Politique de confidentialité

Identification du responsable du traitement

La présente Politique de confidentialité décrit la manière dont Catalisa collecte, utilise, stocke et protège vos données personnelles.

Responsable du traitement : Catalisa Tecnologia e Dados LTDA CNPJ : 49.646.439/0001-85 Adresse : Rodovia Raposo Tavares, 7389 - São Paulo - SP - Brésil - 05577-902

Délégué à la protection des données (DPO) : E-mail : privacidade@catalisa.io Canal de contact : privacidade@catalisa.io

Périmètre

La présente Politique s’applique au traitement des données personnelles effectué par Catalisa dans deux catégories :

(a) Données des utilisateurs de la Plateforme : informations personnelles que vous fournissez lors de la création d’un compte, de l’utilisation de nos services ou de vos interactions avec notre site.

(b) Données des clients des utilisateurs : informations personnelles de tiers (clients finaux de l’Utilisateur) traitées via la Plateforme, notamment au moyen des intégrations avec WhatsApp. Pour ces données, la relation entre Catalisa et l’Utilisateur suit les rôles définis à la Section 13.

La présente Politique fait partie intégrante des Conditions d’utilisation de la Plateforme.

Données collectées

Nous collectons les catégories de données personnelles suivantes :

• Données d’inscription (base légale : exécution du contrat) : nom complet, e-mail professionnel, téléphone, nom de l’entreprise, fonction, CNPJ. Collectées lors de l’inscription sur la Plateforme.
• Données d'utilisation (base légale : intérêt légitime) : interactions avec la Plateforme, fonctionnalités utilisées, journaux d'accès, horaires d'utilisation, actions effectuées. Collectées automatiquement pendant l'utilisation.
• Données de communication (base légale : exécution du contrat) : messages traités par la Plateforme, modèles de messages, configurations de Workflows et d'Agents IA. Traitées conformément aux instructions de l'Utilisateur.
• Données techniques (base légale : intérêt légitime) : adresse IP, type et version du navigateur, système d’exploitation, appareil, résolution d’écran, pages consultées, durée de visite. Collectées automatiquement au moyen de cookies et de technologies similaires.

Base légale (LGPD, art. 7)

Le traitement des données personnelles par Catalisa repose sur les bases légales suivantes prévues par la LGPD :

• Exécution du contrat (Art. 7, V) : traitement nécessaire à la fourniture des services contractés, y compris la création de compte, le traitement des messages, l'exécution des Workflows et la fourniture du support technique.
• Intérêt légitime (art. 7, IX) : traitement nécessaire pour améliorer la Plateforme, garantir la sécurité, prévenir la fraude, réaliser des analyses d’utilisation et envoyer des communications relatives au service. Nous réalisons une évaluation d’impact (LIA) afin de garantir que nos intérêts ne prévalent pas sur les droits de la personne concernée.
• Consentement (Art. 7, I) : utilisé pour des finalités spécifiques telles que l’envoi de communications marketing, l’utilisation de cookies analytiques et marketing, et la participation à des enquêtes. Le consentement peut être retiré à tout moment, sans préjudice des traitements effectués antérieurement.
• Respect d’une obligation légale (Art. 7, II) : traitement nécessaire au respect des obligations légales et réglementaires, y compris la conservation des données fiscales et financières, la réponse aux réquisitions des autorités compétentes et la tenue des registres exigés par la loi.

Finalités du traitement

Nous utilisons vos données personnelles aux fins suivantes :

• Prestation des services : exploiter la Plateforme, traiter les automatisations et les Workflows, exécuter les Agents IA et fournir les fonctionnalités contractées.
• Gestion du compte : créer et maintenir votre compte, authentifier les accès, gérer les permissions et les préférences.
• Support technique : traiter les demandes de support, diagnostiquer les problèmes et fournir une assistance technique.
• Communications de service : envoyer des notifications concernant les maintenances, les mises à jour, les modifications des conditions et les informations essentielles sur le service.
• Amélioration de la Plateforme : analyser les tendances d'utilisation (de manière agrégée), identifier des améliorations, développer de nouvelles fonctionnalités et corriger des erreurs.
• Sécurité : surveiller les activités suspectes, prévenir la fraude, détecter les vulnérabilités et protéger l'intégrité de la Plateforme.
• Respect des obligations légales : satisfaire aux obligations légales et réglementaires ainsi qu'aux réquisitions des autorités compétentes.
• Marketing (avec consentement) : envoyer des communications sur les nouvelles fonctionnalités, des contenus pédagogiques et des offres, uniquement lorsque le titulaire des données l'a autorisé.

Cookies et technologies de traçage

Notre site et notre Plateforme utilisent des cookies et des technologies similaires pour améliorer votre expérience. Nous utilisons la Google tag et Google Analytics 4 (GA4), avec Consent Mode v2, ainsi que Microsoft Clarity, uniquement après autorisation des cookies d'analyse. Ce choix peut être modifié dans « Préférences de cookies » ; refuser n'empêche pas l'utilisation du site. Les coordonnées et le contenu des conversations, des concepts et des échanges avec le support ne sont pas transmis comme paramètres d'analyse. Clarity n'est pas chargé sur les pages Contact, Lab ni dans les espaces authentifiés.

Catégories de cookies :

• Cookies strictement nécessaires : essentiels au fonctionnement de la Plateforme, notamment l'authentification, la sécurité et les préférences de session. Stockés via localStorage et des cookies de session. Ils ne nécessitent pas de consentement.
• Cookies analytiques (GA4) : collectent des données agrégées sur l’utilisation du site et de la Plateforme à des fins d’amélioration. Incluent : _ga (identification de l’utilisateur, 2 ans), _ga_* (état de la session, 2 ans). Nécessitent un consentement.
• Cookies marketing : utilisés pour cibler des communications pertinentes. Activés uniquement avec un consentement explicite via la bannière de cookies.
• Ressources externes (images) : notre site peut charger des images d'illustration provenant de services tiers, comme Unsplash (Imgur Inc.), pour enrichir le contenu éditorial. Lors du chargement de ces images, votre navigateur effectue des requêtes directes vers les serveurs du fournisseur, qui peut recevoir des données techniques telles que l'adresse IP, le user-agent et l'URL de la page visitée. Ces ressources sont chargées sur la base de l'intérêt légitime (Art. 7, IX de la LGPD) afin d'améliorer l'expérience utilisateur. Elles ne nécessitent pas de consentement supplémentaire, car elles n'installent ni cookies ni traceurs.

Partage de données

Nous ne vendons pas vos données personnelles. Nous ne partageons des données qu’avec les catégories de destinataires suivantes, dans la mesure nécessaire aux finalités décrites dans la présente Politique :

• Fournisseurs d’infrastructure : hébergement, stockage et traitement nécessaires au service. Le lieu de traitement dépend des services utilisés ; nous ne garantissons pas que l’ensemble des données réside exclusivement au Brésil.
• Meta/WhatsApp : traitement des messages via l’API WhatsApp Business. Nécessaire au fonctionnement des intégrations de communication. Soumis aux Conditions d’utilisation et à la Politique de confidentialité de WhatsApp.
• Anthropic (Claude) : traitement du langage naturel et génération de contenu par des Agents IA. Les données peuvent être transférées vers des serveurs situés aux États-Unis (voir Section 8).
• OpenAI (GPT) : traitement du langage naturel et génération de contenu par les Agents IA. Les données peuvent être transférées vers des serveurs situés aux États-Unis (voir Section 8).
• Unsplash (Imgur Inc.) : fourniture d'images d'illustration pour le contenu éditorial du site. Lors du chargement de pages contenant des images externes, votre navigateur envoie des requêtes aux serveurs d'Unsplash, qui peuvent recevoir des données techniques (adresse IP, user-agent). Aucune donnée personnelle n'est activement partagée par Catalisa. Soumis à la Politique de confidentialité d'Unsplash (unsplash.com/privacy).
• Microsoft Clarity : outil d’analyse du comportement et de cartes thermiques destiné à améliorer l’expérience utilisateur. Il peut collecter des données d’interaction telles que les clics, le défilement et les mouvements de la souris. Soumis à la Politique de confidentialité de Microsoft.
• Autorités compétentes : lorsque la loi, une décision judiciaire ou administrative l’exige, ou pour la protection de droits dans le cadre de procédures judiciaires.

Transfert international de données

La génération de concepts utilise le fournisseur d'intelligence artificielle configuré pour le service, parmi les fournisseurs identifiés dans la présente politique. Ce traitement peut avoir lieu hors du Brésil. Nous transmettons le brief et le contexte nécessaires pour générer ou ajuster le concept ; vos nom, e-mail et numéro de téléphone ne sont pas inclus intentionnellement dans cette requête. N'incluez pas d'informations personnelles sensibles, d'identifiants ni de secrets dans le texte libre.

Les enregistrements conservés par le fournisseur d'IA sont soumis à ses conditions, paramètres et règles de conservation. Les délais applicables à la conversation sur ce site ne signifient pas que toutes les copies détenues par des tiers sont supprimées simultanément. Pour toute précision sur le traitement applicable à votre demande, contactez le canal dédié à la confidentialité indiqué dans la présente politique.

Sécurité des données

Pour protéger les conversations et l’assistance de ce site, nous appliquons les mesures suivantes :

• Connexions protégées par HTTPS pendant l’utilisation du site.
• Des cookies essentiels distincts pour conserver votre conversation et authentifier l’équipe. Le cookie visiteur ne permet pas d’accéder aux échanges d’autres personnes ni à l’accès de l’équipe.
• Contenu privé chiffré au repos et accès restreint à l'équipe autorisée. Le serveur et le fournisseur d'IA doivent traiter le contenu nécessaire au service ; il ne s'agit pas d'un chiffrement de bout en bout.
• Vérification des accès, limites d’utilisation et validation des données envoyées pour réduire les accès indus et les abus.
• L’intelligence artificielle produit un aperçu structuré. Le site n’exécute aucun code envoyé par l’IA ou par le visiteur.

Conservation des données

Les durées ci-dessous s’appliquent aux conversations, aux concepts et à l’assistance humaine de ce site. Après expiration, les enregistrements ne sont plus disponibles pour un usage normal et entrent dans le nettoyage périodique. Les sauvegardes et les enregistrements des prestataires de services peuvent suivre leurs propres cycles de suppression.

• Conversation du visiteur, réponses, identification provisoire et concepts : jusqu’à 7 jours après le début de la session.
• Enregistrements utilisés pour éviter le traitement en double d'une même demande : jusqu'à 24 heures. Le contenu de la conversation reste soumis à la durée de la session.
• Contexte partagé et messages d’assistance humaine : jusqu’à 30 jours après l’acceptation du transfert.
• Accès authentifié de l'équipe : jusqu'à 1 heure, également limité par la validité de l'identifiant. La déconnexion met fin à cet accès.
• Journaux techniques des limites d'utilisation : jusqu'à la fin de la fenêtre de contrôle correspondante.
• La mesure de veille de marché est désactivée. Son activation exige des informations spécifiques sur la finalité, l’accès, la conservation et la suppression avant toute collecte.

Droits du titulaire des données (LGPD Art. 18)

Conformément à la LGPD, vous disposez des droits suivants concernant vos données personnelles :

• Confirmation de l’existence d’un traitement : savoir si Catalisa traite vos données personnelles.
• Accès aux données : obtenir une copie des données personnelles que nous détenons à votre sujet.
• Rectification des données : demander la rectification de données incomplètes, inexactes ou obsolètes.
• Anonymisation, blocage ou suppression : à demander lorsque les données sont inutiles, excessives ou traitées en non-conformité avec la LGPD.
• Portabilité des données : obtenir vos données dans un format structuré afin de les transférer à un autre prestataire de services.
• Effacement des données traitées sur la base du consentement : demander la suppression des données dont le traitement reposait sur le consentement.
• Information sur le partage : savoir avec quelles entités publiques et privées vos données ont été partagées.
• Opposition au traitement : vous opposer au traitement fondé sur l’intérêt légitime, si vous estimez que vos droits prévalent.
• Révision des décisions automatisées : demander une révision humaine des décisions prises uniquement sur la base d'un traitement automatisé de données personnelles, y compris les décisions d'Agents IA.

Décisions automatisées

La Plateforme utilise des Agents IA qui traitent des données personnelles de manière automatisée pour générer des réponses, classer des demandes et exécuter des Workflows.

Conformément à la LGPD (art. 20), vous avez le droit de demander la revue humaine des décisions prises uniquement sur la base d’un traitement automatisé de données personnelles affectant vos intérêts, y compris les décisions relatives au profilage.

Pour demander une revue humaine ou obtenir des informations sur la logique utilisée dans les décisions automatisées, contactez notre Délégué à la protection des données à l’adresse privacidade@catalisa.io. Nous répondrons dans un délai de 15 (quinze) jours ouvrés.

Données de tiers (clients de l'Utilisateur)

Lorsque l’Utilisateur traite des données personnelles de ses propres clients via la Plateforme (notamment via les intégrations avec WhatsApp), les parties agissent selon les rôles suivants :

- Utilisateur : Responsable du traitement des données personnelles de ses clients. Il lui incombe de définir la finalité et la base légale du traitement, d’informer ses clients de l’utilisation de la Plateforme et de répondre aux demandes d’exercice des droits des personnes concernées.

- Catalisa : Sous-traitant des données personnelles des clients de l’Utilisateur. Elle traite les données exclusivement selon les instructions de l’Utilisateur et aux fins de la fourniture des services souscrits.

L’Utilisateur est responsable de :

(a) Garantir qu’il dispose d’une base légale valable pour traiter les données de ses clients via la Plateforme. (b) Fournir à ses clients des informations claires sur le traitement des données, y compris l’existence d’un traitement par intelligence artificielle. (c) Répondre en temps utile aux demandes d’exercice des droits des personnes concernées. (d) Conclure avec Catalisa un Accord de traitement des données (DPA), si nécessaire, disponible sur demande.

Incidents de sécurité

En cas d'incident de sécurité susceptible d'entraîner un risque ou un préjudice important pour les personnes concernées, Catalisa prendra les mesures suivantes :

(a) Notification à l'Autorité nationale de protection des données (ANPD) dans un délai de 72 (soixante-douze) heures après la confirmation de l'incident, conformément à l'Art. 48 de la LGPD.

(b) Information des personnes concernées dans un délai raisonnable, comprenant : la description de la nature des données concernées, des informations sur les risques, les mesures prises pour en atténuer les effets et des recommandations à leur intention.

(c) Enregistrement interne de l'incident avec une documentation complète : nature, données concernées, personnes touchées, mesures techniques adoptées et résultat des actions de confinement.

(d) Notification à l'Utilisateur (lorsque Catalisa agit en tant qu'Opérateur) afin qu'il prenne les mesures nécessaires auprès de ses clients.

Utilisation des données des API Google (Google API Services)

Lorsque vous connectez un compte Google à la Plateforme Catalisa, nous accédons aux données de ce compte et les utilisons exclusivement pour fournir les fonctionnalités que vous activez. L'utilisation et le transfert, par Catalisa, des informations reçues des API Google respectent la Politique relative aux données utilisateur des services d'API Google (Google API Services User Data Policy), y compris les exigences d'Utilisation limitée (Limited Use).

• Google Agenda (Calendar) : nous consultons votre disponibilité (créneaux libres et occupés) et créons, mettons à jour et annulons les événements d’agenda que vous demandez — vous ou les automatisations et agents d’IA que vous avez configurés. Utilisé, par exemple, pour planifier des réunions avec vos clients au cours d’un échange.
• Gmail (envoi) : nous envoyons des e-mails en votre nom lorsque vous, ou une automatisation que vous avez configurée, déclenchez l’envoi depuis la Plateforme (par exemple, confirmations de réunion et messages de suivi). Nous ne lisons pas votre boîte de réception.
• Identification du compte : nous accédons à votre adresse e-mail Google uniquement pour identifier le compte connecté, afin que vous puissiez le reconnaître et le gérer.
• Nous n’utilisons pas les données obtenues via les API Google à des fins publicitaires et nous ne les vendons pas.
• Nous ne transférons pas à des tiers les données obtenues via les API Google, sauf lorsque cela est nécessaire pour fournir les fonctionnalités décrites, lorsque la loi l'exige ou avec votre consentement explicite.
• Aucun être humain ne lit ces données, sauf (i) avec votre consentement explicite, (ii) pour des raisons de sécurité (comme l'investigation d'abus ou d'incidents), (iii) pour satisfaire à une obligation légale, ou (iv) lorsque les données sont agrégées et anonymisées.
• Les jetons d'accès sont stockés de manière chiffrée. Vous pouvez révoquer l'accès à tout moment depuis la Plateforme elle-même ou sur myaccount.google.com/permissions.

Dispositions finales

Mineurs. Nos services ne sont pas destinés aux personnes de moins de 18 (dix-huit) ans. Nous ne collectons pas sciemment de données personnelles de mineurs. Si vous apprenez que des données d’un mineur ont été collectées, contactez-nous afin que nous puissions les supprimer.

Modifications de la présente Politique. Nous pouvons mettre à jour la présente Politique de confidentialité périodiquement. Les modifications importantes seront communiquées au moins 30 (trente) jours à l’avance par e-mail ou par notification sur la Plateforme. La poursuite de l’utilisation de la Plateforme après le délai de notification vaut acceptation de la Politique mise à jour.

Contact. Pour exercer vos droits, poser vos questions ou adresser des réclamations concernant la présente Politique :

E-mail du DPO : privacidade@catalisa.io E-mail général : contato@catalisa.io WhatsApp : +55 11 97730-3414

Juridiction compétente. Le tribunal de la Comarca de São Paulo, État de São Paulo, Brésil, est désigné pour trancher tout litige découlant de la présente Politique.

Contact, Lab et assistance humaine de ce site

Pour explorer une idée, le site enregistre vos réponses et génère une identité provisoire après la saisie du nom. Avant la génération par IA ou la prise en charge, il demande une adresse e-mail ou un numéro de téléphone valide ; l'un des deux suffit. Le cookie essentiel permet uniquement de reprendre la même session. Les références provisoires du site ne sont pas des fiches CRM.

L'agent reçoit le brief, le contexte nécessaire à la génération ou à l'ajustement et le catalogue autorisé. Le nom, l'e-mail et le téléphone ne font volontairement pas partie de la demande de génération. N'incluez toutefois pas d'informations sensibles sur vos clients, d'identifiants ou de secrets dans le texte libre. L'IA génère une hypothèse de produit ; elle n'approuve pas de crédit, n'exécute pas de transactions et ne publie pas de système.

En confirmant la poursuite, vous partagez avec l'équipe vos coordonnées, vos réponses, l'historique, le concept sélectionné et les ajustements. Le canal humain actuellement mis en place se trouve ici, sur le site. L'acceptation signifie que le dossier a été enregistré ; la remise signifie qu'une personne authentifiée a ouvert le contexte ; l'attribution signifie que cette personne a pris en charge la demande. Les réponses restent dans la même conversation. Recueillir un e-mail ou un téléphone ne signifie pas envoyer automatiquement des messages externes.

Les espaces Contact, Lab, concepts et prise en charge ne transmettent ni la conversation, ni le nom, ni l'e-mail, ni le téléphone aux outils d'analytics du navigateur. La mesure de marché proposée exige une approbation et une information publique spécifiques avant toute collecte réelle. Pour demander l'accès, la rectification ou la suppression, utilisez le canal de confidentialité indiqué dans cette politique ; l'identité du demandeur et la portée de la demande seront vérifiées avant toute modification des données.