Política de Privacidade

1. Quem somos e como falar conosco

O HUB-CRM é um software como serviço (SaaS) de CRM, gestão, páginas de captura (marketing de resposta direta) e publicação em redes sociais, operado por HUB-CRM ("nós").

• Canal de privacidade e do encarregado (DPO): privacidade@byoffersperday.com
• Site: https://hub-crm.byoffersperday.com

Respondemos às solicitações de privacidade em até 15 dias.

2. Nosso papel no tratamento dos dados

Controlador: somos controladores dos dados das pessoas que contratam e usam o HUB-CRM (assinantes e seus usuários), dos visitantes do nosso site e dos dados das contas de redes sociais conectadas, na medida necessária para prestar o serviço.

Operador: os dados que cada empresa assinante cadastra ou capta no HUB-CRM (contatos, leads, clientes, conversas, pedidos, finanças, documentos etc.) pertencem a ela. Nesses casos, a empresa assinante é a controladora e nós tratamos os dados apenas como operadores, seguindo as instruções dela e estes termos. Se você é cliente ou lead de uma empresa que usa o HUB-CRM, procure primeiro essa empresa para exercer seus direitos — nós a ajudaremos a atendê-lo.

3. Quais dados tratamos

3.1 Cadastro e conta

• Nome, e-mail, telefone, senha (guardada apenas como hash), nome e endereço web (subdomínio) da empresa, CPF ou CNPJ, país, segmento e idioma.
• Usuários convidados pela empresa: nome, e-mail, perfil de acesso e, se ativado, o segundo fator de autenticação (MFA).
• Login com Google ou Microsoft (opcional): nome, e-mail e identificador da conta, fornecidos pelo provedor apenas para autenticação.

3.2 Assinatura e pagamento

• A cobrança da assinatura é feita pela Kiwify. Recebemos dela os dados da compra (nome, e-mail, documento, produto, valor, situação da assinatura). Não recebemos nem guardamos dados de cartão.

3.3 Uso do serviço, segurança e cookies

• Registros de acesso e de auditoria: endereço IP, data e hora, navegador, ações feitas no painel (exigência do Marco Civil da Internet e para segurança).
• Cookies estritamente necessários: sessão de login e idioma escolhido. Não usamos cookies de publicidade no painel do HUB-CRM.

3.4 Dados cadastrados pelos assinantes

• Contatos, leads, oportunidades, atividades, agendamentos, pedidos, contratos, finanças, documentos fiscais, mensagens de WhatsApp e arquivos que a empresa decide guardar no HUB-CRM, inclusive dados vindos de outros sistemas dela (Hub de integrações).

3.5 Visitantes das páginas de captura

• Dados que o visitante preenche nos formulários (ex.: nome, e-mail, WhatsApp), página visitada, origem e parâmetros de campanha (UTM, fbclid, gclid, ttclid) e eventos de visualização e clique, para medir resultados da empresa assinante.
• Se a empresa assinante configurar Pixel da Meta, Google Analytics ou Pixel do TikTok na página, essas ferramentas podem usar cookies próprios. A decisão e a base legal para isso (inclusive aviso e consentimento de cookies, quando exigidos) são de responsabilidade da empresa assinante.

3.6 Contas de redes sociais conectadas

• Instagram e YouTube: detalhados nas seções 4 e 5.

4. Instagram (API do Instagram — Meta)

Quando você clica em Conectar Instagram, é levado ao login oficial do Instagram e escolhe autorizar o HUB-CRM. Pedimos somente as permissões necessárias para publicar:

• instagram_business_basic — identificador, nome de usuário, nome, foto de perfil e tipo da conta profissional, para mostrar qual conta está conectada.
• instagram_business_content_publish — publicar Reels e fotos que você mesmo envia e manda publicar (na hora ou agendado).

Não acessamos mensagens diretas, comentários, seguidores, curtidas, métricas ou qualquer outro conteúdo da conta.

Como usamos e guardamos

• O token de acesso é guardado criptografado, isolado por empresa, e renovado automaticamente enquanto a conta estiver conectada.
• O vídeo ou a foto enviados ficam no nosso servidor apenas até a publicação: são disponibilizados ao Instagram por um link assinado e privado e apagados logo após a publicação (ou quando a publicação é cancelada). Guardamos a legenda, a data, a situação e o link da publicação para o seu histórico.
• Os dados do Instagram são usados somente para publicar o que você pediu e mostrar o histórico no seu painel. Não os vendemos, não os usamos para publicidade nem para treinar modelos de inteligência artificial, e não os compartilhamos com terceiros além da própria Meta.

Como revogar e apagar

• No HUB-CRM: Publicações → Contas conectadas → X (Desconectar). A conta, o token e as publicações agendadas dela são apagados na hora.
• No Instagram: Configurações → Apps e sites (https://www.instagram.com/accounts/manage_access/) e remova o HUB-CRM.
• Também é possível pedir a exclusão pelo e-mail privacidade@byoffersperday.com (veja a seção 11).

O uso do Instagram também é regido pelos Termos de Uso do Instagram e pela Política de Privacidade da Meta. O HUB-CRM não é afiliado, patrocinado nem endossado pela Meta.

5. YouTube (Serviços de API do YouTube — Google)

O HUB-CRM usa os Serviços de API do YouTube. Ao conectar um canal, você concorda com os Termos de Serviço do YouTube, e os dados tratados pelo Google também seguem a Política de Privacidade do Google.

Quando você clica em Conectar YouTube, é levado ao login oficial do Google e escolhe autorizar o HUB-CRM. Pedimos somente estas permissões:

• youtube.readonly — ler o identificador, o nome, o @identificador e a imagem do seu canal, para mostrar qual canal está conectado.
• youtube.upload — enviar ao seu canal os vídeos que você mesmo seleciona e manda publicar, com o título, a descrição, as tags (hashtags da legenda), a visibilidade (público, não listado ou privado) e a indicação "feito para crianças" que você define.

Não acessamos seus vídeos já publicados, comentários, inscritos, playlists, métricas, histórico ou dados da conta Google além dos listados acima, e não alteramos nem apagamos vídeos.

Como usamos e guardamos

• Os tokens de acesso e de atualização (refresh token) do Google ficam criptografados, isolados por empresa, e são usados apenas no momento de enviar um vídeo que você agendou ou mandou publicar.
• Guardamos os dados do canal (identificador, nome, @identificador e imagem) e, de cada vídeo enviado pelo HUB-CRM, o identificador, o título, a descrição, a visibilidade, a data e o link — para mostrar o histórico no seu painel.
• O arquivo do vídeo fica no nosso servidor apenas até o envio terminar e é apagado logo em seguida (ou quando a publicação é cancelada).
• Os dados do YouTube são usados somente para enviar os vídeos que você pediu e mostrar o histórico. Não os vendemos, não os usamos para publicidade nem para treinar modelos de inteligência artificial, e não os compartilhamos com terceiros além do próprio Google.
• O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Como revogar e apagar

• No HUB-CRM: Publicações → Contas conectadas → X (Desconectar). Revogamos o acesso junto ao Google e apagamos na hora o canal, os tokens e as publicações agendadas dele.
• No Google: acesse as permissões da sua conta Google e remova o HUB-CRM.
• Se você revogar o acesso pelo Google, apagamos os dados do canal que guardamos em até 7 dias a partir de quando percebermos a revogação (no máximo no próximo envio ou verificação).
• Também é possível pedir a exclusão pelo e-mail privacidade@byoffersperday.com.

Vídeos já publicados no YouTube passam a ser seus conteúdos no YouTube: para removê-los, use o YouTube Studio. O HUB-CRM não é afiliado, patrocinado nem endossado pelo Google ou pelo YouTube.

6. Para que usamos os dados e bases legais (LGPD)

• Prestar o serviço contratado (criar e manter a conta, guardar os dados do CRM, publicar nas redes conectadas, enviar e-mails do sistema) — execução de contrato (art. 7º, V).
• Cobrança, notas fiscais e obrigações contábeis — cumprimento de obrigação legal (art. 7º, II) e execução de contrato.
• Guardar registros de acesso por 6 meses — obrigação legal (Marco Civil, art. 15).
• Segurança, prevenção a fraudes e auditoria — legítimo interesse (art. 7º, IX) e garantia da prevenção à fraude (art. 11, II, "g", quando aplicável).
• Conectar Instagram e YouTube — execução de contrato, a seu pedido, com a sua autorização expressa na tela da Meta ou do Google, que você pode revogar a qualquer momento.
• Melhorar o produto e dar suporte — legítimo interesse, usando dados agregados sempre que possível.
• Comunicações de novidades — consentimento, com descadastro em todas as mensagens.
• Exercício de direitos em processos judiciais, administrativos ou arbitrais (art. 7º, VI).

Não tomamos decisões automatizadas que produzam efeitos jurídicos sobre você.

7. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário com fornecedores (suboperadores) que nos ajudam a operar o serviço, sob obrigações de confidencialidade e segurança:

• Hostinger — hospedagem dos servidores de aplicação e banco de dados.
• Kiwify — venda e cobrança da assinatura.
• Meta Platforms — Instagram (publicação) e, se a empresa ativar, WhatsApp Business.
• Google — YouTube (envio de vídeos) e login com Google; Microsoft — login com Microsoft.
• Provedores de e-mail transacional e de armazenamento de arquivos (para exportações).
• Se a empresa assinante ativar: provedores de cobrança (Asaas) e de emissão de notas fiscais (Focus NFe).

Também podemos compartilhar dados com autoridades quando houver obrigação legal ou ordem judicial, e em caso de reorganização societária, mantidas as garantias desta Política.

8. Transferência internacional

Alguns fornecedores (como Meta, Google e Microsoft) tratam dados em servidores fora do Brasil. Essas transferências ocorrem para executar o contrato a seu pedido e com fornecedores que adotam cláusulas contratuais e padrões de proteção compatíveis com a LGPD (art. 33).

9. Por quanto tempo guardamos

• Conta e dados do CRM: enquanto a assinatura estiver ativa. Após o cancelamento, a empresa pode exportar seus dados por 30 dias; depois disso, eles são apagados, salvo o que a lei obriga a guardar.
• Dados fiscais e financeiros da assinatura: pelo prazo legal (em geral, 5 anos).
• Registros de acesso: 6 meses (Marco Civil), ou mais se houver ordem judicial.
• Arquivos de vídeo e foto para publicação: apagados logo após a publicação ou o cancelamento.
• Tokens do Instagram e do YouTube: apagados ao desconectar a conta.
• Cópias de segurança (backups): substituídas em ciclos de até 30 dias.

10. Segurança

• Conexões criptografadas (HTTPS/TLS).
• Isolamento dos dados de cada empresa no banco de dados (segurança em nível de linha).
• Tokens e credenciais de integrações criptografados com chave por empresa.
• Senhas guardadas apenas como hash; autenticação em dois fatores (MFA) disponível.
• Controle de acesso por perfil e trilha de auditoria das ações.
• Backups diários.

Nenhum sistema é 100% invulnerável. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante, comunicaremos os afetados e a ANPD, conforme a LGPD.

11. Seus direitos e exclusão de dados

Pela LGPD (art. 18), você pode pedir a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade dos dados;
• eliminação dos dados tratados com base no consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não dar consentimento e suas consequências;
• revogação do consentimento;
• revisão de decisões automatizadas.

Como pedir — inclusive exclusão de dados do Instagram e do YouTube

• Envie um e-mail para privacidade@byoffersperday.com com o assunto "Privacidade", informando seu nome, o e-mail da conta e o que deseja (ex.: "excluir os dados da minha conta do Instagram @usuario" ou "excluir todos os meus dados").
• Podemos pedir uma confirmação para ter certeza de que é você.
• Respondemos em até 15 dias. A exclusão de contas conectadas é imediata pelo próprio painel (seções 4 e 5).
• Administradores da empresa também podem exportar ou apagar os dados de um contato direto no HUB-CRM.

Se não ficar satisfeito com a nossa resposta, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd.

12. Crianças e adolescentes

O HUB-CRM é destinado a empresas e a pessoas maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes como usuários do serviço. Se a empresa assinante tratar dados de menores no CRM, deve observar o art. 14 da LGPD.

13. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no serviço ou na lei. A data de atualização fica no topo da página; mudanças relevantes serão avisadas no painel ou por e-mail antes de entrarem em vigor.