A ZapScaler atua como operadora (processor) dos dados pessoais que os negócios clientes tratam na plataforma, como os dados dos clientes finais que conversam com eles pelo WhatsApp. Os proprietários desses negócios são os controladores desses dados e decidem sobre o tratamento.
Para os dados da própria conta na plataforma (de quem se cadastra e da equipe do negócio, inclusive os dados recebidos ao entrar com o Google), a ZapScaler é a controladora.
Para qualquer dúvida relacionada a privacidade e proteção de dados, entre em contato pelo e-mail [email protected].
2. Dados Pessoais Coletados
Coletamos e tratamos os seguintes tipos de dados pessoais:
Nome completo
Endereço de e-mail
Número de telefone
Foto de perfil, quando você entra com o Google
Dados de agendamentos (datas, horários, serviços)
Conversas realizadas via WhatsApp
Eventos do Google Agenda, quando o dono do negócio conecta a agenda (veja a seção 5)
Dados de pagamento (processados pelo Mercado Pago; não armazenamos dados de cartão)
Dados de navegação e de origem do acesso (páginas visitadas, campanha de origem), somente com o seu consentimento (veja a seção 11)
3. Base Legal para Tratamento (Art. 7)
O tratamento de dados pessoais é realizado com base nas seguintes hipóteses legais previstas no Art. 7 da LGPD:
Consentimento (Art. 7, I): para o tratamento de dados pessoais conforme manifestação livre, informada e inequívoca do titular.
Execução de contrato (Art. 7, V): para a prestação dos serviços contratados na plataforma ZapScaler.
Interesse legítimo (Art. 7, IX): para melhoria do serviço, segurança da plataforma e prevenção de fraudes.
4. Finalidade do Tratamento
Os dados pessoais são tratados para as seguintes finalidades:
Criação da conta, autenticação e segurança do acesso (inclusive o login com o Google)
Automação de atendimento ao cliente via WhatsApp
Agendamento de consultas e serviços
Sincronização com o Google Agenda, quando o dono do negócio a ativa
Gestão de equipe e colaboradores
Processamento de pagamentos e gestão financeira
Comunicação com clientes (lembretes, confirmações)
Geração de relatórios e analíticos para o controlador
Medição de visitas e de campanhas de marketing, somente com o seu consentimento
4.1 Demonstração pública no site (chat de teste)
Nas páginas de apresentação do ZapScaler existe um chat de demonstração com um negócio fictício. Nessa demonstração a ZapScaler é a controladora dos dados, e não operadora: não há um cliente nosso do outro lado.
O que tratamos: o texto que você digita no chat, de forma transitória, apenas para gerar a resposta. Pedimos que não informe dados pessoais reais.
Para quem vai: ao nosso provedor de inteligência artificial (OpenAI, EUA), para produzir a resposta daquela mensagem, e à nossa ferramenta de monitoramento de IA (LangSmith, da LangChain, EUA), onde as mensagens e respostas da demonstração ficam registradas por tempo limitado para controle de qualidade e de custo.
O que fica conosco: nada do texto no seu dispositivo nem na nossa base de clientes. Além do registro de monitoramento acima, guardamos apenas uma contagem anônima de mensagens por tipo de negócio (endereço IP truncado e identificador rotativo do dia), por 90 dias. Se você recusou análises no aviso de cookies, essa contagem não é gravada.
Base legal: legítimo interesse (art. 7º, IX), com o teste de balanceamento a favor do titular porque a demonstração usa um negócio fictício, pede que nenhum dado real seja digitado e o registro é usado só para qualidade e custo.
Como se opor: basta não usar o chat, ou recusar análises no aviso de cookies para desligar também a contagem anônima.
5. Dados de Contas Google (Login com o Google e Google Agenda)
O ZapScaler usa as APIs do Google em duas situações, sempre por escolha do usuário:
Entrar com o Google: recebemos do Google apenas seu nome, endereço de e-mail e foto de perfil. Usamos esses dados só para criar sua conta, identificar você no login e mostrar seu nome no painel. Não acessamos seus e-mails, contatos, arquivos nem outros dados da sua conta Google.
Google Agenda (opcional): se o dono do negócio conectar o Google Agenda, o ZapScaler cria, altera e cancela na agenda escolhida os eventos dos agendamentos feitos na plataforma (nome do cliente, serviço, horário, telefone e observações) e lê os eventos dessa agenda (título, descrição e horário) para bloquear esses horários na agenda do ZapScaler e evitar conflitos.
Armazenamento: as credenciais de acesso ao Google Agenda ficam guardadas criptografadas. Os eventos importados ficam na conta do negócio, com o mesmo isolamento por conta dos demais dados.
Compartilhamento: dados recebidos das APIs do Google não são vendidos, não são usados para publicidade, não são usados para treinar modelos de inteligência artificial e não são transferidos a terceiros, exceto aos subprocessadores necessários para operar a plataforma, quando exigido por lei ou com o seu consentimento.
Como revogar: você pode desconectar o Google Agenda a qualquer momento nas configurações do ZapScaler e remover o acesso do ZapScaler à sua conta em myaccount.google.com/permissions. Para pedir a exclusão desses dados, escreva para [email protected].
Compartilhamos dados pessoais apenas com os subprocessadores necessários para a operação da plataforma. A lista completa de subprocessadores, incluindo suas finalidades e localizações, está disponível na página /subprocessadores.
Nenhum dado pessoal é vendido a terceiros. O compartilhamento ocorre exclusivamente para a prestação dos serviços contratados.
7. Transferência Internacional de Dados
Alguns de nossos subprocessadores estão localizados nos Estados Unidos da América (EUA), incluindo Supabase, OpenAI, LangChain (LangSmith), Sentry, Resend e Google. A Apify fica na União Europeia. A transferência internacional de dados é realizada com base no Art. 33, II da LGPD, mediante cláusulas contratuais padrão que garantem nível adequado de proteção de dados.
Para detalhes sobre cada subprocessador e suas políticas de privacidade, consulte a página /subprocessadores.
8. Direitos do Titular (Art. 18)
Conforme o Art. 18 da LGPD, o titular dos dados pessoais tem direito a:
Confirmação da existência de tratamento de dados pessoais
Acesso aos dados pessoais tratados
Correção de dados incompletos, inexatos ou desatualizados
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade
Portabilidade dos dados a outro fornecedor de serviço
Eliminação dos dados pessoais tratados com consentimento
Informação sobre entidades públicas e privadas com as quais houve compartilhamento
Informação sobre a possibilidade de não consentir e as consequências da negativa
Revogação do consentimento a qualquer momento, mediante manifestação expressa
Para exercer qualquer destes direitos, envie uma solicitação para [email protected]. Responderemos em até 15 dias úteis.
9. Retenção e Eliminação de Dados
Os dados pessoais são retidos enquanto a conta do usuário estiver ativa na plataforma.
Após solicitação de exclusão de conta, os dados pessoais serão anonimizados em até 15 dias úteis
Logs de auditoria são retidos por 90 dias para fins de segurança e conformidade
Dados necessários para cumprimento de obrigação legal podem ser retidos após a exclusão da conta
10. Medidas de Segurança (Art. 46)
Implementamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais, incluindo:
Criptografia em trânsito (TLS/HTTPS)
Criptografia das credenciais de acesso a serviços conectados, como o Google Agenda
Row-Level Security (RLS) no banco de dados para isolamento entre contas
Autenticação JWT com rotação de tokens
Monitoramento de erros e incidentes via Sentry (com remoção de dados pessoais)
Auditoria de acessos e alterações em dados sensíveis
Limite de requisições (rate limiting) para prevenção de ataques
Headers de segurança (HSTS, X-Content-Type-Options, X-Frame-Options, CSP)
11. Cookies e Rastreamento
Usamos o armazenamento local do navegador (localStorage) para manter você conectado e lembrar suas preferências. Esse uso é essencial para a plataforma funcionar e não depende de consentimento.
Com o seu consentimento, dado no aviso de cookies, usamos também ferramentas de análise e de marketing para medir visitas e o resultado das nossas campanhas:
Google Analytics, Google Tag Manager e Google Ads (Google)
Pixel da Meta (Facebook e Instagram)
Pixel do TikTok
Essas ferramentas começam desligadas e só passam a funcionar depois que você aceita. Para mudar sua escolha, apague os dados deste site no seu navegador: o aviso de cookies aparece de novo.
12. Alterações nesta Política
Podemos atualizar esta Política de Privacidade periodicamente. Alterações significativas serão comunicadas por e-mail aos usuários cadastrados. A versão mais atualizada estará sempre disponível nesta página em /privacidade.
13. Contato e Encarregado (DPO)
Para dúvidas, solicitações ou reclamações relacionadas ao tratamento de dados pessoais, entre em contato com nosso Encarregado de Proteção de Dados (DPO):
Caso entenda que o tratamento de seus dados pessoais é realizado de forma irregular, você tem o direito de registrar uma reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD).
Quando o novo passo a passo para montar seu atendimento estiver disponível para você e você o usar, usamos só o que você nos dá ou o que é público. Buscar o negócio, ler o Instagram e o site e montar a ficha são feitos a pedido seu, como passo preliminar do contrato (art. 7º, V da LGPD):
O que você digita: nome do negócio, textos e dados que você escreve nos campos.
Nome do negócio no Google: guardamos só o identificador do lugar (place_id). O conteúdo que o Google mostra fica conosco por até 30 minutos, até você confirmar, e aparece com a marca "do Google".
@ do Instagram: lemos os dados públicos do perfil que você digitou, por meio de um fornecedor (Apify). Só lemos o @ que você informou. O texto lido (site, Instagram e nome do Google) passa pela OpenAI para montar sua ficha, e não fica guardado no nosso registro de testes (LangSmith).
Site: lemos uma vez o texto público do seu próprio site.
Endereço IP: guardamos um código (hash com sal secreto) no lugar do IP, no rascunho. Esse código continua sendo dado pessoal e deve ser apagado em 90 dias. Base legal: interesse legítimo contra abuso (art. 7º, IX da LGPD).
O aceite é feito com um clique, abaixo de uma frase visível sobre estes termos.
16. Visitante que ainda não criou conta
No novo passo a passo para montar seu atendimento, quando ele estiver disponível para você, vale esta regra: se você não criar conta, o rascunho deve ser apagado em até 7 dias; se criar, o rascunho deve ser apagado 90 dias depois.
17. Medição do funil (legítimo interesse)
Medimos em que passo as pessoas avançam ou desistem, para melhorar o cadastro. A base legal é o legítimo interesse (LGPD, art. 7º, IX). Guardamos esses registros por 18 meses. Se você excluir a conta, o registro perde o seu identificador e fica só um código pseudônimo, usado para contar o funil. Pseudonimizado não é o mesmo que anônimo.
18. Papéis no atendimento dos seus clientes
No atendimento dos seus clientes, você é o controlador e o ZapScaler é o operador. O ZapScaler trata esses dados só para prestar o serviço, conforme suas instruções.
19. Saúde
O rascunho de prontuário (Scribe) só organiza o que o profissional disse, e o profissional revisa antes de usar. A IA do ZapScaler não substitui profissional de saúde. Não use o atendimento por WhatsApp para emergência.