Política de Privacidade

1. Quem somos e como falar conosco

Esta Política de Privacidade explica como a plataforma Chatpião, disponível em https://www.bauru.app.br, trata dados pessoais. Ela segue a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014), o Decreto nº 8.771/2016 e, quando aplicável, o Código de Defesa do Consumidor (Lei nº 8.078/1990).

• Controladora: MARQUES E MENDES TECNOLOGIA LTDA, CNPJ 36.661.693/0001-00, com sede em Bauru, São Paulo, Brasil, chamada nesta política de “Chatpião”, “nós” ou “empresa”.
• Encarregado pelo tratamento de dados pessoais (DPO): Rafael Marques.
• Canal de atendimento: o formulário de contato desta página. As mensagens chegam diretamente ao encarregado.

2. A quem esta política se aplica

• Clientes: pessoas e empresas que têm conta no painel da plataforma.
• Quem conecta um perfil do Facebook à plataforma, pelo aplicativo da Meta cadastrado pelo cliente.
• Contatos (leads): pessoas que conversam com as páginas do Facebook dos clientes pelo Messenger ou que comentam nas publicações dessas páginas.
• Visitantes das páginas públicas (entrada, cadastro, esta política e os termos) e de links curtos criados na plataforma.
• Quem nos escreve pelo formulário de contato.

3. Quem decide sobre cada dado: controlador e operador

A LGPD separa quem toma as decisões sobre os dados (o controlador) de quem trata os dados em nome dele (o operador). Na plataforma funciona assim:

• Dados da conta do cliente (cadastro, uso do painel, registros de acesso e contatos feitos conosco): o Chatpião é o controlador.
• Dados dos contatos (leads) das páginas, com as conversas, os fluxos, as campanhas e os comentários: o cliente dono da página é o controlador. É ele quem decide quem recebe mensagens, o que é enviado e por quanto tempo os dados ficam guardados. O Chatpião é o operador: trata esses dados somente para prestar o serviço, conforme as instruções do cliente, os Termos de Uso e a lei.
• A Meta (Facebook e Messenger) trata os dados que passam pela plataforma dela conforme a Política de Privacidade da Meta. Não controlamos a forma como a Meta trata esses dados.

Cada cliente conecta as páginas com o próprio aplicativo da Meta, e esse aplicativo aponta para esta política e para os nossos Termos de Uso. Mesmo assim, o cliente, como controlador, deve informar os seus contatos sobre o tratamento que faz (por exemplo, com um aviso de privacidade próprio) e atender aos pedidos deles.

4. Quais dados tratamos

4.1 Cadastro e conta

• Nome, e-mail e senha informados no cadastro. Telefone e fuso horário, se você informar no perfil.
• Situação da conta: aprovação do cadastro, tipo de acesso, recursos liberados e, quando houver, a data de validade, definidos pelo administrador.
• Confirmação do e-mail e pedidos de nova senha, feitos por links de uso único com validade curta.

A plataforma não tem pagamento online: não recebemos nem guardamos número de cartão ou dados bancários.

4.2 Dados recebidos da Meta quando você conecta o Facebook

Para conectar um perfil do Facebook, você autoriza, na tela do próprio Facebook, as permissões pedidas pelo aplicativo da Meta cadastrado na conta (por exemplo, listar as páginas que você administra, enviar e receber mensagens pelo Messenger e ler e responder comentários). Com isso recebemos:

• do perfil: nome, identificador do usuário naquele aplicativo, e-mail (quando a Meta fornece) e o token de acesso gerado pela Meta;
• das páginas: nome, identificador, imagem e o token de acesso de cada página;
• do aplicativo da Meta cadastrado pelo cliente: nome, identificador (App ID) e chave secreta (App Secret), usados para conectar as páginas e conferir a assinatura dos avisos (webhooks) que a Meta envia.

4.3 Contatos (leads) das páginas

Quando uma pessoa conversa com a página pelo Messenger, comenta numa publicação atendida pela plataforma ou é importada pela varredura das conversas da página, a Meta nos envia, e guardamos na conta do cliente:

• o identificador da pessoa naquela página (PSID), o nome e a foto de perfil;
• gênero, idioma e fuso horário, quando a Meta fornece;
• a data de entrada, a origem do contato (por exemplo, mensagem direta, comentário ou link), a data da última interação e se a pessoa pode receber mensagens;
• etiquetas e campos personalizados criados pelo cliente;
• o que a própria pessoa digitar num fluxo de conversa, como telefone, e-mail, data de nascimento, localização ou outras respostas.

4.4 Mensagens, comentários e envios

• o conteúdo dos fluxos, respostas automáticas, campanhas e modelos de mensagem criados pelo cliente;
• as respostas dadas pelos contatos nos fluxos e os botões que eles tocaram;
• os comentários respondidos automaticamente (texto, autor e data) e as respostas públicas e privadas enviadas;
• o registro de cada envio: data, situação e erros devolvidos pela Meta.

O bate-papo ao vivo mostra as conversas buscando-as na Meta no momento da consulta.

4.5 Registros de acesso

• endereço IP, data e hora de cada entrada no painel e do último acesso da conta;
• registros do servidor com IP, data e hora, endereço acessado, navegador (user agent) e resultado de cada pedido feito ao site.

4.6 Dados técnicos e de segurança

• registros de erros e de ações importantes (por exemplo, exclusão de conta, troca de aplicativo e avisos de segurança), sem senhas nem tokens;
• contadores temporários de segurança, como tentativas de entrada, de cadastro e de nova senha por IP ou por e-mail, que expiram sozinhos;
• registros dos acessos que o administrador da plataforma faz às contas dos clientes para dar suporte.

4.7 Encurtador de links

Quando alguém abre um link curto criado na plataforma, registramos, para o cliente dono do link: data e hora, IP, página de origem, navegador, sistema operacional, tipo e modelo do aparelho. Esses dados servem para as estatísticas de cliques do cliente.

4.8 Galeria de mídia

Imagens, vídeos, áudios e arquivos que o cliente envia para usar nas mensagens. Para a Meta conseguir entregá-los, esses arquivos ficam acessíveis por um link público difícil de adivinhar. Por isso, não coloque na galeria documentos com dados pessoais.

4.9 Integrações escolhidas pelo cliente

• AdsKeeper: se o cliente cadastrar uma conta, guardamos o token de API informado e os relatórios de ganhos trazidos da AdsKeeper.
• Inteligência artificial: quando o cliente usa a geração de textos para modelos Utility, o tema, as instruções e o rascunho que ele escreveu são enviados ao provedor escolhido (OpenAI, Google Gemini ou Anthropic Claude). Se o cliente cadastrar a própria chave de API, ela fica guardada no servidor e não aparece no navegador.

4.10 Contato conosco

Nome, e-mail, assunto e mensagem enviados pelo formulário, com o IP, a data e a hora do envio. Se você nos chamar pelo WhatsApp a partir do link do rodapé, a conversa acontece no WhatsApp e segue também a política de privacidade dele.

4.11 O que não pedimos

Não pedimos dados pessoais sensíveis (como origem racial ou étnica, religião, opinião política, saúde, vida sexual, dados genéticos ou biométricos) nem documentos. Se um contato escrever esse tipo de informação numa conversa, ela fica guardada como parte da conversa, na conta do cliente. O cliente não deve montar fluxos para coletar dados sensíveis sem uma base legal específica (art. 11 da LGPD).

5. Para que usamos os dados e com qual base legal

Tratamos dados apenas para finalidades legítimas, específicas e informadas, e só o necessário para elas (art. 6º da LGPD). As bases legais são as do art. 7º da LGPD:

• Prestar o serviço contratado: criar e manter a conta, conectar páginas, executar robôs, respostas a comentários, broadcasts, modelos Utility, relatórios, encurtador, galeria e integrações, e enviar os e-mails da conta (confirmação de cadastro, nova senha, aviso de vencimento e aviso de aplicativo da Meta fora do ar). Base: execução de contrato e de procedimentos preliminares (art. 7º, V).
• Guardar os registros de acesso à aplicação por 6 meses. Base: cumprimento de obrigação legal (art. 7º, II, e art. 15 do Marco Civil da Internet).
• Segurança e prevenção de fraudes e abusos: conferir as assinaturas da Meta, limitar tentativas de entrada e de cadastro, registrar erros e ações importantes e investigar incidentes. Base: legítimo interesse (art. 7º, IX, e art. 10).
• Suporte e melhoria da plataforma: responder a chamados, acompanhar a saúde dos envios e medir o desempenho com dados agregados. Base: execução de contrato e legítimo interesse.
• Atender pedidos de titulares e pedidos de exclusão enviados pela Meta, e guardar a prova do atendimento. Base: cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI).
• Defender direitos em processos judiciais, administrativos ou arbitrais. Base: exercício regular de direitos (art. 7º, VI).
• Cumprir ordens de autoridades. Base: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Consentimento (art. 7º, I): só quando nenhuma outra base se aplicar. Nesse caso, o pedido será feito de forma destacada, e você poderá revogar o consentimento a qualquer momento, sem custo.

Para os dados dos contatos (leads), a base legal é escolhida pelo cliente, que é o controlador (por exemplo, consentimento, execução de contrato com o contato ou legítimo interesse). O Chatpião trata esses dados como operador, no que for necessário para prestar o serviço ao cliente.

Quando usamos o legítimo interesse, avaliamos antes se ele não passa por cima dos seus direitos e liberdades. Você pode se opor a esse tratamento pelo formulário.

6. Regras para os dados que vêm da Meta

Os dados recebidos pelas APIs da Meta (Login do Facebook, páginas e Messenger) são tratados conforme os Termos da Plataforma da Meta e as Políticas para Desenvolvedores. Em especial:

• usamos esses dados apenas para oferecer os recursos que o cliente ativou, e pelo tempo necessário para isso;
• não vendemos, não alugamos e não licenciamos esses dados, nem os passamos a corretores de dados (data brokers) ou a redes de publicidade;
• não usamos esses dados para publicidade, para criar perfis para terceiros, para vigilância, para discriminar pessoas nem para decidir sobre crédito, emprego, moradia ou seguro;
• apagamos os dados do perfil quando o aplicativo é removido no Facebook, como explica a seção 10, e apagamos os demais dados quando deixam de ser necessários ou quando o titular, o cliente ou a Meta pedem, nos limites da lei.

7. Com quem compartilhamos

Compartilhamos dados somente quando é necessário para o serviço ou exigido por lei:

• Meta Platforms (Facebook e Messenger): recebe as mensagens, respostas, modelos e pedidos enviados em nome das páginas, e nos envia os eventos das conversas e dos comentários.
• Fornecedores de infraestrutura: o datacenter onde fica o nosso servidor; serviços de DNS, entrega de conteúdo e proteção de rede (como a Cloudflare, nos endereços que usam esse serviço); e o provedor de e-mail (SMTP) que envia as mensagens da conta. Eles tratam os dados só para prestar esses serviços.
• Provedores de inteligência artificial (OpenAI, Google e Anthropic): apenas o texto enviado quando o cliente usa a geração de textos, conforme as políticas de privacidade da OpenAI, do Google e da Anthropic.
• AdsKeeper: recebe o token cadastrado pelo cliente e devolve os relatórios dele.
• Google Fonts: algumas páginas carregam fontes do Google. Para isso, o navegador do visitante se conecta aos servidores do Google, que recebem o IP.
• Autoridades: quando houver ordem judicial ou requisição de autoridade competente, nos limites da lei. Os registros de acesso só são fornecidos mediante ordem judicial (arts. 10 e 15 do Marco Civil da Internet).
• Reorganização da empresa: em caso de fusão, aquisição ou transferência do negócio, os dados podem passar ao sucessor, que deverá respeitar esta política.

Dentro da plataforma, cada conta vê somente os próprios dados. O administrador da plataforma pode acessar as contas para suporte, segurança e cumprimento dos Termos de Uso, e esses acessos ficam registrados.

8. Transferência internacional de dados

Alguns fornecedores ficam fora do Brasil ou usam servidores no exterior, principalmente nos Estados Unidos e na Europa: a Meta, os provedores de inteligência artificial, o Google, a Cloudflare e, conforme o caso, outros fornecedores de infraestrutura. Por natureza, as mensagens do Messenger passam pelos servidores da Meta.

Essas transferências acontecem porque são necessárias para executar o contrato com o cliente (art. 33, IX, combinado com o art. 7º, V, da LGPD) e, quando disponíveis, com as garantias contratuais oferecidas por esses fornecedores, como cláusulas-padrão (art. 33, II, da LGPD).

9. Por quanto tempo guardamos os dados

• Dados da conta, páginas conectadas, contatos, fluxos, campanhas, galeria e integrações: enquanto a conta existir. O cliente pode apagar contatos, campanhas e páginas pelo painel a qualquer momento. Quando a conta é excluída, esses dados são apagados, salvo o que a lei mandar guardar.
• Registros de acesso à aplicação (IP, data e hora): no mínimo 6 meses, em sigilo e em ambiente controlado e seguro (art. 15 do Marco Civil da Internet). Podem ficar mais tempo se uma autoridade pedir (art. 15, § 2º) ou para a defesa em processo.
• Registros técnicos e de segurança: prazos curtos, em geral de 14 a 180 dias, conforme o tipo (erros, segurança e auditoria).
• Contadores temporários de segurança: de algumas horas a poucos dias.
• Pedidos de exclusão enviados pela Meta e pedidos de titulares: o registro do pedido (código, data e situação), pelo tempo necessário para comprovar o atendimento.
• Mensagens do formulário de contato: pelo tempo necessário para atender e comprovar o atendimento.
• Cópias de segurança feitas antes de manutenções: por tempo limitado e com a mesma proteção dos dados originais.

Terminado o prazo ou atingida a finalidade, os dados são apagados ou anonimizados (art. 16 da LGPD e art. 13, § 2º, do Decreto nº 8.771/2016).

10. Como pedir a exclusão dos dados do Facebook

Se você conectou o seu perfil do Facebook à plataforma (pelo aplicativo da Meta cadastrado por um cliente), há dois caminhos.

10.1 Remover o aplicativo no Facebook (pedido automático)

1. No Facebook, abra Configurações e privacidade e depois Configurações.
2. Entre em Aplicativos e sites ou em Integrações comerciais (os nomes podem mudar conforme a versão do Facebook).
3. Escolha o aplicativo usado para conectar as páginas e toque em Remover.

O Facebook nos envia automaticamente um pedido de exclusão e mostra a você um código de confirmação e um link para acompanhar o pedido, neste formato: https://www.bauru.app.br/home/data_deletion_status?code=SEU_CODIGO.

Quando o pedido chega, apagamos o token de acesso, o nome e o e-mail do seu perfil guardados para aquele aplicativo. O identificador numérico do perfil continua guardado, porque é ele que liga as páginas da empresa à conexão. As páginas da empresa e os contatos delas pertencem à conta do cliente e não são apagados por esse pedido: o cliente pode apagá-los pelo painel, e você pode pedir a exclusão pelo formulário. Em alguns casos, por segurança, a nossa equipe confere o pedido antes de apagar, e a situação aparece no link de acompanhamento.

Ao remover o aplicativo, a Meta também invalida os tokens das páginas. Os robôs e os envios dessas páginas param até alguém da conta conectar o Facebook de novo.

10.2 Pelo formulário

Você também pode pedir a exclusão pelo formulário desta página, informando o nome do perfil e, se souber, a página ou a conta envolvida. Podemos pedir uma confirmação de identidade antes de atender.

11. Seus direitos

Pela LGPD (art. 18), você pode pedir, a qualquer momento e sem custo:

• a confirmação de que tratamos dados seus;
• o acesso aos seus dados;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• a portabilidade dos dados a outro fornecedor, conforme a regulamentação da ANPD;
• a eliminação dos dados tratados com base no seu consentimento, salvo as exceções do art. 16 da LGPD;
• a informação sobre com quem compartilhamos os seus dados;
• a informação sobre a possibilidade de não dar consentimento e sobre as consequências disso;
• a revogação do consentimento;
• a oposição a tratamento feito com outra base legal, se houver descumprimento da lei (art. 18, § 2º);
• a revisão de decisões tomadas apenas com base em tratamento automatizado (art. 20).

Como exercer

Envie o pedido pelo formulário desta página. Para proteger os seus dados, podemos pedir informações que confirmem que você é o titular, como uma resposta pelo e-mail cadastrado na conta.

• Confirmação de existência ou acesso aos dados: de imediato, em formato simplificado, quando possível; ou por declaração clara e completa em até 15 dias contados do pedido (art. 19 da LGPD).
• Demais pedidos: respondemos o mais rápido possível. Se não for possível atender de imediato, explicamos o motivo; por exemplo, se não formos o controlador daquele dado, indicamos quem é (art. 18, § 4º).

Os clientes também podem ver, corrigir, exportar (a lista de contatos em planilha CSV) e apagar boa parte dos dados direto no painel.

Reclamação à ANPD

Se não ficar satisfeito com a nossa resposta, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) (art. 18, § 1º, da LGPD) e, se for consumidor, aos órgãos de defesa do consumidor.

12. Se você é contato de uma página atendida pela plataforma

Se você conversou com uma página do Facebook pelo Messenger ou comentou numa publicação dela, e essa página usa o Chatpião, quem decide sobre os seus dados é a empresa dona da página (a controladora). Nós prestamos o serviço para ela.

• Para exercer os seus direitos: procure primeiro a empresa dona da página, pelo próprio Messenger ou pelos canais dela. Você também pode usar o formulário desta página, informando o nome da página: encaminhamos o pedido ao cliente responsável e ajudamos no que nos cabe como operador.
• Para parar de receber mensagens: abra a conversa com a página no Messenger e use a opção de bloquear as mensagens dela (o nome da opção pode variar conforme o aplicativo). Se a página oferecer um botão ou uma palavra para cancelar o recebimento, isso também funciona. Você ainda pode pedir à página que pare de enviar mensagens.
• Comentários: você pode apagar um comentário seu no Facebook a qualquer momento. As respostas automáticas aos comentários são configuradas pela empresa dona da página.

13. Como protegemos os dados

Adotamos medidas técnicas e administrativas razoáveis para proteger os dados contra acesso não autorizado, perda, alteração ou vazamento (art. 46 da LGPD), entre elas:

• conexão criptografada (HTTPS) entre o navegador e a plataforma;
• separação por conta: cada cliente vê somente os próprios dados;
• acesso administrativo ao servidor restrito a pessoas autorizadas, com o mínimo de privilégios necessário;
• conferência da assinatura dos avisos enviados pela Meta;
• limites contra tentativas repetidas de senha, de cadastro e de nova senha;
• registros de erros, de ações importantes e dos acessos administrativos, para investigar incidentes;
• registros de acesso guardados em sigilo e com acesso restrito (art. 13 do Decreto nº 8.771/2016).

Nenhum sistema é totalmente seguro. Recomendamos usar uma senha exclusiva para a plataforma, que você não use em nenhum outro serviço, e não compartilhar o seu acesso. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante aos titulares, comunicaremos a ANPD e as pessoas afetadas, nos prazos e na forma da regulamentação (art. 48 da LGPD).

14. Cookies e armazenamento no navegador

• Cookie de sessão (ci_session): necessário para manter você conectado ao painel e proteger os formulários. Ele é apagado quando você fecha o navegador ou sai do painel.
• Armazenamento local do navegador: guarda preferências de exibição, como o tema claro ou escuro e escolhas feitas nas telas. Essas preferências ficam só no seu navegador.

Não usamos cookies de publicidade nem de rastreamento de terceiros. Como os cookies usados são necessários para a plataforma funcionar, não pedimos consentimento para eles. Você pode apagá-los nas configurações do navegador, mas o painel não funciona sem o cookie de sessão.

Recursos de terceiros carregados pelas páginas, como as fontes do Google, podem receber dados técnicos do seu navegador (como o IP), conforme a política desses terceiros.

15. Crianças e adolescentes

A conta no painel é só para maiores de 18 anos. O Facebook e o Messenger exigem idade mínima de uso, e a plataforma não pede a idade dos contatos. Se o público de uma página incluir crianças ou adolescentes, o cliente, como controlador, deve tratar os dados no melhor interesse deles, seguindo o art. 14 da LGPD e o Estatuto da Criança e do Adolescente, inclusive obtendo o consentimento de um dos pais ou do responsável quando a lei exigir. Se você souber de dados de criança tratados de forma indevida na plataforma, avise-nos pelo formulário.

16. Respostas automáticas e decisões automatizadas

As respostas automáticas, os fluxos, as etiquetas e os envios programados são configurados pelo cliente, que decide as regras. A plataforma apenas executa essas regras. Não usamos os dados para criar perfis de comportamento nem para tomar decisões que afetem os seus interesses, como crédito ou emprego.

Alguns controles de segurança e de proteção das páginas funcionam sozinhos; por exemplo, o bloqueio temporário depois de muitas senhas erradas e a pausa de envios quando a Meta recusa mensagens ou limita uma página. Você pode pedir a revisão de uma decisão automatizada pelo formulário (art. 20 da LGPD). Se a decisão vier das regras configuradas por um cliente, a revisão deve ser pedida a ele.

17. Alterações desta política

Podemos atualizar esta política para refletir mudanças na lei, nas regras da Meta ou na plataforma. A data da última atualização fica no topo desta página. Quando a mudança for relevante, avisaremos os clientes pelo painel ou por e-mail antes de ela valer. Se a mudança trouxer uma finalidade nova que dependa de consentimento, pediremos o consentimento de novo.

Versão em vigor desde 21/10/2026.

18. Contato

Para dúvidas, pedidos e reclamações sobre privacidade e proteção de dados, use o formulário de contato. As mensagens chegam ao encarregado, Rafael Marques, da MARQUES E MENDES TECNOLOGIA LTDA (CNPJ 36.661.693/0001-00), Bauru/SP.