Política de Privacidade

O SegFlow Tasks atende empresas que usam a plataforma para organizar as demandas da sua própria operação (atendimento, suporte, manutenção, portaria etc.). Isso gera dois papéis distintos, previstos nos arts. 5º, VI e VII da LGPD:

• Dados dos clientes finais da empresa contratante (ex.: nome, telefone e relato de um cliente que abre uma demanda por WhatsApp, pela Fonio ou por um card manual) — aqui a empresa contratante é a controladora: ela decide o que é coletado, para quê, e por quanto tempo guardar. O SegFlow Tasks atua como operador, tratando esses dados apenas para prestar o serviço contratado, seguindo as instruções da empresa e esta política.
• Dados dos usuários da própria plataforma (conta de quem acessa o SegFlow Tasks — administradores, atendentes, supervisores, qualidade, CEO, técnicos externos) — aqui o SegFlow Tasks é o controlador, pois somos nós que definimos como essas contas de acesso são criadas, autenticadas e mantidas. O técnico externo, que atende ordens de serviço pelo celular, só enxerga as próprias ordens de serviço e as pessoas que participam delas.

Se você é cliente final de uma empresa que usa o SegFlow Tasks (por exemplo, abriu uma demanda pelo WhatsApp ou por telefone), o exercício dos seus direitos de titular deve ser feito diretamente com essa empresa, que é a controladora dos seus dados. O SegFlow Tasks colabora com a empresa contratante para atender a essas solicitações, conforme o contrato entre nós.

• Dados de conta de usuários da plataforma: nome completo, e-mail, foto de perfil (opcional), empresa e setores vinculados, papel de acesso, status da conta.
• Conteúdo das demandas (cards): título, descrição, prioridade, prazos, comentários, itens de checklist e anexos cadastrados por usuários da empresa contratante — que podem conter dados pessoais de clientes finais informados pela equipe (ex.: nome e telefone de um cliente mencionados na descrição de um chamado).
• Cadastro de clientes ou condomínios: nome, código interno, endereço e observações dos clientes (ou condomínios) atendidos pela empresa contratante, cadastrados pelo administrador dela e vinculados às demandas. Quando o cliente é pessoa física, nome e endereço são dados pessoais tratados em nome da empresa contratante. O técnico externo vê só nome, código e endereço do cliente das ordens de serviço dele.
• Dados de atendimento via WhatsApp e telefone (Fonio): quando a empresa contratante conecta um canal de atendimento (chatbot de WhatsApp ou a assistente telefônica Fonio), o SegFlow Tasks recebe e registra o número de telefone do cliente final, nome informado, cidade/bairro (quando disponíveis), o relato da solicitação e metadados da ligação/conversa (duração, horário, desfecho). Gravações e transcrições completas de ligações, quando enviadas, não entram na descrição do card e são mantidas só pelos prazos descritos na seção "5. Por quanto tempo guardamos os dados", abaixo.
• Dados técnicos e de acesso: endereço IP, data e hora de acessos e tentativas de login (inclusive falhas), identificadores de sessão.
• Registros de auditoria: ações realizadas na plataforma (quem criou, alterou ou moveu uma demanda; alterações de papéis e configurações; eventos de segurança), associadas ao usuário responsável e à data/hora.

• Execução do contrato (art. 7º, V): disponibilizar a plataforma, autenticar usuários, organizar e exibir as demandas, enviar notificações operacionais, gerar indicadores de gestão para a empresa contratante.
• Legítimo interesse (art. 7º, IX): manter logs de auditoria e de acesso para rastreabilidade operacional, detectar uso indevido, melhorar a estabilidade e a usabilidade do produto.
• Cumprimento de obrigação legal e exercício regular de direitos (art. 7º, II e VI), inclusive segurança: registrar tentativas de login malsucedidas, aplicar limites de requisição (rate limiting), reter registros de auditoria pelo prazo necessário para investigação de incidentes e prestação de contas.

Para operar a plataforma, usamos os seguintes prestadores, que tratam dados pessoais em nosso nome e sob nossas instruções (suboperadores):

• Supabase: banco de dados, autenticação de usuários e armazenamento de anexos.
• AWS (Amazon Web Services): hospedagem da aplicação.
• Meta Platforms (WhatsApp Cloud API): quando a empresa contratante ativa o atendimento via WhatsApp, as mensagens trocadas com o cliente final passam pela infraestrutura oficial da Meta até chegarem ao SegFlow Tasks.
• Integrações configuradas pela própria empresa contratante: um chatbot externo de WhatsApp e/ou a assistente telefônica Fonio, quando habilitados pela empresa, enviam dados de atendimento ao SegFlow Tasks por uma chave de API própria daquela empresa, para abrir cards automaticamente.

Não vendemos dados pessoais, nem os compartilhamos para fins de publicidade de terceiros.

• Conversas do bot de WhatsApp sem desfecho (sessões abandonadas): eliminadas após 3 dias.
• Identificadores de mensagens de WhatsApp já processadas (usados só para evitar duplicidade): eliminados após 30 dias.
• Dados de atendimentos por telefone (Fonio): a gravação é removida assim que vence o prazo informado no momento da ligação; dados do cliente final e a transcrição completa do atendimento são removidos do registro técnico após 90 dias — o card já criado a partir do atendimento permanece.
• Registros de auditoria (audit log): após 365 dias, o e-mail do autor da ação e outros dados pessoais no detalhamento do evento são removidos; a ação, o alvo e a data permanecem, para fins de prestação de contas.
• Demandas (cards) concluídas: após 2 anos da conclusão, nomes, e-mails e telefones de clientes finais eventualmente presentes na descrição e nos comentários são mascarados automaticamente; o card e seu histórico operacional (status, setor, datas) permanecem para fins estatísticos e de auditoria.
• Cadastro de clientes ou condomínios: mantido enquanto a empresa contratante usar a plataforma. O administrador pode desativar um cadastro e apagar o endereço e as observações a qualquer momento; o nome continua nas demandas e no histórico em que foi vinculado.
• Encerramento de contrato: se a empresa contratante encerra a conta, os dados da empresa passam por exclusão em duas etapas — a conta é imediatamente bloqueada e, após 30 dias (prazo em que a exclusão pode ser revertida mediante solicitação), os dados são definitivamente apagados, incluindo anexos armazenados.

Alguns dos prestadores listados na seção 4 podem processar ou armazenar dados fora do Brasil. Regiões de processamento/armazenamento: [PREENCHER/CONFIRMAR regiões]. Quando aplicável, essa transferência observa as hipóteses e salvaguardas do Capítulo V da LGPD (arts. 33 a 36).

• Criptografia em trânsito (HTTPS/TLS) em todas as conexões com a plataforma.
• Verificação em duas etapas (autenticação multifator) disponível para proteger contas de acesso, com exigência adicional para contas de administração da plataforma.
• Controle de acesso por empresa: cada empresa contratante só enxerga seus próprios dados (segregação aplicada diretamente no banco de dados, por meio de regras de nível de linha), e o acesso de cada usuário dentro da empresa é limitado pelo seu papel e pelos setores aos quais pertence.
• Registros de auditoria das ações realizadas na plataforma e de tentativas de acesso, para detecção e investigação de incidentes.

Você pode solicitar, a qualquer momento:

• confirmação da existência de tratamento de dados;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados a outro fornecedor de serviço, observados os segredos comercial e industrial;
• eliminação dos dados pessoais tratados com o seu consentimento;
• informação sobre as entidades com as quais compartilhamos dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento, quando o tratamento for baseado nele.

Se você é usuário da plataforma (tem uma conta no SegFlow Tasks), solicite diretamente ao encarregado de dados pelo e-mail [PREENCHER: e-mail do encarregado (DPO)].

Se você é cliente final de uma empresa que usa o SegFlow Tasks (por exemplo, contatou essa empresa por WhatsApp ou telefone), solicite diretamente a essa empresa, que é a controladora dos seus dados — ela poderá acionar o SegFlow Tasks, como operador, para executar a solicitação na plataforma.

O SegFlow Tasks usa armazenamento local e cookies estritamente funcionais do navegador — necessários para o funcionamento da plataforma —, para manter sua sessão de login ativa (token de autenticação) e preferências de interface, como o tema claro/escuro e o estado (aberta/recolhida) da barra lateral de navegação. Não usamos cookies de rastreamento, publicidade ou análise de terceiros.

Podemos atualizar esta Política de Privacidade para refletir mudanças na plataforma ou na legislação aplicável. A data da versão vigente é sempre indicada no topo deste documento. Alterações relevantes serão comunicadas aos administradores das empresas contratantes.

Dúvidas sobre esta política ou sobre o tratamento de dados pessoais podem ser enviadas para o encarregado de dados (DPO) em [PREENCHER: e-mail do encarregado (DPO)].