Política de Privacidade

1. Quem somos

A presente política é emitida por Vimel Tech Ltda, inscrita no CNPJ sob nº 63.816.947/0001-95, com sede em Rua Santa Cruz 754 - SALA 111 - Centro - Limeira/SP, CEP: 13480-041, doravante denominada Vimel Tech.

2. Escopo

Esta política se aplica ao site institucional, landing pages, canais de contato e aos ambientes autenticados dos produtos Vimel CRM e Vimel Processos (web e aplicativos móveis), incluindo APIs, integrações, suporte, onboarding, billing e recursos de IA.

Na operação da plataforma, o cliente contratante é o controlador dos dados pessoais de seus contatos e clientes finais; a Vimel Tech atua, em regra, como operadora, nos termos do DPA LGPD. A Vimel Tech é controladora dos dados de conta, billing, site e canais de contato.

3. Dados que tratamos

• Dados cadastrais e de conta: nome, e-mail, telefone, organização, credenciais de acesso.
• Dados de comunicação: conteúdo de mensagens de WhatsApp e Instagram Direct recebidas e enviadas pela plataforma, nomes e telefones de contatos, identificadores de conversa e mídia anexada (imagens, documentos, áudios).
• Dados operacionais do Vimel Processos: tipos de processo, etapas, status, responsáveis, partes relacionadas, campos e formulários preenchidos, checklists, atividades, prazos, comentários e histórico de alterações e decisões para auditoria.
• Áudio e transcrições: notas de voz recebidas pelo WhatsApp são transcritas automaticamente (por meio da OpenAI); a transcrição é armazenada junto ao atendimento e pode ser usada como contexto pelos recursos de IA.
• Documentos e dados extraídos: arquivos, fotos e anexos vinculados a casos ou processos podem ser submetidos a parsing/OCR (LlamaCloud), conversa com documentos, extração estruturada e geração documental. São armazenados o arquivo, o texto extraído, os dados conferidos pelo usuário e os documentos gerados.
• Interações com IA: instruções, contexto enviado pelo usuário, respostas, sugestões e documentos produzidos por recursos de IA, além dos registros de aprovação ou rejeição e dos metadados de consumo necessários à operação e à auditoria.
• Dados de agenda: quando o cliente conecta o Google Agenda, eventos e e-mails de participantes são sincronizados bidirecionalmente.
• Dados comerciais e financeiros: plano, assinatura e histórico de cobrança. Dados de cartão são coletados diretamente pela Stripe (Stripe.js) e não transitam pelos servidores da Vimel Tech.
• Dados de navegação e dispositivo: no site institucional, cookies de medição (Google Analytics 4 e Contentsquare/Hotjar) e de marketing (Pixel da Meta), cada categoria somente após o seu consentimento — ver a Política de Cookies. Os ambientes autenticados do Vimel CRM e do Vimel Processos não utilizam cookies de analytics, de marketing ou ferramentas de medição de terceiros; usam apenas identificadores necessários à sessão, autenticação e segurança.
• Dados de atribuição de campanhas: ao criar uma conta a partir do site, registramos a origem da visita (parâmetros da campanha, página de entrada, domínio de referência e horários) e a sua escolha de consentimento de marketing. Somente com esse consentimento, registramos também os identificadores de clique de anúncio (fbc, fbp, gclid) e o endereço IP e a identificação do navegador usados no cadastro (seção 6.3). Nas conversas iniciadas por anúncio de clique para WhatsApp, registramos o anúncio de origem e o identificador do clique gerado pela Meta (seção 6.3).
• Notificações push: tokens de dispositivo e o conteúdo das notificações (título e corpo, que podem conter o nome do contato e um trecho da mensagem), entregues via FCM (Android), APNs (iOS) e push do navegador.
• Dados de suporte: registros de atendimento e comunicações com nossa equipe.

4. Finalidades e bases legais

5. Com quem compartilhamos

Compartilhamos dados pessoais somente com os fornecedores necessários à operação do serviço, listados nominalmente abaixo e detalhados na Lista de Suboperadores:

• Stripe — processamento de pagamentos e assinaturas; o cartão é coletado diretamente pela Stripe.
• Amazon Web Services (Amazon Bedrock) — modelos de linguagem dos recursos de IA (redação e sugestão de mensagens, classificação, resumos, Time IA e agentes, triagem, chat com documentos, extração de dados e leitura de imagens), executados nos Estados Unidos. Recebe somente o conteúdo e o contexto necessários à ação, que podem incluir mensagens, dados do contato ou processo, transcrições, texto de documentos e imagens. Pelos compromissos documentados da AWS para o Amazon Bedrock, o conteúdo não é usado para melhorar os modelos nem compartilhado com o fornecedor do modelo, e a conta da Vimel Tech é configurada para que a AWS não grave pedidos e respostas em armazenamento durável, ressalvado o que a lei exigir, como a preservação e a comunicação às autoridades de material de abuso sexual infantil.
• OpenAI — transcrição de notas de voz e de áudio ditado, e geração dos documentos de procuração, união estável e compra e venda. Recebe o áudio a transcrever e, nos geradores de documento, o texto dos documentos enviados e os dados das partes. Pela política da API da OpenAI, os dados enviados não são usados para treinar modelos. Os áudios enviados para transcrição são retidos por, no máximo, 30 dias; nos geradores de documento, os arquivos enviados ficam armazenados na OpenAI até serem excluídos pela Vimel Tech.
• LlamaCloud (LlamaIndex) — parsing e OCR de documentos enviados ao Vimel CRM ou ao Vimel Processos.
• Meta Platforms — canal oficial do WhatsApp (Cloud API) e Instagram Direct. A Meta retém mensagens da Cloud API por até 30 dias para prestação do serviço. Somente com o seu consentimento de marketing, também a mensuração das campanhas de anúncios da Vimel Tech (seção 6.3) e, com base em legítimo interesse, a mensuração dos anúncios de clique para WhatsApp (seção 6.3).
• Google — somente integrações opt-in (seção 6.1) e, no site institucional, o Google Analytics após consentimento.
• Brevo — envio de e-mails transacionais (redefinição de senha, verificação de e-mail, convites de agenda e formulário de contato).
• FCM (Google) e APNs (Apple) — entrega de notificações push nos aplicativos dos produtos Vimel.
• Contentsquare/Hotjar — medição de navegação do site institucional, após consentimento.
• Cloudflare — rede de borda e proteção de tráfego dos domínios da Vimel Tech.
• ViaCEP — consulta de endereço por CEP (recebe apenas o CEP consultado).
• Infraestrutura própria — bancos de dados e armazenamento de mídia auto-hospedados em datacenter no Brasil.
• Autoridades públicas — quando exigido por lei ou ordem de autoridade competente.

6. Integrações e canais

6.1. Dados obtidos por meio de APIs do Google (Google API Services)

Quando você conecta sua Conta do Google à Vimel Tech, acessamos determinados dados do Google somente após o seu consentimento explícito na tela de autorização (OAuth) e apenas no escopo necessário para a funcionalidade que você ativar:

• Google Agenda: lista de agendas e eventos (calendar.calendarlist.readonly, calendar.events), para exibir, criar e sincronizar compromissos dos seus atendimentos, incluindo e-mails de participantes quando informados.
• Google Planilhas: você seleciona a planilha específica pelo seletor de arquivos do Google (Google Picker); acessamos apenas essa planilha, por meio do escopo drive.file, para importar contatos e dados. Não listamos nem acessamos as demais planilhas do seu Drive.
• Google Drive: acesso restrito apenas aos arquivos que você abre ou cria com a Vimel Tech (drive.file); não acessamos os demais arquivos do seu Drive.
• A conta conectada é identificada pelo e-mail e nome (userinfo.email, userinfo.profile) apenas para rotular a integração. Não oferecemos login com Google — o acesso à plataforma é feito por e-mail e senha.

Uso e compartilhamento. Esses dados são utilizados exclusivamente para fornecer e melhorar as funcionalidades acima, a seu pedido. Não vendemos dados do Google, não os usamos para publicidade e não os utilizamos para treinar modelos de IA generalizados ou de fundação. O compartilhamento ocorre apenas com provedores de infraestrutura estritamente necessários à operação do recurso ou quando exigido por lei.

Uso Limitado (Limited Use). O uso e a transferência, pela Vimel Tech, de informações recebidas das APIs do Google obedecem à Política de Dados de Usuários dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use).

Retenção e revogação. Os tokens de acesso e os dados sincronizados são mantidos somente enquanto a integração estiver ativa. Você pode revogar o acesso a qualquer momento desconectando a integração na Vimel Tech ou em myaccount.google.com/permissions, e solicitar a exclusão conforme a seção 10.1.

6.2. Canais de conexão do WhatsApp

A plataforma oferece dois modos de conexão:

• API Oficial (WhatsApp Cloud API, Meta): a Meta atua como operadora do canal e retém mensagens por até 30 dias para prestação do serviço, conforme seus próprios termos de tratamento.
• Conexão via QR Code: utiliza um gateway auto-hospedado pela Vimel Tech que se conecta ao WhatsApp de forma não oficial. Nesse modo, as mensagens trafegam e são armazenadas exclusivamente na infraestrutura da Vimel Tech, sem telemetria de terceiros. As implicações desse canal (incluindo risco de bloqueio do número pela Meta) estão descritas nos Termos de Uso.

6.3. Mensuração de campanhas de anúncios (Meta)

A Vimel Tech anuncia no Facebook e no Instagram e mede o resultado dessas campanhas com a Meta. No site e nas contas criadas a partir dele, esse tratamento acontece somente para quem consentiu a categoria "Marketing (Meta)" no banner de cookies do site. Sem esse consentimento, nada é enviado à Meta para essa finalidade, nem pelo navegador, nem pelos nossos servidores. As conversas iniciadas por anúncio de clique para WhatsApp seguem a regra própria descrita no fim desta seção.

• No navegador (Pixel da Meta): eventos de navegação no site, descritos na Política de Cookies.
• Pelos nossos servidores (API de Conversões da Meta): quando a conta é criada a partir de um clique no site com esse consentimento, a Vimel Tech pode enviar à Meta eventos do funil da conta — cadastro, verificação de e-mail, início do período de teste, ativação e pagamento — com:
  • e-mail, telefone e identificador do usuário transformados em hash SHA-256 antes do envio, de modo que o dado não vai em texto aberto;
  • os identificadores de clique de anúncio fbc e fbp;
  • o endereço IP e a identificação do navegador registrados no cadastro;
  • o valor e a moeda do plano, nos eventos de início do teste e de pagamento.
• O que nunca enviamos à Meta para essa finalidade: dados de pacientes ou de contatos dos clientes, especialidade, conteúdo de conversas, documentos ou quaisquer dados tratados em nome dos clientes da plataforma.

A Meta usa esses dados para medir e otimizar a entrega dos anúncios da Vimel Tech, nos termos das Ferramentas de Negócios da Meta e da Política de Privacidade da Meta.

Base legal: consentimento (LGPD, Art. 7º, I), que pode ser revogado a qualquer momento. No site, a revogação é feita pelo botão "Preferências de cookies". Para interromper o envio pelo servidor ligado a uma conta já criada, escreva para o canal de privacidade (seção 11). A revogação vale para os eventos seguintes e não desfaz os já enviados.

Retenção: o endereço IP e a identificação do navegador do cadastro são apagados 60 dias após o cadastro. Os demais dados de atribuição (origem da campanha, identificadores de clique e registro do consentimento) são mantidos enquanto a conta existir e eliminados junto com ela.

Anúncios de clique para WhatsApp. Quando você clica num anúncio da Vimel Tech no Facebook ou no Instagram e inicia uma conversa com o nosso WhatsApp comercial, a Meta cria um identificador desse clique e o repassa a nós junto com a sua mensagem. Usamos esse identificador para informar à Meta, pela API de Conversões para mensagens, até dois tipos de evento:

• que uma conversa começou a partir do anúncio (um evento por clique, inclusive quando você já falava conosco);
• se for o caso, que uma demonstração foi agendada.

O que vai em cada evento: o nome do evento, o horário, o identificador do clique e o identificador da conta de WhatsApp Business da Vimel Tech. Não enviamos o seu número de telefone, o seu nome, o conteúdo da conversa, dados de saúde ou de outra categoria sensível, nem dados que os clientes da plataforma tratam conosco. O envio só acontece quando a conversa chega a um número da Vimel Tech conectado à API oficial da Meta.

Finalidade: medir o resultado dos nossos anúncios e permitir que a Meta otimize a entrega deles para pessoas com maior chance de agendar uma demonstração. A Meta também trata esses dados conforme a própria Política de Privacidade.

Base legal: legítimo interesse da Vimel Tech (LGPD, art. 7º, IX, e art. 10), avaliado em teste de balanceamento registrado. Esse tratamento não depende do banner de cookies, porque não acontece no site.

Como se opor: escreva para privacidade@vimeltech.com (seção 11) pedindo que as suas conversas não sejam usadas na mensuração de anúncios. Você não precisa justificar o pedido. Depois de atendê-lo, deixamos de enviar eventos sobre você; os eventos já enviados não podem ser recolhidos da Meta.

Retenção: o registro da conversão fica na nossa base enquanto o seu cadastro de contato existir e é eliminado junto com ele.

7. Transferência internacional

Os dados da plataforma são armazenados em infraestrutura própria no Brasil. Há transferência internacional apenas para os fornecedores nomeados na seção 5 estabelecidos no exterior (EUA/UE). Essas transferências são realizadas com os mecanismos previstos na LGPD e na Resolução CD/ANPD nº 19/2024 — cláusulas-padrão contratuais e/ou garantias contratuais equivalentes dos fornecedores —, conforme detalhado na Lista de Suboperadores.

Mensuração de anúncios com a Meta (seção 6.3). Os dados enviados à Meta para medir os anúncios da Vimel Tech vão para a Meta Platforms, nos Estados Unidos. No site e nas contas criadas a partir dele, essa transferência acontece com o seu consentimento específico, dado na categoria "Marketing (Meta)" do banner de cookies, que informa o caráter internacional do envio (LGPD, art. 33, VIII). Os eventos dos anúncios de clique para WhatsApp (seção 6.3) também são recebidos pela Meta nos Estados Unidos.

8. Segurança

Adotamos medidas técnicas e administrativas proporcionais ao risco, incluindo criptografia em trânsito (TLS), controle de acesso por organização e papel, segregação por cliente, logs, monitoramento, gestão de segredos e políticas internas.

9. Retenção

• Dados de conta: enquanto a conta estiver ativa e pelos prazos legais após o encerramento.
• Mensagens, transcrições, mídia, casos, processos, campos, checklists, documentos e trilhas de auditoria: enquanto a conta da organização existir, ou até exclusão solicitada (seção 10.1).
• Cópias em fornecedores: expiram pelos ciclos de cada fornecedor (OpenAI ≤ 30 dias; Meta Cloud API ≤ 30 dias); no Amazon Bedrock, pedidos e respostas não são gravados em armazenamento durável (ressalva da seção 5).
• Registros fiscais e de billing: pelos prazos legais aplicáveis.
• Dados de atribuição de campanhas: endereço IP e identificação do navegador do cadastro por 60 dias após o cadastro; os demais enquanto a conta existir (seção 6.3). Nas conversas iniciadas por anúncio de clique para WhatsApp, o anúncio de origem, o identificador do clique e o registro da conversão ficam enquanto o cadastro de contato existir e são eliminados junto com ele (seção 6.3).
• Backups: eliminados em ciclo próprio de rotação.

9.1. Incidentes de segurança

Mantemos procedimento de resposta a incidentes alinhado à Resolução CD/ANPD nº 15/2024: avaliação do incidente, registro interno e, quando houver risco ou dano relevante aos titulares, comunicação à ANPD e aos titulares afetados em até 3 dias úteis do conhecimento.

10. Direitos do titular

Nos termos do Art. 18 da LGPD, o titular pode requerer: confirmação do tratamento; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; informação sobre compartilhamentos; informação sobre a possibilidade de não consentir; revogação do consentimento; e oposição a tratamento irregular. Respondemos a pedidos de confirmação e acesso em até 15 dias.

Quando a Vimel Tech atuar como operadora, encaminharemos a solicitação ao cliente controlador e prestaremos a assistência prevista no DPA.

10.1. Como solicitar a exclusão da sua conta e dados

Para solicitar a exclusão da sua conta e de todos os dados pessoais associados — incluindo dados coletados pelos aplicativos móveis do Vimel CRM e do Vimel Processos — envie e-mail para privacidade@vimeltech.com com o assunto "Solicitação de Exclusão de Conta" e o e-mail cadastrado na plataforma. Confirmaremos o recebimento em até 5 dias úteis e concluiremos a exclusão em até 30 dias úteis, conforme a LGPD.

Algumas informações podem ser retidas após a exclusão quando exigido por lei (registros fiscais, prevenção a fraude e cumprimento de obrigações regulatórias). Dados de mensagens, contatos, casos, processos e documentos cadastrados na plataforma serão removidos junto com a conta, salvo quando vinculados a outro usuário ativo da mesma organização.

Se você é o administrador titular da organização (CLIENT_ADMIN), entre em contato pelo mesmo e-mail para coordenarmos o encerramento da conta corporativa, já que essa ação afeta todos os usuários e dados da organização.

11. Encarregado e canal LGPD

Solicitações: privacidade@vimeltech.com
Encarregado pelo tratamento de dados pessoais: Ricardo Tozati, designado por ato formal, com substituto designado para ausências, nos termos da Resolução CD/ANPD nº 18/2024.

12. IA

Os recursos de inteligência artificial da plataforma são assistivos e regidos pelos Termos de IA, que detalham os fornecedores utilizados, o compromisso de não treinamento de modelos com dados de clientes e a exigência de revisão humana.

13. Atualizações

Esta política poderá ser atualizada a qualquer tempo, com publicação da nova versão e da data de vigência nesta página.