamento e as bases legais, e deve fornecer suas próprias informações sobre proteção de dados. Benjamin Wagner não recebe conteúdos do CRM só porque um administrador independente instala ou atualiza o software. Se esta política de privacidade for exibida dentro de uma build self-hosted, ela serve apenas como referência ao fornecedor de origem e não substitui o aviso do próprio administrador.

1. Proteção de dados em resumo

Informações gerais

As informações a seguir oferecem uma visão geral simples do que acontece com os seus dados pessoais quando você visita este site. Dados pessoais são todos os dados com os quais você pode ser identificado pessoalmente. Informações detalhadas sobre o tema da proteção de dados estão na nossa política de privacidade, apresentada abaixo deste texto.

Coleta de dados neste site

Quem é responsável pela coleta de dados neste site?

O tratamento de dados neste site é realizado pelo administrador do site. Os dados de contato dele estão na seção “Informação sobre o controlador”, nesta política de privacidade.

Como coletamos os seus dados?

Por um lado, os seus dados são coletados quando você nos informa. Pode ser o caso, por exemplo, de dados que você insere em um formulário de contato. Outros dados são coletados automaticamente ou após o seu consentimento, quando você visita o site, pelos nossos sistemas de TI. São sobretudo dados técnicos (por exemplo, navegador, sistema operacional ou horário do acesso à página). Esses dados são coletados automaticamente assim que você entra neste site.

Para que usamos os seus dados?

Parte dos dados é coletada para garantir que o site seja disponibilizado sem erros. Outros dados são coletados de forma agregada para medir o uso do site. Se for possível celebrar ou iniciar contratos por meio do site, os dados enviados também são tratados para propostas contratuais, pedidos ou outras solicitações de serviço.

Quais direitos você tem em relação aos seus dados?

Você tem o direito de obter, a qualquer momento e sem custo, informações sobre a origem, os destinatários e a finalidade dos seus dados pessoais armazenados. Você também tem o direito de solicitar a retificação ou a exclusão desses dados. Se você tiver dado consentimento ao tratamento de dados, poderá revogá-lo a qualquer momento, com efeito para o futuro. Além disso, em determinadas circunstâncias, você tem o direito de solicitar a limitação do tratamento dos seus dados pessoais. Você também tem o direito de apresentar reclamação à autoridade de controle competente. Para isso, e para outras dúvidas sobre proteção de dados, você pode entrar em contato conosco a qualquer momento. Ferramentas de análise e de terceiros: o uso do site público gerenciado é medido de forma agregada. Nas páginas de conteúdo público da nuvem gerenciada, as indicações de afiliados são atribuídas com o script padrão da Lemon Squeezy. As tags de publicidade e de análise do Google permanecem desativadas; após o consentimento, a Customermates pode armazenar, para cada plataforma de publicidade, um único identificador de clique para atribuição própria (first-party) e informar resultados a essa plataforma. Um informe desse tipo conteria esse identificador de clique, que por si só é um dado pessoal, e nenhum outro dado diretamente identificável: nenhum nome, nenhum endereço de e-mail e nenhum identificador de dispositivo. Os detalhes estão abaixo.

2. Hospedagem e prestadores de serviços de infraestrutura

Hospedamos e operamos o nosso site e o nosso aplicativo junto aos seguintes provedores:

Vercel

O provedor é a Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, EUA (a seguir “Vercel”). Quando você visita o nosso site, a Vercel trata dados de requisição e de registro, incluindo endereços IP, para hospedar e proteger o site e o aplicativo web. No serviço gerenciado, a Vercel também armazena os arquivos que os usuários enviam para campos de arquivo de registros em um armazenamento privado Vercel Blob, conforme descrito na seção 8. O Vercel Web Analytics é descrito separadamente na seção 4 e, segundo a Vercel, não usa cookies. Os cookies necessários para o login na conta e para as funções do aplicativo são definidos pela Customermates; eles não são atribuídos ao Vercel Web Analytics. Para mais detalhes, consulte a política de privacidade da Vercel: https://vercel.com/legal/privacy-notice.

Para os dados pessoais que a Customermates trata como controladora, a hospedagem pela Vercel baseia-se no art. 6, nº 1, alínea f, do GDPR, porque temos interesse legítimo em disponibilizar o nosso site de forma confiável e segura e, na medida em que for necessário para prestar o nosso serviço contratual, no art. 6, nº 1, alínea b, do GDPR. Quanto aos conteúdos sob responsabilidade do cliente, é o cliente quem determina a base legal; a Customermates trata esses dados conforme instrução documentada, no âmbito do contrato de tratamento de dados. O armazenamento de informações no dispositivo de um usuário, ou o acesso a elas, é tratado separadamente abaixo, em “Cookies”.

A transferência de dados pessoais para os EUA baseia-se nas cláusulas contratuais-padrão da Comissão Europeia de 2021 (Decisão de Execução (UE) 2021/914), nos termos do art. 46 do GDPR, que integram o Anexo 3 do Data Processing Addendum da Vercel. Esse aditivo pode ser consultado em https://vercel.com/legal/dpa.

Tratamento por operador

Celebramos um contrato de tratamento de dados (DPA) para o uso do serviço mencionado acima, na forma do Data Processing Addendum da Vercel, que se aplica ao nosso plano Pro. Trata-se de um contrato exigido pela legislação de proteção de dados, segundo o qual a Vercel trata os dados pessoais dos visitantes do nosso site conforme as nossas instruções e em conformidade com o GDPR. Nos termos do item 4 desse aditivo, a Vercel é controladora independente quanto aos dados gerados pelo serviço e aos dados de contato, e os trata sob responsabilidade própria, conforme a sua própria política de privacidade.

Neon

Para disponibilizar e administrar o nosso banco de dados, usamos o serviço gerenciado de PostgreSQL Neon, com base em um contrato com a Databricks, Inc., controladora da Neon, LLC (a seguir “Neon”). A Neon disponibiliza o banco de dados PostgreSQL gerenciado, no qual os dados do nosso aplicativo são armazenados.

A Customermates configurou o seu banco de dados principal de produção na região AWS de Frankfurt (eu-central-1). Trata-se de uma configuração de produto escolhida, e não de uma residência de dados garantida por contrato. A Databricks, as suas empresas afiliadas e os respectivos suboperadores utilizados podem tratar dados a partir de outros países, ou acessá-los, conforme as informações a seguir.

Para os dados pessoais que a Customermates trata como controladora, o tratamento pela Neon baseia-se no art. 6, nº 1, alínea b, do GDPR, na medida em que for necessário para prestar os nossos serviços contratuais, e no art. 6, nº 1, alínea f, do GDPR, em razão do nosso interesse legítimo em uma operação confiável e segura do aplicativo. Quanto aos conteúdos sob responsabilidade do cliente, é o cliente quem determina a base legal; a Customermates trata esses dados conforme instrução documentada. A Neon trata ambas as categorias por nossa conta, no âmbito de um contrato de tratamento de dados nos termos do art. 28 do GDPR. Nossa contraparte contratual é a Databricks, Inc., Estados Unidos. O contrato é composto pelo Neon Platform Services Product Specific Schedule (https://neon.com/platform-terms), que incorpora o Databricks Master Cloud Services Agreement (https://www.databricks.com/legal/mcsa) e o Databricks Data Processing Addendum (https://www.databricks.com/sites/default/files/legal/dpa-20230721.pdf) e é aceito com o uso do serviço.

A Databricks, Inc. e a sua empresa afiliada Neon, LLC têm sede nos Estados Unidos; por isso, não se exclui um acesso a partir dos Estados Unidos para administração, manutenção e suporte. O Neon Platform Services Product Specific Schedule, na versão de 5 de agosto de 2026, indica a Grafana Labs, nos Estados Unidos, além dos suboperadores da lista atual da Databricks em https://www.databricks.com/legal/databricks-subprocessors. Essa lista abrange infraestrutura de nuvem, suporte, comunicação e empresas afiliadas técnicas ou operacionais nos países ali indicados, e designa alguns provedores de nuvem e de IA como escolhidos pelo cliente. A Customermates usa a Neon exclusivamente como banco de dados PostgreSQL gerenciado na região AWS de Frankfurt selecionada e não escolheu nenhum serviço da Databricks baseado em IA para esse tratamento. Para transferências limitadas à Databricks, o Databricks Data Processing Addendum incorpora as cláusulas contratuais-padrão da Comissão Europeia de 2021 (Decisão de Execução (UE) 2021/914), nos termos do art. 46 do GDPR.

Tratamento por operador

Celebramos um contrato de tratamento de dados (DPA) para o uso do serviço mencionado acima. Trata-se de um contrato exigido pela legislação de proteção de dados, que garante que a Neon trate, somente conforme as nossas instruções e em conformidade com o GDPR, tanto os dados pessoais pelos quais somos controladores quanto os conteúdos de contas conectadas que tratamos, nos termos da seção 6, por conta dos nossos clientes e em relação aos quais a Neon é suboperadora.

Forward Email (hospedagem de e-mails operacionais)

Para os e-mails recebidos nos nossos próprios endereços operacionais em @customermates.com, usamos a Forward Email, LLC, 16192 Coastal Hwy, Lewes, DE 19958, EUA (https://forwardemail.net/en) como nossa caixa de correio operacional hospedada definitiva. As mensagens são recebidas e armazenadas na Forward Email; não é usado nenhum provedor de caixa de correio separado a jusante. O serviço não é usado para conectar caixas de correio de clientes, contas de mensagens ou calendários e, em regra, não recebe registros do CRM.

A Forward Email pode tratar endereços de remetente e de destinatário, conteúdos de mensagens, anexos, cabeçalhos, metadados de entrega e de segurança, bem como dados associados de conta, domínio e alias. Em regra, trata-se de correspondência operacional no nível do controlador. Se um cliente incluir em uma solicitação de suporte ou de feedback dados pessoais abrangidos pelo nosso contrato de tratamento de dados, a Forward Email também trata esse trecho limitado, como suboperadora. Para a correspondência no nível do controlador, as nossas bases legais são o art. 6, nº 1, alínea f, do GDPR (o nosso interesse legítimo em uma infraestrutura de e-mail operacional segura e confiável) e, na medida em que for necessário para uma relação contratual, o art. 6, nº 1, alínea b, do GDPR. Para um trecho abrangido pelo nosso contrato de tratamento de dados, é o cliente quem determina a base legal; nós o tratamos conforme as instruções documentadas do cliente.

O contrato de tratamento de dados padrão da Forward Email é aceito eletronicamente por meio dos seus termos de uso e incorpora, para as transferências pertinentes, as cláusulas contratuais-padrão da UE. A Forward Email tem sede nos EUA, de modo que dados pessoais podem ser tratados em um país terceiro. Mais informações estão nos termos de uso, no contrato de tratamento de dados e na política de privacidade da Forward Email.

Resend

Para o envio de e-mails transacionais e de conta, usamos o serviço Resend, oferecido pela Plus Five Five, Inc. (que atua sob o nome Resend), 2261 Market Street #5039, San Francisco, CA 94114, EUA (a seguir “Resend”).

Usamos a Resend exclusivamente para e-mails de serviço necessários para operar a sua conta e cumprir o nosso contrato com você. Isso inclui, em especial, a confirmação do seu endereço de e-mail, e-mails de redefinição de senha, convites para uma conta de empresa, avisos sobre o período de teste e sobre o status da sua conta e das suas contas conectadas, comunicações sobre atualização dos termos de uso, do DPA, da política de privacidade ou dos suboperadores, e notificações internas para nós, por exemplo sobre um novo cadastro, uma solicitação recebida pelo formulário de contato, um feedback ou uma solicitação de suporte. Para isso, são tratados o endereço de e-mail do destinatário, os dados de nome e de conta contidos na respectiva mensagem, o conteúdo da mensagem e os metadados técnicos de envio e de entrega.

A base legal é o art. 6, nº 1, alínea b, do GDPR, na medida em que o e-mail for necessário para cumprir o nosso contrato com você ou para adotar medidas pré-contratuais, e o art. 6, nº 1, alínea f, do GDPR para as notificações enviadas internamente a nós e para o nosso interesse legítimo em uma infraestrutura de e-mail confiável e segura. Se um e-mail responder a uma solicitação que você nos dirigiu, aplica-se o nosso interesse legítimo em tratar essa solicitação de forma eficaz (art. 6, nº 1, alínea f, do GDPR). Esses e-mails são mensagens de serviço, e não publicidade. Por isso, não se baseiam em consentimento nos termos do art. 6, nº 1, alínea a, do GDPR e, enquanto a sua conta existir, não podem ser cancelados separadamente. Não usamos a Resend para envios publicitários ou de marketing.

A Resend trata os conteúdos e os dados dos destinatários das mensagens que enviamos por nossa conta e conforme as nossas instruções, no âmbito de um contrato de tratamento de dados nos termos do art. 28 do GDPR. Quanto aos dados de conta, de cobrança e de uso da nossa própria conta na Resend, a Resend atua como controladora independente, conforme os seus próprios termos. Como a Resend trata dados em servidores nos EUA, ocorre uma transferência de dados pessoais para um país terceiro. A transferência baseia-se nas cláusulas contratuais-padrão da Comissão Europeia, nos termos do art. 46 do GDPR, que fazem parte do Data Processing Addendum da Resend, e na certificação da Resend no “EU-US Data Privacy Framework” (DPF).

Mais informações sobre a proteção de dados na Resend estão em: https://resend.com/legal/privacy-policy

Tratamento por operador

Celebramos um contrato de tratamento de dados (DPA) para o uso do serviço mencionado acima. Esse contrato abrange os dados dos destinatários, os conteúdos das mensagens e os metadados de entrega que a Resend trata por nossa conta, conforme as nossas instruções e em conformidade com o GDPR.

Diagnóstico de erros

Para diagnosticar erros inesperados do aplicativo, a Customermates registra um relatório de diagnóstico limitado nos logs de execução da Vercel. Um relatório pode conter o tipo e a mensagem do erro, posições no stack trace, um identificador do erro de renderização, o caminho da rota sem parâmetros de consulta, identificadores de build e de evento, bem como identificadores internos verificados de usuário e de espaço de trabalho. Credenciais comuns e endereços de e-mail em textos de erro e em caminhos são ocultados antes da publicação do relatório. Cabeçalhos de requisição, cookies, conteúdos de requisição, históricos de navegação e gravações de sessão não são anexados ao relatório.

A finalidade é uma operação confiável e a resposta a incidentes. As bases legais são o art. 6, nº 1, alínea f, do GDPR e, na medida em que for necessário para prestar os nossos serviços contratuais, o art. 6, nº 1, alínea b, do GDPR. A Vercel trata os respectivos relatórios de diagnóstico e artefatos do código do aplicativo no âmbito das relações de tratamento por operador descritas acima.

3. Informações gerais e informações obrigatórias

Proteção de dados

Os administradores deste site levam muito a sério a proteção dos seus dados pessoais. Tratamos os seus dados pessoais de forma confidencial e de acordo com as normas legais de proteção de dados e com esta política de privacidade. Quando você usa este site, diversos dados pessoais são coletados. Dados pessoais são dados com os quais você pode ser identificado pessoalmente. Esta política de privacidade explica quais dados coletamos e para que os usamos. Ela também explica como e com qual finalidade isso acontece. Observamos que a transmissão de dados pela internet (por exemplo, na comunicação por e-mail) pode apresentar falhas de segurança. Não é possível proteger os dados de forma completa contra o acesso de terceiros.

Informação sobre o controlador

O controlador do tratamento de dados neste site é:

Benjamin Wagner
An den Kasernen 25
68167 Mannheim
Alemanha
E-mail: mail@customermates.com

Controlador é a pessoa física ou jurídica que, sozinha ou em conjunto com outras, decide sobre as finalidades e os meios do tratamento de dados pessoais (por exemplo, nomes ou endereços de e-mail).

Prazo de armazenamento

Salvo se esta política de privacidade indicar um prazo de armazenamento mais específico, os seus dados pessoais permanecem conosco até que a finalidade do tratamento deixe de existir. Se você apresentar um pedido legítimo de exclusão ou revogar um consentimento ao tratamento de dados, os seus dados serão excluídos, a menos que tenhamos outros motivos legalmente admitidos para armazená-los (por exemplo, prazos de guarda previstos na legislação fiscal ou comercial); neste último caso, a exclusão ocorre quando esses motivos deixarem de existir.

Informações gerais sobre as bases legais do tratamento de dados neste site

Se você tiver consentido com o tratamento de dados, tratamos os seus dados pessoais com base no art. 6, nº 1, alínea a, do GDPR ou no art. 9, nº 2, alínea a, do GDPR, caso sejam tratadas categorias especiais de dados nos termos do art. 9, nº 1, do GDPR. Em caso de consentimento expresso à transferência de dados pessoais para países terceiros, o tratamento de dados também se baseia no art. 49, nº 1, alínea a, do GDPR. Se você tiver consentido com o armazenamento de cookies ou com o acesso a informações no seu dispositivo (por exemplo, por meio de device fingerprinting), o tratamento de dados baseia-se adicionalmente no § 25, nº 1, da TDDDG. O consentimento pode ser revogado a qualquer momento. Se os seus dados forem necessários para a execução de um contrato ou para a adoção de medidas pré-contratuais, tratamos os seus dados com base no art. 6, nº 1, alínea b, do GDPR. Além disso, tratamos os seus dados, quando necessário para cumprir uma obrigação legal, com base no art. 6, nº 1, alínea c, do GDPR. O tratamento de dados também pode basear-se no nosso interesse legítimo, nos termos do art. 6, nº 1, alínea f, do GDPR. As bases legais aplicáveis em cada caso são informadas nos parágrafos seguintes desta política de privacidade.

Destinatários de dados pessoais

No âmbito da nossa atividade empresarial, trabalhamos com diversas entidades externas. Nesse contexto, às vezes também é necessário transmitir dados pessoais. Só repassamos dados pessoais quando isso é necessário para a execução do contrato, quando somos obrigados por lei a fazê-lo (por exemplo, perante as autoridades fiscais), quando temos interesse legítimo no repasse nos termos do art. 6, nº 1, alínea f, do GDPR ou quando outra base legal o permite. Quando uma entidade externa atua como nosso operador, o art. 28 do GDPR exige um contrato de tratamento de dados; a situação contratual, incluindo lacunas ainda não resolvidas, está descrita na seção do respectivo provedor e nas nossas informações sobre suboperadores. No caso de controladoria conjunta, celebramos um acordo nos termos do art. 26 do GDPR, na medida em que a outra entidade ofereça um.

Revogação do seu consentimento para o tratamento de dados

Muitas operações de tratamento de dados só são possíveis com o seu consentimento expresso. Você pode revogar a qualquer momento um consentimento já dado. A licitude do tratamento de dados realizado até a revogação não é afetada pela revogação.

SE O TRATAMENTO DE DADOS SE BASEAR NO ART. 6, Nº 1, ALÍNEA E OU F, DO GDPR, VOCÊ TEM, A QUALQUER MOMENTO, O DIREITO DE OPOR-SE AO TRATAMENTO DOS SEUS DADOS PESSOAIS POR MOTIVOS RELACIONADOS COM A SUA SITUAÇÃO PARTICULAR; ISSO TAMBÉM SE APLICA À DEFINIÇÃO DE PERFIS (PROFILING) BASEADA NESSAS DISPOSIÇÕES. A BASE LEGAL EM QUE UM TRATAMENTO SE FUNDAMENTA CONSTA DESTA POLÍTICA DE PRIVACIDADE. SE VOCÊ SE OPUSER, NÃO TRATAREMOS MAIS OS SEUS DADOS PESSOAIS AFETADOS, A MENOS QUE POSSAMOS DEMONSTRAR MOTIVOS LEGÍTIMOS IMPERIOSOS PARA O TRATAMENTO QUE PREVALEÇAM SOBRE OS SEUS INTERESSES, DIREITOS E LIBERDADES, OU QUE O TRATAMENTO SE DESTINE À REIVINDICAÇÃO, AO EXERCÍCIO OU À DEFESA DE DIREITOS EM PROCESSOS JUDICIAIS (OPOSIÇÃO NOS TERMOS DO ART. 21, Nº 1, DO GDPR). SE OS SEUS DADOS PESSOAIS FOREM TRATADOS PARA FINS DE PUBLICIDADE DIRETA, VOCÊ TEM O DIREITO DE OPOR-SE A QUALQUER MOMENTO AO TRATAMENTO DOS DADOS PESSOAIS QUE LHE DIGAM RESPEITO PARA TAIS FINS PUBLICITÁRIOS; ISSO TAMBÉM SE APLICA À DEFINIÇÃO DE PERFIS (PROFILING), NA MEDIDA EM QUE ESTEJA RELACIONADA A ESSA PUBLICIDADE DIRETA. SE VOCÊ SE OPUSER, OS SEUS DADOS PESSOAIS NÃO SERÃO MAIS USADOS PARA FINS DE PUBLICIDADE DIRETA (OPOSIÇÃO NOS TERMOS DO ART. 21, Nº 2, DO GDPR).

Direito de reclamação perante a autoridade de controle competente

Em caso de violações do GDPR, os titulares dos dados têm o direito de apresentar reclamação a uma autoridade de controle, em especial no Estado-Membro da sua residência habitual, do seu local de trabalho ou do local da suposta violação. O direito de reclamação existe sem prejuízo de outros recursos administrativos ou judiciais.

Decisões automatizadas e definição de perfis (profiling)

Não utilizamos decisões automatizadas, incluindo a definição de perfis (profiling), que produzam efeitos jurídicos em relação a você ou que o afetem significativamente de forma similar, no sentido do art. 22, nºs 1 e 4, do GDPR. Procedimentos automatizados que apenas aplicam as condições contratuais acordadas, como o término de um período de teste ou a desativação automática de contas conectadas após um longo período de inatividade, não constituem uma decisão desse tipo.

Direito à portabilidade dos dados

Você tem o direito de solicitar que os dados que tratamos de forma automatizada com base no seu consentimento ou para a execução de um contrato sejam entregues a você ou a um terceiro em um formato estruturado, de uso corrente e legível por máquina. Se você solicitar a transferência direta dos dados a outro controlador, isso só será feito na medida em que seja tecnicamente viável.

Acesso, retificação e exclusão

Dentro das disposições legais aplicáveis, você tem, a qualquer momento, o direito de obter, sem custo, informações sobre os seus dados pessoais armazenados, a sua origem e os seus destinatários, a finalidade do tratamento de dados e, se for o caso, o direito de retificação ou de exclusão desses dados. Para isso, e para outras dúvidas sobre dados pessoais, você pode entrar em contato conosco a qualquer momento.

Direito à limitação do tratamento

Você tem o direito de solicitar a limitação do tratamento dos seus dados pessoais. Para isso, você pode entrar em contato conosco a qualquer momento.

O direito à limitação do tratamento existe nos seguintes casos

Se você contestar a exatidão dos seus dados pessoais armazenados conosco, normalmente precisaremos de tempo para verificá-la. Durante a verificação, você tem o direito de solicitar a limitação do tratamento dos seus dados pessoais. Se o tratamento dos seus dados pessoais for ilícito, você pode solicitar a limitação do tratamento em vez da exclusão. Se não precisarmos mais dos seus dados pessoais, mas você precisar deles para o exercício, a defesa ou a reivindicação de direitos em processos judiciais, você tem o direito de solicitar a limitação do tratamento dos seus dados pessoais em vez da exclusão.

Se você tiver apresentado oposição nos termos do art. 21, nº 1, do GDPR, será necessário ponderar os seus interesses e os nossos. Enquanto não estiver definido de quem prevalecem os interesses, você tem o direito de solicitar a limitação do tratamento dos seus dados pessoais. Se você tiver limitado o tratamento dos seus dados pessoais, esses dados só poderão ser tratados, além de armazenados, com o seu consentimento, para a reivindicação, o exercício ou a defesa de direitos em processos judiciais, para a proteção dos direitos de outra pessoa física ou jurídica ou por motivos de relevante interesse público da União Europeia ou de um Estado-Membro.

Criptografia SSL ou TLS

Por motivos de segurança e para proteger a transmissão de conteúdos confidenciais, como pedidos ou solicitações que você nos envia como administradores do site, este site usa criptografia SSL ou TLS. Você reconhece uma conexão criptografada pelo fato de a barra de endereço do navegador mudar de “http://” para “https://” e exibir um ícone de cadeado. Quando a criptografia SSL ou TLS está ativada, os dados que você transmite não podem ser lidos por terceiros.

Processamento de pagamentos e transmissão criptografada

Os pagamentos de assinaturas de autoatendimento são processados pela Sold through Link, LLC (anteriormente Lemon Squeezy LLC); veja a seção 5. Assinaturas Enterprise e clientes intermediados por um parceiro de vendas são faturados por fatura, pela Customermates ou pelo respectivo parceiro. Em uma compra de autoatendimento, você insere os dados do cartão ou da conta nas próprias páginas do prestador de serviços de pagamento; nós não coletamos esses dados neste site e não temos acesso aos dados de pagamento completos. A transmissão é criptografada por SSL ou TLS.

Oposição a e-mails publicitários

Fica aqui expressamente contestado o uso dos dados de contato publicados no âmbito da obrigação de identificação legal (Impressum) para o envio de publicidade e de materiais informativos não solicitados expressamente. Os administradores do site reservam-se expressamente o direito de tomar medidas judiciais em caso de envio não solicitado de informações publicitárias, por exemplo por meio de spam.

4. Coleta de dados neste site

Cookies

As nossas páginas de internet usam os chamados “cookies”. Cookies são pequenos pacotes de dados e não causam danos ao seu dispositivo. Eles são armazenados no seu dispositivo temporariamente, durante uma sessão (cookies de sessão), ou de forma permanente (cookies permanentes). Os cookies de sessão são excluídos automaticamente ao fim da sua visita. Os cookies permanentes permanecem armazenados no seu dispositivo até que você mesmo os exclua ou até que o seu navegador os exclua automaticamente. Os cookies podem vir de nós (cookies próprios, first-party) ou de empresas terceiras (os chamados cookies de terceiros, third-party). Os cookies de terceiros permitem a integração de determinados serviços de empresas terceiras nas páginas web (por exemplo, cookies para o processamento de serviços de pagamento). Os cookies têm diferentes funções. Muitos cookies são tecnicamente necessários, pois determinadas funções do site não funcionariam sem eles (por exemplo, a função de carrinho de compras ou a exibição de vídeos). Outros cookies podem ser usados para analisar o comportamento dos usuários ou para fins publicitários.

Cookies ou tecnologias semelhantes que sejam estritamente necessários para transmitir uma mensagem ou para prestar um serviço digital expressamente solicitado por você são armazenados ou lidos com base no § 25, nº 2, da TDDDG. O tratamento posterior de dados pessoais baseia-se no art. 6, nº 1, alínea b, do GDPR, na medida em que seja necessário para a função contratual solicitada, e, no mais, no art. 6, nº 1, alínea f, do GDPR, desde que os interesses ou os direitos e liberdades fundamentais dos titulares dos dados não prevaleçam sobre o nosso interesse legítimo em uma operação segura. O armazenamento ou a leitura não necessários exigem consentimento nos termos do § 25, nº 1, da TDDDG; o tratamento de dados pessoais a eles associado baseia-se no art. 6, nº 1, alínea a, do GDPR. O consentimento pode ser revogado a qualquer momento. O Vercel Web Analytics é descrito abaixo e, segundo a Vercel, não usa cookies; os dados de análise armazenados são anonimizados. O cookie próprio (first-party) de medição de resultados de publicidade permanece desativado até que o consentimento seja dado; a escolha pode ser alterada em “Opções de privacidade”, no rodapé. O script padrão de afiliados da Lemon Squeezy, descrito abaixo, usa o cookie de indicação ls_aff_ref para visitantes que chegam por um link de afiliado ou que retornam com um cookie de indicação já existente. A escolha feita na Customermates não ativa nem o Vercel Web Analytics nem esse script inalterado da Lemon Squeezy. As tags de publicidade e de análise do Google estão desativadas.

Você pode configurar o seu navegador para ser informado sobre a definição de cookies e permitir cookies apenas caso a caso, excluir a aceitação de cookies em determinados casos ou de forma geral, e ativar a exclusão automática dos cookies ao fechar o navegador. Se os cookies forem desativados, a funcionalidade deste site pode ficar limitada. Os cookies e os serviços usados neste site constam desta política de privacidade.

Arquivos de log do servidor

O provedor das páginas coleta e armazena automaticamente informações nos chamados arquivos de log do servidor, que o seu navegador nos transmite automaticamente. São elas:

tipo e versão do navegador
sistema operacional utilizado
URL de referência (referrer)
URL acessada, incluindo eventuais parâmetros de consulta
nome do host do computador que acessa
horário da requisição ao servidor
endereço IP

Esses dados não são combinados com outras fontes de dados. A coleta desses dados baseia-se no art. 6, nº 1, alínea f, do GDPR. O administrador do site tem interesse legítimo na exibição tecnicamente correta e na otimização do seu site; para isso, é necessário registrar os arquivos de log do servidor.

Bandeiras e selos de diretórios hospedados externamente

A seleção de idioma e os campos de país podem carregar imagens de bandeiras diretamente de flagcdn.com. O rodapé pode carregar selos de diretórios diretamente de uneed.best, b.sf-syn.com (SourceForge), twelve.tools, wired.business e open-launch.com. Quando uma dessas imagens é exibida, o seu navegador estabelece uma conexão direta com o respectivo domínio. O administrador desse domínio pode receber o endereço IP, a URL da imagem acessada, o horário do acesso, cabeçalhos do navegador e do dispositivo e, conforme a política de referrer do navegador, a página de origem. Não transmitimos intencionalmente conteúdos do CRM nem identificadores de conta com esses acessos a imagens e não recebemos dos hosts das imagens nenhum dado de resposta relativo ao visitante.

Provocamos esses acessos com base no art. 6, nº 1, alínea f, do GDPR, em razão do nosso interesse legítimo em tornar reconhecíveis as seleções de idioma e de país e em exibir referências objetivas a diretórios nos quais a Customermates está listada. Os hosts das imagens tratam os dados da requisição conforme os seus próprios termos; eles são listados como outros destinatários, e não como suboperadores para conteúdos do CRM sob responsabilidade do cliente. A infraestrutura deles pode envolver tratamento fora do EEE; o local e as garantias de transferência dependem de cada administrador. Os domínios atuais e as suas funções também estão listados em Suboperadores e outros destinatários.

Vercel Web Analytics

Usamos o Vercel Web Analytics, um serviço de medição de uso da Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, EUA (a seguir “Vercel”). O componente de análise é executado somente em páginas de conteúdo público do serviço de nuvem gerenciado. Ele não é executado dentro do aplicativo com login, em rotas de login ou de convite, nem no aplicativo self-hosted de origem.

O Vercel Web Analytics registra visualizações de página e os respectivos dados de medição de uso, em especial a página acessada, o referrer e informações técnicas derivadas da requisição, como o tipo de navegador e de dispositivo e uma origem geográfica aproximada, e nos disponibiliza esses dados de forma agregada. Usamos esses dados para entender o uso da nossa oferta e melhorá-la.

O uso do Vercel Web Analytics baseia-se no nosso interesse legítimo em entender e melhorar a nossa oferta pública (art. 6, nº 1, alínea f, do GDPR). Segundo a Vercel, esse serviço de análise não usa cookies; os dados de análise armazenados são anonimizados.

A transferência de dados pessoais para os EUA baseia-se nas cláusulas contratuais-padrão da Comissão Europeia de 2021, nos termos do art. 46 do GDPR, conforme previstas no Data Processing Addendum da Vercel. Para mais detalhes, consulte a política de privacidade da Vercel: https://vercel.com/legal/privacy-notice.

Medição de resultados de publicidade (medição de conversão first-party)

Resumindo. Se você chegar ao nosso site por um anúncio da Customermates, pode decidir se quer nos ajudar a descobrir o que funciona. Com a mesma decisão, também anotamos, em um cadastro, de qual página e de qual campanha você veio. Com Permitir, guardamos o identificador de clique da plataforma de publicidade por no máximo 90 dias e o associamos a um espaço de trabalho de nuvem gerenciada que você acabou de criar. Com isso, podemos informar à plataforma que emitiu o identificador um cadastro ou uma assinatura paga na Customermates. Além desse identificador, não transmitimos o seu nome, o seu endereço de e-mail, o seu número de telefone, o seu endereço IP, a sua informação de user agent nem o valor da compra; também não usamos esses dados para criar perfis nem para publicidade personalizada. Você pode recusar ou revogar o seu consentimento a qualquer momento.

A Customermates pode anunciar no Google Ads, no ChatGPT Ads, no Reddit Ads e no LinkedIn Ads. Cada uma dessas plataformas pode anexar o seu próprio identificador de clique ao endereço da página acessada: gclid, gbraid ou wbraid no Google, oppref no ChatGPT, rdt_cid no Reddit e li_fat_id no LinkedIn. A Customermates não carrega nenhum pixel, tag ou SDK de plataforma de publicidade, e nenhuma dessas plataformas define um cookie neste site nem acessa de outra forma o seu dispositivo; quem faz isso é exclusivamente a Customermates.

Se uma página de conteúdo público do serviço de nuvem gerenciado ou a página de contato for aberta com exatamente um identificador válido e ainda não houver uma decisão de atribuição armazenada, a Customermates oferece um aviso opcional de consentimento para a medição de resultados de publicidade. Uma página com mais de um identificador reconhecido é totalmente ignorada. Se você consentir, um cookie próprio assinado, chamado cm_ad_attribution, que não pode ser lido por JavaScript (HttpOnly) e só é transmitido por uma conexão criptografada (Secure), armazena no máximo um identificador por plataforma de publicidade, cada um com tipo de identificador, momento do clique, momento da coleta e momento de expiração, junto com a sua decisão, o momento da decisão e a versão deste aviso. Ele não armazena parâmetros UTM, referrers, caminhos de página de destino, conteúdos de formulários nem registros do CRM. Os próprios identificadores de clique expiram 89 dias após o clique no Google e no LinkedIn e 30 dias após o clique no ChatGPT e no Reddit, mas o mais tardar 90 dias após a sua decisão. O próprio cookie tem validade de 90 dias a partir da sua decisão. Nenhuma plataforma de publicidade pode lê-lo.

Origem do cadastro. Se você tiver escolhido Permitir e depois criar uma conta no serviço de nuvem gerenciado, a Customermates também armazena, em um cookie próprio chamado cm_signup_journey (HttpOnly, Secure, validade de um dia), a página da Customermates em que você começou, o objetivo escolhido no cadastro (por exemplo, “Follow-up”), o site que o indicou e eventuais parâmetros de campanha UTM dessa visita. Ao criar o seu espaço de trabalho, esses dados são armazenados com ele, para que possamos ver quais páginas e campanhas levam a cadastros; depois, o cookie é excluído. Esses dados não são transmitidos a nenhuma plataforma de publicidade. Sem Permitir, nada disso é armazenado.

Enquanto a escolha estiver em aberto, o identificador e uma marcação técnica do estado de escolha ainda em aberto são mantidos no endereço das páginas da Customermates que você acessa, para que a escolha sobreviva à navegação e ao recarregamento. O aplicativo reconhece esse estado de espera marcado por 24 horas, com tolerância de até cinco minutos para o relógio do dispositivo. Assim, antes da sua escolha “Permitir”, não surge nenhum cookie de atribuição da Customermates nem registro de usuário. O aviso não bloqueia a página: você pode ler e usar o site enquanto a escolha estiver em aberto, e não surge nenhum cookie, nenhuma entrada no armazenamento do navegador e nenhum registro no banco de dados, a menos que você escolha “Permitir”. Enquanto a escolha estiver em aberto, o identificador faz parte do endereço web e, por isso, vai para os arquivos de log do servidor descritos acima. O histórico do navegador pode manter um endereço marcado anterior até que ele seja acessado novamente; após uma decisão, uma expiração ou uma marcação inválida, o aplicativo remove ambos os valores do endereço atual e, em um novo acesso, também de uma entrada anterior desse tipo no histórico.

Uma escolha “Permitir” ainda não expirada permanece válida até que você a revogue ou até que alteremos aquilo para o que este aviso pede a sua permissão; uma visita posterior permitida é armazenada sem exibir novamente a escolha. Se alterarmos o alcance do seu consentimento, a sua decisão anterior passa a valer como não dada: os identificadores armazenados deixam de ser usados e você é consultado novamente. Uma correção editorial ou factual que não altere dados, finalidade, prazo de armazenamento, possíveis destinatários, base legal, os seus direitos nem o alcance do seu consentimento mantém a sua decisão. Como cada plataforma de publicidade só associa uma conversão ao identificador que ela mesma emitiu, um clique posterior da mesma plataforma substitui o clique anterior dessa plataforma; os identificadores de outras plataformas não são afetados.

Se você criar um novo espaço de trabalho de nuvem antes da expiração, os identificadores armazenados e esses carimbos de data e hora serão associados, uma única vez e na mesma operação do seu cadastro, a esse espaço de trabalho e a você como primeiro proprietário. Eles não são transferidos a pessoas convidadas nem a pessoas que ingressam em um espaço de trabalho já existente, e não são sobrescritos em logins posteriores. A Customermates também registra que o espaço de trabalho foi criado e que mais tarde se tornou uma assinatura paga. A finalidade de tudo isso é a medição de resultados de publicidade (medição de conversão): queremos descobrir quais dos nossos anúncios levam a um cadastro e, mais tarde, a uma assinatura paga, para decidir onde aplicar o nosso orçamento de publicidade. Nesse processo, não são criados perfis de uso, não são combinados dados com outros sites e não é exibida publicidade personalizada.

O informe não é automático. Uma pessoa autorizada na Customermates decide se, antes da expiração do identificador, um informe de conversão será enviado; ele só pode ir para a plataforma de publicidade que emitiu o identificador. A sua escolha “Permitir” abrange o informe aqui descrito às quatro plataformas indicadas abaixo. Se quisermos informar outra plataforma de publicidade ou transmitir mais do que o informe aqui descrito, perguntaremos novamente a sua decisão antes.

Um informe pode conter o identificador emitido pela própria plataforma, a designação do resultado (“Customermates signup” ou “Customermates paid”), o momento do resultado, uma referência de uso único contra contagem em duplicidade e, se necessário, informações sobre o status do consentimento. A referência de uso único permite que a plataforma ignore um informe repetido, sem revelar o seu espaço de trabalho nem vincular o cadastro e a assinatura paga entre si. O identificador de clique é, ele próprio, um dado pessoal, porque a plataforma pode associá-lo ao anúncio que exibiu a você. Além desse identificador, nenhum dado diretamente identificável é transmitido: nenhum nome, nenhum endereço de e-mail, nenhum endereço de e-mail com hash, nenhum número de telefone, nenhum endereço IP, nenhuma informação de user agent e nenhum valor monetário. A publicidade personalizada continua recusada.

Os possíveis destinatários de um informe desse tipo são a Google LLC, para o Google Ads, a OpenAI, para o ChatGPT Ads, a Reddit, Inc., para o Reddit Ads, e a LinkedIn Corporation, para o LinkedIn Ads. Cada empresa é controladora independente para os seus próprios serviços de publicidade e não é operadora da Customermates; cada uma decide por conta própria como trata uma conversão recebida. As transferências para fora do EEE baseiam-se no EU-US Data Privacy Framework, na medida em que o destinatário seja certificado nele, o que se aplica ao Google, ao Reddit e ao LinkedIn, e em cláusulas contratuais-padrão, acompanhadas de uma avaliação de impacto da transferência, para a OpenAI, que não é certificada nele. Para os destinatários certificados, mantemos cláusulas contratuais-padrão adicionalmente como alternativa de reserva.

Com a escolha “Permitir”, você dá, em uma única etapa, dois consentimentos distintos: um nos termos do § 25, nº 1, da TDDDG, para o armazenamento do cookie descrito acima no seu dispositivo, e outro nos termos do art. 6, nº 1, alínea a, do GDPR, para o tratamento que decorre disso: a guarda do identificador, a sua associação a um espaço de trabalho criado por você, a medição de quais dos nossos anúncios levaram pessoas à Customermates e a transmissão do informe descrito acima à plataforma de publicidade que emitiu o clique. Se você recusar, o mesmo cookie é armazenado por 90 dias; ele contém, então, apenas a escolha, o momento da decisão, a versão do aviso e o momento de expiração, e nenhum identificador. Você pode revogar o consentimento a qualquer momento em “Opções de privacidade”, no rodapé, ou seja, pelo mesmo controle e no mesmo lugar em que a escolha foi originalmente oferecida a você. A revogação remove imediatamente os identificadores do cookie. Se uma cópia já tiver sido associada a um espaço de trabalho, faça login antes: o mesmo controle exclui então também a cópia no espaço de trabalho, o que somos obrigados a fazer nos termos do art. 17, nº 1, alínea b, do GDPR. A revogação não afeta a licitude do tratamento realizado até então (art. 7, nº 3, terceiro período, do GDPR); um informe já transmitido a uma plataforma não pode ser desfeito. Identificadores expirados são removidos por uma rotina diária automática de exclusão. O registro de que um espaço de trabalho foi criado e mais tarde se tornou uma assinatura paga não contém nenhum identificador de publicidade; ele é guardado enquanto o espaço de trabalho existir e é excluído com ele. Não usamos pixels de publicidade, tags nem SDKs de medição. Customer Match, transmissão de conversões otimizadas (Enhanced Conversions) e correspondência avançada (Advanced Matching) não ocorrem.

Formulário de contato

Se você nos enviar solicitações pelo formulário de contato, os seus dados do formulário de solicitação, incluindo os dados de contato informados ali, são armazenados conosco para tratar a solicitação e para eventuais perguntas posteriores. No tratamento, esses dados são transmitidos aos provedores de infraestrutura e de e-mail descritos na seção 2; no mais, só os repassamos se uma base legal o permitir.

O tratamento desses dados baseia-se no art. 6, nº 1, alínea b, do GDPR, se a sua solicitação estiver relacionada à execução de um contrato ou for necessária para a adoção de medidas pré-contratuais. Em todos os demais casos, o tratamento baseia-se no nosso interesse legítimo em tratar de forma eficaz as solicitações que nos são dirigidas (art. 6, nº 1, alínea f, do GDPR) ou, quando solicitado, no seu consentimento (art. 6, nº 1, alínea a, do GDPR); o consentimento pode ser revogado a qualquer momento.

Os dados que você insere no formulário de contato permanecem conosco até que você nos peça a exclusão, revogue o seu consentimento ao armazenamento ou a finalidade do armazenamento deixe de existir (por exemplo, após a conclusão do tratamento da sua solicitação). Disposições legais imperativas, em especial prazos de guarda, permanecem inalteradas.

Solicitação por e-mail

Se você entrar em contato conosco por e-mail, a sua solicitação, incluindo todos os dados pessoais dela decorrentes (nome e conteúdo da solicitação), é armazenada e tratada conosco para o seu atendimento. Esses dados passam pelos provedores de e-mail descritos na seção 2; no mais, só os repassamos se uma base legal o permitir. O tratamento ocorre com base no art. 6, nº 1, alínea b, do GDPR, se a sua solicitação disser respeito a um contrato ou a medidas pré-contratuais. Em todos os demais casos, ele se baseia no nosso interesse legítimo em um tratamento eficaz (art. 6, nº 1, alínea f, do GDPR) ou, quando solicitado, no seu consentimento, revogável a qualquer momento (art. 6, nº 1, alínea a, do GDPR).

Os dados que você nos enviar por e-mail permanecem conosco até que você nos peça a exclusão, revogue o seu consentimento ao armazenamento ou a finalidade do armazenamento deixe de existir (por exemplo, após a conclusão do tratamento da sua solicitação). Disposições legais imperativas, em especial prazos legais de guarda, permanecem inalteradas.

Tratamento por operador

Os e-mails recebidos nos nossos próprios endereços operacionais em @customermates.com são recebidos e armazenados na nossa caixa de correio operacional hospedada na Forward Email. A Resend envia os e-mails transacionais e de conta automatizados gerados pelo aplicativo; as respostas pessoais comuns são enviadas a partir da caixa de correio da Forward Email. Não é usado nenhum provedor de caixa de correio separado a jusante. O tratamento pela Resend é regulado em um contrato de tratamento de dados nos termos do art. 28 do GDPR. O contrato de tratamento de dados padrão da Forward Email é aceito eletronicamente por meio dos seus termos de uso e incorpora, para as transferências pertinentes, as cláusulas contratuais-padrão da UE.

Cadastro neste site

Você pode se cadastrar neste site para usar funções adicionais da página. Usamos os dados inseridos para isso somente para fins de uso da oferta ou do serviço para o qual você se cadastrou. As informações obrigatórias solicitadas no cadastro devem ser informadas por completo. Caso contrário, recusaremos o cadastro. O fornecimento desses dados não é exigido por lei; ele é necessário para a celebração e a execução do contrato conosco. Sem as informações marcadas como obrigatórias, não podemos criar uma conta para você nem prestar o serviço. Além disso, você não é obrigado a nos fornecer dados pessoais; se não o fizer, além de não poder usar a função em questão, você não sofre nenhuma desvantagem.

Para mudanças importantes, por exemplo no escopo da oferta ou em alterações tecnicamente necessárias, usamos o endereço de e-mail informado no cadastro para informar você por essa via. O tratamento dos dados inseridos no cadastro ocorre para a execução da relação de uso estabelecida pelo cadastro e, se for o caso, para a preparação de outros contratos (art. 6, nº 1, alínea b, do GDPR). Os dados coletados no cadastro são armazenados por nós enquanto você estiver cadastrado neste site e, depois, são excluídos. Prazos legais de guarda permanecem inalterados.

Comunicações sobre documentos jurídicos e comprovantes de aceitação

Para o serviço de nuvem gerenciado, registramos comunicações sobre documentos jurídicos e aceites eletrônicos no registro de auditoria da empresa já existente. Cada entrada contém os identificadores da empresa e do usuário, o tipo de evento e o momento de criação da entrada de auditoria. Uma entrada de comunicação contém adicionalmente as versões atuais dos documentos, os documentos exatamente indicados no e-mail, um instantâneo do endereço de e-mail do destinatário e, se for o caso, uma data de entrada em vigor ou de oposição relevante. Uma entrada de aceite contém adicionalmente as versões atuais dos documentos, um instantâneo do endereço de e-mail do usuário que aceita e a indicação de se o aceite ocorreu no primeiro onboarding ou após uma atualização posterior. O momento de criação da entrada de auditoria é o momento da comunicação ou do aceite.

Usamos essas entradas para evitar comunicações duplicadas, identificar comunicações ainda pendentes, calcular um prazo uniforme para a empresa, exibir ou aplicar o fluxo de documentos jurídicos na interface do serviço gerenciado e comprovar quais documentos indicados foram comunicados ou aceitos. A base legal é o art. 6, nº 1, alínea b, do GDPR, na medida em que o tratamento seja necessário para a celebração, a administração ou a alteração do contrato com o cliente empresarial, e o art. 6, nº 1, alínea f, do GDPR, para os nossos interesses legítimos em uma entrega confiável, no controle de acesso e na comprovação jurídica. As entradas seguem atualmente as relações de guarda já existentes do registro de auditoria: elas permanecem enquanto existirem os registros de empresa e de usuário a elas associados e são excluídas automaticamente quando um desses registros associados é excluído. Isso corresponde ao comportamento de exclusão em cascata já existente do sistema de auditoria: se excluirmos uma conta de empresa no serviço de nuvem gerenciado, as respectivas entradas de comunicação e de aceite também são excluídas. No aplicativo, não é mantido nenhum arquivo imutável separado de documentos jurídicos.

Cadastro com o Google

Em vez de um cadastro direto neste site, você pode se cadastrar com o Google. O provedor desse serviço é a Google Ireland Limited (“Google”), Gordon House, Barrow Street, Dublin 4, Irlanda. O seu navegador redireciona você à página de login do Google, na qual você insere as suas credenciais do Google; a Customermates não recebe nem armazena a sua senha. O Google autentica você e transmite as informações da conta cobertas pela caixa de diálogo de permissões, para que possamos criar ou completar o seu perfil. Você pode verificar os acessos conectados nas suas configurações do Google, em https://myaccount.google.com/security e https://myaccount.google.com/permissions. O tratamento relacionado ao cadastro com o Google baseia-se no nosso interesse legítimo em um procedimento de cadastro simples (art. 6, nº 1, alínea f, do GDPR). A função é voluntária.

Para transferências para os EUA, a Google LLC é participante ativa do EU-US Data Privacy Framework (DPF). O registro de participante pode ser consultado em: https://www.dataprivacyframework.gov/participant/5780.

Cadastro com a Microsoft

Em vez de um cadastro direto neste site, você pode se cadastrar com a Microsoft. O provedor desse serviço é a Microsoft Ireland Operations Limited (“Microsoft”), One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlanda. O seu navegador redireciona você à página de login da Microsoft, na qual você insere as suas credenciais da Microsoft; a Customermates não recebe nem armazena a sua senha. A Microsoft autentica você e transmite as informações da conta cobertas pela caixa de diálogo de permissões, para que possamos criar ou completar o seu perfil. Você pode verificar as suas configurações de segurança e de privacidade em https://account.microsoft.com/security e https://account.microsoft.com/privacy.

O tratamento de dados que acompanha o cadastro com a Microsoft baseia-se no nosso interesse legítimo em oferecer aos nossos usuários um processo de cadastro o mais simples possível (art. 6, nº 1, alínea f, do GDPR). Como o uso da função de cadastro é voluntário e os próprios usuários podem decidir sobre os respectivos acessos, não se verificam direitos prevalecentes contrários dos titulares dos dados.

Para transferências para os EUA, a Microsoft Corporation é participante ativa do EU-US Data Privacy Framework (DPF). O registro de participante pode ser consultado em: https://www.dataprivacyframework.gov/participant/6474.

5. Plataforma digital e provedores de pagamento

Tratamento de dados de clientes e de contratos

Coletamos, tratamos e usamos dados pessoais de clientes e de contratos para a constituição, a definição do conteúdo, a execução e a alteração das nossas relações contratuais. Dados pessoais sobre o uso deste site (dados de uso) só são coletados, tratados e usados na medida em que isso seja necessário para possibilitar ou faturar o uso do serviço.

A base legal para esse tratamento de dados é o art. 6, nº 1, alínea b, do GDPR (execução do contrato ou medidas pré-contratuais).

Os dados de clientes coletados são excluídos após o término da relação comercial e o decurso dos eventuais prazos legais de guarda. Prazos legais de guarda permanecem inalterados.

Transmitimos dados pessoais aos destinatários indicados nesta política de privacidade quando isso for necessário para a execução do contrato ou para o cumprimento de uma obrigação legal, quando, após uma ponderação de interesses, houver interesse legítimo ou quando outra base legal permitir a transmissão. Não vendemos dados pessoais. O único repasse a um terceiro para os fins publicitários dele mesmo é o informe de conversão descrito acima em “Medição first-party de resultados de publicidade”; ele ocorre somente com o seu consentimento, e você pode revogá-lo a qualquer momento.

Serviços de pagamento (Lemon Squeezy)

Para o processamento de pagamentos em compras de autoatendimento, usamos o prestador externo de serviços de pagamento Sold through Link, LLC (anteriormente Lemon Squeezy LLC), 222 South Main Street, Suite 500, Salt Lake City, UT 84101, EUA (a seguir “Lemon Squeezy”).

Se você fizer uma compra de autoatendimento, os seus dados de pagamento (por exemplo, nome, endereço de cobrança, endereço de e-mail, valor do pagamento e, se for o caso, informações de pagamento como dados de cartão de crédito ou de conta) são tratados diretamente pela Lemon Squeezy. Nós mesmos não temos acesso aos dados de pagamento completos.

Em uma compra de autoatendimento, a Lemon Squeezy atua como Merchant of Record e é responsável pelo processamento do pagamento e, quando aplicável, pelo cálculo, pela cobrança e pelo recolhimento dos impostos legais sobre vendas. Nessa compra, a Lemon Squeezy não age por nossa conta, mas conforme os seus próprios termos, como controladora independente; nesse ponto, não existe contrato de tratamento de dados nos termos do art. 28 do GDPR.

O tratamento dos dados ocorre com base em:

art. 6, nº 1, alínea b, do GDPR (execução do contrato),
art. 6, nº 1, alínea f, do GDPR (interesse legítimo em um processamento de pagamentos seguro e eficiente).

Como a Lemon Squeezy tem sede nos EUA, pode ocorrer uma transferência de dados pessoais para um país terceiro. Em uma compra de autoatendimento, a Lemon Squeezy atua conforme os seus próprios termos, como Merchant of Record e controladora independente, de modo que, nesse ponto, vale a sua própria política de privacidade. O contrato de tratamento de dados publicado pela Lemon Squeezy prevê que as partes se apoiem nas cláusulas contratuais-padrão da UE; arquivamos esse texto, mas não celebramos nenhum contrato separado com o provedor.

Rastreamento de afiliados (Lemon Squeezy)

O nosso prestador de serviços de pagamento Sold through Link, LLC (anteriormente Lemon Squeezy LLC) também oferece um sistema de rastreamento de afiliados,
222 South Main Street, Suite 500, Salt Lake City, UT 84101, EUA.

A Customermates carrega o script padrão de afiliados da Lemon Squeezy somente em páginas de conteúdo público da nuvem gerenciada. Ao acessar uma dessas páginas, o navegador solicita o script a lmsqueezy.com imediatamente, se a URL contiver um código de afiliado, e, caso contrário, assim que a página estiver carregada e o navegador estiver ocioso ou a pessoa visitante rolar a página, tocar, clicar ou pressionar uma tecla pela primeira vez; quem sair da página antes disso não o solicita. Essa requisição pode revelar à Lemon Squeezy o endereço IP, o horário do acesso, cabeçalhos do navegador e HTTP e, conforme a política do navegador, a página de origem, mesmo que a URL não contenha um código de afiliado. Se alguém acessar uma dessas páginas por um link de afiliado, o script lê o parâmetro de URL aff. Nessa visita, ou em uma visita posterior a uma página de conteúdo público com um cookie de indicação já existente, ele transmite à Lemon Squeezy a página de destino, o referrer, a referência da indicação e um identificador de visitante derivado de características do navegador. Ele armazena o cookie próprio de indicação ls_aff_ref pelo período de rastreamento configurado na Lemon Squeezy e pode anexar a referência da indicação aos links de checkout da Lemon Squeezy nessas páginas.

A finalidade é atribuir visitas e compras intermediadas, atribuir comissões, administrar o programa de afiliados e evitar atribuições incorretas. Para o tratamento de dados pessoais que se segue ao acesso ao dispositivo, apoiamo-nos, nos termos do art. 6, nº 1, alínea f, do GDPR, nos nossos interesses legítimos e nos interesses dos afiliados participantes em uma atribuição e uma remuneração corretas. Essa base legal não substitui um consentimento, na medida em que o § 25, nº 1, da TDDDG o exija para o armazenamento de informações no dispositivo de um visitante ou para o acesso a elas. O script padrão atual não é controlado por um mecanismo de consentimento separado da Customermates. As configurações do navegador podem bloquear ou excluir o cookie; nesse caso, a atribuição da indicação pode não ocorrer.

Rotas autenticadas, rotas de autenticação, de convite, de demonstração e do self-hosted de origem não carregam o script. Links de cadastro de parceiros abrem o site hospedado pela Lemon Squeezy; ali vale a política de privacidade da Lemon Squeezy. Um administrador independente de uma instalação self-hosted controla a sua própria implantação e é responsável por cada integração que ele adicionar.

Mais informações sobre o tratamento de dados pela Lemon Squeezy estão na política de privacidade dela:

https://www.lemonsqueezy.com/privacy

e nos termos de uso:

https://www.lemonsqueezy.com/terms

6. Contas conectadas (e-mail, mensagens e calendário)

O nosso sistema de CRM oferece uma função opcional de contas conectadas, com a qual você pode conectar as suas próprias caixas de e-mail (Gmail/Google, Microsoft/Outlook e IMAP), contas de mensagens (LinkedIn, incluindo as variantes Sales Navigator e Recruiter, bem como WhatsApp, Instagram e Telegram) e calendários. Dependendo do provedor conectado, a função pode enviar, receber e gerenciar comunicações comerciais e compromissos; buscar e exibir publicações em redes sociais, comentários, reações e perfis de pessoas e de empresas; listar, enviar, aceitar, retirar ou recusar solicitações de contato; realizar buscas de leads e de empresas no Sales Navigator; e exibir listas de leads ou de contas já existentes e adicionar itens a elas. O uso dessa função é opcional e só produz efeito se você decidir ativamente conectar uma conta.

O transporte técnico dos dados das contas conectadas é feito pelo nosso prestador de serviços UNIPILE SAS, RCS Roanne 885265595, 168 rue de la Rotonde, 42153 Riorges, França (a seguir “Unipile”).

A autenticação ocorre em um fluxo hospedado pela Unipile, no qual você insere os seus dados de login no respectivo provedor ou conclui o login OAuth dele. Essas credenciais ou a autorização OAuth são tratadas dentro desse fluxo; a Customermates não recebe senhas de provedores nem tokens OAuth e armazena apenas um identificador de conta opaco, junto com metadados de conta não secretos.

Dados tratados

Ao usar a função de contas conectadas, podem ser tratados os seguintes dados pessoais, dependendo das contas que você conectar:

metadados da conta conectada (por exemplo, o endereço ou o handle conectado, o nome de exibição e o status da conexão);
conteúdos de e-mails, incluindo assunto, texto da mensagem, endereços de remetente e de destinatário e anexos;
conteúdos de chats e de mensagens diretas pelos canais de mensagens conectados;
dados de perfil de contatos e de participantes (nome, avatar, título/cargo no LinkedIn, URL do perfil e o respectivo endereço de e-mail, número de telefone ou handle);
publicações em redes sociais e dados de interação (texto da publicação ou do comentário, autores, pessoas que reagiram, carimbos de data e hora, tipos de reação e contagens);
perfis de pessoas e de empresas e dados de relacionamento (identificadores do provedor, nomes, URLs e imagens de perfil, descrições, vínculo profissional, localização, setor, distância na rede, status da conexão e textos de solicitações);
entradas, resultados e dados de listas do Sales Navigator (URLs e filtros de busca, perfis de leads e de empresas, nomes e pertencimento a listas e status de salvamento);
entradas de calendário, incluindo os endereços de e-mail dos participantes e o status de aceite ou recusa (RSVP);
metadados de mensagens e de contas.

Os anexos de mensagens são transmitidos quando necessário e não são armazenados pela Customermates; são armazenados apenas os metadados dos anexos. Além do tratamento pela Unipile, a Customermates armazena em seu próprio banco de dados uma cópia dos conteúdos sincronizados das contas conectadas (veja a seção 2, “Neon”), em especial textos de mensagens (texto e HTML), linhas de assunto, identificadores de remetente e de destinatário, perfis dos participantes da conversa, entradas de calendário com os endereços de e-mail dos participantes e os dados brutos de entrada recebidos dos provedores. Publicações e interações, consultas de perfil, solicitações de contato e dados de busca, de resultados e de listas do Sales Navigator são buscados ou transmitidos por meio da Unipile quando um cliente dá início à respectiva ação, e são devolvidos ao usuário solicitante ou a um cliente de API ou de MCP autorizado pelo cliente. A Customermates não armazena esses dados de operação como conteúdos de contas conectadas, a menos que o cliente armazene as informações separadamente como registro do CRM. Ações relativas a solicitações de contato e a listas alteram a plataforma subjacente por instrução do cliente.

Os dados tratados por meio da função de contas conectadas abrangem tanto dados pessoais dos seus próprios usuários quanto de terceiros, entre eles interlocutores, autores de publicações e de comentários, pessoas que reagiram, pessoas cujos perfis foram consultados, partes de solicitações de contato, leads do Sales Navigator e representantes de empresas.

Observe: ao conectar uma conta, também são incorporados os conteúdos de conversas com pessoas que não são usuárias do nosso serviço. Esses conteúdos são determinados por você e pelos seus interlocutores e podem conter categorias especiais de dados pessoais, nos termos do art. 9 do GDPR. Como controlador desses conteúdos, você é responsável por garantir que exista uma base legal para o tratamento deles e por cumprir os seus deveres de informação perante os titulares dos dados.

Funções e tratamento por operador

Para conteúdos e operações de contas conectadas (incluindo caixas de e-mail, mensagens, contatos, calendários, conteúdos e dados de interação de redes sociais, perfis, solicitações de contato e dados de busca e de listas do Sales Navigator), você é controlador, no sentido do art. 4, nº 7, do GDPR. A Customermates trata esses dados exclusivamente por sua conta e conforme as suas instruções, como operadora nos termos do art. 28 do GDPR. Para isso, a Customermates recorre à Unipile como suboperadora. As plataformas de comunicação subjacentes (Google, Microsoft, LinkedIn, Meta/WhatsApp/Instagram e Telegram) atuam como controladoras independentes para os seus respectivos serviços próprios.

Uma lista dos suboperadores que utilizamos está disponível em Suboperadores; mais informações sobre o contrato de tratamento de dados estão em Contrato de tratamento de dados.

Base legal

Para metadados de conta e de função que a Customermates trata como controladora, o tratamento é necessário para a execução do nosso contrato com você (art. 6, nº 1, alínea b, do GDPR). Para conteúdos de contas conectadas que tratamos por sua conta, você determina a base legal aplicável e nos instrui no âmbito do contrato de tratamento de dados nos termos do art. 28 do GDPR; essas instruções não constituem uma base legal autônoma nos termos do art. 6 do GDPR. O tratamento pela Customermates não se baseia em consentimento nos termos do art. 6, nº 1, alínea a, do GDPR.

Armazenamento e transferência para países terceiros

Os dados das contas conectadas são tratados na Unipile e, além disso, armazenados no banco de dados próprio da Customermates (veja a seção 2). A Unipile informa que os dados das contas conectadas são armazenados na UE (França). O contrato de tratamento de dados da Unipile permite, ainda assim, transferências para fora da União Europeia, desde que existam garantias nos termos do capítulo V do GDPR, e a lista de suboperadores indica um prestador de serviços de pagamento nos EUA e cinco provedores de proxy sem indicação de localização. Por isso, não garantimos que os dados das contas conectadas jamais saiam da União Europeia.

Mais informações estão na política de privacidade da Unipile, em https://www.unipile.com/privacy-policy/, nos termos de uso, em https://www.unipile.com/terms-of-use/, e nas informações sobre segurança e conformidade, em https://www.unipile.com/security-compliance/.

Guarda e exclusão

Uma conta conectada pode ser removida de duas formas; atualmente, as duas formas têm consequências diferentes para os conteúdos já armazenados.

Se você mesmo desconectar uma conta conectada, excluímos do nosso banco de dados as conversas, mensagens, perfis de participantes, entradas de calendário e registros de atividade armazenados para essa conta e solicitamos à Unipile que remova a conta.

Uma conta conectada também é removida automaticamente, em especial quando um pagamento falha, quando um período de teste termina, quando o titular da conta ficou inativo por um longo período ou quando, após uma mudança de plano, há mais contas conectadas do que o plano comporta. Nesses casos, também solicitamos à Unipile que remova a conta; no nosso próprio banco de dados, porém, ela é atualmente apenas desativada e marcada como excluída. Os conteúdos já armazenados para essa conta, isto é, conversas, mensagens, perfis de participantes, entradas de calendário e registros de atividade, permanecem armazenados.

Os conteúdos que permanecem assim são excluídos quando a conta conectada for desconectada, quando a sua conta de usuário ou a sua conta de empresa for excluída ou quando se aplicar o procedimento de devolução e exclusão após o término do contrato, descrito abaixo. Você pode solicitar a exclusão a qualquer momento; nesse caso, excluímos os conteúdos.

Registros do CRM criados ou complementados a partir de dados de contas conectadas, em especial contatos e os identificadores de comunicação a eles associados, fazem parte dos seus dados do CRM. Eles não são excluídos quando uma conta conectada é removida e permanecem até que você mesmo os exclua, a sua conta de empresa seja excluída ou se aplique o procedimento de devolução e exclusão após o término do contrato.

Além disso, armazenamos registros técnicos dos dados de entrada recebidos dos provedores. Os registros associados a uma conta conectada são excluídos junto com essa conta. Os registros que não puderam ser associados a nenhuma conta conectada são guardados sem prazo fixo para análise de erros e, atualmente, não podem ser associados a nenhuma conta de cliente para exportação ou exclusão.

A exclusão produz efeito imediato nos nossos sistemas de produção. As cópias contidas em backups são removidas assim que o respectivo backup expirar.

Para os conteúdos armazenados de contas conectadas, não há prazo fixo de guarda durante a vigência do contrato. Após o término do contrato, os dados disponíveis nos nossos sistemas e atribuíveis à sua empresa são guardados durante o prazo de escolha de 30 dias previsto no item 11 do contrato de tratamento de dados. Em seguida, são excluídos ou devolvidos e, depois, excluídos, conforme esse item. Obrigações legais de guarda e as limitações descritas acima para dados brutos de entrada não associados permanecem inalteradas.

Se você não é nosso cliente, mas os seus dados pessoais chegam aos nossos sistemas porque um dos nossos clientes se comunica com você ou armazena os seus dados no CRM dele, esse cliente, e não a Customermates, é o controlador desses dados. Nós os tratamos exclusivamente conforme a instrução documentada dele, como operadora nos termos do art. 28 do GDPR.

Estão envolvidas as categorias de dados indicadas na seção 6, em especial dados de contato e de perfil, conteúdos de mensagens e de calendário, publicações e dados de interação de redes sociais, dados de solicitações de contato e dados de busca, de resultados e de listas do Sales Navigator. Eles chegam até nós diretamente do cliente ou, no caso de contas conectadas, dos provedores de e-mail, de mensagens, de redes sociais e de calendário conectados pelo cliente.

Como atuamos como operadora, não podemos decidir por conta própria sobre os seus direitos. Dirija os pedidos de acesso, retificação, exclusão, limitação ou oposição ao cliente que é o controlador. Se você entrar em contato conosco e pudermos identificar o cliente em questão, encaminharemos o seu pedido a ele sem demora e informaremos você sobre isso. Os nossos próprios dados de contato estão na seção 3.

Solicitações de titulares de dados

As solicitações de titulares de dados sobre conteúdos de contas conectadas que forem dirigidas à Customermates são encaminhadas por nós a você, como controlador; no âmbito da sua função de operadora, a Customermates presta apoio a você na resposta. Na medida em que você tratar no CRM dados pessoais de terceiros, a responsabilidade por eles, nos termos da legislação de proteção de dados, continua sendo sua.

7. Assistente de IA Mate (Vercel AI Gateway, Google Cloud Vertex AI, Exa e TypeSafe AI)

O Mate é um assistente de IA para usuários logados do serviço de nuvem gerenciado pela Customermates. O Mate está ativo nesse serviço desde 29 de agosto de 2026. O Mate não faz parte de uma instalação self-hosted operada de forma independente. A disponibilidade depende de um plano adequado, de créditos de IA disponíveis e dos controles operacionais globais do serviço gerenciado. O tratamento começa quando um usuário envia uma mensagem ao Mate ou confirma uma ação. Na medida em que o serviço gerenciado oferecer Rotinas ou outras execuções salvas ou automatizadas do Mate, um usuário autorizado também pode configurar e ativar uma instrução salva para execução manual, para execução conforme um agendamento ou para execução após um evento interno do produto configurado; uma execução daí resultante pode começar sem a interação simultânea de um usuário. A mera existência de uma conta não transmite nenhum conteúdo do CRM a um modelo. A busca na base de conhecimento e no aplicativo, descrita abaixo, é a única exceção automática: enquanto um espaço de trabalho tiver créditos de IA utilizáveis, ela trata as páginas da base de conhecimento dele e os nomes das suas listas, campos e visualizações salvas sem solicitação separada.

Aviso sobre o uso de um sistema de IA

Ao usar o Mate, você interage com um sistema de inteligência artificial e não com um ser humano. O produto identifica a função como IA. Este aviso é dado nos termos do art. 50, nº 1, do Regulamento (UE) 2024/1689 (Regulamento de IA). Na utilização interativa, as respostas do Mate são geradas automaticamente, podem estar incorretas ou incompletas e devem ser verificadas antes de você confiar nelas. O Mate e as respostas sobre uma pessoa não são oferecidos nem permitidos para uma finalidade que possa ter efeitos jurídicos ou substanciais sobre essa pessoa, em especial não para decisões sobre crédito, educação, emprego, moradia, seguro, assuntos jurídicos ou assuntos médicos. Para as ferramentas do Mate, valem as permissões existentes. Uma ação interativa com efeitos colaterais relevantes pode exigir uma confirmação separada no produto. Na medida em que uma Rotina for oferecida e estiver ativada, o cliente deve, em vez disso, antes da ativação ou de uma alteração relevante, verificar a instrução, o usuário associado, o gatilho, o escopo de dados, as permissões, os limites, os possíveis efeitos colaterais e as salvaguardas, e acompanhar a operação e os resultados. Uma ação permitida segundo as permissões e os controles de confirmação aplicáveis pode ocorrer, com base na instrução permanente do cliente, sem confirmação separada em cada caso.

Dados tratados e destinatários

Dependendo da solicitação e das ferramentas utilizadas, o tratamento pode abranger o seguinte:

nome, preferência de idioma e rota atual do aplicativo do usuário, bem como a entrada dele ou a instrução salva e a conversa mais recente com o Mate;
na configuração do espaço de trabalho guiada por IA ou em uma importação de site para a base de conhecimento, as respostas da configuração, o nome da empresa e o endereço do site, textos obtidos desse site, o conteúdo de uma planilha enviada e o plano ou as páginas elaborados;
textos de páginas da base de conhecimento e consultas de busca para a busca na base de conhecimento, os nomes de listas, campos e visualizações salvas, bem como termos de busca da paleta de comandos para a busca no aplicativo e as consultas que o Mate formula para a busca na web;
conteúdos do CRM ou de contas conectadas que o usuário fornece ou que uma ferramenta autorizada busca para a tarefa solicitada, como contatos, organizações, negócios, tarefas, serviços, mensagens e campos de registros associados;
arquivos que o usuário anexa a uma mensagem ao Mate: o nome, o tipo e o tamanho deles, o texto extraído deles e, no caso de imagens e de PDFs de até três páginas, o próprio arquivo;
descrições de ferramentas, entradas e resultados de ferramentas, status de aprovação e de confirmação, resultados de comandos da interface e respostas geradas;
na medida em que Rotinas forem oferecidas, usuário associado, configuração do gatilho, agendamento, nome do evento e identificador do registro associado, status de execução, limites e status de proteção da Rotina, bem como constatações sobre riscos de loop; e
identificadores de empresa e de usuário, identificadores de modelo e de provedor, carimbos de data e hora, dados de status e de diagnóstico, uso de tokens, metadados de custo, de créditos e de cobrança.

O Mate não envia automaticamente todo o espaço de trabalho. Uma requisição ao modelo contém a entrada ou a instrução salva e a conversa mais recente, junto com o contexto e os resultados de ferramentas necessários para a tarefa solicitada. Uma Rotina acionada por um evento interno do produto configurado pode conter adicionalmente o nome do evento e o identificador do registro associado; em seguida, ferramentas autorizadas podem buscar o contexto de registro ou de conta conectada necessário para a instrução. As requisições são encaminhadas, por meio do Vercel AI Gateway da Vercel Inc., ao provedor a jusante selecionado para cada finalidade: o Google Cloud (Vertex AI) fornece os modelos Claude desenvolvidos pela Anthropic que o Mate usa, fixados na zona de inferência da UE oferecida para isso pela Vercel, bem como o modelo de embedding de texto do Google para a busca; a Exa fornece a busca na web; e a TypeSafe AI fornece o classificador Jev, que verifica páginas elaboradas da base de conhecimento e ordena os resultados das buscas do Mate. A Vercel e o respectivo provedor que fornece o serviço recebem, portanto, as partes de uma requisição necessárias para gerar a resposta. A Customermates não envia essas requisições diretamente à Anthropic. A documentação de governança de dados do Vertex AI, do Google, informa que o Google não usa dados de clientes para treinar ou ajustar modelos de IA sem permissão ou instrução prévia do cliente e que isso vale para todos os modelos gerenciados da sua plataforma. A cadeia atual de provedores e as informações sobre transferências estão em Suboperadores.

Configuração do espaço de trabalho guiada por IA e importação de site

Quando um usuário autorizado configura um novo espaço de trabalho no serviço de nuvem gerenciado, o Mate pergunta sobre a empresa e elabora um plano para modelo de dados, registros de exemplo, painel e base de conhecimento. O Mate só cria o modelo de dados, os registros, o painel e as páginas elaboradas da base de conhecimento depois que o usuário confirma o plano. Se o usuário informar um site, os próprios servidores da Customermates buscam as páginas públicas dele, respeitando as regras do robots.txt do site, e enviam o texto delas ao modelo; as páginas de ajuda, de políticas e de preços do site podem ser incorporadas à base de conhecimento já durante o planejamento. Se o usuário enviar uma planilha, os títulos das colunas, as dez primeiras linhas e uma visão geral dos valores de cada coluna são enviados ao modelo para planejar a importação; após a confirmação, as linhas são importadas como registros. Uma importação de site para a base de conhecimento iniciada depois funciona da mesma forma. Antes de as páginas elaboradas da base de conhecimento serem salvas, o classificador Jev, da TypeSafe AI, pode compará-las com o texto obtido.

Busca na base de conhecimento

Enquanto um espaço de trabalho no serviço de nuvem gerenciado tiver créditos de IA utilizáveis, a Customermates prepara a base de conhecimento dele para a busca por significado. Para isso, envia o texto de páginas novas e alteradas, por meio do Vercel AI Gateway, ao Google Cloud Vertex AI; ali, um modelo Claude escreve um resumo curto de cada página, e o modelo de embedding de texto do Google converte trechos de página em vetores de busca. Buscas de usuários, do Mate ou de clientes de IA conectados convertem a consulta em um vetor da mesma forma. Nas buscas do Mate, o classificador Jev pode ordenar os melhores resultados com base na mensagem mais recente do usuário, na consulta de busca e em trechos das seções correspondentes. Resumos e vetores são armazenados com a página e excluídos quando a página é excluída definitivamente. A busca no aplicativo funciona da mesma forma para os nomes de listas, campos e visualizações salvas e para entradas na paleta de comandos. Atualmente, a Vercel oferece o modelo de embedding apenas em uma região nos Estados Unidos; por isso, essa parte do tratamento ocorre nos EUA.

Busca na web

Se uma solicitação precisar de informações públicas atuais, o Mate pode pesquisar na web. O Mate envia então uma consulta de busca formulada a partir da solicitação, por meio do Vercel AI Gateway, à Exa (Exa Labs, Inc., EUA), que devolve resultados públicos da web. Uma consulta de busca pode conter nomes ou outras informações da solicitação ou de registros. As Rotinas usam a busca na web da mesma forma.

Na medida em que Rotinas acionadas por eventos forem oferecidas, a Customermates pode transmitir a instrução salva completa, ao salvar ou ao alterar a Rotina de forma relevante, bem como no âmbito de verificações de segurança recorrentes, por meio da cadeia de provedores de modelo, para identificar possíveis loops de gatilho; isso pode ocorrer já antes de a execução de uma Rotina começar. Essa análise de segurança é separada da execução da instrução salva.

Base legal e funções

Para conteúdos do CRM e de contas conectadas, incluindo dados pessoais dos contatos e dos interlocutores do cliente, o cliente é o controlador; a Customermates trata esses conteúdos conforme as instruções documentadas do cliente, como operadora nos termos do art. 28 do GDPR. O envio de uma solicitação ao Mate, a confirmação de uma ação ou o início da configuração guiada do espaço de trabalho ou de uma importação de site é uma instrução desse tipo; a busca na base de conhecimento faz parte do serviço contratual descrito no contrato de tratamento de dados. Na medida em que Rotinas forem oferecidas, a configuração e a ativação da instrução salva, incluindo o usuário associado, o gatilho, os limites e as permissões vinculadas, valem como instrução permanente documentada para cada execução daí decorrente, até que a Rotina seja desativada ou alterada de forma relevante. Essas instruções não constituem consentimento no sentido do art. 6, nº 1, alínea a, do GDPR. O cliente continua responsável por garantir que exista uma base legal para os conteúdos e que eles possam ser incluídos em uma solicitação ao Mate ou em uma Rotina.

Para dados de conta de usuário, de permissões, de uso, de cobrança, de segurança e de diagnóstico que a Customermates trata como controladora, o tratamento baseia-se no art. 6, nº 1, alínea b, do GDPR, na medida em que seja necessário para disponibilizar e faturar a função contratual, e no art. 6, nº 1, alínea f, do GDPR, para os nossos interesses legítimos em uma operação segura e confiável, na prevenção de abusos, no diagnóstico e em registros de uso corretos.

Armazenamento e exclusão

A Customermates armazena conversas e mensagens do Mate, requisições de cada execução, registros das rodadas do modelo, aprovações, comprovantes e resultados de ferramentas, resultados de comandos da interface, bem como os respectivos metadados de modelo, provedor, uso, custo, carimbo de data e hora, empresa e usuário. Na medida em que Rotinas forem oferecidas, a Customermates também armazena a instrução salva, a configuração do gatilho, o agendamento, o usuário associado, os limites e o status de proteção, os registros de execução, as constatações sobre riscos de loop e as referências a eventos e a registros associadas. Cada execução de uma Rotina gera uma conversa comum do Mate. Arquivar uma conversa a oculta, mas não a exclui. Se um usuário autorizado excluir definitivamente uma conversa arquivada, a Customermates exclui essa conversa junto com mensagens, execuções, rodadas do modelo, aprovações, comprovantes de ferramentas e resultados de comandos da interface. Excluir uma Rotina salva não exclui automaticamente as conversas do Mate dela decorrentes; elas permanecem até serem excluídas separadamente pelos controles de exclusão comuns do Mate. Registros de uso e de cobrança e registros do CRM criados ou alterados pelo Mate estão sujeitos às suas próprias regras de guarda e de exclusão. Para uma conversa ativa do Mate, não há exclusão automática por idade durante um contrato em vigor. Após o término do contrato, os dados sob responsabilidade do cliente são excluídos ou devolvidos conforme o contrato de tratamento de dados; obrigações legais de guarda e limites de exclusão no nível do provedor permanecem inalterados.

Para a configuração guiada do espaço de trabalho, a Customermates armazena, junto ao espaço de trabalho, as respostas, a entrevista, o endereço do site, o plano, o andamento e os resultados da montagem. A planilha enviada e os textos obtidos do site permanecem armazenados até que o espaço de trabalho seja excluído, a configuração seja reiniciada antes da confirmação ou o texto seja substituído por uma importação posterior do mesmo site. Resumos e vetores de busca da base de conhecimento são armazenados com a respectiva página.

Se um usuário encaminhar expressamente uma conversa do Mate ao suporte, a solicitação de suporte pode conter textos recentes da conversa e é então tratada como as comunicações de suporte descritas nesta política.

Tratamento por provedores e transferências internacionais

A Customermates ativou, para a sua equipe, o controle de Zero Data Retention (ZDR) da Vercel, válido para toda a equipe. A Vercel informa que esse controle, enquanto permanecer ativado, vale para cada requisição da equipe ao AI Gateway, encaminha requisições apenas a provedores com os quais a Vercel tem um acordo de ZDR, com exceção de ferramentas do gateway como a busca na web pela Exa, e inclui a desativação do uso de entradas para treinamento. O Mate fixa, além disso, cada modelo em um único provedor fornecedor: Google Cloud Vertex AI para os modelos Claude (zona da UE) e para o modelo de embedding (região nos Estados Unidos) e TypeSafe AI para o classificador Jev. Atualmente, a Vercel indica ZDR e nenhum uso de entradas para treinamento para esses endpoints. A busca na web pela Exa é uma ferramenta do gateway que não consta da lista de provedores com ZDR da Vercel; por quanto tempo a Exa guarda consultas de busca depende, portanto, dos próprios termos da Exa. Segundo a Vercel, sob ZDR, entradas e saídas são excluídas no nível do gateway após a inferência. Esses controles no nível do gateway e do provedor a jusante não excluem, não encurtam nem alteram o armazenamento no nível do aplicativo na Customermates descrito acima; metadados de roteamento e de uso, bem como registros de uso e de cobrança da Customermates, ainda podem ser armazenados. O cliente só pode tornar acessíveis ao Mate dados pessoais cujo tratamento ele esteja autorizado a realizar, na medida em que isso seja necessário para a tarefa solicitada, e continua responsável por uma base legal aplicável, pela vinculação à finalidade, pela transparência, pela minimização de dados, por restrições de acesso e por salvaguardas adequadas ao risco. Antes de tornar acessíveis ao Mate categorias especiais de dados pessoais nos termos do art. 9 do GDPR, dados sobre condenações penais e infrações nos termos do art. 10 do GDPR, informações de contas financeiras ou identificadores emitidos por autoridades, o cliente deve cumprir os requisitos legais adicionais aplicáveis a esses dados e limitar os dados e os acessos ao necessário.

O uso do Mate pode envolver tratamentos nos Estados Unidos e em outros países usados pela Vercel, pelo Google Cloud, pela Exa, pela TypeSafe AI e pelos suboperadores delas. O Data Processing Addendum da Vercel incorpora, para as transferências limitadas por ele abrangidas, as cláusulas contratuais-padrão da UE de 2021. Os termos indicados pela Vercel para o Google Cloud, a Exa e a TypeSafe AI, as funções dos destinatários, o escopo do ZDR, as informações sobre transferências e as limitações contratuais e regionais conhecidas estão descritos em Suboperadores. Mais informações:

Vercel AI Product Terms: https://vercel.com/legal/ai-product-terms
Avisos sobre o Vercel AI Gateway: https://vercel.com/legal/notices-and-license-information
Vercel Zero Data Retention: https://vercel.com/docs/ai-gateway/security-and-compliance/zdr
Vercel Data Processing Addendum: https://vercel.com/legal/dpa
Informações do Google sobre governança de dados para modelos generativos no Vertex AI: https://docs.cloud.google.com/gemini-enterprise-agent-platform/resources/zero-data-retention
Política de privacidade da Exa: https://exa.ai/privacy-policy

Responsabilidade

Na medida em que a Customermates atua como controladora, a Customermates é responsável pelo tratamento no âmbito da disponibilização e da operação técnica do Mate. Se um cliente usar o Mate com dados pessoais pelos quais o cliente é o controlador, a Customermates atua como operadora, conforme descrito acima e no contrato de tratamento de dados.

8. Arquivos e endereços em registros

Esta seção descreve o serviço de nuvem gerenciado da Customermates. Um administrador independente de uma instalação self-hosted decide por conta própria onde os arquivos são armazenados, de onde os dados de códigos postais são carregados e se utiliza um serviço próprio de busca de endereços.

Arquivos em registros (Vercel Blob)

Os usuários podem enviar arquivos para campos de arquivo de registros, como contratos, propostas, fotos ou certificados, cada um até o limite de tamanho configurado (por padrão, 1 GB). No serviço gerenciado, o conteúdo do arquivo é armazenado em um armazenamento privado Vercel Blob da Vercel Inc. (veja a seção 2). Um arquivo não pode ser acessado publicamente: a Customermates só o disponibiliza a usuários que podem ler o registro e o campo, e isso pelo aplicativo ou por um link de download que expira após 15 minutos. O nome do arquivo, o tipo do arquivo, o tamanho, o momento do envio, o usuário que enviou e o texto extraído do arquivo são armazenados no nosso banco de dados (veja a seção 2, “Neon”).

Um arquivo removido de um registro é excluído 30 dias após a remoção, e um arquivo enviado, mas nunca salvo em um registro, é excluído após 24 horas. Os arquivos que um usuário anexa a uma mensagem ao Mate são armazenados da mesma forma e ficam disponíveis apenas para esse usuário até serem associados a um registro; depois disso, valem as regras do registro. Um arquivo desse tipo que não seja associado a um registro é excluído 30 dias após o envio, com a exclusão definitiva da respectiva conversa do Mate ou 24 horas após o envio, se nunca tiver sido enviado. Um registro na Lixeira mantém os seus arquivos; a exclusão definitiva do registro, do campo ou da lista exclui os respectivos arquivos. Após o término do contrato, os arquivos são excluídos ou devolvidos junto com os demais dados sob responsabilidade do cliente, conforme descrito no contrato de tratamento de dados.

Texto em arquivos e busca (Google Cloud Vertex AI)

Depois que um arquivo é salvo em um registro ou anexado a uma mensagem ao Mate, a Customermates extrai o texto dele, por exemplo de PDFs com camada de texto e de arquivos Word, Excel, CSV, de texto, Markdown, JSON e HTML, dentro do próprio aplicativo e sem serviço externo. A Customermates armazena o texto e um índice de busca no seu banco de dados, para que a busca, a interface MCP e o Mate possam encontrar e ler o arquivo para usuários que podem ler o registro e o campo. Documentos digitalizados e imagens não são lidos; não ocorre reconhecimento de texto.

Se o espaço de trabalho tiver créditos de IA, a Customermates também envia trechos de texto de arquivos e de páginas da base de conhecimento, bem como as consultas de busca usadas para pesquisá-los, por meio do Vercel AI Gateway, ao Google Cloud Vertex AI. O Vertex AI devolve embeddings, isto é, vetores numéricos para uma busca baseada em significado, que a Customermates armazena no seu banco de dados. O controle de Zero Data Retention de toda a equipe, descrito na seção 7, vale também para essas requisições, e elas são enviadas com o uso das entradas para treinamento desativado; diferentemente do modelo padrão do Mate, porém, elas não são fixadas em uma zona de inferência da UE. Sem créditos de IA, arquivos e páginas da base de conhecimento são encontrados apenas pelas suas palavras, e nenhum texto é transmitido para embeddings.

Verificação de endereços e códigos postais

Os usuários podem armazenar endereços postais em campos de endereço de registros. Quando um endereço é salvo ou verificado, seja no aplicativo, pela interface de API ou de MCP, em uma importação ou pelo Mate, a Customermates o verifica nos seus próprios servidores: com base nos formatos de endereço dos diversos países, que fazem parte do aplicativo, e com base em um diretório de códigos postais com as respectivas localidades, regiões e coordenadas aproximadas, que fica no nosso banco de dados (veja a seção 2, “Neon”). Para essas verificações, a Customermates não transmite dados de endereço a terceiros, e o serviço gerenciado não oferece busca de endereços por um serviço externo. Se o diretório conhecer o código postal, a Customermates armazena o endereço com as coordenadas aproximadas da área do código postal.

O diretório é formado a partir dos arquivos públicos de códigos postais do GeoNames (https://www.geonames.org). Quando um endereço em um país é verificado pela primeira vez, a Customermates baixa o arquivo desse país do servidor de download do GeoNames, e novamente assim que ele tiver mais de 90 dias. Um download desse tipo parte dos nossos servidores, e não do dispositivo de um usuário, e solicita apenas o arquivo público; ele não contém endereços nem conteúdos de registros, textos de busca, endereços IP ou outros dados pessoais de usuários ou de clientes.

Um clique em um endereço em um campo configurado como Abrir no mapa (a configuração padrão) abre o endereço em uma nova aba do navegador em openstreetmap.org. O navegador do usuário transmite então o endereço a esse site, que é operado pela OpenStreetMap Foundation e ao qual se aplica a política de privacidade dela.

Base legal e funções

Arquivos, o texto extraído deles, embeddings e endereços em registros são conteúdos sob responsabilidade do cliente. O cliente é o controlador e determina a base legal; a Customermates trata esses conteúdos conforme a instrução documentada do cliente, como operadora nos termos do art. 28 do GDPR e do contrato de tratamento de dados. Enviar um arquivo, fazer uma busca ou salvar ou verificar um endereço é uma instrução desse tipo. O cliente continua responsável por quais arquivos e endereços podem ser armazenados no CRM. Os provedores mencionados acima e as suas bases de transferência estão listados em Suboperadores.

Proteção de dados

Âmbito de aplicação desta política de privacidade

1. Proteção de dados em resumo

Informações gerais

Coleta de dados neste site

2. Hospedagem e prestadores de serviços de infraestrutura

Vercel

Tratamento por operador

Neon

Tratamento por operador

Forward Email (hospedagem de e-mails operacionais)

Resend

Tratamento por operador

Diagnóstico de erros

3. Informações gerais e informações obrigatórias

Proteção de dados

Informação sobre o controlador

Prazo de armazenamento

Informações gerais sobre as bases legais do tratamento de dados neste site

Destinatários de dados pessoais

Revogação do seu consentimento para o tratamento de dados

Direito de oposição à coleta de dados em casos especiais e à publicidade direta (art. 21 do GDPR)

Direito de reclamação perante a autoridade de controle competente

Decisões automatizadas e definição de perfis (profiling)

Direito à portabilidade dos dados

Acesso, retificação e exclusão

Direito à limitação do tratamento

O direito à limitação do tratamento existe nos seguintes casos

Criptografia SSL ou TLS

Processamento de pagamentos e transmissão criptografada

Oposição a e-mails publicitários

4. Coleta de dados neste site

Cookies

Arquivos de log do servidor

Bandeiras e selos de diretórios hospedados externamente

Vercel Web Analytics

Medição de resultados de publicidade (medição de conversão first-party)

Formulário de contato

Solicitação por e-mail

Tratamento por operador

Cadastro neste site

Comunicações sobre documentos jurídicos e comprovantes de aceitação

Cadastro com o Google

Cadastro com a Microsoft

5. Plataforma digital e provedores de pagamento

Tratamento de dados de clientes e de contratos

Serviços de pagamento (Lemon Squeezy)

Rastreamento de afiliados (Lemon Squeezy)

6. Contas conectadas (e-mail, mensagens e calendário)

Dados tratados

Funções e tratamento por operador

Base legal

Armazenamento e transferência para países terceiros

Guarda e exclusão

Informações para pessoas cujos dados chegam até nós por meio de um cliente (art. 14 do GDPR)

Solicitações de titulares de dados

7. Assistente de IA Mate (Vercel AI Gateway, Google Cloud Vertex AI, Exa e TypeSafe AI)

Aviso sobre o uso de um sistema de IA

Dados tratados e destinatários

Configuração do espaço de trabalho guiada por IA e importação de site

Busca na base de conhecimento

Busca na web

Base legal e funções

Armazenamento e exclusão

Tratamento por provedores e transferências internacionais

Responsabilidade

8. Arquivos e endereços em registros

Arquivos em registros (Vercel Blob)

Texto em arquivos e busca (Google Cloud Vertex AI)

Verificação de endereços e códigos postais

Base legal e funções