Política de Privacidade

O Norte lida com dois tipos de dado, e a lei trata os dois de forma diferente. Vale entender a diferença antes de ler o resto:

• Sobre a sua empresa, a gente é controlador. É a gente que decide guardar o nome, o e-mail e o CNPJ de quem contrata — para poder cobrar, dar suporte e cumprir a lei.
• Sobre os clientes da sua loja, a gente é operador. Quem decide o que é coletado, para que serve e por quanto tempo fica é você, o controlador. A gente guarda e processa a mando seu, e nada além disso.

• Da empresa — nome, razão social, CNPJ ou CPF, inscrição estadual, regime tributário, endereço, telefone, WhatsApp e e-mail.
• De quem usa — nome, e-mail, senha (guardada como resumo criptográfico, nunca em texto), papel e a qual loja a pessoa tem acesso.
• Do uso — o livro de auditoria: quem fez o quê, quando, e o valor antes e depois. Isso existe para a sua segurança, e você enxerga tudo.
• Da cobrança — plano, situação, datas e valores. Nunca cartão nem conta bancária.

Tudo que a sua operação coloca no sistema: produtos, estoque, vendas, formas de pagamento, contas a pagar e receber, e o cadastro dos seus clientes — nome, telefone, e-mail, documento, endereço, histórico de compra, pontos e, se você usar crediário, o que está em aberto.

Se você conectar o WhatsApp da loja, também as mensagens que chegam e saem por ele pelo Norte — as da sua equipe com o assistente, e as dos seus clientes com as campanhas e o recado automático —, e as fotos, vídeos e áudios que você sobe para as campanhas. A seção 6 explica esse caminho inteiro.

A base legal para tudo isso é sua, não nossa: normalmente execução de contrato entre você e o seu cliente, legítimo interesse ou, para mensagem de oferta, o consentimento dele. Cabe a você informar isso a eles, e a gente ajuda com o que o sistema registra.

O banco de dados fica em São Paulo, Brasil. A hospedagem do sistema está sendo trocada, e o destino também é São Paulo — não é só privacidade, é o balcão não esperar uma ida e volta aos Estados Unidos a cada venda. Enquanto a troca não termina, a seção 5 mostra as opções como em definição, com o lugar de cada uma.

O isolamento entre empresas tem duas paredes, e elas são independentes:

• No código — nenhuma parte do sistema fala com o banco sem antes carimbar de que empresa é a requisição.
• No próprio banco — as tabelas têm segurança em nível de linha, ligada e forçada. Mesmo uma consulta que esquecesse o filtro volta vazia, porque o filtro não está no código: está no banco.

A parede de dentro é testada a cada mudança: existe um conjunto de testes que tenta vazar de propósito dado de uma empresa para outra, de vários jeitos, e precisa falhar em todos.

A credencial que responde à tela de login — antes de existir sessão — enxerga apenas nove colunas de uma tabela: nome, endereço, logo e cor da empresa. Ela não alcança venda, cliente, usuário nem documento.

Para o Norte funcionar, alguns fornecedores tocam nos dados. Esta é a lista inteira, com o que cada um vê e quando ele entra em cena:

Linhas em definição ainda podem mudar: das três hospedagens, só uma fica, e as outras saem da lista; o meio de pagamento ainda não foi escolhido. Esta lista é atualizada antes de um fornecedor novo começar a operar, e a mudança é avisada com 30 dias.

Nenhum deles pode usar os seus dados para outra coisa que não seja prestar o serviço que está na tabela. E nada é vendido, alugado ou cedido para publicidade — nunca.

O WhatsApp é onde a loja fala com a equipe e com os clientes, e é onde os dados dos clientes da loja mais circulam. Por isso ele tem uma seção só dele.

Os papéis, pela LGPD

• A loja é a controladora dos dados dos clientes dela: decide quem recebe mensagem, o que é dito e por quanto tempo a conversa fica. A conta de WhatsApp é da loja.
• O Norte é operador: guarda as conversas, roda as campanhas que a loja montou e entrega as mensagens, sempre a mando dela.
• A Meta e a Anthropic são suboperadoras: a Meta entrega as mensagens quando a loja usa o caminho oficial do WhatsApp; a Anthropic é o modelo do assistente, e só recebe conversas da equipe.
• Na conexão por QR Code, a mensagem passa pela rede do WhatsApp sob a conta e os termos que a própria loja aceitou com o WhatsApp. [jurídico: enquadrar o papel do WhatsApp/Meta nesta conexão]

Por onde cada mensagem passa

• Caminho oficial (WhatsApp Business Platform): celular do cliente → Meta → Norte. A Meta vê o número, o nome de perfil e o conteúdo, e guarda pelo prazo dos termos dela. [jurídico: conferir o prazo de guarda vigente nos termos da Meta]
• Conexão por QR Code: celular do cliente → rede do WhatsApp → o WhatsApp da loja → o nosso conector → Norte. O conector é um serviço nosso: não grava texto de mensagem nem número inteiro em registro, e a sessão do WhatsApp da loja fica no nosso banco cifrada, presa àquela empresa.
• Mensagem de cliente nunca vai para a inteligência artificial. Ela vai para as campanhas, que têm roteiro fixo escrito pela loja, ou para o recado automático, também de texto fixo. Se nenhuma das duas tratar, o assistente fica calado e quem responde é uma pessoa da loja.
• Conversa da equipe com o assistente vai ao modelo de linguagem, nos Estados Unidos — veja a seção 7.

O que o Norte guarda

• A conversa: telefone, nome (quando existe), texto e o que foi enviado em cada mensagem.
• Em que campanha a pessoa entrou, em que passo está e quando saiu.
• As fotos, vídeos e áudios que a loja subiu para as campanhas.
• Na conexão por QR Code, a sessão do WhatsApp da loja — cifrada.
• Na ficha do cliente, o aceite de ofertas no WhatsApp: se a pessoa aceitou ou não, quando, por qual caminho (balcão, ficha em papel, site, WhatsApp, telefone) e quem da loja anotou. A versão do texto do aceite fica no livro de auditoria.
• A lista de quem pediu para não receber ofertas daquela loja: só o número reduzido a DDD e oito últimos dígitos, a data e o motivo. Ela vale também para quem nunca foi cadastrado, e fica mesmo depois de uma anonimização — é o que impede de escrever de novo a quem pediu para sair.

Saída do Brasil

Pelo caminho oficial, a mensagem é tratada nos servidores da Meta, fora do Brasil. Pela conexão por QR Code, ela passa pela rede do WhatsApp, também fora. Essa transferência internacional se apoia em [a definir pelo jurídico: cláusulas-padrão da ANPD].

Por quanto tempo

• Desconectar o WhatsApp apaga a sessão guardada na hora. As conversas já gravadas continuam no histórico da loja, porque são dela.
• Conversas e mídias ficam enquanto o contrato durar, e seguem a seção 8 quando ele acabar — ou saem antes, se a loja pedir.

Os direitos de quem é cliente da loja

• Mandar PARAR (ou pare, sair, stop — e, dentro de uma campanha, também cancelar ou não quero) sozinho numa mensagem tira a pessoa da campanha em andamento na hora e põe o número na lista de quem não recebe ofertas daquela loja, de forma permanente. Ela recebe uma única confirmação, que já diz como voltar. Nenhuma campanha começa de novo para esse número — nem com a palavra-chave — até a própria pessoa mandar VOLTAR. A loja não consegue desfazer um PARAR pela tela.
• Mensagem de oferta que a loja começa, sem a pessoa ter escrito agora, só sai para quem tem o aceite registrado na ficha e não está na lista.
• Para acessar, corrigir ou apagar os dados, o primeiro caminho é a própria loja, que é quem decide. A pessoa também pode escrever direto para o nosso encarregado, em privacidade@gestornorte.com: a gente avisa a loja e responde a quem pediu.
• O passo a passo, e o que a lei obriga a guardar mesmo depois de um pedido, está em Exclusão de dados.

Se você usar o assistente, existe uma transferência internacional, e ela merece um parágrafo próprio em vez de uma nota de rodapé:

• Nada disso treina modelo. É condição contratual com o fornecedor, não promessa nossa.
• A transferência se apoia em [a definir pelo jurídico: cláusulas-padrão da ANPD], e acontece só enquanto o assistente estiver ligado.
• Desligar o assistente encerra a transferência. É uma chave em Configurações, e o resto do sistema continua inteiro.

• Enquanto o contrato durar — tudo fica, porque é disso que o sistema serve.
• Acabou o contrato — 30 dias para você exportar, e apagamos em até 90 dias, inclusive das cópias de segurança conforme o ciclo delas.
• O que a lei manda guardar — registro fiscal e registro de acesso ficam pelo prazo legal, e servem só para isso.
• Cópias de segurança — mantidas para o caso de perda ou erro, e descartadas no ciclo normal delas.

A LGPD (art. 18) garante a você — e às pessoas cujos dados estão aqui — confirmar se existe tratamento, acessar, corrigir, anonimizar, bloquear, apagar, levar os dados para outro fornecedor, saber com quem foram compartilhados e revogar consentimento.

Parte disso não precisa de pedido: dentro do sistema você já consegue ver, corrigir, desativar e anonimizar cadastro de cliente, registrar e revogar o aceite dele para ofertas, e exportar o que é seu. Apagar a conta da sua empresa inteira é por pedido, e o caminho está em Exclusão de dados.

Para o resto, escreva para privacidade@gestornorte.com. A gente responde em até 15 dias. Se o pedido for sobre um cliente da sua loja e chegar aqui, a gente avisa você e responde a quem pediu — porque nesse caso quem decide é você.

O Norte usa cookie para duas coisas, e só: manter você logado, e lembrar se você prefere o tema claro ou o escuro. Não há cookie de publicidade, nem rastreador de terceiro, nem pixel de rede social. Por isso também não existe aquele aviso de cookies pedindo permissão — não há o que pedir.

Senha é guardada como resumo criptográfico com algoritmo lento, própria para senha — nunca em texto, e a gente não consegue ler a sua. Convite de equipe viaja como número aleatório, e o banco guarda só o resumo dele: se o banco vazar, os convites em aberto continuam inúteis. A sessão do WhatsApp conectado por QR Code e as chaves de conta de WhatsApp são guardadas cifradas, com a chave fora do banco. Todo tráfego é cifrado. O acesso é por papel, e cada ação fica no livro de auditoria, que só recebe linha nova — não se edita nem se apaga. A única exceção é a anonimização de um cliente: nas linhas sobre ele, o nome e os dados pessoais saem, e o que foi feito, por quem e quando fica.

O acesso da nossa equipe de suporte à sua empresa é só leitura, tem prazo e motivo registrados, e cada tela que ela abre e cada ação que ela tenta vira uma linha no livro de auditoria da sua empresa — com o endereço aberto, o motivo do acesso e a hora —, que você lê na tela Auditoria, na ficha "suporte do Norte". Se a linha não puder ser gravada, o acesso é recusado.

Se acontecer incidente que possa causar risco relevante a você ou aos seus clientes, a gente avisa você e a ANPD, dizendo o que aconteceu, que dado foi afetado, o que já foi feito e o que você precisa fazer. Sem enrolar e sem esperar ter todas as respostas para começar a contar.

Encarregado pelo tratamento de dados: [a designar] — privacidade@gestornorte.com.

Para qualquer outro assunto: contato@gestornorte.com.

Mudança que afete o que a gente faz com os seus dados é avisada com 30 dias, por e-mail e dentro do sistema, antes de valer. Versões anteriores ficam guardadas e podem ser pedidas.

Veja também os Termos de uso e as instruções de exclusão de dados.