Política de Privacidade

1. Objetivo

Esta Política explica como o ConsultorOnline coleta, utiliza, compartilha, protege, mantém e elimina dados pessoais.

Aplica-se a:

• titulares de contas;

• integrantes de equipes e revendedoras;

• clientes cadastrados pelos tenants;

• compradores;

• participantes de campanhas;

• assinantes de Grupos VIP;

• visitantes das páginas públicas;

• pessoas que entram em contato com suporte.

2. Quem é responsável

O ConsultorOnline é operado por CORELAUNCH TECNOLOGIA E INTELIGENCIA ARTIFICIAL LTDA, inscrita no CNPJ sob nº 68.385.677/0001-29, com endereço na Av. Brig. Faria Lima, 1811 - Sala 1119 - São Paulo/SP - CEP 01452-001.

Canal de privacidade: privacidade@consultoronline.app.

Encarregado/DPO indicado pela empresa: Paulo Carvalho.

3. Nossos papéis na LGPD

O papel do ConsultorOnline depende da finalidade do tratamento.

4. Quando somos controladores

A CoreLaunch atua como controladora, entre outras situações, para:

• criação e administração da conta ConsultorOnline;

• cobrança da assinatura SaaS;

• segurança e autenticação;

• prevenção a fraude e abuso;

• suporte;

• cumprimento de obrigações fiscais e regulatórias próprias;

• registros de auditoria;

• gestão de pagamentos e repasses quando a plataforma participa diretamente do fluxo;

• cumprimento de obrigações aplicáveis a plataformas digitais;

• defesa de direitos;

• comunicação institucional necessária.

5. Quando o tenant é controlador e nós operamos os dados

Quando a consultora cadastra dados de suas próprias clientes no CRM, ela normalmente define a finalidade do cadastro e atua como controladora.

O ConsultorOnline trata esses dados para prestar o serviço contratado e executar as funcionalidades solicitadas pelo tenant.

6. Situações com papéis próprios ou concorrentes

Em determinadas operações públicas, como checkout, prevenção a fraude, compliance, pagamentos, campanhas ou obrigações tributárias, ConsultorOnline e tenant podem possuir responsabilidades próprias sobre tratamentos específicos.

A qualificação depende da finalidade real e da legislação aplicável, não apenas do nome dado ao contrato.

7. Dados coletados

As seções seguintes descrevem, por categoria, os dados que podem ser tratados conforme as funcionalidades utilizadas.

8. Conta e identificação

Podemos tratar:

• nome;

• e-mail;

• telefone;

• foto;

• senha armazenada por meio de hash;

• CPF/CNPJ;

• razão social/nome empresarial;

• nome fantasia;

• dados fiscais;

• endereço;

• informações de representação;

• documentos de verificação quando necessários.

9. Clientes cadastrados pelo tenant

Podem incluir:

• nome;

• telefone;

• e-mail;

• CPF;

• endereço;

• aniversário;

• preferências comerciais;

• histórico de relacionamento;

• observações inseridas pela própria consultora.

O tenant deve cadastrar apenas informações necessárias e legítimas.

10. Operação comercial

Podemos tratar:

• produtos;

• estoque;

• vendas;

• pedidos;

• parcelas;

• comissões;

• clientes;

• links;

• campanhas;

• participantes;

• assinaturas;

• grupos;

• entregas;

• metas;

• histórico de interação;

• documentos fiscais.

11. Pagamentos

O ConsultorOnline pode registrar:

• valor bruto;

• valor da taxa do provedor;

• remuneração da plataforma;

• valor líquido;

• data;

• método;

• status;

• ID da transação;

• recebedor;

• eventos de estorno, reembolso e chargeback;

• informações necessárias à conciliação.

Dados completos de cartão devem ser coletados diretamente pelo provedor de pagamento quando o fluxo assim for implementado, não sendo armazenados nos servidores do ConsultorOnline.

12. Grupos VIP

Podemos tratar:

• identidade e contato do assinante;

• grupo contratado;

• período;

• situação da assinatura;

• histórico de cobrança;

• cancelamento;

• chargeback;

• acesso ao benefício;

• comunicações relacionadas à assinatura.

13. Campanhas

Podemos tratar:

• dados do organizador;

• dados de participantes;

• números ou identificadores de participação;

• pagamentos;

• prêmio;

• regulamento;

• autorização/certificado;

• documentos de compliance;

• registros de apuração;

• ganhadores.

14. Dados técnicos e segurança

Incluem:

• IP;

• data e hora;

• user agent;

• dispositivo;

• identificadores de sessão;

• logs;

• eventos de segurança;

• histórico de aceite;

• trilhas de auditoria.

15. Integrações

Quando o Usuário conecta serviço externo, podemos tratar dados e credenciais técnicas necessárias à integração, como:

• identificadores de conta;

• tokens OAuth;

• escopos concedidos;

• status de conexão.

Tokens e segredos devem ser protegidos e nunca exibidos integralmente ao usuário ou gravados em logs inseguros.

16. Origem do cadastro

Quando uma conta é criada, registramos por qual caminho a pessoa chegou até o nosso site. São tratados:

• a categoria do canal de chegada: busca no Google, outro buscador, Instagram ou Facebook, WhatsApp, campanha identificada, outro site ou acesso direto;

• os parâmetros de campanha presentes no endereço da página (utm_source, utm_medium, utm_campaign, utm_content e utm_term), quando existirem;

• a página do nosso site aberta primeiro, só o caminho da página, sem parâmetros nem códigos de acesso.

Até o cadastro, essas informações ficam apenas no seu navegador, no cookie próprio con_origem, por até 30 dias. Elas só são vinculadas a uma pessoa e gravadas nos nossos sistemas quando ela envia o cadastro; quem visita o site e não se cadastra não tem a origem registrada por nós.

Dentro desses 30 dias, vale o último anúncio em que você clicou: voltar depois por acesso direto ou por uma busca não substitui a origem do anúncio.

Usamos a origem para medir quais canais de divulgação trazem cadastros e decidir onde investir. A base legal é o legítimo interesse: a origem descreve o canal, a campanha e a página de entrada, não identifica o clique de uma pessoa.

Os identificadores de clique de anúncio (fbclid, da Meta, e gclid, do Google) identificam o clique de uma pessoa. Eles só são guardados com o seu consentimento de rastreio, dado no aviso de cookies, e são apagados do cookie de origem quando você revoga esse consentimento; os demais dados da origem permanecem, porque descrevem a campanha, não você.

A origem do cadastro é mantida enquanto a conta existir. Na eliminação da conta, o vínculo com a pessoa, a página de entrada e os parâmetros de campanha são apagados; fica apenas a categoria do canal, usada só para contagem.

A origem é usada pela equipe do ConsultorOnline e pode ser encaminhada ao X-Lead, conforme a seção Compartilhamento. Com o seu consentimento de rastreio, o cadastro também pode ser informado à Meta, conforme a seção Cookies e tecnologias semelhantes.

17. Para que usamos os dados

As principais finalidades são:

• fornecer o SaaS;

• criar e proteger contas;

• gerenciar clientes, vendas, estoque e produtos;

• operar páginas públicas;

• processar e conciliar pagamentos;

• administrar repasses;

• operar assinaturas de grupos;

• operar campanhas;

• gerar documentos e relatórios;

• prestar suporte;

• gerar conteúdo com IA solicitado pelo Usuário;

• enviar comunicações transacionais;

• prevenir fraude;

• investigar abuso;

• cumprir obrigações fiscais e regulatórias;

• atender autoridades;

• exercer e defender direitos;

• aprimorar segurança e confiabilidade;

• medir quais canais de divulgação trazem cadastros;

• medir e melhorar anúncios, quando houver consentimento de rastreio;

• fazer o acompanhamento comercial de quem se cadastra.

18. Bases legais

Dependendo da finalidade, utilizamos bases legais previstas na LGPD, incluindo:

• execução de contrato e procedimentos preliminares;

• cumprimento de obrigação legal ou regulatória;

• exercício regular de direitos;

• legítimo interesse, mediante avaliação de necessidade e impacto;

• proteção do crédito, quando aplicável;

• consentimento, quando ele for efetivamente necessário.

O consentimento não deve ser usado artificialmente para tratamentos indispensáveis à execução do contrato ou ao cumprimento da lei.

A origem do cadastro e o acompanhamento comercial se apoiam em legítimo interesse. O Pixel da Meta, o envio de eventos à Meta pelos nossos servidores e os identificadores de clique de anúncio se apoiam em consentimento, que pode ser revogado a qualquer momento.

19. Comunicações e marketing

Mensagens necessárias ao serviço podem ser enviadas sem depender de consentimento de marketing.

Comunicações promocionais deverão:

• respeitar a base legal aplicável;

• permitir oposição/descadastro quando cabível;

• observar as regras dos canais utilizados.

Consentimento de marketing, quando utilizado, deve ser separado do aceite dos Termos e da ciência desta Política.

20. Inteligência artificial

Quando o Usuário solicita geração ou análise por IA, informações necessárias podem ser encaminhadas ao provedor contratado.

Adotamos como princípios:

• minimização;

• não enviar dados pessoais desnecessários;

• limitar o contexto ao necessário;

• aplicar controles de acesso;

• revisar fornecedores e contratos.

O Usuário não deve inserir dados sensíveis ou confidenciais que não sejam necessários para a função solicitada.

21. Compartilhamento

Podemos compartilhar dados com fornecedores necessários à operação, como:

• hospedagem;

• banco de dados;

• armazenamento;

• e-mail;

• notificações;

• WhatsApp;

• IA;

• pagamentos;

• antifraude;

• emissão fiscal;

• monitoramento e segurança;

• suporte;

• contabilidade e assessoria jurídica, quando necessário.

Também poderemos compartilhar com autoridades quando houver:

• obrigação legal;

• requisição válida;

• ordem judicial;

• necessidade de prevenção/investigação de fraude;

• exercício regular de direitos.

Com o seu consentimento de rastreio, compartilhamos com a Meta os eventos e identificadores descritos na seção Cookies e tecnologias semelhantes, para medir e melhorar anúncios. Sem esse consentimento, nada disso é enviado à Meta.

Os dados de contato informados no cadastro e a origem do cadastro podem ser encaminhados ao X-Lead, sistema de gestão de relacionamento comercial (CRM) da mesma empresa responsável pelo ConsultorOnline, para que a nossa equipe acompanhe comercialmente a sua conta. A base legal é o legítimo interesse, e você pode se opor pelo canal de privacidade.

Não vendemos dados pessoais para publicidade de terceiros.

22. Pagamentos e provedores

O tratamento de dados de pagamento varia conforme a funcionalidade.

Venda de produtos: o tenant pode vincular sua própria conta de pagamento e autorizar a integração.

Campanhas: o provedor poderá efetuar divisão automática entre organizador e plataforma quando a funcionalidade prever remuneração percentual.

Grupo VIP: a cobrança pode ser centralizada e posteriormente liquidada ao organizador após carência, deduções e regras de risco.

Os provedores possuem políticas próprias de privacidade e podem atuar como controladores independentes em relação a determinados tratamentos.

23. Reforma Tributária e obrigações de plataforma

A legislação de IBS/CBS prevê obrigações específicas para plataformas digitais.

Quando aplicável, o ConsultorOnline poderá tratar e transmitir informações como:

• identificação do fornecedor;

• identificação da operação;

• valor;

• documento fiscal;

• dados necessários à vinculação entre pagamento e operação;

• outras informações exigidas pelo regulamento.

Esse tratamento será realizado com fundamento legal adequado e limitado ao necessário.

24. Transferência internacional

Alguns fornecedores de tecnologia, como a Meta quando há consentimento de rastreio, podem tratar dados fora do Brasil.

Quando houver transferência internacional, adotaremos mecanismos e salvaguardas aplicáveis conforme a LGPD e regulamentação da ANPD.

25. Cookies e tecnologias semelhantes

Usamos cookies e armazenamento local necessários para:

• autenticação;

• segurança;

• sessão;

• preferências.

Usamos também o cookie próprio con_origem, que guarda por até 30 dias a origem da sua chegada ao site, conforme a seção Origem do cadastro.

Cookies de marketing e rastreamento só são usados depois do seu consentimento, pedido no aviso de cookies do site, em que as opções Aceitar e Recusar têm o mesmo peso. Sem resposta, ou com recusa, eles não são usados.

A sua escolha fica salva neste navegador, no cookie con_rastreio, por 365 dias; depois disso, perguntamos de novo. Quando você cria uma conta, a escolha também é registrada nos nossos sistemas, com a data e a versão desta Política, como prova do consentimento ou da recusa.

Com o consentimento, usamos o Pixel da Meta (Facebook e Instagram). Ele grava cookies próprios da Meta (_fbp e _fbc) e informa à Meta eventos de navegação e de cadastro: visualização de página, visualização de conteúdo, início e conclusão do cadastro, informação de pagamento e início do período de teste. Esses eventos servem para medir e melhorar os nossos anúncios.

O Pixel só é carregado no site em produção, nunca nas páginas de prévia, e não é acionado quando o endereço da página ou o endereço de onde você veio contém dado sensível, como e-mail, código ou token de acesso.

Com o mesmo consentimento, podemos enviar à Meta, diretamente dos nossos servidores, eventos de cadastro, de início do período de teste e de assinatura (API de Conversões da Meta), para que cada evento seja contado uma única vez.

Você pode revogar o consentimento a qualquer momento pela opção Preferências de cookies do site. Ao revogar, deixamos de carregar o Pixel, apagamos os cookies _fbp e _fbc e os identificadores de clique de anúncio guardados no cookie de origem.

A Meta trata esses dados também conforme a política de privacidade dela e pode atuar como controladora independente em relação a eles.

Não usamos outras ferramentas de analytics ou de publicidade além das descritas nesta seção.

26. Retenção

Não utilizamos um único prazo para todos os dados.

Regra geral: os dados são mantidos enquanto necessários à finalidade para a qual foram coletados e depois eliminados ou anonimizados, salvo quando houver fundamento para conservação.

Exemplos de retenção:

• Conta ativa: enquanto a conta existir;

• Origem do cadastro: enquanto a conta existir; na eliminação, fica apenas a categoria do canal, para contagem;

• Cookies de origem e da escolha do aviso de cookies, no seu navegador: 30 e 365 dias, respectivamente;

• Janela de restauração após exclusão: 30 dias;

• Dados de CRM sem obrigação de retenção: eliminar/anonimizar após a janela de exclusão;

• Documentos fiscais: prazo legal aplicável;

• Transações, pagamentos e repasses: prazo necessário a obrigações legais, auditoria, chargebacks e defesa de direitos;

• Aceites contratuais: enquanto necessários à prova da relação contratual e defesa de direitos;

• Logs de acesso à aplicação: observar Marco Civil e necessidades adicionais justificadas de segurança;

• Campanhas com obrigação regulatória: prazo exigido pela regulamentação aplicável;

• Solicitação de exclusão: manter evidência mínima do atendimento pelo período necessário à defesa e compliance.

Os prazos exatos devem ser configurados na matriz de retenção aprovada pelo jurídico.

27. Exclusão de conta

A exclusão da conta:

• interrompe o acesso;

• remove páginas públicas conforme a regra do produto;

• inicia a janela de restauração definida;

• não apaga imediatamente dados que devam ser conservados por obrigação legal, pagamento, chargeback, investigação de fraude ou defesa de direitos.

A página /exclusao-de-dados explica o fluxo.

28. Direitos dos titulares

O titular pode exercer os direitos previstos na LGPD, incluindo, conforme aplicável:

• confirmação;

• acesso;

• correção;

• informação;

• anonimização;

• bloqueio;

• eliminação;

• portabilidade;

• revogação de consentimento;

• oposição;

• revisão de decisões automatizadas nos casos previstos em lei.

Pedidos devem ser enviados para privacidade@consultoronline.app.

A resposta seguirá os prazos legais e regulatórios aplicáveis. Pedidos de confirmação/acesso possuem regras específicas na LGPD.

29. Pedidos relacionados aos dados de clientes do tenant

Quando uma cliente cadastrada por uma consultora solicitar diretamente ao ConsultorOnline a correção ou exclusão de dados mantidos no CRM do tenant, poderemos:

• identificar o tenant controlador;

• encaminhar a solicitação;

• cooperar tecnicamente;

• adotar providências diretamente quando houver obrigação legal própria.

30. Segurança

Adotamos medidas proporcionais ao risco, como:

• TLS;

• hash de senha;

• controle de acesso;

• RBAC;

• isolamento multi-tenant;

• logs;

• gestão de segredos;

• monitoramento;

• backups;

• revisão de permissões;

• proteção de tokens;

• práticas de desenvolvimento seguro.

Nenhum sistema é invulnerável.

31. Incidentes

Incidentes de segurança serão tratados conforme plano de resposta e legislação aplicável.

Quando houver obrigação de comunicação, os titulares e a ANPD serão informados conforme os critérios e prazos aplicáveis.

32. Crianças e adolescentes

As contas de administração do ConsultorOnline são destinadas a maiores de 18 anos.

O tenant não deve cadastrar dados de crianças ou adolescentes sem fundamento legal adequado e necessidade real.

Funcionalidades que envolvam menores devem passar por revisão específica antes de serem disponibilizadas.

33. Alterações

Esta Política possui versão e data.

Mudanças relevantes serão comunicadas de maneira adequada.

Quando uma mudança exigir consentimento ou novo aceite por lei, o produto deverá coletá-lo expressamente.

34. Contato

Privacidade e proteção de dados: privacidade@consultoronline.app.