1. Escopo desta política
Esta política descreve como o CRM by Fatek coleta, utiliza, armazena e trata dados do uso da plataforma, das integrações habilitadas pela empresa usuária e dos canais de suporte, no contexto SaaS B2B.
Integração com Nuvemshop
Quando autorizada pelo administrador, a integração acessa clientes, produtos, variações, preços, estoques e pedidos da loja. Alterações em registros vinculados podem ser enviadas à Nuvemshop conforme a configuração da sincronização. As credenciais dessa integração são criptografadas no servidor.
Pedidos de acesso ou exclusão recebidos por webhook são registrados para atendimento pelo administrador responsável. A exclusão considera obrigações de retenção, especialmente fiscais e financeiras. Desconectar interrompe a integração e elimina o token salvo; os dados comerciais não são automaticamente apagados.
Integração TikTok — conteúdo orgânico
Quando o administrador autoriza a conexão, tratamos identificadores da conta, nome, avatar, permissões concedidas e validade das credenciais para identificar o destino e controlar o acesso da workspace. Novas credenciais e renovações são criptografadas no servidor. A autorização orgânica não concede acesso a anunciantes, leads ou conversões do TikTok API for Business.
Ao solicitar ou agendar o envio de um vídeo, o TikTok recebe acesso temporário à mídia escolhida por uma URL assinada. A legenda permanece no CRM para copiar; o titular precisa abrir a notificação no aplicativo TikTok, revisar as opções e concluir a publicação. Essa modalidade não publica automaticamente. Mantemos recibos e identificadores de envio para conferir o resultado e evitar duplicação.
Desconectar desativa o canal e remove as credenciais locais, preservando os registros operacionais. Solicitamos a revogação ao TikTok quando possível; o resultado remoto depende do provedor. A desconexão não apaga vídeos já enviados ou publicados no TikTok. A retenção dos dados do CRM segue as finalidades e os procedimentos de exclusão descritos nesta política.
Integração TikTok Business — configuração
A conexão opcional TikTok Business usa autorização separada. Guardamos credenciais criptografadas e identificadores de anunciantes autorizados; o administrador escolhe explicitamente as contas de cada workspace. Após aprovação e liberação controlada, usuários com permissão podem consultar relatórios diários dos anunciantes selecionados, com gasto, impressões, cliques, moeda e fuso. Não importamos leads, enviamos conversões ou modificamos campanhas nesta integração. Desconectar remove as credenciais locais e a seleção desta workspace; cancelar a autorização no TikTok pode afetar outras conexões do mesmo aplicativo.
2. Dados que podem ser tratados
Dados cadastrais e de autenticação, como nome, e-mail e informações da conta; dados operacionais inseridos pela empresa, como clientes, negócios, tarefas, agenda e mensagens; dados técnicos e de uso necessários para manter, proteger e melhorar a plataforma; e dados das integrações autorizadas.
3. Finalidades de uso
Autenticação, rotinas de CRM, agenda, atendimento, ERP, estoque, pedidos e consignado; entrega de funcionalidades contratadas ou solicitadas; suporte técnico, segurança e manutenção; e automações e recursos de IA habilitados pela empresa usuária.
4. APIs Google — login, Gmail, Calendar, Meet, Ads, Sheets e Business Profile
O acesso aos serviços Google exige autorização explícita via OAuth 2.0, conforme o recurso conectado. O login e as integrações têm fluxos próprios; uma conexão não autoriza automaticamente todas as funcionalidades.
4.1 Permissões e funcionalidades
openid, email, profile— Identificar a conta no login, usando e-mail e perfil básico. As declarações de e-mail e perfil correspondem a userinfo.email e userinfo.profile.gmail.send— Permissão presente em autorizações anteriores de envio. Novas conexões usam gmail.modify, que também permite enviar, sem solicitar gmail.send separadamente. Autorizações existentes não são revogadas por essa redução.gmail.modify— Consultar mensagens recebidas e histórico, exibi-los no Inbox, enviar mensagens e respostas na conversa original e marcar mensagens como lidas. Recursos de IA habilitados podem processar o contexto da conversa para gerar respostas. Esse escopo não permite exclusão permanente imediata que ignore a lixeira. Os fluxos Gmail descritos aqui não implementam exclusão permanente de mensagens.userinfo.email— Identificar a conta que autorizou Gmail ou exportação de dados; ela pode ser diferente da conta usada para entrar no CRM.calendar.events— Permissão retida em conexões antigas. Não é solicitada em novas autorizações. As conexões existentes continuam funcionando sem revogação automática.calendar.events.owned— Consultar, criar, alterar e cancelar eventos em agendas próprias. O CRM utiliza a agenda principal. Novas autorizações ficam restritas à demonstração e ao revisor autorizado até a verificação do Google.meetings.space.created— Criar espaços do Google Meet para compromissos e acessar os espaços criados pelo aplicativo.adwords— Descobrir contas autorizadas e consultar métricas de campanhas para relatórios. A descrição ampla do escopo Google não altera a finalidade de leitura dos relatórios aqui descritos.drive.file— Criar e atualizar planilhas de exportação utilizadas pelo aplicativo, sem solicitar acesso geral a todos os arquivos do Drive.business.manage— Consultar contas, unidades e avaliações autorizadas e enviar respostas cujo texto e unidade foram explicitamente aprovados por uma pessoa. Um rascunho, inclusive gerado com IA quando solicitado, não é publicado automaticamente. A integração de Reviews não implementa mensagens do Business Profile.
4.2 Dados tratados e armazenamento
Gmail: remetente, destinatários, assunto, data, IDs de mensagem e thread, conteúdo textual e labels relevantes, como INBOX e UNREAD. O CRM mantém dados sincronizados para exibição, histórico e continuidade do atendimento.
Calendar e Meet: dados dos compromissos, horários, participantes quando informados, identificadores e links de reunião. Ads: identificadores de contas autorizadas e dados de desempenho. Sheets: dados selecionados para exportação e identificadores das planilhas utilizadas pelo aplicativo.
Reviews: identificadores de conta, unidade e avaliação, nota, texto e nome público quando fornecidos, rascunhos e registros de aprovação/publicação. O conteúdo das avaliações e rascunhos tem cache de até 30 dias; registros próprios de auditoria podem permanecer após a expiração desse conteúdo.
Os dados persistidos pelo CRM usam PostgreSQL no Supabase, em Frankfurt, Alemanha (eu-central-1). A aplicação roda em uma VPS Hetzner na Europa. Serviços externos podem processar dados conforme suas próprias condições e localizações. O acesso respeita a workspace, as permissões e as necessidades operacionais aplicáveis.
4.3 Uso Limitado e inteligência artificial
O uso e a transferência de informações recebidas das APIs Google pelo CRM by Fatek obedecem à Google API Services User Data Policy, incluindo os requisitos de Uso Limitado (Limited Use).
Política de dados de usuário das APIs Google- Dados Google são usados para funcionalidades visíveis ao usuário, como atendimento, sincronização de agenda, relatórios, exportações e respostas a avaliações, conforme a integração autorizada.
- Dados Gmail não são usados para publicidade, retargeting ou publicidade baseada em interesses, nem para treinar modelos generalizados de IA. O processamento de uma conversa para gerar uma resposta é distinto de treinar um modelo generalizado.
- O acesso humano a dados Google fica limitado ao que é autorizado pelo usuário, necessário à segurança ou ao cumprimento de obrigações legais, ou a dados agregados e anonimizados nos casos permitidos pela política Google.
- Quando a empresa habilita IA ou solicita um rascunho, o conteúdo necessário pode ser enviado ao provedor do modelo para gerar a resposta. O processamento e a retenção seguem o serviço utilizado, as configurações e os controles aplicáveis. Não se presume um acordo de retenção zero.
- A documentação da API OpenAI prevê, por padrão, registros de monitoramento de abuso por até 30 dias, com exceções legais e de segurança e controles de retenção sujeitos a aprovação. Algumas funcionalidades também podem armazenar estado. Os controles de uma conta específica não são presumidos nesta política.
4.4 Desconexão, autorizações e exclusão
As conexões podem ser desligadas nas respectivas configurações do CRM. O CRM remove suas credenciais armazenadas para aquela integração; quando aplicável, solicita a revogação ao Google, cujo resultado depende do provedor. A desconexão de Google Reviews remove somente a conexão de Reviews, sem revogar globalmente os acessos Google do aplicativo.
As autorizações também podem ser gerenciadas diretamente na Conta Google. Desconectar não apaga automaticamente o histórico já sincronizado no CRM. Para solicitar exclusão de conta e dados, use as instruções de exclusão ou o contato de suporte abaixo, observadas as obrigações legais de retenção.
Gerenciar autorizações na Conta Google5. APIs Meta
Quando a empresa conecta canais Meta, os dados e permissões habilitam funcionalidades autorizadas de WhatsApp Business, Instagram, Facebook messaging, publicações, insights e captura de leads. O tratamento é limitado ao contexto operacional da conta e aos recursos habilitados pelo usuário.
6. Compartilhamento e acesso
Para assinaturas, o Asaas recebe os dados de identificação e contato informados pelo pagador e o e-mail verificado da conta que inicia a contratação. O cartão é preenchido no checkout do Asaas; o CRM registra identificadores e estados financeiros para recibos e acesso ao plano. A Stripe continua processando contratos anteriores e recargas existentes. Dados das integrações Google não são enviados a esses provedores para esta finalidade.
O CRM by Fatek não vende dados de integrações nem os disponibiliza publicamente para enriquecimento publicitário. O compartilhamento com provedores ocorre quando necessário para executar funcionalidades solicitadas, com autorização aplicável, ou para cumprir obrigações legais. O acesso interno é limitado às rotinas necessárias de operação, suporte e segurança e às permissões aplicáveis.
7. Armazenamento e segurança
Adotamos medidas técnicas e administrativas para reduzir riscos de acesso não autorizado, alteração indevida ou perda de dados. A retenção considera a operação do serviço, configurações das integrações, solicitações de exclusão e obrigações legais. Nenhum ambiente é absolutamente infalível.
8. Direitos e solicitações
Solicitações sobre dados, integrações e exclusão podem ser encaminhadas ao contato abaixo. As instruções públicas de exclusão de conta e remoção de dados estão disponíveis na página de exclusão.
9. Atualizações desta política
Esta política pode ser revisada para refletir mudanças de produto, integrações e requisitos operacionais. A versão publicada nesta rota é a referência pública vigente.