Política de Privacidade

1. Quem somos

O controlador dos dados descritos nesta política é o Grupo Zen — ZENHUB LTDA, inscrito no CNPJ sob o nº 66.601.273/0001-08, com sede em Rua Rio Purus, 535, Sala M, Nossa Senhora das Graças, Manaus/AM, CEP 69053-050.

Neste documento, "Zen", "nós" e "plataforma" se referem a ele e ao serviço que ele oferece; "você" é a pessoa que cria conta ou usa a plataforma.

2. Dois papéis diferentes: controlador e operador

Somos CONTROLADORES dos dados da sua conta: cadastro, acesso, segurança e cobrança da assinatura. Nesses casos, somos nós que decidimos para que eles servem, e respondemos por isso.

Somos OPERADORES (art. 39 da LGPD) dos dados que a sua empresa lança na plataforma: clientes, fornecedores, sócios e colaboradores dela, lançamentos, títulos, negócios do funil, tarefas e documentos enviados para leitura. Quem decide sobre esses dados é a sua empresa, que é a controladora deles. Nós os tratamos apenas para prestar o serviço e conforme as instruções dela.

Se você é cliente, fornecedor ou colaborador de uma empresa que usa o Zen e quer exercer um direito sobre os seus dados, o pedido deve ser feito a essa empresa. Se ela nos pedir ajuda, nós a apoiamos; se você nos procurar diretamente, encaminhamos o pedido a ela.

3. Quais dados tratamos

• Dados de cadastro: nome, e-mail, celular, nome da organização e senha. A senha nunca é guardada como você a digita — só o resultado de uma função de hash, que não permite recuperá-la.
• Se você entra com o Google: o identificador da sua conta Google, o e-mail e o nome que o Google nos informa. Não recebemos a sua senha do Google.
• Preferências: idioma, fuso horário, tema claro ou escuro, densidade da tela e telas fixadas no menu.
• Declarações do cadastro: o aceite destes termos e desta política, com a versão e a data, e a declaração de que você tem 18 anos ou mais.
• Dados de cobrança: e-mail de cobrança, razão social e CPF ou CNPJ da organização, faturas e o identificador da cobrança no Mercado Pago. Os dados do cartão ou da conta usada para pagar são digitados no ambiente do Mercado Pago e não passam por nós; o aviso de pagamento que ele nos envia traz o nome, o e-mail e o documento de quem pagou.
• Dados de segurança e de uso: quando você acessou pela última vez, o registro de quem fez o quê na plataforma (trilha de auditoria), o segredo do segundo fator (guardado cifrado) e os códigos de recuperação (guardados em hash). O endereço IP não é guardado: guardamos apenas um hash dele, para limitar tentativas e investigar abuso.
• Sinais técnicos de funcionamento: tipo de erro, tela em que aconteceu e medidas de uso, para manter o serviço no ar.
• Convites: o e-mail de quem é convidado para a equipe da sua organização e ainda não tem conta.
• Pedidos de direito do titular: o e-mail de quem pediu, o tipo do pedido e a resposta dada.
• Dados que a sua empresa lança (como operadores, ver a seção 2): cadastro de clientes, fornecedores e sócios (nome, CPF ou CNPJ, e-mail, telefone, observações), colaboradores (nome, cargo, datas de admissão e desligamento), textos livres de lançamentos, títulos, negócios e tarefas, e-mails de cobrança enviados aos clientes dela e documentos enviados para leitura automática.
• Conversas de WhatsApp no CRM (quando disponível): quando a empresa conecta o próprio número de WhatsApp à plataforma, guardamos as mensagens trocadas com os contatos dela, o número e o nome de cada contato e os anexos. Também aqui somos operadores: a controladora é a empresa (ver a seção 2).

4. Para que usamos os dados, e com qual base legal

Cada uso tem uma base legal do art. 7º da LGPD. Não vendemos dados pessoais e não os usamos para publicidade.

• Criar e manter a sua conta, autenticar o seu acesso e recuperar a sua senha — execução do contrato (art. 7º, V).
• Registrar o aceite destes termos e desta política, com a versão aceita — consentimento (art. 7º, I) e execução do contrato (art. 7º, V).
• Registrar a declaração de maioridade — execução do contrato (art. 7º, V); a plataforma não é destinada a menores (ver a seção 11).
• Cobrar a assinatura, emitir faturas e conciliar pagamentos — execução do contrato (art. 7º, V); a guarda das faturas pelo prazo fiscal é cumprimento de obrigação legal (art. 7º, II, e art. 16, I).
• Enviar e-mails sobre a conta: confirmação de cadastro, recuperação de senha, convites, avisos de cobrança e orientações durante o teste grátis — execução do contrato (art. 7º, V).
• Ler automaticamente um documento que você enviou (extrato, boleto, nota), quando você pede — execução do contrato (art. 7º, V), por ser uma funcionalidade solicitada por você.
• Resumir uma conversa de WhatsApp e sugerir respostas com o copiloto de IA (quando disponível), quando um usuário da empresa pede — tratamento como operador, por instrução da empresa, que é a controladora (art. 39).
• Manter a trilha de quem fez o quê, registrar acessos e defender a plataforma de abuso — cumprimento de obrigação legal (art. 7º, II, e art. 37 da LGPD; art. 15 do Marco Civil da Internet).
• Medir saúde, erros e uso da plataforma para mantê-la no ar — legítimo interesse (art. 7º, IX), limitado ao mínimo e guardado por 3 meses.
• Receber e responder pedidos de direito do titular, e demonstrar que respondemos — cumprimento de obrigação legal (art. 7º, II).
• Os dados que a sua empresa lança são tratados para a finalidade definida por ela, que é quem escolhe a base legal (art. 39).

5. Com quem compartilhamos

Compartilhamos dados apenas com os fornecedores que precisamos para prestar o serviço (subprocessadores), e só o necessário para cada um. A lista completa e atualizada, com o que cada um recebe, está no nosso Registro de Atividades de Tratamento.

• Hostinger — hospedagem do servidor e do banco de dados, no Brasil (São Paulo), e envio dos e-mails da plataforma. Por hospedar o sistema, guarda tudo o que a plataforma guarda.
• Mercado Pago — processamento do pagamento da assinatura, no Brasil. Recebe o valor, o identificador da cobrança e os dados que o pagador informa no ambiente dele.
• OpenAI — leitura automática de documentos, nos Estados Unidos. Recebe o texto extraído do documento que você enviou, ou o próprio arquivo quando ele é uma imagem ou um PDF digitalizado, e somente quando você pede a leitura. Pedimos que o conteúdo não seja armazenado pelo provedor. A Anthropic (também nos Estados Unidos) pode ser usada no lugar da OpenAI, com o mesmo escopo, quando estiver configurada como provedora de IA da plataforma.
• WhatsApp (Meta) — somente para a empresa que conectar o próprio número ao CRM (quando disponível). As mensagens trafegam pela rede do WhatsApp, operada pela Meta, como em qualquer conversa no aplicativo. A conexão é feita por um software de integração instalado no nosso próprio servidor (não por um terceiro), e a Meta não é contratada por nós: a relação com ela é da empresa dona do número.
• Google — somente se você escolher entrar com o Google. Nesse caso o Google nos informa a sua identidade, e a sua conta Google segue regida pela política de privacidade do próprio Google.
• Autoridades públicas — quando a lei ou uma ordem judicial nos obrigar.

6. Transferência internacional

A hospedagem, o banco de dados e o pagamento ficam no Brasil. A transferência internacional da plataforma acontece no uso da inteligência artificial: a leitura automática de documentos envia o conteúdo do documento, e o copiloto do WhatsApp (quando disponível) envia o trecho da conversa a ser resumido ou respondido, ao provedor de IA nos Estados Unidos (OpenAI, ou Anthropic quando configurada). As mensagens de WhatsApp também trafegam pela infraestrutura global da Meta, por escolha da empresa que conecta o número.

Ela acontece só quando alguém pede a leitura de um documento ou o uso do copiloto, e é necessária para executar essa funcionalidade, com fundamento no art. 33, IX, combinado com o art. 7º, V, da LGPD. Se você não quer essa transferência, basta não usar essas funções: o lançamento manual e a resposta escrita por você continuam disponíveis.

7. Por quanto tempo guardamos

Guardamos cada dado pelo tempo da finalidade dele, ou pelo prazo que a lei exige. Os prazos abaixo são aplicados por rotinas automáticas sempre que indicado.

• Dados da conta: enquanto a conta existir. Depois de um pedido de exclusão, eles são anonimizados (ver a seção 8).
• Pedido de cadastro não confirmado, links de recuperação de senha, de troca de e-mail e de verificação de telefone: até 1 mês, e apagados automaticamente.
• Sinais técnicos de funcionamento: 3 meses, apagados automaticamente.
• Registro de acesso a dados sensíveis: 6 meses.
• Avisos de pagamento recebidos do Mercado Pago: 12 meses, apagados automaticamente.
• Faturas, trilha de auditoria e registro de atendimento a pedidos do titular: 5 anos, pelas obrigações fiscais e de prestação de contas.
• Lançamentos contábeis e financeiros da sua empresa: pelo prazo legal de guarda, mesmo que a pessoa que os lançou peça a exclusão da própria conta — nesse caso o registro permanece sem o nome dela.
• Cópias de segurança (backup): mantidas por tempo limitado e acessíveis apenas à equipe técnica, para recuperar o serviço em caso de falha.

8. Seus direitos, e como exercê-los

A LGPD (art. 18) garante a você confirmação de que tratamos seus dados, acesso a eles, correção, anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo, portabilidade, informação sobre com quem compartilhamos, informação sobre a possibilidade de não consentir, revogação do consentimento e oposição a tratamento irregular.

Boa parte disso você faz sozinho, logado, na tela "Seus dados e sua privacidade" (menu da conta, em /conta/privacidade):

• Ver o que a plataforma guarda sobre você e o histórico dos seus consentimentos, com versão e data.
• Exportar os seus dados em um arquivo JSON (portabilidade e acesso).
• Pedir a exclusão da conta. O pedido abre um processo com resposta em até 15 dias. Excluir, aqui, é ANONIMIZAR: o seu nome e o seu e-mail são substituídos e o resto da sua identificação é apagado, mas os registros que a lei obriga a empresa a guardar (lançamentos, notas, faturas) permanecem, sem o seu nome.
• Corrigir o seu nome, o seu e-mail e as suas preferências na tela de perfil (/conta/perfil). A troca do celular depende de verificação por código; enquanto ela não estiver disponível, peça ao encarregado (seção 12).
• Para qualquer outro pedido — oposição, revogação de consentimento, informação sobre compartilhamento ou revisão de decisão — escreva ao encarregado (seção 12). Respondemos em até 15 dias.
• Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Como protegemos os dados

• Toda a comunicação com a plataforma é cifrada (HTTPS).
• Senhas, códigos de recuperação e links de uso único são guardados em hash; o segredo do segundo fator é guardado cifrado.
• Você pode ligar a verificação em duas etapas (aplicativo autenticador) na tela de segurança da conta; para administradores da plataforma ela é obrigatória.
• A sessão é trancada depois de 15 minutos sem uso, e só a sua senha a destranca.
• Os dados de cada organização são isolados das demais pelo próprio banco de dados, e não apenas pela tela.
• Toda alteração relevante fica numa trilha de auditoria que não pode ser editada.
• O acesso da nossa equipe de suporte à conta de um cliente é registrado, com justificativa e referência do chamado.
• Se acontecer um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos você e a ANPD, como manda o art. 48 da LGPD.

10. Cookies e armazenamento no navegador

Usamos apenas cookies necessários para a plataforma funcionar com segurança. Não usamos cookies de publicidade, ferramentas de análise de terceiros nem rastreadores, e as fontes e imagens são servidas pela própria plataforma.

• Cookie de sessão (zen_sessao) — mantém você conectado enquanto usa a plataforma; expira depois de um período sem uso ou quando você sai.
• XSRF-TOKEN — protege os formulários contra falsificação de requisição feita por outro site.
• Cookie "lembrar-me" (remember_web_…) — só existe se você marcar "lembrar-me" ao entrar; dura até cerca de 400 dias ou até você sair da conta.
• Armazenamento da sessão do navegador (sessionStorage) — guarda em que passo do tutorial você está; é apagado quando você fecha a aba.

11. Menores de idade

A plataforma é destinada a empresas e a pessoas maiores de 18 anos. O cadastro exige a declaração de maioridade, que fica registrada com a data. Se soubermos que uma conta pertence a um menor, ela será encerrada. Se você souber de algum caso, avise o encarregado.

12. Encarregado (DPO) e contato

Encarregado pelo tratamento de dados pessoais: Arthur.

Contato para assuntos de privacidade e pedidos do titular: no-reply@zenhubpro.com.

13. Mudanças nesta política

Esta política pode mudar quando a plataforma mudar ou quando a lei pedir. Cada versão tem data, mostrada no topo desta página, e a versão que você aceitou fica registrada na sua tela de privacidade. Quando a mudança for relevante, avisaremos pelo e-mail da conta ou na própria plataforma antes de ela valer.