Política de Privacidade

A VN One (CNPJ 62.924.262/0001-08), com sede em Recife/PE, desenvolve e mantém a plataforma DizPara. Dois papéis diferentes, dependendo do dado: • Dados da sua conta (cadastro, faturamento, uso da plataforma): a VN One é CONTROLADORA — decide como e para que esses dados são tratados, pois é ela quem opera o serviço que você contratou. • Dados dos leads que você captura e contata pela plataforma: você (ou a empresa que você representa) é o CONTROLADOR — é você quem decide quem contatar, com qual mensagem e para qual finalidade. A VN One atua como OPERADORA, tratando esses dados só por sua instrução, para viabilizar o envio e o armazenamento. Encarregado de Dados (DPO): Victor Nogueira — contato@vnone.com.br

Dados que você nos fornece diretamente: • Nome, e-mail e senha ao criar conta • Nome da organização (usado para identificar sua conta e nos comunicados) • Dados de faturamento (processados diretamente pelo Stripe — não armazenamos número do cartão) • Configurações de SMTP (host, porta, usuário; senha criptografada no Supabase Vault) • Conteúdo de campanhas criadas • E-mail informado voluntariamente no formulário de contato da página inicial (dizpara.com), para envio de material informativo sobre o produto e newsletter — com opção de descadastro a qualquer momento, disponível em todo e-mail recebido Dados coletados automaticamente: • Endereço IP de acesso • Tipo de navegador e sistema operacional • Páginas visitadas e ações realizadas dentro da plataforma (logs de uso) • Data e hora de acessos • Rastreamento de e-mails enviados: e-mails de campanha contêm um pixel de rastreamento (imagem 1×1 invisível) para detectar abertura, e links rastreados para registrar cliques — permitindo medir o engajamento das campanhas. Você pode optar por não receber mais comunicações clicando em "Descadastrar-me" em qualquer e-mail recebido. Dados de formulários públicos: • Dados preenchidos em formulários criados por clientes da DizPara (nome, e-mail, telefone, etc.) são armazenados e disponibilizados ao responsável pelo formulário para fins de contato comercial, com base no consentimento dado no momento do preenchimento. Dados de terceiros: • Informações de empresas obtidas via Google Maps Places API (nome, telefone, e-mail, endereço, website, avaliação, Place ID, foto do estabelecimento — armazenada em local privado, com acesso restrito por link assinado escopado à sua organização) • Informações de contato que a própria empresa divulga publicamente no seu site, quando o enriquecimento de leads pelo site está liberado para a sua organização: e-mail de contato, links dos perfis da empresa no Instagram, no Facebook e no LinkedIn (somente páginas de empresa) e link de WhatsApp. Um robô do DizPara (DizParaBot, descrito em dizpara.com/bot) lê a página inicial do site do lead e, se não encontrar um e-mail utilizável, até duas páginas de contato ou "sobre" do mesmo site, respeitando o robots.txt dele. Guardamos no lead apenas esses campos, mais a data e o resultado da leitura — não guardamos o conteúdo das páginas — e nunca sobrescrevemos um dado que o lead já tinha. A leitura acontece nos leads que você capta pela busca de leads (exceto os do Radar de Oportunidades) e nos que você manda enriquecer; ela não é feita em quem já pediu para não ser contatado, está em pausa ou foi descartado. Dados gerados pelo uso da plataforma e por agentes de IA: • Histórico de buscas de leads: os termos e a localização que você pesquisa ficam salvos, para você reencontrar buscas anteriores. • Conteúdo completo das conversas entre o lead e o agente de IA (quando ativado), incluindo anotações que a própria IA registra sobre o lead durante o atendimento. • Áudios de WhatsApp enviados pelo lead são transcritos automaticamente (ver OpenAI/Whisper na seção 5); imagens e documentos recebidos não são armazenados pela plataforma — apenas um indicador de que houve mídia. • Se você usa a Radar de Grupos do WhatsApp: nomes e telefones dos administradores dos grupos identificados. • Se você conecta um número via API oficial do WhatsApp Business Platform (Meta Cloud API): o conteúdo das mensagens enviadas e recebidas por esse canal é processado pelos servidores da Meta (ver seção 5). • Se você conecta um número via API oficial do WhatsApp: a Meta identifica cada pessoa também por um identificador do usuário no escopo da empresa (BSUID — um código que a Meta gera para cada pessoa e que substitui o telefone quando ela adota um nome de usuário) e pelo nome de usuário (@usuário) dela, e passa a enviar esses dados junto com as mensagens. Quando um lead já cadastrado conversa com você, recebe ou lê uma mensagem sua, ou tem o histórico e os contatos sincronizados por esse canal, guardamos esses identificadores junto ao lead — inclusive enquanto o telefone dele ainda aparece, para continuarmos reconhecendo o lead se ele passar a ocultar o telefone. Usamos esses identificadores apenas para reconhecer a conversa, mostrar o histórico, respeitar pedidos de descadastro e enviar mensagens a esse contato. Não criamos um lead novo a partir de uma mensagem de quem não está cadastrado. • Se você usa a API pública ou webhooks de saída: o prefixo e o hash (nunca o token em si) de cada token criado, o registro das alterações feitas pela API (usuário, token, ação e data) e o histórico de entregas dos webhooks, que inclui o conteúdo enviado ao destino que você configurou (prazos na seção 8).

• Prestação do serviço: criar e gerenciar sua conta, processar pagamentos, armazenar leads e campanhas • Comunicações transacionais: confirmação de cadastro, faturas e recibos, lembretes de renovação da assinatura, avisos de pagamento recusado ou pendente de autenticação, avisos de bloqueio ou suspensão da conta por falta de pagamento, confirmação de cancelamento e de reembolso, alertas de limite de cota. São e-mails de serviço, necessários à execução do contrato — não são comunicações de marketing e, por isso, não dependem de consentimento nem de opt-out • Segurança: detecção de fraudes, autenticação, auditoria de acesso • Melhoria do produto: análise de como a plataforma é usada, para priorizar funcionalidades (os registros de uso internos — seção 2 — são vinculados ao usuário que gerou a ação, para fins de auditoria e suporte; a análise de métricas do site via Google Analytics, essa sim, é agregada) • Comunicações de marketing: apenas com consentimento explícito (você pode cancelar a qualquer momento)

• Execução de contrato (art. 7º, V): dados necessários para prestar o serviço contratado • Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção a fraudes, e a coleta de dados públicos de estabelecimentos comerciais via Google Maps, bem como a leitura automatizada, no site da própria empresa prospectada, das informações de contato que ela mesma divulga publicamente, para fins de prospecção B2B (dados de pessoa jurídica/profissional, não de pessoa física em contexto pessoal) • Consentimento (art. 7º, I): comunicações de marketing • Cumprimento de obrigação legal (art. 7º, II): registros fiscais e contábeis • Exercício regular de direitos (art. 7º, VI): guarda do resumo mínimo de uma organização suspensa manualmente pelo DizPara e depois excluída pelo responsável (por 3 anos) e dos registros de reembolso e de prevenção a fraude (seção 8), para defesa em eventual disputa judicial, administrativa ou arbitral

Nossa infraestrutura principal roda em um servidor próprio (self-hosted), não em serviços gerenciados de nuvem (a exceção são as cópias de segurança, guardadas no armazenamento da Cloudflare, abaixo) — corrigimos aqui uma imprecisão de versões anteriores desta política, que citavam incorretamente "Supabase Inc." e "AWS sa-east-1" como local de tratamento. Seus dados podem ser tratados pelos seguintes subprocessadores: • Servidor de infraestrutura: banco de dados, autenticação e Edge Functions rodam em VPS próprio, contratado no Brasil. A conexão do seu WhatsApp (Evolution API) roda como um serviço hospedado nesse mesmo VPS — não é um servidor de terceiro à parte. A leitura dos sites das empresas que você prospecta (enriquecimento de leads pelo site, seção 2) é feita por esse mesmo servidor; nenhum subprocessador novo participa dela (as cópias de segurança do banco, acima, passam a conter esses campos como os demais dados do lead). • Stripe Inc. (EUA): processamento de pagamentos (certificação PCI DSS nível 1). • Cloudflare, Inc. (EUA): rede de entrega e proteção (proxy/CDN e mitigação de ataques) na frente do site e da API, por onde passa o tráfego de acesso — inclusive o endereço IP de quem acessa — e armazenamento das cópias de segurança do banco de dados (armazenamento de objetos Cloudflare R2, com localização preferencial na região leste da América do Norte, na jurisdição padrão da Cloudflare). • Google LLC: API de busca de leads (Places API); consulta de dados públicos de CNPJ (publica.cnpj.ws) quando você usa o enriquecimento automático; métricas de uso do site (Google Analytics 4 — somente mediante seu consentimento no aviso de cookies; o GA4 não armazena o endereço IP completo do visitante por padrão). • Registro.br/NIC.br (Brasil): consulta RDAP (WHOIS) do domínio do site do lead, quando você usa o enriquecimento automático de e-mail — busca o contato administrativo/técnico publicamente registrado do domínio. • Hostinger (Lituânia/UE): servidor SMTP usado para o envio de e-mails transacionais da própria plataforma (confirmação de conta, convites de equipe, notificações, newsletter do blog, contato/newsletter da página inicial) — diferente do SMTP que você mesmo configura para suas campanhas. • Evolution API: gateway usado para conectar sua conta de WhatsApp e enviar/receber mensagens pela plataforma. • Meta Platforms, Inc. / WhatsApp LLC (EUA): se você conectar um número via API oficial do WhatsApp Business Platform (Meta Cloud API), o conteúdo das mensagens enviadas e recebidas por esse canal trafega pelos servidores da Meta, cujo tratamento está sujeito à política de privacidade dela. O token de acesso dessa conexão é armazenado de forma criptografada (Supabase Vault) nos nossos servidores. Para contatos que adotaram nome de usuário, a Meta também fornece o identificador (BSUID) e o @usuário descritos na seção 2. • Anthropic Inc. (EUA): geração de copy de campanhas com IA — apenas o briefing da campanha (nicho, tom, objetivo), sem dados de leads. • OpenAI LLC (EUA): (a) qualificação automática de respostas de WhatsApp via modelo de texto — envia as últimas mensagens da conversa, incluindo nome/telefone quando esses dados aparecem no texto (por exemplo, numa mensagem automática que os cita); (b) transcrição de mensagens de áudio de WhatsApp via Whisper — o áudio enviado pelo lead é transmitido à OpenAI para gerar o texto transcrito; (c) geração de embeddings para a Base de Conhecimento dos agentes de IA, quando você usa esse recurso com a credencial padrão da plataforma. • Provedores de IA que você conectar por conta própria (BYO — "bring your own"): se você cadastrar sua própria credencial de Anthropic, Gemini (Google), Groq, OpenRouter, DeepSeek ou Grok (xAI) para os agentes de IA da plataforma, os dados relevantes da conversa são enviados ao provedor escolhido por você, sob os termos de privacidade dele — inclusive DeepSeek (sediada na China, fora do espaço de adequação da LGPD para essa transferência internacional, sob sua própria responsabilidade como controlador desses dados). • Sentry (EUA): monitoramento de erros da aplicação, incluindo replay de sessão (gravação da tela, com textos e mídias mascarados) quando ocorre um erro — ver seção 6 sobre como isso é controlado por consentimento. • Servidores MCP e webhooks configurados por você: se você conectar um servidor MCP externo ou configurar um webhook de saída nos fluxos de automação, os dados do lead/da conversa relevantes ao gatilho são enviados ao destino que você configurou, sob sua responsabilidade como controlador. Transferência internacional: os subprocessadores acima com sede fora do Brasil processam dados com base em legítimo interesse (LGPD art. 7º, IX) ou, no caso da Meta/WhatsApp (conteúdo de mensagens do canal oficial) e de comunicações de WhatsApp/e-mail em geral, como parte da execução do serviço que você contratou (LGPD art. 33, IX). Dados de CPF não são coletados nem enviados a nenhum desses provedores. Não vendemos, alugamos ou compartilhamos seus dados com anunciantes ou parceiros comerciais.

Cookies e armazenamento estritamente necessários: utilizados para manter sua sessão autenticada e o funcionamento da plataforma. São sempre ativos, pois sem eles o serviço não funciona. Cookies de análise (Google Analytics 4): utilizados SOMENTE após o seu consentimento explícito no aviso de cookies exibido no primeiro acesso. Servem para entender de forma agregada como a plataforma é usada (páginas mais visitadas, fluxo de navegação) e priorizar melhorias. O GA4 não armazena o endereço IP completo do visitante por padrão, e não configuramos envio de dados sensíveis a ele. Monitoramento de erros (Sentry): a captura de erros técnicos (mensagem, stack trace, uma trilha de ações recentes na tela — "breadcrumbs" — e uma amostra de dados de performance de navegação) roda sempre, com base em legítimo interesse (Art. 7º, IX) — nos ajuda a manter a plataforma estável e segura. Já o replay de sessão (gravação da tela no momento do erro, com textos e mídias mascarados por padrão) só é ativado com o mesmo consentimento do aviso de cookies, por ser mais sensível. Você pode recusar esses itens no próprio aviso (botão "Recusar") sem qualquer prejuízo ao uso da plataforma, e pode revogar ou refazer sua escolha a qualquer momento em "Preferências de cookies" no rodapé do site, ou, se estiver logado, em Configurações → Privacidade. Não utilizamos cookies de publicidade nem compartilhamos dados com redes de anúncios.

Adotamos as seguintes medidas de segurança: • Criptografia TLS/HTTPS em todas as transmissões • Senhas de usuário hasheadas com bcrypt (Supabase Auth) • Senhas SMTP e outras credenciais sensíveis armazenadas criptografadas no Supabase Vault (pgsodium, XChaCha20-Poly1305) • Row Level Security (RLS) no banco de dados — cada organização acessa somente seus próprios dados • Tokens JWT com expiração curta • Logs de acesso auditáveis Comunicação de incidentes: em caso de incidente de segurança que possa acarretar risco relevante a você (LGPD, art. 48), notificaremos os titulares afetados e a ANPD, informando a natureza dos dados envolvidos, as medidas técnicas adotadas e as ações de mitigação, dentro do prazo razoável exigido pela lei.

• Dados de conta: mantidos enquanto a conta existir. Cancelar a assinatura interrompe a cobrança, mas NÃO apaga seus dados — a conta continua existindo, porém com o acesso às funcionalidades bloqueado enquanto não houver uma assinatura ativa (o plano Básico também é pago); você segue podendo entrar para assinar de novo e para exportar ou excluir seus dados. O mesmo vale para a falta de pagamento depois da carência (Termos de Uso, seção 6): o bloqueio não apaga dados. • Exclusão da conta: ao usar a opção "Excluir conta" (Configurações), a organização e os dados vinculados são apagados do banco de dados de forma imediata e definitiva — não há período de carência e a exclusão não pode ser desfeita pelo painel; os arquivos enviados (mídias de campanha, documentos da base de conhecimento da IA e mídia de modelos de WhatsApp Oficial) e a foto de perfil também são removidos do armazenamento de arquivos. Ficam: (i) cópias de segurança diárias do banco de dados, guardadas por até 30 dias exclusivamente para recuperação de desastre e depois descartadas; (ii) os registros financeiros e de prevenção a fraude de reembolso descritos abaixo; (iii) o registro dos envios feitos pela plataforma (e-mails e mensagens de WhatsApp de automação: destinatário e tipo, por 90 dias), o registro de auditoria das ações dos administradores da plataforma sobre a conta (2 anos) e registros técnicos de erro da plataforma; e (iv) o resumo da exceção seguinte. • Exceção — conta suspensa manualmente pelo DizPara: se a organização tiver sido suspensa manualmente pelo DizPara (por exemplo, por uso abusivo, como fraude ou envio indevido em massa) e o responsável excluir a conta depois disso, guardamos por 3 anos um resumo mínimo: nome da organização, plano, identificador e e-mail do responsável, data, autoria e motivo da suspensão, e contagens agregadas (leads, campanhas, membros, conexões e eventos de registro) — nunca o conteúdo dos leads, das conversas ou das campanhas. O acesso é restrito à administração da plataforma e o resumo é apagado automaticamente ao fim do prazo. Base legal: exercício regular de direitos (LGPD, art. 7º, VI) e legítimo interesse na prevenção a fraudes e abusos (art. 7º, IX), para podermos nos defender em eventual disputa. A suspensão por falta de pagamento não gera esse resumo. Para pedir informações ou contestar essa retenção: contato@vnone.com.br. • Registros financeiros e de prevenção a fraude: mesmo depois da exclusão da conta, mantemos os registros de cobrança (valores, datas, plano e identificadores de cliente e de assinatura no Stripe) para cumprir obrigações fiscais e contábeis (LGPD, art. 7º, II) e, no histórico de reembolsos, o identificador (fingerprint) do cartão — nunca o número —, os e-mails de cobrança e de login e o endereço de IP usados para impedir pedidos de reembolso repetidos, com base no legítimo interesse na prevenção a fraudes (art. 7º, IX) e no exercício regular de direitos (art. 7º, VI), pelo tempo necessário a essas finalidades. O Stripe mantém, por conta própria, os dados do pagamento, conforme a política dele. • Leads criados há mais de 12 meses, exceto os já marcados como qualificados, que não tenham envio, resposta ou mensagem registrados: anonimizados automaticamente, preservando o registro apenas para integridade de relatórios históricos. • Mensagens de WhatsApp (60 dias) e registros operacionais de campanhas concluídas (90 dias): a limpeza roda em ciclos periódicos, então o apagamento efetivo pode levar algumas semanas além desses prazos. • Identificadores do WhatsApp (BSUID e @usuário): mantidos enquanto o lead existir e apagados quando o lead é excluído ou anonimizado — inclusive pela anonimização automática de leads sem atividade (acima) — e junto com a conta, na exclusão da conta. As mensagens associadas seguem os prazos de retenção de mensagens desta seção. • Enriquecimento de leads pelo site: o e-mail, os links de perfis e o link de WhatsApp gravados no lead seguem a retenção do lead — são apagados quando o lead é excluído ou anonimizado, inclusive pela anonimização automática acima. Os registros técnicos da leitura (organização, lead, resultado e contagens, sem o conteúdo das páginas) ficam por até 90 dias; a fila de trabalho, por 7 dias depois de concluída; e o contador mensal da cota, por 13 meses. A lista de sites que pediram para não ser lidos guarda só o domínio, o motivo e a data do pedido (nunca dados de quem pediu) e é mantida enquanto o pedido valer. • Histórico de atividades da organização (inclui as alterações feitas pela API pública — criar, editar, excluir, disparar e buscar —, com o usuário e o token usados): 60 dias; eventos financeiros e de equipe: 365 dias. Histórico de entregas de webhooks de saída: 7 dias (entregues) ou 30 dias (demais). • Outros registros operacionais: conversas e eventos do agente de IA, de campanhas e de formulários (90 dias); notificações (30 a 90 dias); eventos de conexões de WhatsApp (180 dias); respostas guardadas para evitar duplicidade em chamadas da API (24 horas). • Logs de auditoria das ações dos administradores da plataforma: 2 anos. • Dados fiscais: prazo exigido pela legislação tributária aplicável.

Como titular de dados (LGPD, art. 18), você tem direito a: • Confirmar se tratamos seus dados • Acessar cópia dos seus dados • Corrigir dados incompletos ou incorretos • Solicitar anonimização, bloqueio ou eliminação de dados desnecessários • Portabilidade dos dados (formato JSON estruturado) • Revogar consentimento a qualquer momento • Opor-se a tratamentos baseados em legítimo interesse Se você é cliente do DizPara (usuário da plataforma), exporte ou exclua os dados da sua conta em "Meus dados" (dizpara.com/conta, com login — disponível mesmo com a conta bloqueada por falta de pagamento; a exclusão cabe ao responsável pela conta). Se você é titular de dados de um lead captado por um de nossos clientes, exerça seus direitos de forma automática (exclusão, correção, oposição ou revogação de consentimento) em dizpara.com/meus-dados, sem precisar de login. Se a única informação que você tem sobre a sua relação com um de nossos clientes é o seu nome de usuário do WhatsApp (e não o seu e-mail ou telefone), escreva para contato@vnone.com.br informando o @usuário e o nome da empresa que falou com você: o pedido é tratado manualmente, pois o formulário automático confirma a identidade pelo e-mail. Se você é dono de um site e não quer que ele seja lido pelo nosso robô (DizParaBot), veja dizpara.com/bot ou escreva para contato@vnone.com.br com o endereço do site. Para outras dúvidas: contato@vnone.com.br. Respondemos no prazo legal de 15 dias (LGPD Art. 19, II).

Podemos atualizar esta política periodicamente. Quando a mudança for relevante, avisamos por e-mail com 30 dias de antecedência da data em que ela passa a valer e, a partir dessa data, pedimos o seu novo aceite no primeiro acesso à plataforma. Mudanças exigidas por lei, ou que apenas descrevam com mais clareza algo que já fazemos, podem valer desde a publicação; nesses casos, o aviso é dado na própria plataforma, com novo aceite no primeiro acesso, e a data de "Última atualização" abaixo é atualizada. Se você não concordar, pode cancelar a assinatura e exportar seus dados (ou, sendo o responsável pela conta, excluí-la; seção 9) antes de a mudança valer, ou assim que tomar conhecimento dela. Última atualização: 08 de outubro de 2026.