Política de Privacidade

1. Quem somos

O controlador dos dados descritos nesta política é o Grupo Zen — ZENHUB LTDA, inscrito no CNPJ sob o nº 66.601.273/0001-08, com sede em Rua Rio Purus, 535, Sala M, Nossa Senhora das Graças, Manaus/AM, CEP 69053-050.

Neste documento, "Zen", "nós" e "plataforma" se referem a ele e ao serviço que ele oferece; "você" é a pessoa que cria conta ou usa a plataforma.

2. Dois papéis diferentes: controlador e operador

Somos CONTROLADORES dos dados da sua conta: cadastro, acesso, segurança e cobrança da assinatura. Nesses casos, somos nós que decidimos para que eles servem, e respondemos por isso.

Somos OPERADORES (art. 39 da LGPD) dos dados que a sua empresa lança na plataforma: clientes, fornecedores, sócios e colaboradores dela, lançamentos, títulos, negócios do funil, tarefas e documentos enviados para leitura. Quem decide sobre esses dados é a sua empresa, que é a controladora deles. Nós os tratamos apenas para prestar o serviço e conforme as instruções dela.

Se você é cliente, fornecedor ou colaborador de uma empresa que usa o Zen e quer exercer um direito sobre os seus dados, o pedido deve ser feito a essa empresa. Se ela nos pedir ajuda, nós a apoiamos; se você nos procurar diretamente, encaminhamos o pedido a ela.

3. Quais dados tratamos

• Dados de cadastro: nome, e-mail, celular, nome da organização e senha. A senha nunca é guardada como você a digita — só o resultado de uma função de hash, que não permite recuperá-la.
• Se você entra com o Google: o identificador da sua conta Google, o e-mail e o nome que o Google nos informa. Não recebemos a sua senha do Google.
• Preferências: idioma, fuso horário, tema claro ou escuro, densidade da tela e telas fixadas no menu.
• Declarações do cadastro: o aceite destes termos e desta política, com a versão e a data, e a declaração de que você tem 18 anos ou mais.
• Dados de cobrança: e-mail de cobrança, razão social e CPF ou CNPJ da organização, faturas e o identificador da cobrança no Mercado Pago. Os dados do cartão ou da conta usada para pagar são digitados no ambiente do Mercado Pago e não passam por nós; o aviso de pagamento que ele nos envia traz o nome, o e-mail e o documento de quem pagou.
• Dados de segurança e de uso: quando você acessou pela última vez, o registro de quem fez o quê na plataforma (trilha de auditoria), o segredo do segundo fator (guardado cifrado) e os códigos de recuperação (guardados em hash). O endereço IP não é guardado: guardamos apenas um hash dele, para limitar tentativas e investigar abuso.
• Sinais técnicos de funcionamento: tipo de erro, tela em que aconteceu e medidas de uso, para manter o serviço no ar.
• Convites: o e-mail de quem é convidado para a equipe da sua organização e ainda não tem conta.
• Pedidos de direito do titular: o e-mail de quem pediu, o tipo do pedido e a resposta dada.
• Dados que a sua empresa lança (como operadores, ver a seção 2): cadastro de clientes, fornecedores e sócios (nome, CPF ou CNPJ, e-mail, telefone, observações), colaboradores (nome, cargo, datas de admissão e desligamento), textos livres de lançamentos, títulos, negócios e tarefas, e-mails de cobrança enviados aos clientes dela e documentos enviados para leitura automática.
• Conversas de WhatsApp no CRM (quando disponível): quando a empresa conecta o próprio número de WhatsApp à plataforma, guardamos as mensagens trocadas com os contatos dela, o número e o nome de cada contato e os anexos. Também aqui somos operadores: a controladora é a empresa (ver a seção 2).

4. Para que usamos os dados, e com qual base legal

Cada uso tem uma base legal do art. 7º da LGPD. Não vendemos dados pessoais e não os usamos para publicidade.

• Criar e manter a sua conta, autenticar o seu acesso e recuperar a sua senha — execução do contrato (art. 7º, V).
• Registrar o aceite destes termos e desta política, com a versão aceita — consentimento (art. 7º, I) e execução do contrato (art. 7º, V).
• Registrar a declaração de maioridade — execução do contrato (art. 7º, V); a plataforma não é destinada a menores (ver a seção 11).
• Cobrar a assinatura, emitir faturas e conciliar pagamentos — execução do contrato (art. 7º, V); a guarda das faturas pelo prazo fiscal é cumprimento de obrigação legal (art. 7º, II, e art. 16, I).
• Enviar e-mails sobre a conta: confirmação de cadastro, recuperação de senha, convites, avisos de cobrança e orientações durante o teste grátis — execução do contrato (art. 7º, V).
• Ler automaticamente um documento que você enviou (extrato, boleto, nota), quando você pede — execução do contrato (art. 7º, V), por ser uma funcionalidade solicitada por você.
• Resumir uma conversa de WhatsApp e sugerir respostas com o copiloto de IA (quando disponível), quando um usuário da empresa pede — tratamento como operador, por instrução da empresa, que é a controladora (art. 39).
• Responder às perguntas que um usuário da empresa faz ao assistente "Pergunte ao Zen" sobre os dados da própria empresa (saldos, contas, relatórios, CRM) e preparar rascunhos de lançamento que só são gravados quando ele confirma — tratamento como operador, por instrução da empresa, que é a controladora (art. 39).
• Manter a trilha de quem fez o quê, registrar acessos e defender a plataforma de abuso — cumprimento de obrigação legal (art. 7º, II, e art. 37 da LGPD; art. 15 do Marco Civil da Internet).
• Medir saúde, erros e uso da plataforma para mantê-la no ar — legítimo interesse (art. 7º, IX), limitado ao mínimo e guardado por 3 meses.
• Receber e responder pedidos de direito do titular, e demonstrar que respondemos — cumprimento de obrigação legal (art. 7º, II).
• Os dados que a sua empresa lança são tratados para a finalidade definida por ela, que é quem escolhe a base legal (art. 39).

5. Com quem compartilhamos

Compartilhamos dados apenas com os fornecedores que precisamos para prestar o serviço (subprocessadores), e só o necessário para cada um. A lista completa e atualizada, com o que cada um recebe, está no nosso Registro de Atividades de Tratamento.

• Hostinger — hospedagem do servidor e do banco de dados, no Brasil (São Paulo), e envio dos e-mails da plataforma. Por hospedar o sistema, guarda tudo o que a plataforma guarda.
• Mercado Pago — processamento do pagamento da assinatura, no Brasil. Recebe o valor, o identificador da cobrança e os dados que o pagador informa no ambiente dele.
• Anthropic — provedora de inteligência artificial em uso, nos Estados Unidos. Recebe: na leitura automática de documentos, o texto extraído do documento que você enviou, ou o próprio arquivo quando ele é uma imagem ou um PDF digitalizado, e somente quando você pede a leitura; no copiloto do WhatsApp (quando disponível), o trecho da conversa a ser resumido ou respondido; no assistente "Pergunte ao Zen", a pergunta, as perguntas e respostas anteriores da mesma conversa e o resultado das consultas que ele faz para responder. Essas consultas são só de leitura, com as permissões de quem pergunta, e podem trazer nomes de clientes e fornecedores, descrições e valores de lançamentos e os identificadores internos de categorias e contas (usados para montar o rascunho). Elas não incluem os campos de e-mail, telefone, CPF ou CNPJ dos cadastros, nem o identificador da empresa; mas o que alguém escreveu em texto livre (uma descrição, uma observação, a própria pergunta) vai como foi escrito. Pelos termos comerciais da API, a Anthropic não usa esse conteúdo para treinar modelos e o guarda só pelo prazo limitado desses termos, para operar o serviço e prevenir abuso.
• OpenAI — provedora alternativa de inteligência artificial, nos Estados Unidos, usada só se a plataforma for configurada para ela, com o mesmo escopo da leitura de documentos e do copiloto. Nesse caso pedimos que o conteúdo não seja armazenado pela provedora. O assistente "Pergunte ao Zen" não usa a OpenAI.
• WhatsApp (Meta) — somente para a empresa que conectar o próprio número ao CRM (quando disponível). As mensagens trafegam pela rede do WhatsApp, operada pela Meta, como em qualquer conversa no aplicativo. A conexão é feita por um software de integração instalado no nosso próprio servidor (não por um terceiro), e a Meta não é contratada por nós: a relação com ela é da empresa dona do número.
• Google — somente se você escolher entrar com o Google. Nesse caso o Google nos informa a sua identidade, e a sua conta Google segue regida pela política de privacidade do próprio Google.
• Autoridades públicas — quando a lei ou uma ordem judicial nos obrigar.

6. Transferência internacional

A hospedagem, o banco de dados e o pagamento ficam no Brasil. A transferência internacional da plataforma acontece no uso da inteligência artificial, quando o conteúdo vai à provedora de IA nos Estados Unidos (hoje, a Anthropic): a leitura automática de documentos envia o conteúdo do documento; o copiloto do WhatsApp (quando disponível) envia o trecho da conversa; e o assistente "Pergunte ao Zen" envia a pergunta e o resultado das consultas feitas para respondê-la. As mensagens de WhatsApp também trafegam pela infraestrutura global da Meta, por escolha da empresa que conecta o número.

Ela acontece só quando alguém pede a leitura de um documento, usa o copiloto ou faz uma pergunta ao assistente, e é necessária para executar essa funcionalidade, com fundamento no art. 33, IX, combinado com o art. 7º, V, da LGPD. Se você não quer essa transferência, basta não usar essas funções: o lançamento manual, os relatórios, as telas de consulta e a resposta escrita por você continuam disponíveis.

7. Por quanto tempo guardamos

Guardamos cada dado pelo tempo da finalidade dele, ou pelo prazo que a lei exige. Os prazos abaixo são aplicados por rotinas automáticas sempre que indicado.

• Dados da conta: enquanto a conta existir. Depois de um pedido de exclusão, eles são anonimizados (ver a seção 8).
• Pedido de cadastro não confirmado, links de recuperação de senha, de troca de e-mail e de verificação de telefone: até 1 mês, e apagados automaticamente.
• Sinais técnicos de funcionamento: 3 meses, apagados automaticamente.
• Registro de acesso a dados sensíveis: 6 meses.
• Avisos de pagamento recebidos do Mercado Pago: 12 meses, apagados automaticamente.
• Faturas, trilha de auditoria e registro de atendimento a pedidos do titular: 5 anos, pelas obrigações fiscais e de prestação de contas.
• Lançamentos contábeis e financeiros da sua empresa: pelo prazo legal de guarda, mesmo que a pessoa que os lançou peça a exclusão da própria conta — nesse caso o registro permanece sem o nome dela.
• Conversas com o assistente "Pergunte ao Zen": 1 mês, só para você acompanhar a resposta e continuar o assunto, e só quem perguntou as vê. Depois disso, somem da tela e são apagadas automaticamente. Excluir um cliente, fornecedor ou documento não apaga na hora as menções a ele numa conversa: elas somem no fim desse mês. Um lançamento confirmado a partir de um rascunho é um lançamento normal e segue o prazo dos lançamentos.
• Cópias de segurança (backup): mantidas por tempo limitado e acessíveis apenas à equipe técnica, para recuperar o serviço em caso de falha.

8. Seus direitos, e como exercê-los

A LGPD (art. 18) garante a você confirmação de que tratamos seus dados, acesso a eles, correção, anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo, portabilidade, informação sobre com quem compartilhamos, informação sobre a possibilidade de não consentir, revogação do consentimento e oposição a tratamento irregular.

Boa parte disso você faz sozinho, logado, na tela "Seus dados e sua privacidade" (menu da conta, em /conta/privacidade):

• Ver o que a plataforma guarda sobre você e o histórico dos seus consentimentos, com versão e data.
• Exportar os seus dados em um arquivo JSON (portabilidade e acesso).
• Pedir a exclusão da conta. O pedido abre um processo com resposta em até 15 dias. Excluir, aqui, é ANONIMIZAR: o seu nome e o seu e-mail são substituídos e o resto da sua identificação é apagado, mas os registros que a lei obriga a empresa a guardar (lançamentos, notas, faturas) permanecem, sem o seu nome.
• Corrigir o seu nome, o seu e-mail e as suas preferências na tela de perfil (/conta/perfil). A troca do celular depende de verificação por código; enquanto ela não estiver disponível, peça ao encarregado (seção 12).
• Para qualquer outro pedido — oposição, revogação de consentimento, informação sobre compartilhamento ou revisão de decisão — escreva ao encarregado (seção 12). Respondemos em até 15 dias.
• Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Como protegemos os dados

• Toda a comunicação com a plataforma é cifrada (HTTPS).
• Senhas, códigos de recuperação e links de uso único são guardados em hash; o segredo do segundo fator é guardado cifrado.
• Você pode ligar a verificação em duas etapas (aplicativo autenticador) na tela de segurança da conta; para administradores da plataforma ela é obrigatória.
• A sessão é trancada depois de 15 minutos sem uso, e só a sua senha a destranca.
• Os dados de cada organização são isolados das demais pelo próprio banco de dados, e não apenas pela tela.
• Toda alteração relevante fica numa trilha de auditoria que não pode ser editada.
• O acesso da nossa equipe de suporte à conta de um cliente é registrado, com justificativa e referência do chamado.
• Se acontecer um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos você e a ANPD, como manda o art. 48 da LGPD.

10. Cookies e armazenamento no navegador

Usamos apenas cookies necessários para a plataforma funcionar com segurança. Não usamos cookies de publicidade, ferramentas de análise de terceiros nem rastreadores, e as fontes e imagens são servidas pela própria plataforma.

• Cookie de sessão (zen_sessao) — mantém você conectado enquanto usa a plataforma; expira depois de um período sem uso ou quando você sai.
• XSRF-TOKEN — protege os formulários contra falsificação de requisição feita por outro site.
• Cookie "lembrar-me" (remember_web_…) — só existe se você marcar "lembrar-me" ao entrar; dura até cerca de 400 dias ou até você sair da conta.
• Armazenamento da sessão do navegador (sessionStorage) — guarda em que passo do tutorial você está; é apagado quando você fecha a aba.

11. Menores de idade

A plataforma é destinada a empresas e a pessoas maiores de 18 anos. O cadastro exige a declaração de maioridade, que fica registrada com a data. Se soubermos que uma conta pertence a um menor, ela será encerrada. Se você souber de algum caso, avise o encarregado.

12. Encarregado (DPO) e contato

Encarregado pelo tratamento de dados pessoais: Arthur.

Contato para assuntos de privacidade e pedidos do titular: no-reply@zenhubpro.com.

13. Mudanças nesta política

Esta política pode mudar quando a plataforma mudar ou quando a lei pedir. Cada versão tem data, mostrada no topo desta página, e a versão que você aceitou fica registrada na sua tela de privacidade. Quando a mudança for relevante, avisaremos pelo e-mail da conta ou na própria plataforma antes de ela valer.