Política de Privacidade

Esta Política descreve como o Orion Sales, plataforma de CRM com atendimento por WhatsApp, Instagram e automação comercial, trata dados pessoais de quem usa o sistema e de quem conversa com as empresas usuárias.

O tratamento segue a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e demais normas aplicáveis.

A plataforma é multiempresa, e o papel muda conforme o dado. Essa distinção define a quem o titular deve recorrer:

• Dados da empresa contratante (cadastro, usuários, faturamento): o Orion Sales é controlador.
• Dados dos contatos e leads atendidos dentro da plataforma: a empresa contratante é a controladora, e o Orion Sales atua como operador, tratando esses dados apenas conforme as instruções dela.

Se você é um lead e quer exercer direitos sobre seus dados, o pedido deve ir à empresa com quem você conversou. Recebendo o pedido aqui, nós o encaminhamos a ela.

Contato: Orion Sales, pelo e-mail privacidade@orionsalescrm.com.

3.1. Fornecidos pela empresa usuária

• Cadastro da empresa: razão social, CNPJ, endereço, telefone e e-mail de contato.
• Usuários: nome, e-mail, senha (armazenada como hash), papel e metas.
• Configurações operacionais: funis, campos personalizados, modelos de mensagem e instruções do agente de IA.

3.2. Dados de contatos e leads

• Identificação: nome, telefone, e-mail, empresa e campos personalizados definidos pela empresa usuária.
• Conversas: conteúdo das mensagens trocadas por WhatsApp, Instagram e Messenger, incluindo mídias (imagem, áudio, vídeo e documentos).
• Reuniões e transcrições: quando a empresa usa a integração com Google Agenda e Meet, os dados do evento e, havendo opt-in explícito, a gravação e a transcrição da reunião.
• Base legal do contato: a empresa usuária declara em qual base legal trata cada contato, e a origem do consentimento quando houver.

3.3. Coletados automaticamente

• Registros de acesso e de auditoria: login, logout, abertura de conversa, visualização, edição, exportação e exclusão de dados de contato.
• Dados técnicos de sessão necessários para autenticar e proteger a conta.
• Métricas de uso da plataforma, como volume de mensagens e desempenho do funil.

• Criar e manter a conta e a organização na plataforma.
• Enviar, receber e organizar as conversas dos canais conectados.
• Executar as automações e o agente de IA configurados pela empresa usuária.
• Agendar reuniões e, com opt-in, gravar e transcrever o encontro.
• Gerar relatórios, metas e indicadores comerciais.
• Processar cobranças de add-ons e pacotes contratados na plataforma.
• Manter trilha de auditoria, prevenir fraude e garantir a segurança.
• Cumprir obrigações legais e regulatórias.

• Execução de contrato (art. 7º, V): para prestar o serviço contratado.
• Consentimento (art. 7º, I): para gravação e transcrição de reuniões e para comunicações de marketing.
• Legítimo interesse (art. 7º, IX): para segurança, prevenção a fraude e melhoria do produto.
• Obrigação legal (art. 7º, II): para guarda de registros fiscais e de acesso.

Nos dados dos leads, a base legal é declarada pela empresa usuária, que responde por ela como controladora.

Os dados são compartilhados apenas com quem é necessário para o serviço funcionar:

• Meta: conteúdo das mensagens de WhatsApp oficial, Instagram e Messenger. Exterior.
• UAZAPI: telefone e conteúdo das mensagens, quando o canal usado é o WhatsApp não oficial.
• Google: dados de agenda, e-mail do participante e, com opt-in, a transcrição da reunião, por meio do Google Agenda e do Google Meet. Exterior.
• OpenAI: conteúdo das mensagens necessário para o agente de IA responder, quando a empresa usuária ativa o agente. Exterior.
• Asaas: dados de faturamento da empresa contratante. Brasil.
• Resend: e-mail e conteúdo das notificações transacionais enviadas pela plataforma. Exterior.
• Autoridades competentes: quando exigido por lei ou ordem judicial.

Não vendemos nem alugamos dados pessoais, e não usamos as conversas de uma empresa para beneficiar outra.

Parte dos suboperadores acima está fora do Brasil. Nesses casos a transferência ocorre nos termos do art. 33 da LGPD, mediante cláusulas contratuais que assegurem nível de proteção compatível com a lei brasileira.

Quando um usuário conecta a própria conta Google, a plataforma solicita acesso à agenda e ao Google Meet apenas para criar, atualizar e cancelar as reuniões agendadas dentro do Orion Sales e, havendo opt-in, configurar gravação e transcrição e recuperar a transcrição depois do encontro.

O uso e a transferência de informações recebidas das APIs do Google pelo Orion Sales aderem à Política de Dados de Usuário dos Serviços de API do Google, incluindo os requisitos de Limited Use. Em particular:

• Os dados obtidos das APIs do Google são usados apenas para prover e melhorar as funcionalidades visíveis ao usuário que concedeu o acesso.
• Esses dados não são vendidos, nem transferidos a terceiros, exceto para operar o serviço, por exigência legal, ou com o consentimento do usuário.
• Esses dados não são usados para publicidade, e nenhum humano os lê, salvo com consentimento expresso, para fins de segurança, para cumprir a lei, ou quando os dados estejam agregados e anonimizados.
• Os tokens de acesso são armazenados cifrados e são apagados quando o usuário desconecta a conta na tela de integrações, o que também pode ser feito a qualquer momento em myaccount.google.com/permissions.

A política completa está em developers.google.com/terms/api-services-user-data-policy.

9.1. Onde ficam

Os dados da plataforma são armazenados em servidores no Brasil. Os suboperadores da seção 6 mantêm cópias nos ambientes deles, conforme as respectivas políticas.

9.2. Medidas de segurança

• Tráfego cifrado em trânsito (HTTPS/TLS).
• Tokens de integração de terceiros cifrados em repouso com AES-256-GCM.
• Controle de acesso por papel, com isolamento entre empresas.
• Trilha de auditoria de acesso e alteração de dados pessoais.
• Backup diário cifrado, com cópia fora do servidor e teste de restauração.

9.3. Retenção

Cada empresa usuária define o prazo de retenção dos contatos da sua organização, e um expurgo automático apaga definitivamente os que passam desse prazo. Encerrado o contrato, os dados são excluídos ou anonimizados em até 90 dias, salvo quando houver obrigação legal de guarda.

A gravação e a transcrição vêm desligadas por padrão e dependem de ativação explícita pelo operador em cada reunião. Gravar a fala de outra pessoa exige avisar e obter o consentimento dela na própria reunião, e essa responsabilidade é de quem conduz o encontro.

Nos termos do art. 18 da LGPD, você pode solicitar:

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade.
• Portabilidade dos dados a outro fornecedor.
• Eliminação dos dados tratados com base no consentimento.
• Informação sobre o compartilhamento com quem.
• Revogação do consentimento, e oposição ao tratamento feito com base em legítimo interesse.

A plataforma oferece exportação e exclusão definitiva de contato, incluindo conversas, mídias, tarefas e reuniões. Pedidos são atendidos em até 15 dias, pelo e-mail privacidade@orionsalescrm.com.

Usamos apenas os cookies necessários para manter a sessão autenticada e proteger a conta contra uso indevido. Não usamos cookies de publicidade. Bloquear os cookies de sessão no navegador impede o login.

A plataforma é destinada ao uso profissional e não se dirige a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes.

Havendo incidente com risco relevante aos titulares, comunicamos a ANPD e as empresas controladoras afetadas em prazo razoável, informando os dados envolvidos e as medidas tomadas.

Esta Política pode ser atualizada. Mudanças relevantes são comunicadas por e-mail ou por aviso na plataforma, e a data da última atualização fica sempre no topo desta página.

Encarregado pelo tratamento de dados pessoais (DPO): dpo@orionsalescrm.com. Demais assuntos de privacidade: privacidade@orionsalescrm.com.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados em gov.br/anpd.