Política de Privacidade

Identificação do Controlador

Esta Política de Privacidade descreve como a Catalisa coleta, utiliza, armazena e protege seus dados pessoais.

Controlador de dados: Catalisa Tecnologia e Dados LTDA CNPJ: 49.646.439/0001-85 Endereço: Rodovia Raposo Tavares, 7389 - São Paulo - SP - Brasil - 05577-902

Encarregado de Proteção de Dados (DPO): E-mail: privacidade@catalisa.io Canal de atendimento: privacidade@catalisa.io

Escopo

Esta Política aplica-se ao tratamento de dados pessoais realizado pela Catalisa em duas categorias:

(a) Dados de usuários da Plataforma: informações pessoais fornecidas por você ao criar uma conta, utilizar nossos serviços ou interagir com nosso site.

(b) Dados de clientes dos usuários: informações pessoais de terceiros (clientes finais do Usuário) que são processadas através da Plataforma, especialmente via integrações com WhatsApp. Para esses dados, a relação entre Catalisa e o Usuário segue os papéis definidos na Seção 13.

Esta Política é parte integrante dos Termos de Uso da Plataforma.

Dados Coletados

Coletamos as seguintes categorias de dados pessoais:

• Dados de cadastro (base legal: execução de contrato): nome completo, e-mail corporativo, telefone, nome da empresa, cargo, CNPJ. Coletados no momento do registro na Plataforma.
• Dados de uso (base legal: legítimo interesse): interações com a Plataforma, funcionalidades utilizadas, logs de acesso, horários de uso, ações realizadas. Coletados automaticamente durante o uso.
• Dados de comunicação (base legal: execução de contrato): mensagens processadas pela Plataforma, templates de mensagens, configurações de Workflows e Agentes IA. Processados conforme instruções do Usuário.
• Dados técnicos (base legal: legítimo interesse): endereço IP, tipo e versão do navegador, sistema operacional, dispositivo, resolução de tela, páginas acessadas, tempo de permanência. Coletados automaticamente por cookies e tecnologias similares.

Base Legal (LGPD Art. 7)

O tratamento de dados pessoais pela Catalisa fundamenta-se nas seguintes bases legais previstas na LGPD:

• Execução de contrato (Art. 7, V): tratamento necessário para a prestação dos serviços contratados, incluindo criação de conta, processamento de mensagens, execução de Workflows e fornecimento de suporte técnico.
• Legítimo interesse (Art. 7, IX): tratamento necessário para melhorar a Plataforma, garantir segurança, prevenir fraudes, realizar análises de uso e enviar comunicações sobre o serviço. Realizamos avaliação de impacto (LIA) para assegurar que nossos interesses não se sobrepõem aos direitos do titular.
• Consentimento (Art. 7, I): utilizado para finalidades específicas como envio de comunicações de marketing, uso de cookies analíticos e de marketing, e participação em pesquisas. O consentimento pode ser revogado a qualquer momento sem prejuízo do tratamento realizado anteriormente.
• Cumprimento de obrigação legal (Art. 7, II): tratamento necessário para cumprir obrigações legais e regulatórias, incluindo retenção de dados fiscais e financeiros, atendimento a requisições de autoridades competentes e manutenção de registros exigidos por lei.

Finalidades do Tratamento

Utilizamos seus dados pessoais para as seguintes finalidades:

• Prestação dos serviços: operar a Plataforma, processar automações e Workflows, executar Agentes IA e fornecer as funcionalidades contratadas.
• Gerenciamento da conta: criar e manter sua conta, autenticar acessos, gerenciar permissões e preferências.
• Suporte técnico: atender solicitações de suporte, diagnosticar problemas e fornecer assistência técnica.
• Comunicações de serviço: enviar notificações sobre manutenções, atualizações, alterações nos termos e informações essenciais sobre o serviço.
• Melhoria da Plataforma: analisar padrões de uso (de forma agregada), identificar melhorias, desenvolver novas funcionalidades e corrigir erros.
• Segurança: monitorar atividades suspeitas, prevenir fraudes, detectar vulnerabilidades e proteger a integridade da Plataforma.
• Cumprimento legal: atender obrigações legais, regulatórias e requisições de autoridades competentes.
• Marketing (com consentimento): enviar comunicações sobre novos recursos, conteúdo educativo e ofertas, somente quando autorizado pelo titular.

Cookies e Tecnologias de Rastreamento

Nosso site e Plataforma utilizam cookies e tecnologias similares para melhorar sua experiência. Utilizamos a Google tag e Google Analytics 4 (GA4), com Consent Mode v2, e Microsoft Clarity somente após a permissão para analytics. A preferência pode ser alterada em “Preferências de cookies”; recusar não impede o uso do site. Dados de contato e conteúdo das conversas, conceitos e atendimento não são enviados como parâmetros de analytics. O Clarity não é carregado no Contato, Lab ou nas áreas autenticadas.

Categorias de cookies:

• Cookies estritamente necessários: essenciais para o funcionamento da Plataforma, incluindo autenticação, segurança e preferências de sessão. Armazenados via localStorage e cookies de sessão. Não requerem consentimento.
• Cookies analíticos (GA4): coletam dados agregados sobre uso do site e da Plataforma para fins de melhoria. Incluem: _ga (identificação do usuário, 2 anos), _ga_* (estado da sessão, 2 anos). Requerem consentimento.
• Cookies de marketing: utilizados para direcionar comunicações relevantes. Ativados apenas com consentimento explícito via banner de cookies.
• Recursos externos (imagens): nosso site pode carregar imagens ilustrativas de serviços de terceiros, como Unsplash (Imgur Inc.), para enriquecer o conteúdo editorial. Ao carregar essas imagens, seu navegador realiza requisições diretas aos servidores do provedor, que pode receber dados técnicos como endereço IP, user-agent e URL da página visitada. Esses recursos são carregados com base em legítimo interesse (Art. 7, IX da LGPD) para melhoria da experiência do usuário. Não requerem consentimento adicional, pois não instalam cookies nem rastreadores.

Compartilhamento de Dados

Não vendemos seus dados pessoais. Compartilhamos dados apenas com as seguintes categorias de destinatários, na medida necessária para as finalidades descritas nesta Política:

• Provedores de infraestrutura: hospedagem, armazenamento e processamento necessários ao serviço. O local de processamento depende dos serviços utilizados; não garantimos residência exclusiva de todos os dados no Brasil.
• Meta/WhatsApp: processamento de mensagens através da API do WhatsApp Business. Necessário para o funcionamento das integrações de comunicação. Sujeito aos Termos de Serviço e Política de Privacidade do WhatsApp.
• Anthropic (Claude): processamento de linguagem natural e geração de conteúdo por Agentes IA. Dados podem ser transferidos para servidores nos Estados Unidos (ver Seção 8).
• OpenAI (GPT): processamento de linguagem natural e geração de conteúdo por Agentes IA. Dados podem ser transferidos para servidores nos Estados Unidos (ver Seção 8).
• Unsplash (Imgur Inc.): fornecimento de imagens ilustrativas para conteúdo editorial do site. Ao carregar páginas com imagens externas, seu navegador realiza requisições aos servidores da Unsplash, que podem receber dados técnicos (endereço IP, user-agent). Nenhum dado pessoal é compartilhado ativamente pela Catalisa. Sujeito à Política de Privacidade da Unsplash (unsplash.com/privacy).
• Microsoft Clarity: ferramenta de análise de comportamento e mapas de calor para melhoria da experiência do usuário. Pode coletar dados de interação como cliques, rolagem e movimentos do mouse. Sujeito à Política de Privacidade da Microsoft.
• Autoridades competentes: quando exigido por lei, determinação judicial ou administrativa, ou para proteção de direitos em processos judiciais.

Transferência Internacional de Dados

A geração de conceitos utiliza o provedor de inteligência artificial configurado para o serviço, entre os fornecedores identificados nesta política. Esse processamento pode ocorrer fora do Brasil. Enviamos o briefing e o contexto necessários para gerar ou ajustar o conceito; seu nome, e-mail e telefone não são incluídos intencionalmente nesse pedido. Não inclua informações pessoais sensíveis, credenciais ou segredos no texto livre.

Os registros mantidos pelo provedor de IA estão sujeitos aos seus termos, configurações e regras de retenção. Os prazos da conversa neste site não significam que todas as cópias de terceiros sejam excluídas ao mesmo tempo. Para esclarecer o tratamento aplicável à sua solicitação, fale com o canal de privacidade indicado nesta política.

Segurança dos Dados

Para proteger as conversas e o atendimento deste site, adotamos as seguintes medidas:

• Conexões protegidas por HTTPS durante o uso do site.
• Cookies essenciais separados para manter sua conversa e autenticar a equipe. O cookie de visitante não permite acessar o atendimento de outras pessoas ou o acesso da equipe.
• Conteúdo privado cifrado no armazenamento e acesso restrito à equipe autorizada. O servidor e o provedor de IA precisam processar o conteúdo necessário ao serviço; isso não é criptografia ponta a ponta.
• Verificação de acesso, limites de uso e validação dos dados enviados para reduzir acesso indevido e abuso.
• A inteligência artificial produz uma prévia estruturada. O site não executa código enviado pela IA ou pelo visitante.

Retenção de Dados

Os prazos abaixo se aplicam às conversas, conceitos e ao atendimento humano deste site. Após a expiração, os registros deixam de estar disponíveis para uso normal e entram na limpeza periódica. Cópias de segurança e registros dos prestadores de serviço podem seguir ciclos de exclusão próprios.

• Conversa do visitante, respostas, identificação provisória e conceitos: até 7 dias após o início da sessão.
• Registros usados para evitar o processamento duplicado da mesma solicitação: até 24 horas. O conteúdo da conversa continua sujeito ao prazo da sessão.
• Contexto compartilhado e mensagens de atendimento humano: até 30 dias após o aceite do encaminhamento.
• Acesso autenticado da equipe: até 1 hora, também limitado pela validade da credencial. Sair encerra esse acesso.
• Registros técnicos de limites de uso: até o fim da respectiva janela de controle.
• A medição de inteligência de mercado está desativada. Sua ativação exige informações específicas sobre finalidade, acesso, retenção e exclusão antes da coleta.

Direitos do Titular (LGPD Art. 18)

De acordo com a LGPD, você possui os seguintes direitos em relação aos seus dados pessoais:

• Confirmação da existência de tratamento: saber se a Catalisa trata seus dados pessoais.
• Acesso aos dados: obter cópia dos dados pessoais que possuímos sobre você.
• Correção de dados: solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação: solicitar quando os dados forem desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade dos dados: obter seus dados em formato estruturado para transferência a outro fornecedor de serviço.
• Eliminação de dados tratados com consentimento: solicitar a exclusão de dados cujo tratamento tenha sido baseado em consentimento.
• Informação sobre compartilhamento: saber com quais entidades públicas e privadas seus dados foram compartilhados.
• Oposição ao tratamento: opor-se ao tratamento realizado com base em legítimo interesse, caso entenda que seus direitos prevalecem.
• Revisão de decisões automatizadas: solicitar revisão humana de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais, incluindo decisões de Agentes IA.

Decisões Automatizadas

A Plataforma utiliza Agentes IA que processam dados pessoais de forma automatizada para gerar respostas, classificar solicitações e executar Workflows.

Conforme a LGPD (Art. 20), você tem o direito de solicitar revisão humana de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões sobre perfilamento.

Para solicitar revisão humana ou obter informações sobre a lógica utilizada nas decisões automatizadas, entre em contato com nosso Encarregado de Proteção de Dados através do e-mail privacidade@catalisa.io. Responderemos em até 15 (quinze) dias úteis.

Dados de Terceiros (Clientes do Usuário)

Quando o Usuário processa dados pessoais de seus próprios clientes através da Plataforma (especialmente via integrações com WhatsApp), as partes atuam nos seguintes papéis:

- Usuário: Controlador dos dados pessoais de seus clientes. Responsável por definir a finalidade e base legal do tratamento, informar seus clientes sobre o uso da Plataforma e atender solicitações de direitos dos titulares.

- Catalisa: Operadora dos dados pessoais dos clientes do Usuário. Processa os dados exclusivamente conforme as instruções do Usuário e para a prestação dos serviços contratados.

O Usuário é responsável por:

(a) Garantir que possui base legal válida para processar os dados de seus clientes através da Plataforma. (b) Fornecer informações claras aos seus clientes sobre o tratamento de dados, incluindo a existência de processamento por inteligência artificial. (c) Atender solicitações de direitos dos titulares em tempo hábil. (d) Celebrar um Acordo de Processamento de Dados (DPA) com a Catalisa, quando necessário, disponível mediante solicitação.

Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados pessoais, a Catalisa adotará as seguintes medidas:

(a) Notificação à Autoridade Nacional de Proteção de Dados (ANPD) em até 72 (setenta e duas) horas após a confirmação do incidente, conforme Art. 48 da LGPD.

(b) Comunicação ao titular dos dados afetados, em prazo razoável, contendo: descrição da natureza dos dados afetados, informações sobre os riscos, medidas adotadas para mitigar os efeitos e orientações ao titular.

(c) Registro interno do incidente com documentação completa: natureza, dados afetados, titulares impactados, medidas técnicas adotadas e resultado das ações de contenção.

(d) Notificação ao Usuário (quando Operadora) para que este tome as providências necessárias junto a seus clientes.

Dados de usuários do Google

Ao conectar sua conta Google à Catalisa ou à Facila, a Catalisa, controladora dos dados, acessa apenas os dados necessários para os recursos que você habilita. Para dúvidas ou solicitações sobre esses dados, entre em contato pelo e-mail privacidade@catalisa.io.

O uso e a transferência, para qualquer outro app, de informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado.

• Login com Google (openid, email, profile): acessamos seu nome, endereço de e-mail e foto de perfil para autenticar você e identificar sua conta.
• Gmail (gmail.send): enviamos e-mails somente a partir da sua própria conta. Na Facila, cada envio depende da aprovação explícita do cliente; na Catalisa, os envios são acionados pelos workflows que você cria. Não lemos, armazenamos nem modificamos o conteúdo da sua caixa de e-mail.
• Google Calendar (calendar.events, calendar.calendars.readonly, calendar.calendarlist.readonly, calendar.freebusy): lemos a lista de calendários, seus nomes, fusos horários e horários livres e ocupados. Criamos, atualizamos e cancelamos eventos de agendamento no calendário que você escolher.
• Finalidade e compartilhamento: usamos esses dados somente para fornecer os recursos descritos acima. Não vendemos os dados, não os usamos para publicidade nem para treinar modelos de inteligência artificial. Não transferimos esses dados a terceiros, exceto quando necessário para operar o serviço ou por exigência legal.
• Uso proibido: é proibido usar a integração para spam, fraude ou mensagens não solicitadas. Esse uso leva à suspensão da integração ou da conta.
• Segurança e armazenamento: os tokens OAuth são armazenados de forma criptografada, com acesso restrito a pessoas e sistemas autorizados que precisam deles para operar o serviço.
• Retenção e exclusão: os dados obtidos do Google e os tokens OAuth são excluídos quando você desconecta a integração ou solicita a exclusão pelo e-mail privacidade@catalisa.io.
• Revogação de acesso: você pode revogar o acesso a qualquer momento dentro do aplicativo ou em https://myaccount.google.com/permissions.
• Acesso humano: pessoas não leem esses dados, salvo com seu consentimento explícito, por razões de segurança (como investigação de abuso ou incidentes), para cumprir obrigação legal ou quando os dados estiverem agregados e anonimizados.

Disposições Finais

Menores de idade. Nossos serviços não são destinados a menores de 18 (dezoito) anos. Não coletamos intencionalmente dados pessoais de menores. Caso tome conhecimento de que dados de um menor foram coletados, entre em contato conosco para que possamos excluí-los.

Alterações nesta Política. Podemos atualizar esta Política de Privacidade periodicamente. Alterações significativas serão comunicadas com antecedência mínima de 30 (trinta) dias por e-mail ou notificação na Plataforma. O uso continuado da Plataforma após o prazo de notificação constitui aceitação da Política atualizada.

Contato. Para exercer seus direitos, esclarecer dúvidas ou enviar reclamações sobre esta Política:

E-mail do DPO: privacidade@catalisa.io E-mail geral: contato@catalisa.io WhatsApp: +55 11 97730-3414

Foro. Fica eleito o foro da Comarca de São Paulo, Estado de São Paulo, Brasil, para dirimir quaisquer controvérsias decorrentes desta Política.

Contato, Lab e atendimento humano deste site

Para explorar uma ideia, o site armazena suas respostas e gera uma identidade provisória após o nome. Antes da geração por IA ou do atendimento, pede um e-mail ou telefone válido; um deles é suficiente. O cookie essencial permite retomar somente a mesma sessão. As referências provisórias do site não são cadastros de CRM.

O agente recebe o briefing, o contexto necessário à geração ou ao ajuste e o catálogo autorizado. Nome, e-mail e telefone não integram intencionalmente o pedido de geração. Mesmo assim, não inclua informações sensíveis de clientes, credenciais ou segredos no texto livre. A IA gera uma hipótese de produto; não aprova crédito, não executa transações nem publica um sistema.

Ao confirmar a continuidade, você compartilha com a equipe o contato, respostas, histórico, conceito selecionado e ajustes. O canal humano atualmente implementado é aqui no site. Aceite significa que o pacote foi armazenado; entrega significa que uma pessoa autenticada abriu o contexto; atribuição significa que essa pessoa assumiu o atendimento. As respostas ficam na mesma conversa. Coletar e-mail ou telefone não significa enviar automaticamente mensagens externas.

As superfícies de Contato, Lab, conceitos e atendimento não encaminham conversa, nome, e-mail ou telefone para ferramentas de analytics do navegador. A medição de mercado proposta exige aprovação e informação pública específicas antes de coleta real. Para solicitar acesso, correção ou exclusão, use o canal de privacidade identificado nesta política; a identificação e o escopo da solicitação serão conferidos antes de alterar dados.