Política de Privacidade

A VN One (CNPJ 62.924.262/0001-08), com sede em Recife/PE, desenvolve e mantém a plataforma DizPara. Dois papéis diferentes, dependendo do dado: • Dados da sua conta (cadastro, faturamento, uso da plataforma): a VN One é CONTROLADORA — decide como e para que esses dados são tratados, pois é ela quem opera o serviço que você contratou. • Dados dos leads que você captura e contata pela plataforma: você (ou a empresa que você representa) é o CONTROLADOR — é você quem decide quem contatar, com qual mensagem e para qual finalidade. A VN One atua como OPERADORA, tratando esses dados só por sua instrução, para viabilizar o envio e o armazenamento. Encarregado de Dados (DPO): Victor Nogueira — contato@vnone.com.br

Dados que você nos fornece diretamente: • Nome, e-mail e senha ao criar conta • Nome da organização (usado para identificar sua conta e nos comunicados) • Dados de faturamento (processados diretamente pelo Stripe — não armazenamos número do cartão) • Configurações de SMTP (host, porta, usuário; senha criptografada no Supabase Vault) • Conteúdo de campanhas criadas • E-mail informado voluntariamente no formulário de contato da página inicial (dizpara.com), para envio de material informativo sobre o produto e newsletter — com opção de descadastro a qualquer momento, disponível em todo e-mail recebido Dados coletados automaticamente: • Endereço IP de acesso • Tipo de navegador e sistema operacional • Páginas visitadas e ações realizadas dentro da plataforma (logs de uso) • Data e hora de acessos • Rastreamento de e-mails enviados: e-mails de campanha contêm um pixel de rastreamento (imagem 1×1 invisível) para detectar abertura, e links rastreados para registrar cliques — permitindo medir o engajamento das campanhas. Você pode optar por não receber mais comunicações clicando em "Descadastrar-me" em qualquer e-mail recebido. Dados de formulários públicos: • Dados preenchidos em formulários criados por clientes da DizPara (nome, e-mail, telefone, etc.) são armazenados e disponibilizados ao responsável pelo formulário para fins de contato comercial, com base no consentimento dado no momento do preenchimento. Dados de terceiros: • Informações de empresas obtidas via Google Maps Places API (nome, telefone, e-mail, endereço, website, avaliação, Place ID, foto do estabelecimento — armazenada em local privado, com acesso restrito por link assinado escopado à sua organização) Dados gerados pelo uso da plataforma e por agentes de IA: • Histórico de buscas de leads: os termos e a localização que você pesquisa ficam salvos, para você reencontrar buscas anteriores. • Conteúdo completo das conversas entre o lead e o agente de IA (quando ativado), incluindo anotações que a própria IA registra sobre o lead durante o atendimento. • Áudios de WhatsApp enviados pelo lead são transcritos automaticamente (ver OpenAI/Whisper na seção 5); imagens e documentos recebidos não são armazenados pela plataforma — apenas um indicador de que houve mídia. • Se você usa a Radar de Grupos do WhatsApp: nomes e telefones dos administradores dos grupos identificados.

• Prestação do serviço: criar e gerenciar sua conta, processar pagamentos, armazenar leads e campanhas • Comunicações transacionais: confirmação de cadastro, faturas, alertas de limite de cota • Segurança: detecção de fraudes, autenticação, auditoria de acesso • Melhoria do produto: análise de como a plataforma é usada, para priorizar funcionalidades (os registros de uso internos — seção 2 — são vinculados ao usuário que gerou a ação, para fins de auditoria e suporte; a análise de métricas do site via Google Analytics, essa sim, é agregada) • Comunicações de marketing: apenas com consentimento explícito (você pode cancelar a qualquer momento)

• Execução de contrato (art. 7º, V): dados necessários para prestar o serviço contratado • Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção a fraudes, e a coleta de dados públicos de estabelecimentos comerciais via Google Maps para fins de prospecção B2B (dados de pessoa jurídica/profissional, não de pessoa física em contexto pessoal) • Consentimento (art. 7º, I): comunicações de marketing • Cumprimento de obrigação legal (art. 7º, II): registros fiscais e contábeis

Nossa infraestrutura roda em um servidor próprio (self-hosted), não em serviços gerenciados de nuvem — corrigimos aqui uma imprecisão de versões anteriores desta política, que citavam incorretamente "Supabase Inc." e "AWS sa-east-1" como local de tratamento. Seus dados podem ser tratados pelos seguintes subprocessadores: • Servidor de infraestrutura: banco de dados, autenticação e Edge Functions rodam em VPS próprio, contratado no Brasil. A conexão do seu WhatsApp (Evolution API) roda como um serviço hospedado nesse mesmo VPS — não é um servidor de terceiro à parte. • Stripe Inc. (EUA): processamento de pagamentos (certificação PCI DSS nível 1). • Google LLC: API de busca de leads (Places API); consulta de dados públicos de CNPJ (publica.cnpj.ws) quando você usa o enriquecimento automático; métricas de uso do site (Google Analytics 4 — somente mediante seu consentimento no aviso de cookies; o GA4 não armazena o endereço IP completo do visitante por padrão). • Registro.br/NIC.br (Brasil): consulta RDAP (WHOIS) do domínio do site do lead, quando você usa o enriquecimento automático de e-mail — busca o contato administrativo/técnico publicamente registrado do domínio. • Hostinger (Lituânia/UE): servidor SMTP usado para o envio de e-mails transacionais da própria plataforma (confirmação de conta, convites de equipe, notificações, newsletter do blog, contato/newsletter da página inicial) — diferente do SMTP que você mesmo configura para suas campanhas. • Evolution API: gateway usado para conectar sua conta de WhatsApp e enviar/receber mensagens pela plataforma. • Anthropic Inc. (EUA): geração de copy de campanhas com IA — apenas o briefing da campanha (nicho, tom, objetivo), sem dados de leads. • OpenAI LLC (EUA): (a) qualificação automática de respostas de WhatsApp via modelo de texto — envia as últimas mensagens da conversa, incluindo nome/telefone quando esses dados aparecem no texto (por exemplo, numa mensagem automática que os cita); (b) transcrição de mensagens de áudio de WhatsApp via Whisper — o áudio enviado pelo lead é transmitido à OpenAI para gerar o texto transcrito; (c) geração de embeddings para a Base de Conhecimento dos agentes de IA, quando você usa esse recurso com a credencial padrão da plataforma. • Provedores de IA que você conectar por conta própria (BYO — "bring your own"): se você cadastrar sua própria credencial de Anthropic, Gemini (Google), Groq, OpenRouter, DeepSeek ou Grok (xAI) para os agentes de IA da plataforma, os dados relevantes da conversa são enviados ao provedor escolhido por você, sob os termos de privacidade dele — inclusive DeepSeek (sediada na China, fora do espaço de adequação da LGPD para essa transferência internacional, sob sua própria responsabilidade como controlador desses dados). • Sentry (EUA): monitoramento de erros da aplicação, incluindo replay de sessão (gravação da tela, com textos e mídias mascarados) quando ocorre um erro — ver seção 6 sobre como isso é controlado por consentimento. • Servidores MCP e webhooks configurados por você: se você conectar um servidor MCP externo ou configurar um webhook de saída nos fluxos de automação, os dados do lead/da conversa relevantes ao gatilho são enviados ao destino que você configurou, sob sua responsabilidade como controlador. Transferência internacional: os subprocessadores acima com sede fora do Brasil processam dados com base em legítimo interesse (LGPD art. 7º, IX) ou, no caso de comunicações de WhatsApp/e-mail, como parte da execução do serviço que você contratou. Dados de CPF não são coletados nem enviados a nenhum desses provedores. Não vendemos, alugamos ou compartilhamos seus dados com anunciantes ou parceiros comerciais.

Cookies e armazenamento estritamente necessários: utilizados para manter sua sessão autenticada e o funcionamento da plataforma. São sempre ativos, pois sem eles o serviço não funciona. Cookies de análise (Google Analytics 4): utilizados SOMENTE após o seu consentimento explícito no aviso de cookies exibido no primeiro acesso. Servem para entender de forma agregada como a plataforma é usada (páginas mais visitadas, fluxo de navegação) e priorizar melhorias. O GA4 não armazena o endereço IP completo do visitante por padrão, e não configuramos envio de dados sensíveis a ele. Monitoramento de erros (Sentry): a captura de erros técnicos (mensagem, stack trace, uma trilha de ações recentes na tela — "breadcrumbs" — e uma amostra de dados de performance de navegação) roda sempre, com base em legítimo interesse (Art. 7º, IX) — nos ajuda a manter a plataforma estável e segura. Já o replay de sessão (gravação da tela no momento do erro, com textos e mídias mascarados por padrão) só é ativado com o mesmo consentimento do aviso de cookies, por ser mais sensível. Você pode recusar esses itens no próprio aviso (botão "Recusar") sem qualquer prejuízo ao uso da plataforma, e pode revogar ou refazer sua escolha a qualquer momento em "Preferências de cookies" no rodapé do site, ou, se estiver logado, em Configurações → Privacidade. Não utilizamos cookies de publicidade nem compartilhamos dados com redes de anúncios.

Adotamos as seguintes medidas de segurança: • Criptografia TLS/HTTPS em todas as transmissões • Senhas de usuário hasheadas com bcrypt (Supabase Auth) • Senhas SMTP e outras credenciais sensíveis armazenadas criptografadas no Supabase Vault (pgsodium, XChaCha20-Poly1305) • Row Level Security (RLS) no banco de dados — cada organização acessa somente seus próprios dados • Tokens JWT com expiração curta • Logs de acesso auditáveis Comunicação de incidentes: em caso de incidente de segurança que possa acarretar risco relevante a você (LGPD, art. 48), notificaremos os titulares afetados e a ANPD, informando a natureza dos dados envolvidos, as medidas técnicas adotadas e as ações de mitigação, dentro do prazo razoável exigido pela lei.

• Dados de conta: mantidos enquanto a conta existir. Cancelar a assinatura paga interrompe a cobrança, mas NÃO apaga seus dados — a conta continua existindo (com acesso limitado às funcionalidades do plano pago). • Exclusão da conta: ao usar a opção "Excluir conta" (Configurações), a organização e todos os dados vinculados são apagados de forma imediata e definitiva — não há período de carência. • Leads sem nenhuma interação (envio, resposta, mensagem) há mais de 12 meses: anonimizados automaticamente, preservando o registro apenas para integridade de relatórios históricos. • Mensagens de WhatsApp e logs operacionais de campanhas concluídas: 60-90 dias, conforme o tipo de registro. • Logs de auditoria administrativa: 2 anos. • Dados fiscais: prazo exigido pela legislação tributária aplicável.

Como titular de dados (LGPD, art. 18), você tem direito a: • Confirmar se tratamos seus dados • Acessar cópia dos seus dados • Corrigir dados incompletos ou incorretos • Solicitar anonimização, bloqueio ou eliminação de dados desnecessários • Portabilidade dos dados (formato JSON estruturado) • Revogar consentimento a qualquer momento • Opor-se a tratamentos baseados em legítimo interesse Para exercer seus direitos de forma automática (exclusão, correção, oposição ou revogação de consentimento), acesse dizpara.com/meus-dados. Para outras dúvidas: contato@vnone.com.br. Respondemos no prazo legal de 15 dias (LGPD Art. 19, II).

Podemos atualizar esta política periodicamente. Em caso de mudanças materiais, notificaremos por e-mail com 30 dias de antecedência. O uso continuado após a vigência constitui aceite. Última atualização: 30 de julho de 2026.