1. Quem somos
O CTech Marketing é oferecido por a definir: razão social, CNPJ a definir: CNPJ, com sede em a definir: endereço. Para os dados da sua conta, somos o controlador. Encarregado pelo tratamento de dados (LGPD, art. 41): a definir: nome do encarregado, a definir: e-mail do encarregado.
2. A quem esta política se aplica
- Clientes e equipes que usam o painel (conta, campanhas, assinatura).
- Quem paga uma assinatura pela página de pagamento.
- Visitantes das campanhas publicadas pelos clientes. Nesse caso, o cliente dono da campanha é o controlador e nós tratamos os dados como operadores, em nome dele.
3. Dados que tratamos
Conta e painel:
- nome, e-mail e senha (guardada apenas como hash, nunca em texto);
- configuração da verificação em duas etapas e códigos de backup;
- idioma preferido, empresa e clientes cadastrados, conteúdo das campanhas e domínios;
- registro do aceite dos Termos de Uso (versão e data);
- imagens enviadas para as campanhas: guardadas no nosso armazenamento de arquivos já otimizadas e sem metadados (como a localização em que a foto foi tirada);
- motivo do cancelamento da assinatura, quando informado (opção escolhida e texto livre opcional);
- avisos de cobrança enviados por e-mail ao proprietário da conta (tipo do aviso e data do envio);
- origem do cadastro: os parâmetros de campanha (UTM) do link pelo qual você chegou ao nosso site e o domínio do site de onde veio — levados pelo endereço das páginas até o cadastro, sem cookie;
- histórico da conta: registro das ações relevantes (conta e clientes criados, campanhas publicadas ou pausadas, domínios, assinaturas e cobranças), com identificadores internos e sem nome, e-mail ou documento;
- convites para a equipe: e-mail de quem foi convidado, papel, quem convidou e a situação do convite (pendente, aceito, cancelado ou vencido);
- segurança do acesso: endereço IP e navegador de cada sessão de login, e registros temporários de tentativas para limitar abusos;
- registros técnicos de funcionamento (erros e desempenho), sem dados pessoais, enviados ao serviço de monitoramento.
Pagamento:
- nome, e-mail, CPF ou CNPJ, telefone e, quando necessário, endereço de quem paga — enviados à Pagar.me para processar a cobrança;
- o número do cartão é enviado pelo navegador diretamente à Pagar.me e não passa pelos nossos servidores;
- guardamos os identificadores do cliente, da assinatura ou do pedido na Pagar.me e o histórico das cobranças (valor, plano, período, forma de pagamento e situação) — sem CPF, e-mail ou dados do cartão;
- nota fiscal de serviço: a cada pagamento, nome, CPF ou CNPJ e e-mail de quem pagou são lidos da Pagar.me e enviados à NFE.io para emitir a nota (obrigação legal); guardamos só o número e a situação da nota.
Visitantes das campanhas:
- um identificador aleatório em cookie, para registrar uma participação por campanha, com data e hora e os parâmetros UTM do link;
- métricas de uso: tipo de evento (visita, clique, benefício revelado), país, estado e cidade aproximados, tipo de dispositivo, navegador, sistema, site de origem e parâmetros UTM. A localização é calculada no nosso próprio servidor a partir do IP, com a base GeoLite2 criada pela MaxMind (www.maxmind.com) — o IP não é enviado à MaxMind; o país também pode vir da Cloudflare;
- o visitante único é contado por um código calculado a partir do IP e do navegador com um segredo que muda todo dia. O IP não é guardado.
4. Para que usamos e com qual base legal
- Prestar o serviço contratado — conta, campanhas, domínios, cobrança e suporte (execução de contrato).
- Segurança, prevenção a fraudes e limitação de abusos (legítimo interesse e cumprimento de obrigação legal).
- Métricas das campanhas entregues ao cliente dono de cada campanha (em nome dele, como operador).
- Saber quais canais trazem clientes (origem do cadastro) e acompanhar a evolução do serviço com números agregados (legítimo interesse).
- Cumprimento de obrigações legais, fiscais e regulatórias.
- E-mails transacionais: confirmação de cadastro, redefinição de senha e avisos da conta. Definir se haverá e-mails de marketing e, nesse caso, o consentimento e o descadastro.
6. Com quem compartilhamos
Não vendemos dados. Compartilhamos apenas com fornecedores necessários ao serviço, que tratam os dados conforme as nossas instruções:
- Cloudflare — rede por onde passa todo acesso à plataforma e às campanhas (conexão segura, proteção contra ataques e certificados dos domínios próprios), o que inclui o IP e o país aproximado de quem acessa;
- Provedor do servidor onde o sistema roda — hospedagem da plataforma e das campanhas;
- Provedor do armazenamento de arquivos (ex.: Cloudflare R2) — guarda das imagens das campanhas;
- Provedor do banco de dados (ex.: Neon) — armazenamento dos dados;
- Pagar.me — processamento de pagamentos;
- NFE.io — emissão das notas fiscais de serviço junto à prefeitura;
- Brevo — envio de e-mails transacionais;
- New Relic — monitoramento de erros e desempenho da plataforma (dados técnicos: rota, duração, tipo do erro e identificadores internos; sem nome, e-mail, documento, IP ou cookies);
- Cloudflare, também quando você conecta um domínio próprio (apenas o nome do domínio, para emitir o certificado).
Conteúdo de terceiros nas campanhas: se o cliente colocar vídeos do YouTube ou do Vimeo, a miniatura do YouTube é carregada do Google e o player do provedor só é carregado quando o visitante toca no vídeo (com as opções de menor rastreamento do provedor); a partir daí vale a política dele. Imagens das campanhas vêm dos endereços informados pelo cliente, e botões de WhatsApp, Instagram ou outros links levam a serviços de terceiros.
Alguns fornecedores podem armazenar dados fora do Brasil. Nesses casos, a transferência segue o art. 33 da LGPD. Confirmar regiões de armazenamento e as garantias contratuais de cada fornecedor.
Também podemos compartilhar dados quando exigido por lei ou por ordem de autoridade competente.
7. Por quanto tempo guardamos
- Dados da conta e das campanhas: enquanto a conta existir. Remover um cliente ou excluir a conta pelo painel tira tudo do ar e do painel, mas não apaga os dados: eles ficam guardados para histórico e para obrigações legais. Definir prazo de exclusão ou anonimização após o encerramento da conta. Para pedir a eliminação ou a anonimização dos seus dados pessoais antes disso, use o contato da seção 8.
- Registros de acesso ao painel: definir prazo — o Marco Civil da Internet (art. 15) exige guardar registros de acesso a aplicações por 6 meses.
- Métricas das campanhas: definir prazo.
- Dados de cobrança: pelo prazo exigido pela legislação fiscal.
- Imagens enviadas para as campanhas: enquanto o cliente existir; 90 dias depois da remoção do cliente, são apagadas.
8. Seus direitos
Você pode pedir confirmação do tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento (LGPD, art. 18), escrevendo para a definir: e-mail do encarregado. Responderemos no prazo legal.
Visitantes de campanhas devem procurar primeiro a empresa dona da campanha, que é a controladora desses dados; nós a apoiaremos no atendimento.
9. Segurança
Senhas guardadas com hash, verificação em duas etapas opcional, conexões com HTTPS, isolamento dos dados entre clientes em todas as consultas e dados de cartão fora dos nossos servidores. Nenhum sistema é totalmente imune a incidentes; se ocorrer um incidente relevante, avisaremos os afetados e a ANPD conforme a lei.
10. Alterações
Podemos atualizar esta política quando o serviço mudar. A data da versão vigente fica no topo desta página, e mudanças relevantes serão avisadas por e-mail ou no painel.