Política de Privacidade

Vicine Criativa(CNPJ 51.681.276/0001-13) ("Vicine", "nós") opera a plataforma Vicine CRM (a "Plataforma"), disponível em https://crm.vicine.com.br. Cada cliente acessa seu próprio espaço de trabalho (workspace) dentro da Plataforma.

Esta política descreve quais dados pessoais coletamos, com qual finalidade, com quem compartilhamos e quais são seus direitos como titular, em conformidade com a LGPD (Lei Geral de Proteção de Dados — Lei 13.709/2018), o GDPR (quando aplicável) e as exigências das plataformas Meta (Facebook, Instagram, WhatsApp), Google e TikTok.

2.1 Dados de usuários do CRM

• Nome, e-mail e foto de perfil (autenticação via Supabase)
• Logs de sessão (IP, user-agent, timestamps) para fins de segurança e auditoria
• Configurações de workspace, preferências, papéis

2.2 Dados de leads/clientes finais

Quando o titular do workspace conecta integrações com Meta (Facebook, Instagram, WhatsApp), Google ou outras plataformas, a Vicine CRM passa a receber e armazenar os seguintes dados relativos a contatos/leads do titular:

• Nome, telefone, e-mail, username Instagram, PSID Facebook Messenger
• Conteúdo de mensagens trocadas (WhatsApp, Instagram DM, Messenger), comentários em posts
• Mídia compartilhada (imagens, áudios, vídeos) via URL ou armazenamento em Supabase Storage
• Dados de atribuição: UTM source/medium/campaign, fbclid, gclid, ttclid, página de origem, referrer
• Dados de formulários de briefing preenchidos voluntariamente
• Dados de agendamentos (data, hora, e-mail, notas)
• Tags, lead score, classificação de canal

2.3 Dados das integrações com APIs

• Tokens de acesso de plataformas (Meta, Google). Os tokens da integração Google/YouTube são armazenados com criptografia AES-256-GCM na aplicação, com chave mantida no ambiente do servidor.
• Metadados de contas conectadas (nome da página, ID, escopo de permissões)
• Métricas, insights e gerenciamento de campanhas de anúncios (incluindo pausar e ativar campanhas) via API de Marketing da Meta, quando autorizado pelo titular
• Dados de formulários de cadastro de anúncios (Lead Ads) do Facebook e Instagram
• Catálogos de produtos sincronizados via API de Catálogo Meta

2.4 Dados da integração com TikTok

Quando o usuário conecta sua conta TikTok ao workspace por meio do Login Kit (OAuth), recebemos o identificador da conta, nome de exibição e foto de perfil permitidos por user.info.basic, além dos tokens de acesso e das permissões concedidas. Esses dados identificam a conta conectada e permitem executar as ações autorizadas por meio das APIs do TikTok.

Com as permissões user.info.stats e video.list, consultamos os totais atuais de seguidores, contas seguidas, curtidas e vídeos públicos da conta, além dos vídeos públicos e seus números acumulados de visualizações, curtidas, comentários e compartilhamentos. Também recebemos os títulos, datas, capas e links desses vídeos para exibi-los na área de Análises do workspace autorizado. Vídeos privados não são incluídos nessa listagem. A leitura depende das permissões efetivamente concedidas pelo usuário.

Com a permissão video.publish, enviamos ao TikTok o vídeo selecionado pelo usuário, a legenda e as configurações de publicação confirmadas na interface, incluindo a privacidade. O envio ocorre após a confirmação do usuário, imediatamente ou no horário escolhido no agendador. Os identificadores e estados retornados pelo TikTok são usados para acompanhar e exibir o resultado da publicação no workspace correspondente.

O gerenciamento de comentários utiliza uma autorização separada, pela Accounts API da TikTok API for Business, quando esse acesso estiver habilitado para o aplicativo e autorizado pelo titular da conta. Nessa integração, recebemos o identificador e nome da conta, os vídeos disponibilizados pela API e os comentários e respostas associados, incluindo identificadores, nome público do autor, texto, data e estado do comentário. Armazenamos esses dados no workspace autorizado para consulta e acompanhamento do atendimento.

A busca de comentários é iniciada manualmente por um usuário com permissão no CRM. Uma resposta só é enviada ao TikTok quando um usuário autorizado escreve o texto e confirma o envio na interface. Esta integração de comentários não aciona respostas automáticas de IA nem mensagens privadas. Registramos o texto, autor da ação e estado do envio para acompanhar o resultado e evitar tentativas duplicadas. As permissões concedidas e os tokens dessa autorização são mantidos separadamente da conexão de publicação.

O usuário pode revogar a autorização nas configurações da sua conta TikTok. Para restabelecer o acesso após a revogação, precisa conectar e autorizar novamente a conta no CRM. Solicitações sobre os dados tratados pelo CRM podem ser encaminhadas pelo canal descrito na seção "Seus direitos" desta política.

2.5 Dados da integração com Google e YouTube

O Vicine CRM utiliza os Serviços de API do YouTube para conectar o canal autorizado pelo usuário e enviar os vídeos que ele seleciona para publicação. A conexão ocorre na página de autorização do Google. O CRM recebe tokens de autorização e não solicita a senha da sua conta Google.

No fluxo Google usado para conectar o YouTube, podemos receber o nome, o endereço de e-mail e a foto da conta para identificar a conexão. Do canal autorizado, consultamos o identificador, o nome, o endereço personalizado, a imagem e as contagens de inscritos e vídeos disponibilizadas pela API. Esses dados identificam o canal conectado e o destino da publicação. As contagens não representam um relatório de desempenho por período.

A permissão youtube.readonly é utilizada para confirmar o canal conectado. A permissão youtube.upload permite transferir ao YouTube o vídeo escolhido e as informações de publicação definidas no CRM, como título, descrição, visibilidade e indicação de conteúdo destinado a crianças. Se o usuário selecionar outros produtos Google, as permissões e finalidades desses produtos também se aplicam à conexão.

Guardamos os dados de identificação da conexão, as permissões concedidas e tokens protegidos por criptografia. O conteúdo preparado pelo usuário, os agendamentos e os resultados dos envios ficam associados ao seu workspace. O resultado pode incluir identificador e endereço do vídeo no YouTube, horário de envio e estado da publicação. O Google recebe o vídeo e as informações necessárias para executar o envio autorizado. O tratamento realizado pelo Google está descrito na Política de Privacidade do Google.

Você pode interromper a conexão do YouTube neste workspace em Integrações. Essa ação desativa o vínculo no CRM e remove as credenciais locais desse vínculo; ela não apaga os vídeos já enviados ao YouTube nem elimina automaticamente os registros históricos existentes no CRM.

Você também pode revogar o acesso do aplicativo pela página de permissões da sua Conta Google. A remoção da autorização do aplicativo no Google pode afetar outros produtos Google conectados por essa mesma autorização. Para usar a integração novamente, será necessário autorizar uma nova conexão.

Para solicitar a exclusão dos dados Google/YouTube armazenados pelo CRM ou esclarecer dúvidas sobre esse tratamento, entre em contato pelo canal indicado na seção "Seus direitos", informando o workspace e o canal envolvido. A exclusão de dados armazenados pelo CRM não exclui o conteúdo mantido pelo YouTube; para gerenciar ou excluir vídeos na plataforma, utilize o YouTube Studio.

2.6 Uso Limitado dos dados do Google (Limited Use) e IA

Além do YouTube, o usuário pode conectar outros produtos Google ao seu workspace, como Google Agenda (consultar disponibilidade e criar eventos de agendamento, inclusive quando solicitado pelo agente de IA do workspace), Google Analytics, Google Ads, Search Console e Perfil da Empresa no Google (exibir relatórios e executar as ações solicitadas).

Quando o usuário aciona um recurso de IA, somente os dados Google necessários para aquele recurso são processados por provedores de modelos de IA, exclusivamente para atender à solicitação do usuário: gerar o resultado exibido no CRM ou executar a ação que ele autorizou, como criar um agendamento. Esses provedores são acessados por APIs comerciais, com processamento pontual de cada solicitação, e o conteúdo enviado não é usado pela Vicine para treinar modelos.

• Não usamos, transferimos nem vendemos dados de usuário recebidos das APIs do Google, brutos, agregados, anonimizados ou derivados, para criar, treinar ou melhorar modelos fundacionais ou generalizados de inteligência artificial ou de aprendizado de máquina, nossos ou de terceiros.
• Não usamos esses dados para publicidade, nem os vendemos ou transferimos a corretores de dados ou revendedores de informações, e não os usamos para avaliar crédito ou conceder empréstimos.
• Transferimos esses dados somente com o consentimento do usuário e quando necessário para prestar ou melhorar os recursos visíveis a ele, por segurança, para cumprir a lei aplicável ou em fusão, aquisição ou venda de ativos, mediante consentimento prévio e explícito do usuário.
• Pessoas não leem esses dados, exceto com consentimento expresso e documentado do usuário para dados específicos, quando necessário para segurança e investigação de abuso, para cumprir a lei aplicável ou em forma agregada e anonimizada para operações internas.
• Nossos funcionários, agentes, contratados e sucessores estão obrigados a cumprir estas mesmas restrições.

Limited Use disclosure.Vicine CRM's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements. Vicine CRM does not use, transfer or sell Google user data, including raw, aggregated, anonymized or derived data, to create, train or improve foundational or generalized AI or machine learning models.

• Atendimento: exibir mensagens recebidas no inbox unificado, permitir resposta humana ou por IA
• CRM: organizar contatos em pipeline, aplicar tags, calcular lead score
• Marketing: agendar e publicar posts, enviar broadcasts, gerenciar comentários
• Atribuição: rastrear origem de leads e eventos de conversão server-side (Vicine Tracker)
• IA: processar mensagens via OpenAI/modelo configurado pelo workspace para gerar respostas automáticas, classificar sentimento, sugerir ações
• Segurança: detectar abuso, prevenir fraude, auditar acesso

Não vendemos, alugamos ou licenciamos dados pessoais. Compartilhamos dados apenas com processadores estritamente necessários à operação:

• Supabase Inc. (hospedagem do banco PostgreSQL, Auth e Storage) — região São Paulo (sa-east-1)
• Hostinger (hospedagem da aplicação em servidor VPS)
• OpenAI / Anthropic / Google / Z.ai (GLM)(conforme o recurso de IA utilizado) — processamento pontual por API das solicitações de IA, sem uso dos dados pela Vicine para treinar modelos (ver item 2.6)
• Meta Platforms Inc. (envio de respostas via WhatsApp/Instagram/Messenger e leitura de webhooks)
• Google LLC (envio de conversões para Google Ads e GA4 via Tracker, sempre com hash SHA-256 dos identifiers)
• Google / YouTube (autorização e identificação da conta e do canal conectados, consulta dos dados do canal descritos nesta política e recebimento dos vídeos, títulos, descrições e configurações que o usuário seleciona para envio ao YouTube)
• TikTok (autorização da conta conectada e envio dos vídeos, legendas e configurações de publicação que o usuário seleciona e confirma no CRM; leitura dos comentários autorizados e envio das respostas confirmadas por um usuário com permissão)
• Stripe Inc. (processamento de pagamentos — quando aplicável)
• Resend (envio de e-mails transacionais)

Todos os processadores possuem cláusulas contratuais que garantem o mesmo nível de proteção de dados desta política.

• Mensagens, conversas e contatos: enquanto o workspace estiver ativo + 90 dias após o cancelamento
• Briefings preenchidos: enquanto o workspace estiver ativo
• Logs de auditoria: 12 meses
• Mídia em Supabase Storage: respeitando os mesmos prazos acima
• Backups: até 30 dias após exclusão dos dados principais

Como titular dos dados, você tem direito a:

• Confirmação da existência de tratamento
• Acesso aos dados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários
• Portabilidade dos dados
• Eliminação dos dados pessoais tratados com seu consentimento
• Informação sobre as entidades com as quais compartilhamos
• Revogação do consentimento

Para exercer qualquer direito, envie um e-mail para contato@vicine.com.br com o assunto "LGPD — Solicitação de titular". Respondemos em até 15 dias úteis.

Em conformidade com a Plataforma Meta, oferecemos endpoint de callback para exclusão de dados que pode ser acionado diretamente pelo Facebook quando um usuário remove o app/integração:

POST https://crm.vicine.com.br/api/meta/data-deletion

Você também pode solicitar a exclusão de seus dados a qualquer momento pelo e-mail acima. A exclusão é processada em até 30 dias e abrange dados primários e backups.

• HTTPS obrigatório em todas as URLs públicas e webhooks
• Tokens de integrações armazenados criptografados em AES-256
• Row Level Security (RLS) em todas as tabelas, isolando dados por workspace
• Verificação de assinatura HMAC-SHA256 em todos os webhooks Meta
• Acesso ao banco restrito a IPs autorizados e tokens com escopo mínimo
• Logs de auditoria de operações sensíveis (criação/exclusão de integrações, alterações de workspace)

Usamos apenas cookies estritamente necessários para autenticação (sessão Supabase Auth) e funcionamento da plataforma. Não utilizamos cookies de rastreamento de terceiros nem analytics dentro da plataforma.

A Plataforma é destinada exclusivamente a uso profissional. Não coletamos intencionalmente dados de menores de 18 anos. Se você é responsável por menor e identificou coleta indevida, contate-nos imediatamente para exclusão.

Podemos atualizar esta política periodicamente. Mudanças materiais serão comunicadas por e-mail aos administradores de workspace com no mínimo 15 dias de antecedência.

Encarregado de Dados (DPO): Vicine Criativa (CNPJ 51.681.276/0001-13)
E-mail: contato@vicine.com.br
Site institucional: https://vicine.com.br