Política de Privacidade

• A Fivep fornece um CRM para empresas atenderem seus clientes por WhatsApp e Instagram, organizarem o funil de vendas e automatizarem parte do atendimento.
• A empresa que contrata o CRM (o Cliente) decide quais dados coletar dos seus contatos e para quê. Ela é a Controladora desses dados. A Fivep os trata em nome dela, como Operadora, e mantém cada Cliente isolado dos demais.
• Dos usuários que fazem login no CRM (e-mail, nome, senha, permissões) a Fivep é a Controladora.
• Os dados recebidos das plataformas da Meta são usados exclusivamente para prestar o Serviço ao Cliente que conectou a conta. Não são vendidos, não alimentam publicidade da Fivep e não servem para treinar modelos de inteligência artificial.
• Quando o Cliente ativa, um agente de inteligência artificial (provedor Anthropic) ou um bot de regras pode responder mensagens. Quem conversa pode pedir um atendente humano a qualquer momento.
• Não coletamos dados de cartão e não usamos cookies de rastreamento.

• Plataforma ou Serviço: o CRM Fivep, acessível em crm.fivep.com.br, incluindo suas APIs e integrações.
• Cliente: a empresa que contrata o Serviço e os usuários que ela autoriza a acessá-lo.
• Lead ou Contato: a pessoa que conversa com o Cliente pelos canais conectados ao CRM, ou cujos dados de compra o Cliente importa da própria loja.
• Controlador e Operadora: conforme o Art. 5, VI e VII da LGPD. O Cliente é o Controlador dos dados dos seus Leads; a Fivep é a Operadora desses dados e a Controladora dos dados de conta dos usuários do CRM.
• Dados Pessoais, Dados Sensíveis, Tratamento e Titular: conforme o Art. 5, I, II, X e V da LGPD.
• ANPD: Autoridade Nacional de Proteção de Dados.
• Meta: Meta Platforms, provedora do WhatsApp Business Platform e do Instagram.

FIVEP LTDA, CNPJ 36.359.785/0001-30, com sede em São Paulo/SP. Contato: contato@fivep.com.br.

• Controladora dos dados de conta dos usuários do CRM e dos dados de prospecção comercial da própria Fivep.
• Operadora dos dados dos Leads e das conversas: tratamos esses dados segundo as instruções que o Cliente configura no CRM (canais conectados, agente de IA, automações, integrações).
• Provedora de Tecnologia da Meta (Tech Provider): operamos as integrações de WhatsApp Business Platform e de Instagram em nome do Cliente, que é o titular da conta comercial. As credenciais de acesso ficam armazenadas cifradas.
• Quando o Cliente conecta sistemas próprios (lojas virtuais, ERPs, sistemas de gestão clínica, endpoints HTTP no agente de IA), a Fivep apenas transmite os dados conforme a configuração feita pelo Cliente. A responsabilidade pelo destino desses dados é do Controlador.

4.1 Dados dos usuários do Cliente

• E-mail, nome, senha e sessão de acesso; perfil de permissões (por exemplo, quem pode excluir leads).
• Credenciais das integrações que o Cliente conecta (contas da Meta, do provedor de WhatsApp, de anúncios e de lojas).
• Registros técnicos de acesso e de erros da aplicação.

4.2 Dados dos Leads (tratados em nome do Cliente)

• Identificação: nome, telefone, identificador e nome de usuário do Instagram, foto de perfil (no Instagram e em provedores de conectividade que a entregam) e e-mail quando vem de loja, formulário de anúncio ou popup de captura.
• Conteúdo: mensagens de texto, imagens, PDFs, áudios, reações, status de entrega, comentários e respostas a stories.
• Atendimento: etapa do funil, etiquetas, agendamentos, valor negociado, respostas de qualificação, anotações internas da equipe e histórico de transferências entre atendentes.
• Origem de campanha: identificadores de clique em anúncios (como ctwa_clid, gclid e fbclid), parâmetros UTM e identificador do anúncio.
• Pedidos e pós-venda (quando o Cliente conecta a loja): itens, valores, forma e status de pagamento, código de rastreio e carrinho abandonado.
• CPF/CNPJ e endereço completo chegam somente como dados de pedido vindos das plataformas de e-commerce do Cliente e ficam no repositório analítico de pedidos. Por decisão de projeto, não entram na ficha do Lead usada no atendimento.

4.3 Dados gerados pela plataforma

• Indicadores de recompra e classificação por recência, frequência e valor (RFM), calculados por regras fixas a partir dos pedidos.
• Fatos memorizados pelo agente de IA sobre a conversa (até 30 por contato; os mais antigos são descartados).
• Sugestões de resposta apresentadas ao atendente e avaliações internas das mensagens geradas pela IA.
• Estado do atendimento automatizado (ativo ou pausado para um humano).
• Exportações semanais de segurança do histórico de conversas, com retenção limitada (seção 12).

4.4 Dados de saúde

Quando o Cliente é uma clínica ou outro serviço de saúde, as mensagens, imagens e PDFs trocados podem conter dados de saúde (pedidos médicos, exames, informações de convênio). O bot de regras pode, nesses casos, coletar CPF e data de nascimento para localizar ou criar a ficha do paciente no sistema de gestão escolhido pelo Cliente.

• A base legal é definida pelo Controlador: tutela da saúde em procedimento realizado por profissionais ou serviços de saúde (Art. 11, II, f) ou consentimento específico e destacado (Art. 11, I). A Fivep não decide finalidades.
• Se o Cliente ativa a leitura de mídia no agente de IA, a última imagem ou PDF da conversa (até 4 MB) é enviada ao provedor de IA para interpretação, e pode conter dados de saúde.
• Salvaguardas: arquivos em armazenamento privado com link temporário de 2 horas, isolamento por Cliente no banco de dados e registros de erro do agente de IA sem o conteúdo da conversa.

4.5 O que não coletamos

• Dados de cartão de crédito ou credenciais bancárias. Não há gateway de pagamento no CRM; a função de cobrança apenas monta uma mensagem com link, chave PIX ou linha digitável informados pelo Cliente. Atenção: esses dados, quando enviados em mensagem, ficam no histórico da conversa como qualquer texto.
• Áudios de Leads não são transcritos nem enviados a provedores de IA.
• Cookies de rastreamento, pixels ou ferramentas de analytics nas páginas públicas e no CRM.
• Geolocalização precisa e dados biométricos.

Para os dados dos Leads, a base legal é definida pelo Cliente, na condição de Controlador; indicamos abaixo as bases típicas. Para os dados de conta dos usuários do CRM e de prospecção comercial, a Fivep é a Controladora.

O CRM usa um único provedor de inteligência artificial: a Anthropic (modelos Claude), acessada por API. Não usamos outros provedores de IA no Serviço.

O que é enviado ao provedor, por função

• Agente de atendimento: as últimas 25 mensagens da conversa, o nome do Lead, até 30 fatos memorizados, a base de conhecimento configurada pelo Cliente (produtos, preços, perguntas frequentes, instruções) e, se o Cliente ativou a leitura de mídia, a última imagem ou PDF da conversa.
• Retomada após silêncio: o mesmo conjunto acima, para redigir uma mensagem de acompanhamento.
• Análises e relatórios ("Pergunte à IA"): apenas números agregados (receita, recompra, coortes), nunca dados de pessoas.
• Criação de segmentos e de bases de conhecimento: o pedido digitado pelo usuário do CRM, o catálogo de campos disponíveis e textos públicos do site do Cliente; sem dados de contatos.
• Sugestões ao atendente e textos de automação: o contexto do pedido ou do atendimento necessário para redigir a mensagem, que um humano revisa antes de usar quando se trata de sugestão.
• O número de telefone do Lead não é incluído nos prompts.

Garantias

• Os dados enviados pela API não são usados pelo provedor para treinar modelos, conforme os termos comerciais da API. A Fivep também não treina modelos com dados de Clientes ou Leads.
• O provedor mantém, no máximo, um cache temporário do prompt para acelerar respostas; não construímos perfis fora da conta do Cliente.
• Mensagens recebidas pelo Instagram não passam pelo agente de IA, apenas pelo bot de regras. O ditado por voz disponível para usuários do CRM roda no próprio navegador do usuário e não envolve dados de Leads.
• O agente de IA e o bot de regras são ativados por Cliente; nunca operam ao mesmo tempo na mesma conta. As funções de IA exigem usuário autenticado.

Decisões automatizadas

Quando o Cliente ativa o modo de ação, o agente de IA pode, dentro da conversa em andamento: mover o contato de etapa no funil, registrar agendamento, registrar valor negociado, marcar como perdido, aplicar etiquetas, atualizar o nome, memorizar fatos, agendar uma mensagem futura (até 30 dias), anotar internamente, encerrar o atendimento e transferir para um atendente humano. O bot de regras pode classificar o atendimento (por exemplo, convênio ou particular) e coletar dados para a ficha do paciente. As regras de recompra definem quais contatos entram em campanhas e automações.

Transparência e revisão humana (Art. 20)

• O agente conversa em nome da equipe do Cliente. Se o Lead perguntar se está falando com uma inteligência artificial ou robô, o agente responde com honestidade que é um atendimento automatizado e oferece um atendente humano.
• É responsabilidade do Cliente informar seus contatos sobre o uso de atendimento automatizado, nos termos do Art. 6, I da LGPD.
• O Lead pode pedir um atendente humano a qualquer momento. A transferência para humano não pode ser desativada pelo Cliente. Falhas técnicas repetidas e ausência de resposta do sistema também transferem a conversa.
• O atendente pode assumir a conversa quando quiser e corrigir qualquer decisão do agente. Respostas avaliadas negativamente pela equipe são revisadas.
• Integrações HTTP que o Cliente configura no agente podem receber telefone, nome e identificador do Lead; o destino desses dados é responsabilidade do Cliente.

• O que recebemos do WhatsApp Business Platform (por meio de provedor oficial de soluções): número de telefone, nome de perfil, mensagens de texto, mídia, reações, status de entrega, identificador de clique em anúncio (ctwa_clid) e cópias das mensagens enviadas pelo aplicativo do Cliente quando ele usa o mesmo número no aplicativo e na API.
• O que recebemos do Instagram: identificador da conta que escreve, nome de usuário, foto de perfil, mensagens diretas, comentários e respostas a stories.
• O que enviamos: respostas do atendente, do bot ou do agente de IA, mídia e modelos de mensagem aprovados pela Meta. Fora da janela de atendimento de 24 horas, apenas modelos aprovados.
• Provedora de Tecnologia: a Fivep opera em nome do Cliente, que é o titular da conta do WhatsApp Business e da conta do Instagram. Os tokens de acesso são armazenados cifrados com AES-256-GCM.
• Uso restrito: os dados obtidos das plataformas da Meta são usados exclusivamente para prestar o Serviço ao Cliente que conectou a conta. Não os vendemos, não os usamos para publicidade da Fivep, não construímos perfis fora da conta do Cliente e não os usamos para treinar modelos de inteligência artificial.
• O Cliente pode optar por outros provedores de conectividade de WhatsApp no lugar da API oficial; nesses casos o roteamento segue o provedor escolhido e recebemos também a foto de perfil do contato.
• Revogação pela Meta: quando a pessoa remove o acesso do nosso aplicativo pelo Instagram, a Meta nos avisa e a credencial da conta é removida do CRM. As conversas já registradas seguem a política de privacidade do Cliente; pedidos de exclusão de conteúdo são atendidos pelo canal descrito no início desta página.
• O número do Cliente pode continuar em uso no aplicativo WhatsApp Business ao mesmo tempo em que é atendido pelo CRM (coexistência).

A atribuição só acontece quando o Cliente conecta a própria conta de anúncios e configura os eventos. Ela serve para informar às plataformas de anúncios que um clique virou conversa ou venda.

• Meta Conversions API, eventos de site: telefone em hash SHA-256, identificadores de clique e navegador (fbc e fbp), endereço da página de origem, um identificador do evento para evitar duplicidade e, apenas quando a venda é ganha, o valor.
• Meta Conversions API, anúncios de clique para WhatsApp: o identificador do clique (ctwa_clid) e o identificador da conta do WhatsApp Business. Sem telefone.
• Google Ads (conversões offline): identificador do clique (gclid, gbraid ou wbraid), telefone em hash SHA-256 e, apenas na venda ganha, o valor.
• Nunca enviamos: e-mail, nome, CPF, endereço ou conteúdo de mensagens.
• Ao entrar por um anúncio, guardamos identificadores de clique e parâmetros UTM; cliques não vinculados a nenhum contato são apagados em 90 dias.
• Formulários de anúncios da Meta (Lead Ads) podem ser gravados em planilha do Cliente (nome, telefone, e-mail) quando ele assim configura.
• Não há Meta Pixel, Google Tag Manager ou Google Analytics no CRM nem nas páginas públicas da Fivep.
• Base legal: legítimo interesse do Cliente (Art. 7, IX). Para residentes da Califórnia, esse envio pode ser considerado compartilhamento para publicidade nos termos da CCPA/CPRA; cabe ao Cliente decidir a ativação e oferecer a recusa aos seus contatos.

Não vendemos dados pessoais. Compartilhamos apenas com os prestadores abaixo, na medida necessária para operar o Serviço, e com os sistemas que o próprio Cliente conecta. A lista de integrações disponíveis fica visível no menu Integrações do CRM.

• O armazenamento principal fica no Brasil: banco de dados e mídia (região de São Paulo), repositório de pedidos (região de São Paulo) e execução da aplicação (região de São Paulo).
• Provedores sediados nos Estados Unidos (Anthropic, Meta, Google, Apple, Mozilla, Resend, Sentry) podem tratar dados fora do Brasil para as finalidades descritas na seção 9.
• Fundamentos: cláusulas contratuais padrão e acordos de tratamento de dados firmados com esses provedores (Art. 33, IX) e execução do contrato com o Cliente (Art. 33, V), observada a Resolução CD/ANPD nº 19/2024.

• Criptografia em trânsito (TLS) em toda a aplicação, com HSTS.
• Criptografia em repouso oferecida pelos provedores de banco de dados e armazenamento.
• Credenciais das integrações oficiais da Meta, do provedor de WhatsApp e das contas de anúncios cifradas com AES-256-GCM, com chave mantida fora do banco de dados.
• Isolamento por Cliente no banco de dados com políticas de segurança em nível de linha: cada Cliente acessa apenas os próprios dados.
• Mídia em armazenamento privado, acessível apenas por link temporário de 2 horas gerado para usuários autorizados.
• Permissões por usuário dentro do CRM (por exemplo, a exclusão de leads é restrita a perfis autorizados).
• Cabeçalhos de proteção do navegador (bloqueio de incorporação em outros sites, proteção contra interpretação indevida de conteúdo) e Política de Segurança de Conteúdo em modo de relatório.
• Registros de erro do agente de IA sem o conteúdo da conversa; monitoramento de erros da aplicação.
• Cópias de segurança do provedor de banco de dados e exportação semanal de segurança com retenção limitada.
• Incidentes de segurança que possam acarretar risco relevante são comunicados à ANPD e aos titulares ou Clientes afetados, conforme o Art. 48.

• Arquivar ou finalizar um atendimento não exclui dados; apenas a exclusão do lead o faz.
• Exportação: o Cliente pode exportar relatórios em CSV pelo CRM e solicitar uma cópia completa dos seus dados por e-mail.
• Exceções à eliminação (Art. 16): cumprimento de obrigação legal ou regulatória, uso exclusivo da Fivep de forma anonimizada e exercício regular de direitos em processo judicial ou administrativo.

Todo titular pode solicitar:

• Confirmação da existência de tratamento e acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade dos dados a outro fornecedor.
• Informação sobre com quem os dados foram compartilhados.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa, e revogação do consentimento quando essa for a base legal.
• Revisão de decisões tomadas unicamente com base em tratamento automatizado (Art. 20).
• Petição à ANPD (Art. 18, § 1º).

Para exercer qualquer direito, escreva para contato@fivep.com.br. Respondemos em até 15 dias e podemos pedir informações para confirmar sua identidade. Se você é Lead de um Cliente da Fivep, encaminhamos o pedido ao Controlador e apoiamos a resposta; você também pode falar diretamente com a empresa que o atendeu.

• Parar de receber mensagens: basta pedir na própria conversa; o Cliente é obrigado a honrar o pedido. Os e-mails enviados pelo CRM trazem link de descadastro.
• Falar com uma pessoa: a qualquer momento. A transferência para atendente humano não pode ser desativada pelo Cliente.
• Saber se o atendimento é automatizado: ao perguntar, o agente responde com honestidade.
• Pedir revisão de qualquer decisão automatizada (etapa, etiqueta, agendamento) ao Cliente ou à Fivep (Art. 20).
• Corrigir seus dados: o atendente pode editar nome e demais informações no CRM.
• Excluir seus dados: pelo caminho descrito no início desta página.

• O Serviço é destinado a empresas e a usuários maiores de 18 anos; não é direcionado a crianças.
• O Cliente não deve usar o Serviço para tratar dados de crianças sem o consentimento específico e em destaque de pelo menos um dos pais ou responsável legal (Art. 14, § 1º), exceto quando a coleta for necessária para contatar o responsável (Art. 14, § 3º).
• Clínicas e serviços que atendem menores respondem, como Controladores, pela obtenção do consentimento. A Fivep exclui dados de crianças mediante pedido pelo canal descrito no início desta página.

• Usamos apenas cookies estritamente necessários para manter a sessão de login dos usuários do CRM.
• A preferência de tema e a ciência do aviso de cookies ficam no armazenamento local do navegador, sem envio a terceiros.
• Não usamos cookies analíticos, de publicidade ou de terceiros, nem pixels ou tags de rastreamento nas páginas públicas ou no CRM.
• Você pode apagar cookies pelas configurações do navegador; apagar o cookie de sessão encerra o login.

• Encarregado pelo tratamento de dados (Art. 41): contato@fivep.com.br.
• Alterações: cada versão desta Política traz número e data. Mudanças relevantes são comunicadas aos Clientes por e-mail, e a versão vigente fica sempre disponível nesta página.
• Legislação aplicável: LGPD (Lei nº 13.709/2018), Marco Civil da Internet (Lei nº 12.965/2014) e Código de Defesa do Consumidor (Lei nº 8.078/1990), quando aplicável.
• Foro: comarca de São Paulo/SP para dirimir controvérsias decorrentes desta Política.
• Os Termos de Uso complementam esta Política.