Política de Privacidade

Esta página explica, em linguagem simples, o que acontece com o nome, telefone e e-mail que você envia pelo formulário de contato.

1. Definições

Para os efeitos desta política: "titular" é a pessoa natural cujos dados pessoais são tratados; "organização" é a empresa cliente que utiliza a plataforma para captar e gerir contatos (leads) do próprio negócio; "plataforma" ou "OUAUE" é o conjunto de aplicações operado pela OUAUE que fornece a infraestrutura de captação, hospedagem e processamento de dados; "dados pessoais" são o nome, telefone, e-mail e demais informações fornecidas voluntariamente pelo titular em formulário de contato; "consentimento" é a manifestação livre, informada e inequívoca do titular, registrada no momento da captura.

2. Papéis: controlador e operador

Quando o titular preenche um formulário de contato de uma organização cliente, a organização é a controladora dos dados: é ela quem decide a finalidade do tratamento. A OUAUE atua como operadora: fornece a infraestrutura, e guarda e processa os dados seguindo as instruções da organização, sem decidir por conta própria o que fazer com eles.

Quando o titular preenche um formulário na própria OUAUE (por exemplo, um formulário de contato institucional da plataforma), a OUAUE é a controladora desses dados.

3. Dados coletados

A plataforma coleta o que o titular digita no formulário de contato: nome, telefone e, quando fornecido, e-mail. Também é registrada a origem do contato (por exemplo, qual anúncio, cupom ou link trouxe o titular até a página), para que a organização saiba o que está funcionando, além do registro do consentimento dado e da versão desta política vigente no momento da captura.

Não é coletado endereço IP nem identificador de dispositivo ou navegador — decisão de arquitetura: a captura de contatos foi desenhada para não depender dessa informação.

Quando a organização ativa, por conta própria, uma ferramenta de medição de audiência (por exemplo, Google Tag Manager), essa coleta adicional é de responsabilidade da organização e é informada por aviso próprio na página.

4. Finalidades e base legal

• Atendimento ao contato solicitado — os dados são tratados para que a organização responda à solicitação de contato feita pelo titular pelo formulário, com base na necessidade de execução dessa solicitação.
• Envio de novidades e promoções — só ocorre mediante consentimento livre e específico do titular, manifestado por marcação de caixa de opção não pré-marcada no formulário. Antes de qualquer envio, é exigida confirmação adicional do titular por e-mail (duplo opt-in); nenhuma comunicação de marketing é enviada enquanto essa confirmação estiver pendente. O consentimento pode ser revogado a qualquer momento, com efeito sobre envios futuros.

5. Retenção e exclusão

Os dados são mantidos enquanto durar a relação do titular com a organização, ou até que o titular solicite a exclusão. Não existe hoje eliminação automática por tempo decorrido enquanto a organização permanece ativa na plataforma — a eliminação depende de pedido do titular ou da organização. Se a organização for encerrada, todos os dados associados (incluindo os do titular) são eliminados no prazo de até 30 dias a partir do encerramento.

Registros exigidos por obrigação fiscal ou contábil são preservados pelo prazo legal aplicável, anonimizados quando possível, mesmo após um pedido de exclusão.

O prazo de resposta a um pedido de exclusão observa prazo razoável; esta versão global não fixa um prazo específico — ver a versão desta política aplicável ao mercado do titular para o prazo do respectivo regime.

6. Compartilhamento de dados e subprocessadores

• Supabase — banco de dados e armazenamento da infraestrutura da plataforma.
• Vercel — hospedagem e execução das aplicações da plataforma.
• Resend — envio de mensagens transacionais e de confirmação por e-mail.
• Provedor de infraestrutura de inteligência artificial — recebe só contexto de negócio da organização, nunca dado pessoal do titular (ver cláusula 7).
• Ferramentas de comunicação escolhidas pela própria organização para continuar o atendimento solicitado pelo titular (por exemplo, WhatsApp).

Os dados pessoais do titular não são vendidos a terceiros.

7. Uso de inteligência artificial

A plataforma utiliza um provedor de inteligência artificial para funcionalidades internas de geração e sugestão de conteúdo, como a montagem assistida de páginas e textos institucionais da organização.

Nessas chamadas é enviado só contexto de negócio da organização — catálogo, textos, identidade visual e informações públicas do próprio negócio. Dado pessoal do titular (nome, telefone, e-mail) ou qualquer dado de lead nunca é enviado a esse provedor.

Os dados pessoais do titular não são usados para treinar modelos de inteligência artificial.

8. Direitos do titular

O titular pode, a qualquer momento: confirmar a existência de tratamento de seus dados; acessar os dados tratados a seu respeito; solicitar a correção de dados incorretos ou desatualizados; solicitar a exclusão de seus dados; e revogar consentimento previamente concedido, com efeito sobre tratamentos futuros.

Esses direitos são exercidos preferencialmente junto à organização controladora, por ser quem decide a finalidade do tratamento. Alternativamente, o titular pode contatar a OUAUE em ouaue@ouaue.com.

9. Transferência internacional de dados

A infraestrutura que suporta a plataforma (banco de dados, hospedagem e envio de e-mail) pode processar dados em país diferente do país de residência do titular. Em qualquer transferência internacional, a plataforma busca adotar salvaguardas apropriadas compatíveis com a legislação de proteção de dados aplicável ao titular.

10. Autoridade de controle e reclamações

O titular pode dirigir reclamações à organização controladora ou à OUAUE, pelo contato informado na cláusula 15. Esta versão global não indica autoridade de controle específica, por não estar vinculada a um único regime nacional — ver as versões desta política por escopo de mercado (Brasil, União Europeia, Estados Unidos) para a autoridade aplicável ao respectivo território.

11. Dados obtidos de contas do Google que a organização autoriza

11.1. Os dados desta cláusula são dados de investimento publicitário da própria organização, obtidos com a autorização dela — não são dados pessoais do titular tratados nos termos do resto desta política. Estão descritos aqui porque o Google exige que esta política diga como se acede, usa, guarda e partilha os dados obtidos através da autorização Google que a organização concede à OUAUE.

11.2. Quando a organização autoriza a OUAUE a ligar-se à sua conta Google Ads (em Contas ligadas, no console de gestão), a OUAUE recebe e guarda um código de autorização (refresh token), cifrado na sua base de dados. A OUAUE não recebe nem guarda a senha da conta Google da organização.

11.3. A OUAUE usa esse código de autorização exclusivamente para ler, na conta Google Ads autorizada, o valor de investimento publicitário gasto por dia, os resultados agregados de campanha e a moeda da conta. Esses valores são cruzados com os contactos captados pela organização para calcular e mostrar, no painel da organização, o custo por contacto.

11.4. A OUAUE nunca cria, altera, pausa ou de qualquer outra forma escreve em campanha nenhuma da conta Google Ads autorizada — o acesso concedido é usado só para leitura.

11.5. Esses dados não são vendidos, não são partilhados com terceiros e não são usados para veicular publicidade nem para treinar modelos de inteligência artificial. Aos fornecedores de inteligência artificial só é enviado contexto de negócio da organização, nunca os dados desta cláusula (cláusula 7). Só há acesso humano a esses dados mediante consentimento expresso da organização, por motivo de segurança, ou por obrigação legal. O uso e a transferência de informações recebidas das APIs da Google pela OUAUE obedecem à Política de Dados do Utilizador dos Serviços de API da Google, incluindo os requisitos de Uso Limitado (Limited Use).

11.6. A organização pode revogar essa autorização a qualquer momento, em Contas ligadas. Ao revogar, a OUAUE apaga imediatamente o código de autorização da sua base de dados e avisa o Google da revogação — este apagamento é imediato, não sujeito a prazo de dias.

11.7. Se, em vez de revogar a ligação, a organização encerrar a sua conta na plataforma, o código de autorização e os valores de gasto lidos são eliminados no prazo de até 30 dias a partir do encerramento — o mesmo prazo aplicável ao apagamento dos demais dados da organização depois do encerramento (cláusula 5), porque a ligação fica associada à organização até esse apagamento em lote acontecer.

12. Dados obtidos das contas Meta (Facebook/Instagram)

12.1. Esta cláusula cobre dois tratamentos distintos, ambos ligados à conta Meta (Facebook/Instagram) que a organização liga à plataforma: o gasto publicitário da própria organização, lido pela OUAUE (cláusula 12.3); e o envio à Meta de identificadores hash do titular, para que a organização meça o resultado das suas campanhas (cláusula 12.4). Estão descritos aqui porque a Meta exige que esta política diga como estes dados são acedidos, usados, guardados e partilhados.

12.2. Quando a organização liga a sua conta Meta (em Contas ligadas, no console de gestão), fornece diretamente à OUAUE um token de acesso gerado por ela própria no Gerenciador de Eventos (Events Manager) da Meta — a OUAUE não usa autorização OAuth com a Meta, nem recebe ou guarda a senha da conta da organização. Esse token é cifrado na base de dados da OUAUE antes de ser guardado.

12.3. A OUAUE usa esse token para ler, diariamente, na conta de anúncios ligada, o valor de investimento publicitário gasto por dia e a moeda da conta. Esses valores são cruzados com os contactos captados pela organização para calcular e mostrar, no painel da organização, o custo por contacto — o mesmo uso descrito na cláusula 11.3 para o Google.

12.4. Quando um contacto é captado (evento "Lead") ou a organização marca um negócio como fechado (evento "FechouNegocio"), a OUAUE envia à Meta, através da Conversions API, um evento com: o telefone do titular, sempre, e o e-mail do titular, quando fornecido — ambos transformados por uma função hash (SHA-256) antes do envio, nunca em texto simples; e, quando presente na origem do contacto, o identificador de clique do Facebook (fbclid), no formato exigido pela Meta, esse sem hash. Não é enviado à Meta o nome do titular, endereço IP, identificador de navegador ou dispositivo, nem valor ou moeda do negócio.

12.5. A OUAUE nunca cria, altera, pausa ou de qualquer outra forma escreve em campanha nenhuma da conta Meta ligada — o acesso ao gasto (cláusula 12.3) é usado só para leitura; o envio de eventos de conversão descrito na cláusula 12.4 é o único envio de dados desta cláusula.

12.6. Os dados desta cláusula não são vendidos, não são partilhados com terceiros além da própria Meta — destinatária necessária do envio descrito na cláusula 12.4 —, não são usados para veicular publicidade fora das campanhas da própria organização. A OUAUE não usa estes dados para treinar modelos de inteligência artificial. Aos fornecedores de inteligência artificial só é enviado contexto de negócio da organização, nunca os dados desta cláusula (cláusula 7). O uso destes dados pela OUAUE obedece aos Termos da Plataforma Meta (Meta Platform Terms) e às políticas de programador aplicáveis à Conversions API.

12.7. A organização pode desligar esta ligação a qualquer momento, em Contas ligadas. Ao desligar, a OUAUE apaga imediatamente a ligação e o gasto já lido da sua base de dados — este apagamento é imediato, não sujeito a prazo de dias. O token usado é da própria organização: ela pode também revogá-lo diretamente no Gerenciador de Eventos da Meta, a qualquer momento — a OUAUE não tem, hoje, um token próprio do lado da Meta para revogar.

12.8. O titular pode solicitar a exclusão dos seus dados, incluindo os descritos nesta cláusula, em www.ouaue.com/exclusao-de-dados, além dos meios gerais indicados na cláusula 15.

13. Cookie de atribuição de indicação

13.1. Quando a organização tem indicadores ativos e o titular chega a uma página da organização por um link de indicação ou pelo QR code de um indicador, a plataforma pode gravar um cookie de atribuição, com a única finalidade de creditar a venda ou o contato ao indicador que trouxe o titular até a página.

13.2. Esse cookie é de primeira parte, da própria página da organização, e só é gravado depois de o titular aceitar num aviso (banner) próprio, separado do aviso de outras ferramentas de medição da página. Esse aviso só aparece quando a visita chega por um link de indicação válido, de um indicador ativo da mesma organização; nas demais visitas, nada muda.

13.3. O cookie guarda só o código do indicador e a data de chegada do titular — nenhum outro dado pessoal é gravado nesse cookie.

13.4. A duração do cookie é a janela de atribuição definida pela organização para aquele indicador: 30 dias por padrão, nunca superior a 90 dias.

13.5. Quando o titular chega por mais de um indicador dentro da janela de atribuição, prevalece a indicação mais recente (modelo de último clique).

13.6. O titular pode recusar o cookie no próprio aviso — nesse caso, nada é gravado; pode também apagar os cookies do navegador a qualquer momento. Recusar ou apagar o cookie nunca impede o uso da página nem o envio do formulário de contato.

13.7. Os dados desse cookie não são partilhados com terceiros nem usados para fins publicitários.

13.8. Se o titular digitar um código de indicação (cupom) diretamente no formulário de contato, esse código é registrado junto do contato, e não por meio de cookie.

14. Alterações desta política

Esta política é publicada de forma versionada e cumulativa: cada nova versão é adicionada com número sequencial próprio por escopo de mercado, e a versão vigente é sempre a de maior número dentro do escopo aplicável ao titular. Versões anteriores permanecem preservadas para fins de auditoria e não são alteradas retroativamente. Consentimentos já registrados sob uma versão anterior permanecem válidos para os fins neles descritos, ressalvada exigência legal em sentido contrário.

15. Contato

Dúvidas sobre o tratamento de dados pessoais: ouaue@ouaue.com. Solicitações relativas a um contato ou formulário específico devem ser dirigidas preferencialmente à organização controladora responsável por aquela página.

Este texto foi redigido com base na documentação técnica e nas práticas vigentes da plataforma na data de emissão.