Política de Privacidade

A presente Política de Privacidade descreve como a RushCRM ("nós", "nosso" ou "Controlador"), na qualidade de controladora de dados pessoais, coleta, utiliza, armazena, compartilha e protege as informações dos usuários da plataforma RushCRM.

O RushCRM é uma plataforma de gestão de relacionamento com clientes (CRM) disponibilizada como serviço (SaaS — Software as a Service), acessada exclusivamente via internet mediante assinatura. Não realizamos venda de software — oferecemos licença de uso e acesso à plataforma durante a vigência da assinatura contratada.

Esta política está em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) e demais normas aplicáveis à proteção de dados no Brasil.

Coletamos as seguintes categorias de dados pessoais:

2.1. Dados de cadastro

• Nome completo, e-mail, telefone, cargo
• Razão social ou nome fantasia da empresa
• CNPJ (quando aplicável)

2.2. Dados de uso da plataforma

• Registros de acesso, funcionalidades utilizadas e interações na plataforma
• Dados inseridos pelo contratante no CRM (contatos, negócios, tarefas, conversas)

2.3. Dados técnicos

• Endereço IP, tipo de navegador, sistema operacional
• Cookies e tecnologias similares de rastreamento
• Dados de geolocalização aproximada (derivados do IP)

2.4. Dados de pagamento

• Informações de pagamento são processadas diretamente pela Asaas (operador de pagamentos, certificada PCI-DSS); o RushCRM não armazena dados de cartão em seus servidores
• Compartilhamos com a Asaas apenas os dados necessários à cobrança (ex.: identificação da organização e valor)

Utilizamos seus dados pessoais para as seguintes finalidades:

• Prestação do serviço: criar e gerenciar sua conta, processar pagamentos, fornecer acesso à plataforma e suas funcionalidades
• Comunicação: enviar notificações sobre a conta, atualizações do serviço, alertas de segurança e comunicações operacionais
• Melhoria da plataforma: analisar dados de uso de forma agregada e anonimizada para aprimorar funcionalidades e experiência do usuário
• Marketing: enviar comunicações promocionais quando houver consentimento expresso do titular, com opção de descadastramento (opt-out) em todas as comunicações
• Obrigações legais: cumprir obrigações legais, regulatórias, fiscais e resoluções judiciais
• Segurança: prevenir fraudes, abusos e garantir a integridade da plataforma

O tratamento dos seus dados pessoais fundamenta-se nas seguintes bases legais previstas na LGPD:

• Execução de contrato (Art. 7º, V): para prestação do serviço contratado, incluindo criação de conta, processamento de pagamentos e acesso à plataforma
• Consentimento (Art. 7º, I): para envio de comunicações de marketing, uso de cookies não essenciais e compartilhamento de dados para fins publicitários
• Legítimo interesse (Art. 7º, IX): para melhoria da plataforma, prevenção de fraudes e análises agregadas de uso
• Obrigação legal (Art. 7º, II): para cumprimento de obrigações fiscais, contábeis e regulatórias

Podemos compartilhar seus dados pessoais com os seguintes terceiros, exclusivamente para as finalidades descritas nesta política:

• Asaas: processamento de pagamentos e cobranças recorrentes
• Supabase: infraestrutura de banco de dados e autenticação
• Serviços de e-mail: envio de notificações transacionais e comunicações operacionais
• Meta Platforms (Facebook, Instagram, WhatsApp): integração de canais de comunicação (Instagram Direct, WhatsApp Business API), mensuração de campanhas publicitárias e troca de mensagens comerciais, quando habilitado pelo contratante
• Google: sincronização de agenda (Google Calendar) e registro de conversões na conta Google Ads do próprio contratante, quando habilitado por ele (detalhes na seção 5.1)

Não vendemos, alugamos ou comercializamos seus dados pessoais a terceiros para fins próprios desses terceiros.

Todos os nossos parceiros e fornecedores estão sujeitos a obrigações contratuais de proteção de dados e confidencialidade compatíveis com a LGPD.

O RushCRM integra-se a dois serviços do Google: o Google Calendar, para sincronizar a agenda, e o Google Ads, para registrar conversões na conta de anúncios do próprio cliente. O acesso ocorre exclusivamente mediante autorização explícita do usuário via protocolo OAuth 2.0, e cada integração é conectada separadamente. O RushCRM não acessa o Gmail nem outros serviços do Google.

5.1.1. Dados acessados via APIs do Google

• Google Calendar: eventos de calendário (título, data/hora, participantes, descrição e link do Google Meet) para sincronização com a agenda do CRM
• Google Ads: acesso à conta Google Ads indicada pelo próprio usuário (ID da conta, conta administradora quando houver e a ação de conversão escolhida por ele), usado somente para registrar conversões nessa conta. O RushCRM não lê nem altera campanhas, anúncios, orçamentos, palavras-chave ou relatórios
• Dados de perfil básico: nome e endereço de e-mail da conta Google autorizada, para identificar a conexão

5.1.2. Finalidade do uso

Os dados obtidos via APIs do Google são utilizados exclusivamente para fornecer as funcionalidades da integração autorizada pelo usuário:

• Sincronização bidirecional de eventos entre o Google Calendar e o CRM
• Criação de reuniões do Google Meet vinculadas a eventos do CRM
• Registro de conversões no Google Ads: quando uma oportunidade chega a uma etapa escolhida pelo usuário (por exemplo, negócio ganho), o RushCRM envia à conta Google Ads do próprio usuário um evento de conversão com o identificador do clique no anúncio (GCLID, GBRAID ou WBRAID, quando o lead veio de um anúncio), a data e hora, o valor e a moeda. Para conversões otimizadas (Enhanced Conversions), envia também o e-mail e o telefone do lead criptografados com hash SHA-256 antes de sair dos nossos servidores. Isso permite ao usuário medir quais campanhas geram vendas reais e ao Google Ads otimizar as campanhas desse usuário

5.1.3. Restrições de uso (Limited Use)

5.1.4. Compartilhamento de dados do Google

Dados obtidos via APIs do Google não são compartilhados com terceiros, exceto nas seguintes situações estritamente necessárias:

• Google Ads do próprio usuário: os eventos de conversão descritos em 5.1.2 são enviados somente à conta Google Ads que o usuário conectou, por instrução dele
• Infraestrutura: Supabase (banco de dados e autenticação), como operador técnico, sob obrigações contratuais de proteção de dados
• Obrigação legal: quando exigido por lei, regulamento ou ordem judicial

5.1.5. Retenção e exclusão de dados do Google

• Tokens de acesso e de atualização são armazenados criptografados enquanto a integração estiver ativa
• Dados de calendário e a configuração do Google Ads (IDs da conta e da ação de conversão) são mantidos apenas durante a vigência da integração
• Cada envio de conversão gera um registro técnico (data, status e resposta do Google), mantido para diagnóstico e auditoria e eliminado conforme os prazos da seção 8
• Ao desconectar a integração nas configurações do CRM, os tokens são revogados junto ao Google e eliminados dos nossos servidores
• O usuário pode solicitar a exclusão completa dos dados do Google a qualquer momento, entrando em contato com nosso DPO (seção 11)
• Ao cancelar a assinatura do RushCRM, todos os tokens e dados de integrações Google são eliminados conforme os prazos da seção 8

5.1.6. Revogação de acesso

O usuário pode revogar o acesso do RushCRM aos seus dados do Google a qualquer momento por duas formas:

• Nas configurações do RushCRM, desconectando a integração Google
• Na página de permissões da conta Google, removendo o acesso do RushCRM

Nota: os cookies de marketing da seção 6.3 (Google Ads) são do nosso site institucional e servem para medir as campanhas do próprio RushCRM. Eles não usam dados obtidos pelas APIs do Google descritas nesta seção, e dados recebidos dessas APIs nunca são usados em publicidade do RushCRM.

O RushCRM integra-se com a WhatsApp Business Platform (Meta Platforms Inc.) para permitir que empresas contratantes enviem e recebam mensagens de negócios por meio do WhatsApp. O acesso ocorre exclusivamente mediante autorização explícita do contratante, que configura sua conta WhatsApp Business nas configurações do CRM.

5.2.1. Dados coletados via WhatsApp Business API

• Identificação do remetente: número de telefone e nome de perfil do WhatsApp dos contatos do contratante
• Conteúdo das mensagens: texto, mídia (imagens, áudios, documentos, vídeos) e metadados (data/hora, status de entrega e leitura) trocados entre a empresa e seus clientes
• Templates de mensagem (HSM): modelos de mensagem criados e aprovados pela Meta para envios proativos
• Dados da conta WhatsApp Business: número de telefone da empresa, nome da conta, configurações e ativos do gerenciador de negócios

5.2.2. Finalidade do uso

Os dados obtidos via WhatsApp Business API são utilizados exclusivamente para:

• Exibir e armazenar o histórico de conversas dentro da interface CRM do contratante
• Permitir que agentes da empresa respondam a clientes via WhatsApp diretamente pelo CRM
• Enviar mensagens proativas usando templates aprovados pela Meta (ex: confirmações, lembretes)
• Gerenciar a conta WhatsApp Business do contratante (modelos, números, configurações)

5.2.3. Restrições de uso

5.2.4. Retenção e exclusão de dados do WhatsApp

• O histórico de conversas é mantido enquanto a assinatura do contratante estiver ativa
• Tokens de acesso à API são armazenados de forma criptografada e revogados ao desconectar a integração
• Ao cancelar a assinatura, os dados de mensagens são eliminados conforme os prazos da seção 8

5.2.5. Direito de exclusão — usuários finais (destinatários WhatsApp)

Usuários finais (pessoas que receberam ou enviaram mensagens para uma empresa via WhatsApp através do RushCRM) podem solicitar a exclusão de seus dados de contato e histórico de mensagens armazenados no CRM. Para isso:

• Entre em contato pelo e-mail reply@rushcrm.com.br com o assunto "Exclusão de dados WhatsApp" e o número de telefone a ser removido
• Responderemos e processaremos a solicitação em até 15 (quinze) dias úteis

Para proteger nossos formularios publicos contra automacao maliciosa (bots, spam e ataques automatizados), utilizamos o servico Cloudflare Turnstile, fornecido pela Cloudflare, Inc. O Turnstile opera em modo invisivel, sem solicitar nenhuma acao do visitante (sem checkbox, sem captcha visual).

5.3.1. Dados coletados pelo Turnstile

Quando voce acessa um formulario publico do RushCRM, o Turnstile coleta automaticamente sinais tecnicos do seu navegador para diferenciar visitantes humanos de robos:

• Endereco IP e dados de geolocalizacao aproximada
• User-Agent e caracteristicas tecnicas do navegador (versao, plataforma, idioma)
• Sinais de comportamento de interacao (movimento de mouse, padroes de digitacao, timing)
• Cookies tecnicos da Cloudflare (`cf_clearance`) para sessoes verificadas
• Indicadores de risco e fingerprinting agregado

5.3.2. Finalidade

Os dados sao utilizados exclusivamente para distinguir visitantes legitimos de trafego automatizado abusivo, evitando spam e ataques aos nossos formularios. Nao utilizamos esses sinais para fins publicitarios, perfilizacao ou qualquer finalidade nao relacionada a seguranca.

5.3.3. Base legal e tratamento por terceiro

O tratamento se fundamenta em legitimo interesse (LGPD Art. 7, IX) para a seguranca da plataforma e prevencao de fraude. O processamento e realizado pela Cloudflare, Inc. como operadora, em servidores localizados em sua rede global de edge computing.

Detalhes sobre o tratamento de dados pela Cloudflare estao disponiveis na Politica de Privacidade da Cloudflare e no Adendo de Privacidade do Turnstile.

5.3.4. Retencao

Os sinais coletados pelo Turnstile sao processados em tempo real para gerar um token de verificacao. Apos a submissao do formulario, nao retemos esses sinais brutos — apenas o resultado binario da validacao (visitante humano legitimo ou nao) e armazenado junto a submissao.

Utilizamos cookies e tecnologias similares para os seguintes fins:

6.1. Cookies essenciais

• Necessários para o funcionamento da plataforma (autenticação, sessão do usuário)
• Não podem ser desativados sem comprometer o uso do serviço

6.2. Cookies analíticos

• Google Analytics: análise de uso e desempenho da plataforma
• Dados coletados de forma agregada e anonimizada

6.3. Cookies de marketing

• Meta Pixel (Facebook/Instagram): mensuração de campanhas publicitárias
• Google Ads: mensuração de conversões e remarketing
• Podem ser desativados a qualquer momento pelo titular

Você pode gerenciar suas preferências de cookies nas configurações do seu navegador. A desativação de cookies não essenciais não afeta o funcionamento da plataforma.

Como titular de dados pessoais, você tem os seguintes direitos garantidos pela LGPD:

• Confirmação e acesso: confirmar a existência de tratamento e acessar seus dados pessoais
• Correção: solicitar a correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação: solicitar o tratamento adequado de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD
• Portabilidade: solicitar a portabilidade dos seus dados a outro fornecedor de serviço
• Eliminação: solicitar a eliminação dos dados pessoais tratados com base no consentimento
• Informação: ser informado sobre com quem seus dados são compartilhados
• Revogação do consentimento: revogar o consentimento a qualquer momento, sem prejuízo do tratamento realizado anteriormente
• Oposição: opor-se ao tratamento baseado em legítimo interesse, quando aplicável

Para exercer qualquer um desses direitos, entre em contato com nosso Encarregado de Proteção de Dados (DPO) pelo e-mail informado na seção 11 desta política. Responderemos às solicitações em até 15 (quinze) dias úteis, conforme exigido pela LGPD.

Seus dados pessoais são retidos pelo tempo necessário para cumprir as finalidades descritas nesta política:

• Dados de conta: mantidos enquanto a assinatura estiver ativa e por até 6 (seis) meses após o cancelamento, para permitir reativação
• Dados do CRM: os dados inseridos pelo contratante são mantidos durante a vigência do contrato. Após o cancelamento, o contratante pode solicitar a exportação antes da eliminação
• Dados fiscais e contábeis: mantidos por 5 (cinco) anos, conforme legislação tributária brasileira
• Logs de acesso: mantidos por 6 (seis) meses, conforme Marco Civil da Internet (Lei nº 12.965/2014)

Após os períodos acima, os dados são eliminados de forma segura de nossos sistemas e backups.

Empregamos medidas técnicas e organizacionais adequadas para proteger seus dados pessoais, incluindo:

• Criptografia: dados em trânsito protegidos por TLS/SSL; dados sensíveis criptografados em repouso
• Controle de acesso: autenticação segura, controle de permissões baseado em papéis (RBAC) e isolamento de dados por organização (multi-tenant)
• Row Level Security (RLS): isolamento rigoroso de dados entre organizações no banco de dados
• Backups: cópias de segurança regulares com retenção adequada
• Monitoramento: logs de auditoria para detecção de acessos não autorizados

Nenhum sistema de segurança é infalível. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, notificaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), conforme previsto na LGPD.

Esta Política de Privacidade pode ser atualizada periodicamente para refletir mudanças em nossas práticas, funcionalidades ou exigências legais.

Alterações substanciais serão comunicadas com antecedência mínima de 30 (trinta) dias, por e-mail e/ou notificação na plataforma. O uso continuado do serviço após a data de vigência das alterações constitui aceitação da política atualizada.