Fluxo Inteligente
Política de privacidade
Última atualização: 8 de setembro de 2026
Esta política explica quais dados pessoais a plataforma Fluxo Inteligente trata, por quê, por quanto tempo, e o que você pode exigir. Ela segue a Lei 13.709/2018 (LGPD).
1. Controlador e encarregado
Controlador: 64.413.218 MARCELO EDUARDO BATISTA MOREIRA, empresário individual (MEI), CNPJ 64.413.218/0001-50, com sede em Pirassununga/SP — que opera sob o nome Fluxo Inteligente.
Encarregado pelo tratamento de dados pessoais (DPO): Marcelo Eduardo Batista Moreira, pelo e-mail contato@fluxoapi.com.br. É o canal para exercer qualquer um dos direitos listados no item 8.
2. Dois papéis diferentes, e a diferença importa
- Dos seus dados de cliente — nome, e-mail, CPF/CNPJ, telefone, endereço de cobrança — somos controladores: decidimos por que e como tratá-los.
- Das conversas que passam pelo seu número — mensagens e contatos de quem fala com você — somos operadores: tratamos por sua conta e ordem. Quem decide o que fazer com esses dados é você, e é você quem responde perante os titulares por essa decisão.
3. O que tratamos
| Dado | Para quê | Base legal |
|---|---|---|
| Nome, e-mail e senha (guardada como hash argon2id) | criar e autenticar a sua conta | execução de contrato |
| CPF/CNPJ, telefone, CEP e número do endereço | emitir cobrança e nota — exigidos pelo meio de pagamento | execução de contrato e obrigação legal |
| Bandeira e quatro últimos dígitos do cartão, mais o token do Asaas | cobrar a mensalidade e permitir que você reconheça o cartão na tela | execução de contrato |
| Número de telefone, nome e mensagens de quem conversa com você | entregar o serviço de mensageria que você contratou | tratamos como operador, sob a sua determinação |
| Endereço IP, data e hora de acesso, trilha de auditoria das ações | segurança, investigação de fraude e prova de quem fez o quê | obrigação legal (Marco Civil, art. 15) e legítimo interesse |
| Como você navega no site: páginas vistas, cliques, rolagem, movimento do cursor, tipo de aparelho, navegador e origem da visita — inclusive gravação da sessão pela ferramenta Microsoft Clarity | entender onde a página confunde e corrigir; medir de quais anúncios vêm as pessoas que assinam | legítimo interesse (art. 7º, IX) — veja como recusar na seção 12 |
A gravação de sessão registra o comportamento, não o conteúdo: o Clarity está configurado para mascarar o texto que você digita, e campos de senha, cartão e documento nunca são capturados. Ainda assim, é tratamento de dado pessoal e por isso está declarado aqui.
Não tratamos dados de cartão em texto claro: o número, a validade e o código de segurança são enviados diretamente ao Asaas para tokenização e não são gravados em banco, em log ou em métrica nossa.
4. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta, cadastro e histórico de cobrança | enquanto a conta existir e, depois, pelo prazo legal de guarda fiscal |
| Mensagens e contatos das conversas | enquanto a conta existir, ou até você apagá-los |
| Payload cru dos webhooks recebidos da Meta | 7 dias |
| Eventos de cobrança recebidos do Asaas | 90 dias |
| Registros de acesso (IP, data e hora) | 6 meses, conforme o Marco Civil da Internet |
| Trilha de auditoria das ações no painel | enquanto a conta existir — é registro que nem nós podemos reescrever |
5. Com quem compartilhamos
- Meta Platforms — é para lá que a mensagem vai; sem isso não existe WhatsApp oficial.
- Asaas Gestão Financeira S.A. — processa a cobrança.
- Provedor de hospedagem — a infraestrutura onde o serviço roda.
- Microsoft Corporation — fornece o Clarity, que mede o uso do site e grava a sessão de navegação. Recebe apenas o comportamento no nosso site; não recebe as suas mensagens, os seus contatos nem os seus dados de cobrança.
- Meta Platforms — além de entregar as mensagens, também recebe, pelo pixel do nosso site, o registro de que alguém visitou uma página ou assinou, para medir e direcionar os nossos anúncios.
- Autoridades, quando houver ordem judicial ou obrigação legal.
Não vendemos dados pessoais. Usamos dados de navegação do nosso próprio site para medir e direcionar os nossos anúncios — nunca as mensagens, os contatos ou os dados de cobrança, que jamais alimentam publicidade.
6. Transferência internacional
A Meta trata dados fora do Brasil. Essa transferência é necessária para executar o contrato que você firmou conosco — é o próprio serviço que você contratou — e se apoia no art. 33, II e IX, da LGPD.
Os dados de navegação no site também saem do país: o Clarity é operado pela Microsoft e o pixel envia dados à Meta, ambas com servidores no exterior. Essa transferência se apoia no art. 33, IX, da LGPD, e você pode evitá-la recusando o rastreamento — a seção 12 explica como.
7. Segurança
- Tráfego sempre em HTTPS.
- Tokens de acesso da Meta e segredos de API guardados cifrados (AES-256-GCM).
- Isolamento entre contas aplicado no próprio banco de dados, por Row Level Security — não só na aplicação.
- Chamadas à API pública autenticadas por HMAC com proteção contra reenvio.
- Backup diário do banco, com restauração testada semanalmente.
8. Seus direitos
Você pode pedir, a qualquer momento: confirmação de que tratamos seus dados; acesso a eles; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento, quando for essa a base legal.
Peça pelo e-mail contato@fluxoapi.com.br. Respondemos em até 15 dias. Se não ficar satisfeito com a resposta, você pode reclamar à ANPD — Autoridade Nacional de Proteção de Dados (gov.br/anpd). Se você for um titular que conversou com uma empresa cliente nossa, o pedido deve ir primeiro a essa empresa — ela é a controladora daqueles dados; nós a auxiliamos a atender você.
9. Se você é nosso cliente, você também tem deveres
Sobre as conversas do seu número, o controlador é você. Isso quer dizer que cabe a você — e não a nós:
- ter base legal própria para falar com cada pessoa (consentimento, execução de contrato, legítimo interesse — o que for o seu caso);
- informar aos seus contatos como você trata os dados deles;
- atender aos pedidos que esses contatos fizerem a você.
Nós auxiliamos: exportação e exclusão de dados da sua conta ficam disponíveis no painel ou por solicitação. Mas o dever é seu, e usar a plataforma não o transfere para nós.
10. Eliminação dos dados
Ao remover um número, as conversas dele deixam de ser acessíveis no painel. Ao encerrar a conta, eliminamos os dados pessoais em até 30 dias, salvo o que a lei obrigue a reter — registros de acesso pelo prazo do Marco Civil e documentos fiscais pelo prazo tributário. Você pode pedir a eliminação antes disso pelo e-mail contato@fluxoapi.com.br.
Backups são apagados por rotação, e o dado eliminado desaparece deles no prazo de retenção do backup.
11. Decisões automatizadas
Não tomamos decisão automatizada que afete você juridicamente ou de forma significativa com base em perfilamento. A suspensão por inadimplência é automática, mas decorre de um fato objetivo — a fatura não paga depois do prazo de tolerância — e não de análise de perfil.
O pixel do nosso site alimenta o direcionamento de anúncios da Meta, o que pode fazer você ver mais ou menos publicidade nossa. Isso não altera o seu acesso ao serviço, o seu preço nem qualquer condição do contrato, e você pode recusá-lo pela seção 12.
12. Cookies e rastreamento
Estritamente necessário. Um único cookie, fx_session,
mantém você conectado ao painel. É HttpOnly, assinado, e não serve
para publicidade nem para seguir você em outros sites. Sem ele o painel não
funciona, então não há como recusá-lo.
Medição e anúncios. As páginas públicas carregam duas ferramentas de terceiros, e ambas gravam cookie no seu navegador:
- Microsoft Clarity — mostra onde as pessoas travam na página e grava a sessão de navegação, com o texto digitado mascarado.
- Pixel da Meta — informa à Meta que alguém visitou a página ou assinou, para medirmos quais anúncios trazem cliente de verdade.
Nenhuma das duas alcança o painel de mensagens: elas não veem as suas conversas, os seus contatos nem os seus dados de cobrança.
Como recusar. Nós tratamos esses dados com base em legítimo interesse, e você pode se opor a qualquer momento — a LGPD garante isso no art. 18, § 2º. Três caminhos, todos válidos:
- Ative o Do Not Track ou a proteção contra rastreamento do seu navegador. O Clarity respeita esse sinal.
- Bloqueie cookies de terceiros nas configurações do navegador, ou use uma extensão de bloqueio. O site continua funcionando por inteiro.
- Escreva para contato@fluxoapi.com.br pedindo a exclusão dos seus dados de navegação. Encaminhamos o pedido às duas empresas e confirmamos para você.
Recusar o rastreamento não muda em nada o serviço que você contrata, nem o preço que paga.
13. Incidentes
Se ocorrer incidente de segurança com risco relevante aos titulares, comunicaremos você e a ANPD nos prazos da LGPD.
14. Mudanças nesta política
Alterações relevantes serão avisadas por e-mail ou no painel. A data no topo sempre indica a versão vigente.