Política de Privacidade

1. Introdução

A Braluma ("nós", "nosso" ou "Empresa") está comprometida em proteger a privacidade dos usuários de nossa plataforma. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos e protegemos suas informações pessoais em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018).

2. Dados Coletados

Coletamos os seguintes tipos de dados pessoais:

• Dados de identificação: Nome completo, CPF, CNPJ, data de nascimento
• Dados de contato: E-mail, telefone, endereço completo
• Dados de uso: Histórico de agendamentos, preferências de serviço
• Dados técnicos: Endereço IP, tipo de navegador, páginas visitadas
• Dados de integrações Meta/WhatsApp: Identificadores técnicos de conta Meta/Facebook, WhatsApp Business Account ID, Phone Number ID, escopos autorizados, status de conexão, mensagens e anexos quando uma unidade conecta seu número oficial via Meta.

3. Finalidade do Tratamento

Utilizamos seus dados pessoais para:

• Prestar os serviços contratados através da plataforma
• Gerenciar agendamentos e comunicações relacionadas
• Operar integrações oficiais de mensageria, incluindo Facebook Login for Business, WhatsApp Embedded Signup e WhatsApp Cloud API, quando habilitadas pela unidade
• Processar pagamentos e emitir documentos fiscais
• Melhorar nossos serviços e experiência do usuário
• Cumprir obrigações legais e regulatórias
• Enviar comunicações sobre atualizações do serviço

3.1. Candidaturas de parceiros Braluma

Quando você envia um interesse inicial ou uma candidatura para desenvolver uma operação Braluma, tratamos as informações fornecidas para identificar seu perfil, compreender sua região e conduzir a avaliação e as conversas necessárias sobre o programa de parceiros.

O formulário inicial de interesse não solicita CPF, CNPJ, documentos ou informações financeiras detalhadas. Na candidatura beta, CPF e CNPJ permanecem opcionais nesta fase. Se forem informados, poderão ser utilizados para identificação do candidato, análise da candidatura, prevenção de duplicidade, eventual acordo de confidencialidade (NDA), verificações de diligência e preparação contratual caso o processo avance. Não solicitamos RG, comprovante de renda, extrato bancário ou número de conta nessa etapa.

O envio de mensagens necessárias ao próprio processo — como confirmação, solicitação de informações, agendamento e atualização de status — não depende de autorização para comunicações comerciais. Novidades, conteúdos, ofertas e outras comunicações de marketing dependem de uma opção separada, que pode ser cancelada a qualquer momento.

As candidaturas e os dados associados são mantidos pelo período necessário à avaliação e à condução do processo, conforme os prazos internos configurados e as obrigações legais aplicáveis. Ao final do prazo, os dados serão eliminados ou anonimizados quando aplicável.

3.2. Integrações Meta por permissão

Quando uma unidade conecta uma conta ou ativo Meta, tratamos somente os dados necessários para a permissão e o fluxo autorizado. As permissões têm finalidades separadas:

• whatsapp_business_messaging (WhatsApp Business Messaging): identificadores do WABA e do número, mensagens, anexos e status de entrega para atendimento na caixa de entrada da unidade.
• whatsapp_business_management (WhatsApp Business Management): identificadores do WABA, número, modelos e estado de registro para conectar e administrar o ativo autorizado; essa permissão não é usada para abrir conversas de outra unidade.
• leads_retrieval, pages_show_list e pages_manage_metadata, pages_read_engagement e ads_management (dependências do Lead Ads): dados enviados no formulário do Lead Ad, identificadores da Página, formulário e anúncio, e o estado de acesso/assinatura necessários para criar o lead no CRM da unidade. Embora ads_management seja uma dependência do fluxo documentado pelo Meta, não usamos essas permissões para criar ou alterar anúncios.
• pages_show_list, pages_manage_metadata e pages_messaging (Messenger): mensagens, eventos de entrega/leitura e identificadores da Página autorizada para atendimento e resposta por operadores da unidade.
• instagram_business_basic e instagram_business_manage_messages (Instagram Messaging): identificadores da conta profissional, perfil e mensagens/eventos de mensagens para atendimento. A conexão usa um login do Instagram separado e não é concedida automaticamente por uma Página do Facebook.
• ads_read e business_management (Ads Read): contas de anúncio, campanhas e métricas agregadas de desempenho, como impressões, cliques, conversões e gasto, para relatórios autorizados. Essas permissões são somente leitura no fluxo de Ads Read.
• ads_read, business_management e ads_management (Ads Management): os dados necessários para ações de campanha aprovadas pela unidade, sempre dentro de limites de orçamento, auditoria e reversão; campanhas começam pausadas e não são alteradas sem a autorização aplicável.
• whatsapp_business_management e whatsapp_business_manage_events (Conversions API): eventos de conversão associados a interações CTWA do WhatsApp, com identificadores e valor quando aplicável, somente com consentimento e dentro da janela operacional do provedor. O envio não inclui o conteúdo bruto da conversa.

As credenciais dessas integrações ficam criptografadas no servidor, não são exibidas no navegador e permanecem vinculadas à unidade que autorizou o ativo. O titular pode revogar o consentimento e solicitar acesso, correção ou eliminação pelo canal do DPO.

4. Base Legal (LGPD)

O tratamento de dados pessoais é realizado com base nas seguintes hipóteses legais:

• Consentimento (Art. 7º, I): Para envio de comunicações de marketing
• Execução de contrato (Art. 7º, V): Para prestação dos serviços
• Cumprimento de obrigação legal (Art. 7º, II): Para obrigações fiscais
• Legítimo interesse (Art. 7º, IX): Para melhorias no serviço

5. Compartilhamento de Dados

Seus dados podem ser compartilhados com:

• Licenciados Braluma que prestam os serviços contratados
• Processadores de pagamento (Stripe) para transações financeiras
• Provedores de infraestrutura (Vercel, Neon) para hospedagem
• Resend para e-mails e Sentry/Better Stack para monitoramento e logs minimizados
• Google Gemini, Groq ou OpenAI, somente quando o recurso e o provedor estiverem habilitados após aprovação documentada
• Meta/WhatsApp, quando a unidade optar por conectar um número oficial pelo WhatsApp Cloud API
• Autoridades governamentais quando exigido por lei

Não vendemos, alugamos ou comercializamos seus dados pessoais com terceiros para fins de marketing.

Uso de dados do Google Ads / Perfil da Empresa / Google Agenda

Solicitamos os seguintes escopos do Google somente quando necessários à funcionalidade conectada: adwords para ler e gerenciar a conta, as campanhas e os dados de desempenho conectados do Google Ads; datamanager para enviar e consultar eventos de conversão pelo Google Data Manager; business.manage para consultar e gerenciar as empresas e os locais conectados do Perfil da Empresa no Google; e calendar.events.owned para criar, atualizar ou excluir eventos de calendário pertencentes à conta Google conectada para fins de agendamento. O compartilhamento externo dos dados obtidos por esses escopos é limitado às APIs do Google em googleapis.com necessárias para operar a funcionalidade solicitada. Os tokens OAuth são mantidos até você usar Desconectar; os eventos de conversão seguem os termos de retenção do contrato de serviço aplicável e as obrigações legais. Uso Limitado: a Braluma usa os dados do usuário do Google somente para fornecer ou melhorar as funcionalidades voltadas ao usuário que você solicita, não os usa para publicidade nem os vende, e não os transfere salvo quando permitido pela Política de Dados do Usuário dos Serviços de API do Google. Para dúvidas, contate o DPO em dpo@braluma.com.

6. Tratamento com apoio de inteligência artificial

Quando uma funcionalidade de IA estiver habilitada e o provedor possuir aprovação documentada, a Braluma poderá enviar os dados estritamente necessários ao Google Gemini, Groq ou OpenAI para produzir a resposta ou o resumo solicitado.

• Para clientes, operadores e usuários SaaS, a IA pode responder consultas, organizar contexto e preparar ações que continuam sujeitas às permissões e confirmações da plataforma.
• No recrutamento, a IA organiza evidências e pode calcular uma pontuação explicável de aderência individual aos critérios profissionais. Ela não compara nem ranqueia candidatos, não aprova ou rejeita e não altera a etapa da candidatura.
• Aprovação e rejeição de candidaturas exigem decisão humana expressa e justificativa registrada.
• Entradas, respostas, resumos, encaminhamentos e auditorias seguem os prazos da categoria correspondente; não existe um prazo único para todo conteúdo de IA.

7. Seus Direitos

Você tem os seguintes direitos em relação aos seus dados pessoais:

• Confirmação da existência de tratamento
• Acesso aos dados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários
• Portabilidade dos dados
• Eliminação dos dados tratados com consentimento
• Informação sobre compartilhamento de dados
• Revogação do consentimento
• Informação sobre os dados, critérios e procedimentos usados em apoio automatizado à decisão
• Correção das evidências, contestação da decisão e revisão humana quando aplicável

Para exercer seus direitos, entre em contato com o Encarregado de Dados (DPO) através do e-mail:dpo@braluma.com

8. Segurança dos Dados

Implementamos medidas técnicas e organizacionais proporcionais para proteger dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição, incluindo:

• Criptografia de dados em trânsito (HTTPS/TLS)
• Proteção em repouso oferecida pela infraestrutura contratada
• Controle de acesso por usuário, função, organização e finalidade
• Segredos de provedores mantidos no servidor
• Monitoramento e logs com minimização de dados

9. Retenção de Dados

Mantemos seus dados pessoais pelo tempo necessário para cumprir as finalidades descritas nesta política, ou conforme exigido por lei. Após esse período, os dados serão eliminados ou anonimizados.

Para solicitar exclusão, consulte as instruções de exclusão de dados.

10. Cookies

Utilizamos cookies essenciais para o funcionamento da plataforma e cookies analíticos para melhorar nossos serviços. Você pode gerenciar suas preferências de cookies nas configurações do seu navegador.

11. Alterações nesta Política

Podemos atualizar esta Política de Privacidade periodicamente. Notificaremos você sobre alterações significativas através do e-mail cadastrado ou por aviso em nossa plataforma.

12. Contato

Para dúvidas sobre esta Política de Privacidade ou sobre o tratamento de seus dados pessoais, entre em contato:

• Encarregado de Dados (DPO): dpo@braluma.com