Política de Privacidade

Esta página explica, em linguagem simples, o que acontece com o nome, telefone e e-mail que você envia pelo formulário de contato.

1. Definições

Para os efeitos desta política: "titular" é a pessoa natural cujos dados pessoais são tratados; "organização" é a empresa cliente que utiliza a plataforma para captar e gerir contatos (leads) do próprio negócio; "plataforma" ou "OUAUE" é o conjunto de aplicações operado pela OUAUE que fornece a infraestrutura de captação, hospedagem e processamento de dados; "dados pessoais" são o nome, telefone, e-mail e demais informações fornecidas voluntariamente pelo titular em formulário de contato; "consentimento" é a manifestação livre, informada e inequívoca do titular, registrada no momento da captura.

2. Papéis: controlador e operador

Quando o titular preenche um formulário de contato de uma organização cliente, a organização é a controladora dos dados — no Regulamento Geral de Proteção de Dados (RGPD, Regulamento (UE) 2016/679), denominada "responsável pelo tratamento": é ela quem decide a finalidade do tratamento. A OUAUE atua como operadora — no RGPD, "subcontratante": fornece a infraestrutura, e guarda e processa os dados seguindo as instruções da organização, sem decidir por conta própria o que fazer com eles.

Quando o titular preenche um formulário na própria OUAUE (por exemplo, um formulário de contato institucional da plataforma), a OUAUE é a controladora (responsável pelo tratamento) desses dados.

3. Dados coletados

A plataforma coleta o que o titular digita no formulário de contato: nome, telefone e, quando fornecido, e-mail. Também é registrada a origem do contato (por exemplo, qual anúncio, cupom ou link trouxe o titular até a página), para que a organização saiba o que está funcionando, além do registro do consentimento dado e da versão desta política vigente no momento da captura.

Não é coletado endereço IP nem identificador de dispositivo ou navegador — decisão de arquitetura: a captura de contatos foi desenhada para não depender dessa informação.

Quando a organização ativa, por conta própria, uma ferramenta de medição de audiência (por exemplo, Google Tag Manager), essa coleta adicional é de responsabilidade da organização e é informada por aviso próprio na página.

4. Finalidades e base legal

• Atendimento ao contato solicitado — base legal: execução de diligências pré-contratuais a pedido do titular (RGPD, art. 6º, n.º 1, alínea b). Os dados são tratados para que a organização responda ao contato pedido pelo titular.
• Envio de novidades e promoções — base legal: consentimento (RGPD, art. 6º, n.º 1, alínea a). Só ocorre mediante marcação de caixa de opção não pré-marcada no formulário. Antes de qualquer envio, é exigida confirmação adicional do titular por e-mail (duplo opt-in); nenhuma comunicação de marketing é enviada enquanto essa confirmação estiver pendente. O consentimento pode ser retirado a qualquer momento, com efeito sobre envios futuros, sem afetar a licitude do tratamento realizado antes da retirada.

5. Retenção e exclusão

Os dados são mantidos enquanto durar a relação do titular com a organização, ou até que o titular solicite a exclusão, em observância ao princípio da limitação da conservação (RGPD, art. 5º, n.º 1, alínea e). Não existe hoje eliminação automática por tempo decorrido enquanto a organização permanece ativa na plataforma — a eliminação depende de pedido do titular ou da organização. Se a organização for encerrada, todos os dados associados (incluindo os do titular) são eliminados no prazo de até 30 dias a partir do encerramento.

Registros exigidos por obrigação fiscal ou contábil são preservados pelo prazo legal aplicável, anonimizados quando possível, mesmo após um pedido de exclusão.

O pedido de exclusão é atendido sem atraso indevido e, em qualquer caso, no prazo máximo de um mês a contar da recepção do pedido, prorrogável por mais dois meses quando a complexidade ou o número de pedidos o justificar, com informação ao titular sobre a prorrogação e os motivos da demora.

6. Compartilhamento de dados e subprocessadores

• Supabase — banco de dados e armazenamento da infraestrutura da plataforma.
• Vercel — hospedagem e execução das aplicações da plataforma.
• Resend — envio de mensagens transacionais e de confirmação por e-mail.
• Provedor de infraestrutura de inteligência artificial — recebe só contexto de negócio da organização, nunca dado pessoal do titular (ver cláusula 7).
• Ferramentas de comunicação escolhidas pela própria organização para continuar o atendimento solicitado pelo titular (por exemplo, WhatsApp).

Os dados pessoais do titular não são vendidos a terceiros.

7. Uso de inteligência artificial

A plataforma utiliza um provedor de inteligência artificial para funcionalidades internas de geração e sugestão de conteúdo, como a montagem assistida de páginas e textos institucionais da organização.

Nessas chamadas é enviado só contexto de negócio da organização — catálogo, textos, identidade visual e informações públicas do próprio negócio. Dado pessoal do titular (nome, telefone, e-mail) ou qualquer dado de lead nunca é enviado a esse provedor.

Os dados pessoais do titular não são usados para treinar modelos de inteligência artificial. A plataforma não realiza, com base nesse tratamento, decisões individuais automatizadas com efeito jurídico sobre o titular, na acepção do art. 22 do RGPD.

8. Direitos do titular

Nos termos dos artigos 15 a 22 do RGPD, o titular tem direito a: acesso aos seus dados pessoais; retificação de dados incorretos; apagamento dos dados ("direito ao esquecimento"), nas condições previstas no regulamento; limitação do tratamento; portabilidade dos dados; oposição ao tratamento, incluindo para fins de marketing direto; e direitos relativos a decisões individuais automatizadas — não aplicável nesta plataforma, pelas razões descritas na cláusula 7.

Esses direitos são exercidos preferencialmente junto ao responsável pelo tratamento (a organização controladora). Alternativamente, o titular pode contatar a OUAUE, na qualidade de subcontratante, em ouaue@ouaue.com.

O titular tem ainda direito de apresentar reclamação a uma autoridade de controle (cláusula 10).

9. Transferência internacional de dados

Transferências de dados pessoais para fora do Espaço Econômico Europeu só ocorrem com base em mecanismo válido nos termos do Capítulo V do RGPD, como decisão de adequação da Comissão Europeia ou cláusulas contratuais-tipo. Os subprocessadores internacionais desta plataforma (Supabase, Vercel, Resend e o provedor de infraestrutura de inteligência artificial) atuam sob os seus próprios instrumentos de transferência, normalmente cláusulas contratuais-tipo da Comissão Europeia. A OUAUE ainda não consolidou, num documento próprio, o levantamento verificado de qual instrumento cada subprocessador usa — esse levantamento é trabalho pendente do responsável pela proteção de dados da plataforma.

10. Autoridade de controle e reclamações

O titular tem direito de apresentar reclamação à autoridade de controle competente do Estado-Membro da sua residência habitual, do seu local de trabalho, ou do local onde tenha ocorrido a alegada infração, sem prejuízo de outra via de recurso administrativo ou judicial. Até à data desta versão, a OUAUE não designou formalmente um encarregado de proteção de dados (DPO); pedidos relativos a esta cláusula são atendidos, entretanto, pelo contacto informado na cláusula 15.

11. Dados obtidos de contas do Google que a organização autoriza

11.1. Os dados desta cláusula são dados de investimento publicitário da própria organização, obtidos com a autorização dela — não são dados pessoais do titular tratados nos termos do resto desta política. Estão descritos aqui porque o Google exige que esta política diga como se acede, usa, guarda e partilha os dados obtidos através da autorização Google que a organização concede à OUAUE.

11.2. Quando a organização autoriza a OUAUE a ligar-se à sua conta Google Ads (em Contas ligadas, no console de gestão), a OUAUE recebe e guarda um código de autorização (refresh token), cifrado na sua base de dados. A OUAUE não recebe nem guarda a senha da conta Google da organização.

11.3. A OUAUE usa esse código de autorização exclusivamente para ler, na conta Google Ads autorizada, o valor de investimento publicitário gasto por dia, os resultados agregados de campanha e a moeda da conta. Esses valores são cruzados com os contactos captados pela organização para calcular e mostrar, no painel da organização, o custo por contacto.

11.4. A OUAUE nunca cria, altera, pausa ou de qualquer outra forma escreve em campanha nenhuma da conta Google Ads autorizada — o acesso concedido é usado só para leitura.

11.5. Esses dados não são vendidos, não são partilhados com terceiros e não são usados para veicular publicidade nem para treinar modelos de inteligência artificial. Aos fornecedores de inteligência artificial só é enviado contexto de negócio da organização, nunca os dados desta cláusula (cláusula 7). Só há acesso humano a esses dados mediante consentimento expresso da organização, por motivo de segurança, ou por obrigação legal. O uso e a transferência de informações recebidas das APIs da Google pela OUAUE obedecem à Política de Dados do Utilizador dos Serviços de API da Google, incluindo os requisitos de Uso Limitado (Limited Use).

11.6. A organização pode revogar essa autorização a qualquer momento, em Contas ligadas. Ao revogar, a OUAUE apaga imediatamente o código de autorização da sua base de dados e avisa o Google da revogação — este apagamento é imediato, não sujeito a prazo de dias.

11.7. Se, em vez de revogar a ligação, a organização encerrar a sua conta na plataforma, o código de autorização e os valores de gasto lidos são eliminados no prazo de até 30 dias a partir do encerramento — o mesmo prazo aplicável ao apagamento dos demais dados da organização depois do encerramento (cláusula 5), porque a ligação fica associada à organização até esse apagamento em lote acontecer.

12. Dados obtidos das contas Meta (Facebook/Instagram)

12.1. Esta cláusula cobre dois tratamentos distintos, ambos ligados à conta Meta (Facebook/Instagram) que a organização liga à plataforma: o gasto publicitário da própria organização, lido pela OUAUE (cláusula 12.3); e o envio à Meta de identificadores hash do titular, para que a organização meça o resultado das suas campanhas (cláusula 12.4). Estão descritos aqui porque a Meta exige que esta política diga como estes dados são acedidos, usados, guardados e partilhados.

12.2. Quando a organização liga a sua conta Meta (em Contas ligadas, no console de gestão), fornece diretamente à OUAUE um token de acesso gerado por ela própria no Gerenciador de Eventos (Events Manager) da Meta — a OUAUE não usa autorização OAuth com a Meta, nem recebe ou guarda a senha da conta da organização. Esse token é cifrado na base de dados da OUAUE antes de ser guardado.

12.3. A OUAUE usa esse token para ler, diariamente, na conta de anúncios ligada, o valor de investimento publicitário gasto por dia e a moeda da conta. Esses valores são cruzados com os contactos captados pela organização para calcular e mostrar, no painel da organização, o custo por contacto — o mesmo uso descrito na cláusula 11.3 para o Google.

12.4. Quando um contacto é captado (evento "Lead") ou a organização marca um negócio como fechado (evento "FechouNegocio"), a OUAUE envia à Meta, através da Conversions API, um evento com: o telefone do titular, sempre, e o e-mail do titular, quando fornecido — ambos transformados por uma função hash (SHA-256) antes do envio, nunca em texto simples; e, quando presente na origem do contacto, o identificador de clique do Facebook (fbclid), no formato exigido pela Meta, esse sem hash. Não é enviado à Meta o nome do titular, endereço IP, identificador de navegador ou dispositivo, nem valor ou moeda do negócio.

12.5. A OUAUE nunca cria, altera, pausa ou de qualquer outra forma escreve em campanha nenhuma da conta Meta ligada — o acesso ao gasto (cláusula 12.3) é usado só para leitura; o envio de eventos de conversão descrito na cláusula 12.4 é o único envio de dados desta cláusula.

12.6. Os dados desta cláusula não são vendidos, não são partilhados com terceiros além da própria Meta — destinatária necessária do envio descrito na cláusula 12.4 —, não são usados para veicular publicidade fora das campanhas da própria organização. A OUAUE não usa estes dados para treinar modelos de inteligência artificial. Aos fornecedores de inteligência artificial só é enviado contexto de negócio da organização, nunca os dados desta cláusula (cláusula 7). O uso destes dados pela OUAUE obedece aos Termos da Plataforma Meta (Meta Platform Terms) e às políticas de programador aplicáveis à Conversions API.

12.7. A organização pode desligar esta ligação a qualquer momento, em Contas ligadas. Ao desligar, a OUAUE apaga imediatamente a ligação e o gasto já lido da sua base de dados — este apagamento é imediato, não sujeito a prazo de dias. O token usado é da própria organização: ela pode também revogá-lo diretamente no Gerenciador de Eventos da Meta, a qualquer momento — a OUAUE não tem, hoje, um token próprio do lado da Meta para revogar.

12.8. O titular pode solicitar a exclusão dos seus dados, incluindo os descritos nesta cláusula, em www.ouaue.com/exclusao-de-dados, além dos meios gerais indicados na cláusula 15.

13. Cookie de atribuição de indicação

13.1. Quando a organização tem indicadores ativos e o titular chega a uma página da organização por um link de indicação ou pelo QR code de um indicador, a plataforma pode gravar um cookie de atribuição, com a única finalidade de creditar a venda ou o contato ao indicador que trouxe o titular até a página.

13.2. Esse cookie é de primeira parte, da própria página da organização, e só é gravado depois de o titular aceitar num aviso (banner) próprio — base legal: consentimento (RGPD, art. 6º, n.º 1, alínea a), exigido também pela regra de consentimento prévio para cookies não essenciais (art. 5º, n.º 3, da Diretiva ePrivacy) —, separado do aviso de outras ferramentas de medição da página. Esse aviso só aparece quando a visita chega por um link de indicação válido, de um indicador ativo da mesma organização; nas demais visitas, nada muda.

13.3. O cookie guarda só o código do indicador e a data de chegada do titular — nenhum outro dado pessoal é gravado nesse cookie.

13.4. A duração do cookie é a janela de atribuição definida pela organização para aquele indicador: 30 dias por padrão, nunca superior a 90 dias.

13.5. Quando o titular chega por mais de um indicador dentro da janela de atribuição, prevalece a indicação mais recente (modelo de último clique).

13.6. O titular pode recusar o cookie no próprio aviso — nesse caso, nada é gravado; pode também apagar os cookies do navegador a qualquer momento, com efeito sobre a retirada do consentimento, sem afetar a licitude do tratamento realizado antes da retirada. Recusar ou apagar o cookie nunca impede o uso da página nem o envio do formulário de contato.

13.7. Os dados desse cookie não são partilhados com terceiros nem usados para fins publicitários.

13.8. Se o titular digitar um código de indicação (cupom) diretamente no formulário de contato, esse código é registrado junto do contato, e não por meio de cookie.

14. Alterações desta política

Esta política é publicada de forma versionada e cumulativa: cada nova versão é adicionada com número sequencial próprio por escopo de mercado, e a versão vigente é sempre a de maior número dentro do escopo aplicável ao titular. Versões anteriores permanecem preservadas para fins de auditoria e não são alteradas retroativamente. Consentimentos já registrados sob uma versão anterior permanecem válidos para os fins neles descritos, ressalvada exigência legal em sentido contrário.

15. Contato

Dúvidas sobre o tratamento de dados pessoais: ouaue@ouaue.com. Solicitações relativas a um contato ou formulário específico devem ser dirigidas preferencialmente à organização controladora responsável por aquela página.

Este texto foi redigido com base na documentação técnica e nas práticas vigentes da plataforma na data de emissão e aguarda revisão por profissional do direito antes de produzir validade jurídica definitiva.