Política de privacidade

1. Quem é o controlador

Esta política explica como tratamos dados pessoais no site do Multly, na conta Multly, no painel do cliente e no servidor de licenças, de acordo com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) e com o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD, Regulamento (UE) 2016/679).

O controlador dos dados é NEXEUS SISTEMAS INTELIGENTES LTDA, CNPJ 58.310.179/0001-63, com endereço em Rua Izaurina Braga, 160, Compensa I, Manaus, AM, CEP 69030-000, Brasil. O canal do encarregado pelo tratamento de dados pessoais (DPO) é o e-mail [email protected].

Esta política não trata dos dados que ficam no aplicativo no seu computador (veja a seção 13) nem do tratamento feito pelo próprio WhatsApp, que segue a política de privacidade do WhatsApp.

2. Dados que tratamos, finalidades e bases legais

Conta

• Dados: e-mail, nome, idioma, data de criação e a senha, guardada só como hash argon2id, que não permite recuperar a senha original.
• Finalidade: criar e manter a sua conta, permitir o login no site e no aplicativo e falar com você sobre a conta.
• Base legal: execução do contrato (LGPD, art. 7º, V; RGPD, art. 6º, 1, b).

CPF ou CNPJ

• Dados: o CPF ou o CNPJ completo e o tipo do documento (CPF ou CNPJ). O cadastro, no site e no aplicativo, pede o documento quando o acesso é feito do Brasil, pelo país informado pela nossa rede de entrega de conteúdo (veja a seção 6). Se a conta ainda não tem o documento, o informado no primeiro pagamento por PIX fica guardado do mesmo modo e passa a ser o documento da conta; um documento diferente do guardado é recusado no PIX. O documento fica guardado cifrado (AES-256-GCM) no nosso servidor. O site e a API nunca mostram o documento completo: o painel mostra só uma versão mascarada (por exemplo, ***.456.789-**), e você pode corrigi-lo no painel, confirmando com a senha e, com a verificação em duas etapas ativa, com o código dela.
• Finalidade: faturamento e emissão da nota fiscal no Brasil e pagamento por PIX: o Asaas exige o documento de quem paga, e o pagamento usa o documento guardado na conta, sem pedi-lo de novo a cada vez.
• Compartilhamento: enviado ao Asaas no pagamento por PIX e, quando a nota fiscal for emitida por um serviço de emissão de nota fiscal, a esse serviço (veja a seção 7).
• Base legal: execução do contrato e cumprimento de obrigação legal ou regulatória na emissão da nota fiscal (LGPD, art. 7º, II e V; RGPD, art. 6º, 1, b e c).

Plano e assinatura

• Dados: plano, periodicidade (mensal ou anual), forma de pagamento (cartão ou PIX), situação da assinatura, moeda, valor, o país de onde você acessava o site no início da compra, nas compras com cartão o país emissor do cartão que pagou, informado pelo processador de pagamentos, fim do período pago, cancelamento agendado, identificadores de cliente e de assinatura no Stripe ou no Asaas, o histórico das assinaturas e o registro de cada início de compra (data, plano, forma de pagamento, moeda, valor, país do acesso, se a compra foi concluída e quando o lembrete foi enviado).
• Finalidade: cobrar o Pro, liberar os recursos do plano, mostrar a assinatura no painel, enviar o lembrete de compra não concluída e prevenir fraudes na moeda da compra (veja a seção 6).
• Base legal: execução do contrato, cumprimento de obrigação legal e fiscal quanto aos registros de pagamento e legítimo interesse em prevenir fraudes e cobrar no preço certo quanto ao país do acesso e ao país do cartão (LGPD, art. 7º, II, V e IX; RGPD, art. 6º, 1, b, c e f).

Pagamento por PIX

• Dados: o nome completo de quem paga, informado no site no pagamento por PIX, e o CPF ou o CNPJ guardado na conta (descrito acima) ou, se a conta ainda não o tiver, o informado no primeiro pagamento, que passa a ficar guardado na conta, enviados ao Asaas com o e-mail da conta; o nome não fica guardado no nosso servidor. Guardamos o identificador do cliente no Asaas e, de cada cobrança PIX, o tipo (Pro mensal ou Pro anual), o valor, o vencimento, a situação e as datas de pagamento e de estorno.
• Finalidade: emitir e acompanhar as cobranças PIX, liberar o Pro, mostrar a forma de pagamento, a próxima cobrança e o histórico no painel, enviar os avisos de cobrança e atender pedidos de arrependimento e reembolso.
• Base legal: execução do contrato e cumprimento de obrigação legal e fiscal quanto aos registros de pagamento (LGPD, art. 7º, II e V; RGPD, art. 6º, 1, b e c).

Endereço de cobrança, impostos e compra como empresa

• Dados: no pagamento com cartão, o Stripe pede e guarda o endereço de cobrança completo e o nome; o Multly não guarda o endereço de cobrança. De cada compra paga, guardamos como prova do país do imposto: o país (e, onde houver, a região) de onde você acessava o site no início da compra, o imposto aplicado e a porcentagem, o país do endereço de cobrança e o país emissor do cartão, informados pelo processador de pagamentos. Na compra como empresa, guardamos também o número de IVA informado, o país dele, a data da consulta e o código da consulta no serviço oficial (o VIES, da Comissão Europeia, ou o da HMRC, no Reino Unido), e o número vai ao Stripe para constar na fatura; o serviço oficial pode devolver o nome e o endereço registrados da empresa, que mostramos na tela de pagamento.
• Finalidade: calcular e cobrar o imposto do país da compra, provar esse país às autoridades fiscais, conferir o número de IVA, aplicar a autoliquidação às empresas com número válido e emitir a fatura.
• Base legal: cumprimento de obrigação legal e fiscal e execução do contrato (LGPD, art. 7º, II e V; RGPD, art. 6º, 1, b e c).

Chaves de ativação

• Dados: os 5 últimos caracteres da chave resgatada, a data do resgate, o e-mail da conta que a resgatou, o que a chave liberou (Pro por tempo, com início e fim) e, se houver, a data da revogação. A chave completa não é guardada: o servidor guarda só um hash dela. O endereço IP e a conta são usados temporariamente para limitar as tentativas de resgate.
• Finalidade: liberar o Pro na conta, mostrar o plano no painel, impedir que a mesma chave seja usada duas vezes e investigar fraude ou chave não paga.
• Base legal: execução do contrato e legítimo interesse na prevenção a fraudes (LGPD, art. 7º, V e IX; RGPD, art. 6º, 1, b e f).

Computadores ativados

• Dados: nome do computador, sistema operacional, versão do aplicativo, identificador da instalação, datas de ativação, da última validação e da desconexão, e o token do computador, guardado só como hash.
• Finalidade: emitir a licença, aplicar o limite de computadores do plano e mostrar os computadores no painel.
• Base legal: execução do contrato (LGPD, art. 7º, V; RGPD, art. 6º, 1, b).

Totais diários do aplicativo

• Dados: por dia, o número de instalações ativas (nos últimos 1, 7 e 30 dias) e a divisão delas por versão do aplicativo e por sistema, calculados a partir da última validação de cada computador ativado. Só os totais são guardados, sem registro por computador e sem ligação com contas. O aplicativo não envia nada além da validação da licença para isso.
• Finalidade: acompanhar a adoção das versões e o uso agregado do aplicativo, sem identificar computador nem pessoa.
• Base legal: legítimo interesse em manter e melhorar o aplicativo, com o mínimo de dados (LGPD, art. 7º, IX; RGPD, art. 6º, 1, f).

Sessões do site

• Dados: token da sessão, guardado só como hash, datas de criação, de último uso e de expiração, e um resumo do navegador e do sistema (por exemplo, "Chrome · Windows") derivado do navegador no login. O identificador completo do navegador (User-Agent) não é guardado.
• Finalidade: manter você conectado, mostrar as sessões abertas e permitir encerrá-las.
• Base legal: execução do contrato e legítimo interesse na segurança da conta (LGPD, art. 7º, V e IX; RGPD, art. 6º, 1, b e f).

Redefinição de senha

• Dados: e-mail da conta e um token de uso único, guardado só como hash e válido por 1 hora.
• Finalidade: enviar o link para você criar uma nova senha.
• Base legal: execução do contrato (LGPD, art. 7º, V; RGPD, art. 6º, 1, b).

Confirmação e troca de e-mail

• Dados: o e-mail da conta, a data da confirmação e, na troca, o endereço novo pedido, com um token de uso único guardado só como hash e válido por 24 horas. O endereço IP e a conta são usados temporariamente para limitar os envios e as tentativas.
• Finalidade: confirmar que o e-mail da conta é seu, liberar a assinatura e as chaves de ativação, trocar o e-mail com segurança e avisar o endereço anterior da troca.
• Base legal: execução do contrato e legítimo interesse na segurança da conta (LGPD, art. 7º, V e IX; RGPD, art. 6º, 1, b e f).

Verificação em duas etapas

• Dados, só se você ativar: o segredo do aplicativo autenticador, guardado criptografado; os 10 códigos de recuperação, guardados só como hash; a data da ativação, o último intervalo de código aceito e a contagem de códigos errados, para impedir a reutilização de um código e bloquear tentativas. No login, um desafio de uso único, guardado só como hash, vale por 5 minutos.
• Finalidade: proteger o acesso à conta no site, no aplicativo e nas ações sensíveis.
• Base legal: execução do contrato e legítimo interesse na segurança da conta (LGPD, art. 7º, V e IX; RGPD, art. 6º, 1, b e f).

Teste do Pro

• Dados: as datas de início, de fim e, se você assinar, da conversão do teste, e um código (hash SHA-256) do e-mail da conta na forma canônica (minúsculas e sem o sufixo depois do "+"; no Gmail, também sem os pontos), guardado por 12 meses mesmo depois da exclusão da conta. O código não permite voltar ao e-mail.
• Finalidade: conceder o teste de 14 dias uma vez por conta e impedir que o mesmo e-mail ganhe um teste novo em menos de 12 meses.
• Base legal: execução do contrato e legítimo interesse na prevenção de abusos (LGPD, art. 7º, V e IX; RGPD, art. 6º, 1, b e f).

E-mails do ciclo de vida e consentimento de marketing

• Dados: a sua escolha em "Novidades e ofertas" e a data da última mudança, a preferência de receber os e-mails do ciclo de vida e o registro de qual desses e-mails já foi enviado à conta, com a data; a data do lembrete de compra não concluída fica no registro do início da compra. O link de descadastro leva um código assinado que identifica só a conta.
• Finalidade: enviar as boas-vindas, com os primeiros passos, e os avisos de que o teste está acabando e de que acabou, que são avisos do serviço; o lembrete de compra não concluída, quando você começa uma assinatura (cartão ou PIX, Pro ou Equipe) e não a conclui em 1 hora, com o link para retomar a compra e o cupom dela, se havia, no máximo um a cada 7 dias; e, só com o seu consentimento, o e-mail de ofertas enviado de 7 a 14 dias depois do fim de uma assinatura, que pode trazer um cupom. O registro impede que o mesmo e-mail seja enviado duas vezes.
• Base legal: legítimo interesse nos avisos do serviço sobre o teste e, fora da União Europeia e do Espaço Econômico Europeu (EEE), no lembrete de compra não concluída, dos quais você pode sair pelo link de descadastro ou no painel (LGPD, art. 7º, IX; RGPD, art. 6º, 1, f); consentimento para as ofertas, que começa desmarcado no cadastro e pode ser retirado a qualquer momento no painel ou pelo link de descadastro, e para o lembrete de compra não concluída nas compras na União Europeia ou no EEE, isto é, em euros ou com acesso de um país da União Europeia ou do EEE (LGPD, art. 7º, I; RGPD, art. 6º, 1, a).

Cupons de desconto

• Dados: o código do cupom usado ou reservado pela conta, o provedor de pagamento, a situação (reservado no início do pagamento ou usado) e as datas.
• Finalidade: aplicar o desconto, garantir o uso único por conta e o limite total de usos do cupom e calcular a receita e as comissões sem o desconto.
• Base legal: execução do contrato (LGPD, art. 7º, V; RGPD, art. 6º, 1, b).

Programa de indicação

• Do afiliado: o código e o link de indicação, as datas de entrada e de desativação e, de cada comissão, a data, o tipo (pagamento ou estorno), a moeda, o valor sobre o qual foi calculada, o valor da comissão e a data em que foi marcada como paga.
• Da conta indicada: o afiliado que a indicou e a data da indicação, a data do primeiro pagamento e os valores recebidos dela, para calcular a comissão. O afiliado vê só números agregados (cliques, cadastros, contas pagantes) e os valores das comissões, nunca o nome, o e-mail ou outros dados das contas indicadas.
• Cliques no link: o código de indicação é registrado nas estatísticas de visitas da página aberta pelo link, como descrito na seção 5, e guardado no navegador de quem abriu o link, como descrito na seção 4.
• Finalidade: ligar as contas novas ao afiliado, calcular, mostrar e pagar as comissões e prevenir fraudes, como a autoindicação.
• Base legal: execução do contrato com o afiliado e legítimo interesse em operar o programa de indicação, com o mínimo de dados das contas indicadas (LGPD, art. 7º, V e IX; RGPD, art. 6º, 1, b e f).

Plano Equipe

• Dados: o nome da equipe, os assentos, a conta responsável, os membros (a conta, as datas de entrada e de saída, o motivo da saída e o fim do Pro pela equipe), os convites (o e-mail convidado, o idioma, as datas de envio, de validade, de aceite ou de cancelamento e o código do link, guardado só como hash) e o histórico das mudanças da equipe (criação, troca de nome e de assentos, convites, entradas, saídas e remoções, com a conta que fez cada uma).
• Quem vê o quê: o responsável vê, no painel, o nome, o e-mail e a data de entrada de cada membro e o e-mail e as datas dos convites abertos; o membro vê o nome da equipe, o nome e o e-mail do responsável e quantos assentos estão ocupados. O responsável não vê as conversas, os computadores, as cobranças nem outros dados da conta dos membros.
• Convite a terceiros: o e-mail do convidado é informado pelo responsável, que declara ter base legal para isso, como a relação de trabalho. Usamos esse e-mail só para enviar o convite e, se ele for aceito, ligar a conta à equipe. O convite não aceito é apagado 30 dias depois de vencer.
• Finalidade: operar o plano Equipe: cobrar os assentos, dar o Pro aos membros, enviar os convites e os avisos da equipe e mostrar a equipe no painel do responsável e no dos membros.
• Base legal: execução do contrato com o responsável e com cada membro e legítimo interesse no envio do convite ao e-mail informado pelo responsável (LGPD, art. 7º, V e IX; RGPD, art. 6º, 1, b e f).

Sincronização entre computadores (Pro)

• Dados, só se você ligar a sincronização: os registros cifrados no seu computador (notas, tarefas, respostas rápidas, etiquetas, o CRM e o nome, a cor e o grupo de cada conta), cada um com o nome da coleção, um identificador aleatório, a revisão, a marca de exclusão, a versão da chave, o tamanho e a data; o chaveiro cifrado, o sal e os parâmetros usados para derivar a chave da frase de recuperação e um resumo criptográfico (hash) do verificador da frase; e as contagens de uso, as datas de início, da última mudança e da troca da chave e, fora do Pro, as datas da contagem de 90 dias e dos avisos.
• O que não vemos: o conteúdo dos registros, a chave e a frase de recuperação. A cifragem (AES-256-GCM) acontece no seu computador, e a chave derivada da frase nunca sai dele. Sem a frase, nem nós conseguimos ler a cópia.
• Finalidade: guardar a cópia cifrada e entregá-la aos computadores da sua conta, aplicar a cota, avisar e apagar a cópia fora do Pro e mostrar números e datas no painel.
• Base legal: execução do contrato (LGPD, art. 7º, V; RGPD, art. 6º, 1, b).

Relatos de incompatibilidade do aplicativo

• Dados: só a versão do aplicativo, a versão do adaptador do WhatsApp Web, o identificador da versão do WhatsApp Web lido da página, o sistema, o idioma da interface e os nomes das verificações do aplicativo que falharam. O relato não leva conteúdo de conversas, números, nomes de contas ou de conversas e não fica ligado à sua conta nem ao seu endereço IP, usado só no momento do envio para limitar abusos.
• Quando: só quando o aplicativo detecta que o WhatsApp Web mudou e você permite o envio depois de ver o relato, ou se você ligar a preferência "Enviar relatos de incompatibilidade automaticamente", que vem desligada.
• Finalidade: saber quando uma versão nova do WhatsApp Web deixou o aplicativo incompatível e adaptá-lo mais rápido.
• Base legal: consentimento, que você pode retirar a qualquer momento desligando a preferência ou recusando o envio (LGPD, art. 7º, I; RGPD, art. 6º, 1, a).

Registros de operação do servidor

• Dados: as respostas de erro do servidor (data, método, modelo do endereço acessado e código do erro), as falhas de envio de e-mail (só o tipo do e-mail e do erro, sem destinatário nem texto), as execuções das rotinas de manutenção e os alertas de operação enviados por e-mail à nossa equipe. Esses registros não trazem conta, endereço IP nem conteúdo.
• Finalidade: acompanhar a saúde do serviço e detectar e corrigir falhas.
• Base legal: legítimo interesse em manter o serviço funcionando (LGPD, art. 7º, IX; RGPD, art. 6º, 1, f).

Segurança e registros de acesso

• Dados: endereço IP, data e hora, método e endereço da página ou da API acessada e o código de resposta, nos registros técnicos do servidor, que não contêm senhas, tokens nem o conteúdo das requisições; endereço IP e e-mail usados temporariamente para limitar tentativas de login, de ativação e de redefinição de senha; depois da exclusão da conta, um hash (resumo criptográfico) do e-mail, que liga os registros de acesso ao titular (veja a seção 9).
• Finalidade: proteger o serviço contra ataques, fraudes e abusos, diagnosticar falhas e guardar os registros de acesso exigidos por lei.
• Base legal: legítimo interesse em segurança e prevenção a fraudes e cumprimento de obrigação legal, como a guarda de registros de acesso do Marco Civil da Internet (Lei nº 12.965/2014, art. 15) (LGPD, art. 7º, II e IX; RGPD, art. 6º, 1, c e f).

Atendimento

• Dados: o seu e-mail e o que você nos escrever.
• Finalidade: responder a dúvidas, pedidos de suporte, de arrependimento e de exercício de direitos.
• Base legal: execução do contrato, cumprimento de obrigação legal e exercício regular de direitos (LGPD, art. 7º, II, V e VI; RGPD, art. 6º, 1, b, c e f).

Pedidos de desistência e de cancelamento

• Dados: de cada pedido feito na página Contrato do site, o nome, o e-mail informado, a identificação do contrato, o tipo do pedido (desistência, cancelamento ordinário ou cancelamento extraordinário), o motivo, se houver, a data e a hora, a conta ligada ao pedido, se houver, se a sessão estava iniciada e o resultado (as assinaturas encerradas e os reembolsos).
• Finalidade: cumprir a desistência e o cancelamento pedidos, enviar o aviso de recebimento e a confirmação por e-mail, confirmar pelo e-mail da conta os pedidos feitos sem sessão e provar que o direito foi exercido e atendido.
• Base legal: cumprimento de obrigação legal (LGPD, art. 7º, II; RGPD, art. 6º, 1, c).

Acesso da nossa equipe

Pessoas autorizadas da nossa equipe podem consultar os dados da sua conta guardados no servidor (cadastro, plano, assinaturas, cobranças, chaves resgatadas, computadores e acessos recentes) para prestar suporte, prevenir fraudes e cumprir obrigações legais, com base na execução do contrato, no legítimo interesse e no cumprimento de obrigação legal (LGPD, art. 7º, II, V e IX; RGPD, art. 6º, 1, b, c e f). O acesso exige login com uma conta autorizada e verificação em duas etapas, e as ações sensíveis pedem de novo a senha e o código. As ações que alteram a conta, como bloqueio, cancelamento de assinatura, reembolso e revogação de chave, ficam registradas com quem as fez, o endereço IP, a data e os detalhes da ação.

E-mails que enviamos

Os e-mails automáticos são o de confirmação do e-mail, enviado no cadastro ou quando você pede um novo link; o da troca de e-mail, enviado ao endereço novo, e o aviso da troca, enviado ao endereço anterior; o de redefinição de senha, enviado quando você pede; o aviso de que a verificação em duas etapas foi desligada pelo suporte; e, para quem paga com PIX, os avisos de cobrança, no idioma da sua conta: pagamento recebido, nova cobrança disponível, mensal ou anual, cobrança vencida e débito do Pix Automático recusado. Com a sincronização ligada e a conta fora do Pro, avisamos por e-mail o início da contagem de 90 dias da cópia do servidor e, 7 dias antes, a exclusão dela. No plano Equipe, enviamos o convite ao e-mail informado pelo responsável, no idioma da conta convidada, se ela existir, ou no idioma do responsável, o aviso ao membro removido e, no PIX, o aviso de pagamento dos assentos recebido. Os e-mails do ciclo de vida, no idioma da conta, são as boas-vindas, os avisos do fim do teste do Pro, o lembrete de compra não concluída e, só com o seu consentimento em "Novidades e ofertas", o e-mail de ofertas depois do fim de uma assinatura. O lembrete vai a quem começa uma assinatura (cartão ou PIX, Pro ou Equipe) e não a conclui em 1 hora, com o link para retomar a compra e o cupom dela, se havia, no máximo um a cada 7 dias; nas compras na União Europeia ou no EEE (em euros ou com acesso de um país da União Europeia ou do EEE), só com o seu consentimento em "Novidades e ofertas". Todo e-mail do ciclo de vida tem um link de descadastro de um clique, que desliga todos eles e retira o consentimento de ofertas, sem precisar entrar na conta; você também muda isso no painel, em Conta. Nunca enviamos esses e-mails para contas bloqueadas, excluídas ou com o e-mail não confirmado. Nos pedidos feitos na página Contrato, enviamos ao e-mail informado o aviso de recebimento da desistência ou a confirmação do cancelamento, com a data e a hora, e, nos pedidos feitos sem sessão, o link de confirmação ao e-mail da conta. Também podemos escrever para o e-mail da conta para responder aos seus pedidos e para avisos obrigatórios sobre o serviço, como mudanças de preço, dos Termos de uso ou desta política. Não enviamos ofertas sem o seu consentimento.

3. O que não coletamos

• Conversas, mensagens, contatos, números de telefone, fotos, áudios ou qualquer outro conteúdo do WhatsApp.
• Notas, etiquetas, tarefas, respostas rápidas, o CRM, as métricas de atendimento, o arquivo local e os backups, que ficam só no seu computador. Com a sincronização do Pro ligada, notas, etiquetas, tarefas, respostas rápidas, o CRM e o nome, a cor e o grupo de cada conta vão ao servidor cifrados de ponta a ponta, sem que possamos lê-los.
• O texto que você usa no assistente de escrita e o conteúdo das conversas usado na IA no atendimento, que vai do seu computador direto ao provedor escolhido por você, ou fica nele com a IA local.
• Telemetria do aplicativo, rastreadores de publicidade e ferramentas de análise de terceiros. O site só conta as visitas de forma anônima, como descrito na seção 5, e do aplicativo guardamos só os totais diários descritos na seção 2, calculados a partir da validação da licença. O relato de incompatibilidade, também descrito na seção 2, só é enviado com a sua permissão.
• Dados de cartão, que você informa diretamente ao Stripe, e os dados da conta bancária usada no PIX, que ficam com o seu banco e com o Asaas.

Não vendemos nem alugamos dados pessoais.

4. Cookies e armazenamento no navegador

O site usa dois cookies, só enviados ao próprio site. O mz_session mantém o seu login por até 30 dias; ele é estritamente necessário para o funcionamento da conta e não pode ser lido por scripts da página. O mz_locale é um cookie funcional de preferência: é gravado quando você escolhe um idioma no seletor ou na faixa de idioma, guarda só o idioma escolhido (por exemplo, en), dura até 1 ano e serve para que a página inicial não leve você a outro idioma (veja a seção 6). Não usamos cookies de publicidade nem de análise: as estatísticas de visitas funcionam sem cookies (veja a seção 5).

O idioma que você escolhe no site também fica guardado no armazenamento local do seu navegador (mz.locale). Ele vai ao servidor com os pedidos de preço e de pagamento e, no cadastro, como idioma inicial da conta. O idioma só é gravado quando você o escolhe no seletor ou na faixa de idioma, e o seletor avisa que a escolha fica guardada neste navegador. Como é uma preferência definida por você e guardada para atender a esse pedido, esse armazenamento e o cookie mz_locale não dependem de consentimento (Diretiva 2002/58/CE, art. 5º, 3); a base legal é o legítimo interesse em manter a preferência que você escolheu (LGPD, art. 7º, IX; RGPD, art. 6º, 1, f). Você pode apagar esse dado e o cookie mz_locale nas configurações do navegador.

Quando você abre o site por um link de indicação de um afiliado (?ref=), o código do afiliado serve só para ligar ao afiliado a conta que você criar, é enviado ao servidor apenas no cadastro e não identifica você. O que o site faz com ele depende da região de onde você acessa, informada pela rede de entrega de conteúdo. Na União Europeia, no Espaço Econômico Europeu, no Reino Unido e na Suíça, ou quando a região não é conhecida, o código não é guardado no navegador: fica só na memória da página durante a visita, vai no cadastro feito nessa visita e se perde ao fechar ou recarregar a página; um código guardado numa visita anterior, feita de outra região, é apagado. Nos demais países, o código fica guardado no armazenamento local do navegador (mz.ref), com a data, por até 60 dias, e sai do navegador depois do cadastro ou dos 60 dias. Em todos os casos, o clique no link é contado pelas estatísticas sem cookies (veja a seção 5). Base legal: legítimo interesse em operar o programa de indicação (LGPD, art. 7º, IX; RGPD, art. 6º, 1, f). É um uso funcional, sem publicidade nem rastreamento; você pode apagar o mz.ref nas configurações do navegador.

O pagamento com cartão usa o formulário do Stripe, que o site só carrega quando você começa esse pagamento. O Stripe pode usar os próprios cookies e identificadores, também na página de pagamento do site, para processar o pagamento e prevenir fraudes, conforme a política de privacidade do Stripe.

5. Estatísticas de visitas do site

Para saber quantas pessoas visitam o site, de onde chegam e quais páginas funcionam melhor, contamos as visitas com uma ferramenta própria, sem cookies e sem serviços de terceiros. O aplicativo não participa disso e continua sem telemetria.

O que é registrado

• A cada página aberta: data e hora, o endereço da página (sem parâmetros), o site de origem (só o domínio, por exemplo google.com), os parâmetros de campanha utm_source, utm_medium e utm_campaign quando o link os tiver, o idioma do site, a faixa de tamanho da tela (celular, tablet ou computador), o nome do navegador e do sistema e o país, informado pela rede de entrega de conteúdo.
• Algumas ações, registradas do mesmo jeito: clique para baixar o aplicativo (com o sistema escolhido), início de um pagamento (com o plano), abertura da página de cadastro e exibição da seção de planos.
• Quando a página é aberta por um link de indicação (?ref=), o código do afiliado, para contar os cliques no link do programa de indicação.

O que não é registrado

• Nenhum cookie e nenhum identificador guardado no seu navegador ou que acompanhe você.
• O endereço IP não é guardado. Para contar visitantes únicos no dia, o servidor calcula um código (hash SHA-256) a partir do endereço IP, do identificador do navegador (User-Agent) e de um valor aleatório trocado todo dia, e apaga o valor do dia anterior. Esse código não permite voltar ao endereço IP nem reconhecer você em outro dia; quem volta em outro dia é contado de novo.
• As visitas não são ligadas à sua conta, ao seu e-mail nem ao seu login.

Como não ser contado

Se o seu navegador enviar o sinal Global Privacy Control (GPC) ou Do Not Track, nada é enviado nem contado. Também não contamos robôs conhecidos, as páginas da administração e as visitas da nossa equipe com o painel administrativo aberto, reconhecidas por um aviso guardado só naquela aba do navegador e apagado quando ela é fechada.

Por quanto tempo e com que base legal

Os registros de visitas são apagados depois de 13 meses. A base legal é o legítimo interesse em entender o uso do site e melhorar o serviço, com o mínimo de dados e sem identificar ninguém (LGPD, art. 7º, IX; RGPD, art. 6º, 1, f). Como as visitas não são ligadas a ninguém, não conseguimos localizar os registros de uma pessoa específica; para não ser contado, use o GPC ou o Do Not Track.

6. País, moeda e idioma

A moeda dos preços e da cobrança segue o país de onde você acessa o site, sem escolha de moeda: real no Brasil, euro nos países que usam o euro, libra esterlina no Reino Unido, franco suíço na Suíça e em Liechtenstein, peso no México, na Colômbia e no Chile, sol no Peru e dólar americano nos demais. Para saber o país, o servidor usa o código de país informado pela rede de entrega de conteúdo, que ela deduz do endereço IP. O idioma do navegador e o idioma do site não mudam a moeda; sem o código de país (por exemplo, no acesso pela rede Tor), o preço sai em dólar americano. Se a sua conta já tem ou teve assinatura paga com cartão, vale a moeda dela, e com assinatura PIX em vigor, o real. A moeda de cada compra é fixada no início do pagamento e fica registrada com a assinatura. O mesmo país (e, onde a alíquota depende dele, o estado ou a província informado pela mesma rede) define o imposto somado ao preço e se a compra está disponível, como explicam os Termos de uso.

Na primeira visita à página inicial em inglês, no endereço principal do site (a versão em português do Brasil fica em /pt-br/), se o seu navegador estiver em outro idioma que o site oferece, o site leva você à página inicial desse idioma. Isso usa só o idioma informado pelo navegador e deixa de acontecer quando você escolhe um idioma no site (cookie mz_locale, veja a seção 4). O seletor de idioma fica sempre visível.

Para auditoria e prevenção de fraudes, guardamos o país de onde você acessava o site e a moeda no início de cada compra: por 13 meses no registro do início da compra e, na assinatura, enquanto ela existir. Nas compras com cartão, guardamos também o país emissor do cartão que pagou, informado pelo processador de pagamentos, sem nenhum outro dado do cartão. O endereço IP não é guardado para isso. O Stripe pode recusar ou revisar um pagamento feito com cartão emitido em outro país que não o da moeda da compra, e, quando o país do cartão não corresponde à moeda, a nossa equipe recebe um alerta e revisa a compra. A base legal é o legítimo interesse em prevenir fraudes e cobrar no preço certo (LGPD, art. 7º, IX; RGPD, art. 6º, 1, f).

7. Com quem compartilhamos

Compartilhamos dados apenas com prestadores que nos ajudam a operar o serviço, e só o necessário para cada função:

• Stripe: processa os pagamentos do Pro, mensal e anual, a prevenção a fraudes, as faturas e o portal de assinatura. Recebe o seu e-mail e os dados de pagamento que você informa no formulário dele e nos informa o país emissor do cartão que pagou. Também recebe e guarda o endereço de cobrança completo e o nome e, na compra como empresa, o número de IVA conferido, usados na fatura, e nos informa o país do endereço de cobrança. Para algumas finalidades, como prevenção a fraudes e obrigações legais próprias, o Stripe atua como controlador independente, conforme a política de privacidade dele.
• Asaas: emite e recebe as cobranças PIX no Brasil e faz os estornos. Recebe o nome completo e o CPF ou o CNPJ de quem paga e o e-mail da conta. Os avisos de cobrança do próprio Asaas ficam desligados: quem avisa somos nós. Para as próprias obrigações legais, o Asaas pode atuar como controlador independente, conforme a política de privacidade dele.
• Serviço de emissão de nota fiscal: quando a nota fiscal das compras no Brasil for emitida por um serviço de emissão de nota fiscal, ele receberá os dados exigidos na nota, entre eles o nome e o CPF ou o CNPJ.
• Serviços oficiais de validação do número de IVA (VIES, da Comissão Europeia, e HMRC, no Reino Unido): recebem só o número de IVA informado na compra como empresa, para conferir se ele é válido.
• Provedor de hospedagem: mantém o servidor e o banco de dados do Multly.
• Rede de entrega de conteúdo (CDN): entrega o site, protege contra ataques e informa o país de cada visita, usado para a moeda dos preços, para o registro do país no início de cada compra e para as estatísticas do site, sem que guardemos o endereço IP.
• Provedor de e-mail: envia os e-mails de confirmação e de troca de e-mail, de redefinição de senha, os avisos de cobrança PIX, os convites e avisos do plano Equipe, os e-mails do ciclo de vida, inclusive o lembrete de compra não concluída, e os alertas de operação para a nossa equipe.

Também podemos compartilhar dados quando a lei exigir, por ordem de autoridade competente ou para defender direitos em processo.

Os provedores de IA que você escolher para o assistente de escrita e para a IA no atendimento não são nossos prestadores: o envio é feito pelo aplicativo diretamente a eles, com a sua chave e sob o seu contrato com cada um.

8. Transferência internacional

O Stripe e os demais prestadores podem tratar dados em outros países, inclusive nos Estados Unidos. Nesses casos, adotamos as salvaguardas previstas na lei, como cláusulas-padrão contratuais aprovadas pela ANPD e pela Comissão Europeia, decisões de adequação quando existirem e compromissos contratuais de segurança e confidencialidade.

Você pode pedir mais informações sobre essas salvaguardas pelo e-mail [email protected].

9. Por quanto tempo guardamos

• Conta, plano, assinaturas, cobranças PIX, o CPF ou o CNPJ, o que as chaves de ativação liberaram e computadores: enquanto a conta existir. Ao excluir a conta, apagamos esses dados do nosso servidor, menos os registros de acesso e o registro das chaves resgatadas, que seguem os prazos abaixo. As notas fiscais já emitidas, com o CPF ou o CNPJ que trazem, seguem o prazo de guarda exigido pela legislação fiscal.
• Sessões do site: expiram em 30 dias, ou antes se você sair ou encerrar a sessão, e são apagadas depois de expirar.
• Tokens de redefinição de senha: valem por 1 hora e são apagados depois de expirar.
• Links de confirmação e de troca de e-mail: valem por 24 horas e são apagados depois de vencer; o desafio do login com verificação em duas etapas vale por 5 minutos.
• Segredo e códigos de recuperação da verificação em duas etapas: enquanto ela estiver ativa. Ao desativá-la, eles são apagados; ao gerar novos códigos, os anteriores são apagados.
• Relatos de incompatibilidade: 180 dias. Registros de operação do servidor: 30 dias; alertas enviados à nossa equipe: 90 dias.
• Teste do Pro, preferências de e-mail, registro dos e-mails do ciclo de vida enviados, cupons usados e a indicação da conta: enquanto a conta existir. O código (hash) do e-mail que recebeu um teste fica guardado por 12 meses, mesmo depois da exclusão da conta. As reservas de cupom que não viraram uso são apagadas depois de 30 dias.
• Programa de indicação: o código do afiliado e as comissões ficam enquanto a conta do afiliado existir e saem com ela; as comissões ligadas a uma conta indicada que foi excluída continuam no registro do afiliado, sem os dados dessa conta. No navegador, o código de indicação (mz.ref) fica por até 60 dias, e só fora da União Europeia, do Espaço Econômico Europeu, do Reino Unido e da Suíça (veja a seção 4).
• Sincronização entre computadores: a cópia cifrada fica enquanto a sincronização estiver ligada e a conta existir; as marcas de exclusão ficam 180 dias. Fora do Pro, a cópia é apagada 90 dias depois do início da contagem. Apagar a cópia no painel ou no aplicativo, ou excluir a conta, apaga tudo na hora.
• Plano Equipe: a equipe, os membros, os convites e o histórico ficam enquanto a conta responsável existir e saem com ela. A participação de quem saiu ou foi removido continua registrada na equipe; a conta excluída de um membro sai da equipe. Os convites nunca aceitos são apagados 30 dias depois de vencerem.
• Registro dos inícios de compra (data, plano, forma de pagamento, moeda, valor, país do acesso, se a compra foi concluída e quando o lembrete foi enviado): apagado depois de 13 meses. O país do acesso na compra e o país emissor do cartão guardados na assinatura ficam enquanto ela existir.
• Pedidos de desistência e de cancelamento feitos na página Contrato: 5 anos a contar do pedido, e depois apagados automaticamente.
• Prova do país do imposto de cada compra paga (descrita na seção 2, inclusive o número de IVA da compra como empresa): 10 anos a contar do fim do ano da venda, o prazo da lei fiscal da União Europeia, mesmo depois da exclusão da conta.
• Registros de pagamento (data, moeda, valor, impostos e identificadores do pagamento e, no pagamento com cartão, o endereço de cobrança, o nome e o número de IVA informados): guardados pelo Stripe e, no PIX, pelo Asaas, pelo prazo exigido pela legislação fiscal e contábil aplicável, mesmo depois da exclusão da conta.
• Registros de acesso ao servidor: pelo prazo exigido por lei, que no Brasil é de 6 meses contados de cada registro (Marco Civil da Internet, art. 15), mesmo depois da exclusão da conta, e depois apagados. Depois da exclusão, um hash (resumo criptográfico) do e-mail da conta fica guardado por 183 dias, só para ligar esses registros ao titular quando houver ordem judicial, e não é usado para mais nada.
• Registro das chaves de ativação (os 5 últimos caracteres da chave, a data do resgate e o e-mail da conta que a resgatou) e registro das ações da nossa equipe na conta: guardados depois da exclusão da conta, pelo tempo necessário para prevenir fraudes, impedir que uma chave seja usada de novo e defender direitos.
• Estatísticas de visitas do site: apagadas depois de 13 meses; o valor aleatório usado para calcular o visitante do dia vale só pelo dia corrente.
• Totais diários do aplicativo: apagados depois de 25 meses.
• Mensagens de atendimento: pelo tempo necessário para atender ao pedido e, depois, pelo prazo em que possam ser necessárias para a defesa de direitos.

10. Seus direitos

Pela LGPD e pelo RGPD, você tem direito a confirmar se tratamos os seus dados e acessá-los, corrigi-los, recebê-los em formato portável, pedir a exclusão, a anonimização, o bloqueio ou a limitação do tratamento, opor-se a tratamentos baseados em legítimo interesse, saber com quem os compartilhamos e revogar consentimentos, quando houver.

Você mesmo pode exercer boa parte desses direitos no painel:

• Acesso e portabilidade: "Baixar meus dados" gera um arquivo JSON com os dados da sua conta, inclusive o CPF ou o CNPJ completo, as preferências de e-mail, o plano, o teste do Pro, as assinaturas, os cupons usados, as cobranças PIX, as chaves de ativação resgatadas, os computadores, as sessões ativas, os registros de acesso, a equipe que você administra, com os convites enviados, as equipes de que participou, os números e as datas da sincronização (o conteúdo está cifrado e não temos a chave) e, na conta afiliada, o código e as comissões.
• Consentimento: "Novidades e ofertas" e os e-mails do ciclo de vida podem ser ligados e desligados no painel, em Conta, e o link de descadastro de cada um desses e-mails desliga todos eles, sem login.
• Correção: o nome, o idioma e o e-mail podem ser alterados no painel; a troca do e-mail vale depois que você confirma o endereço novo. O CPF ou o CNPJ pode ser corrigido no painel, confirmando com a senha. Para corrigir outros dados, escreva para [email protected].
• Exclusão: "Excluir conta" apaga a conta e os dados ligados a ela, como descrito nos Termos de uso. Em Sincronização, você apaga só a cópia cifrada do servidor, confirmando com a senha.

Para os demais pedidos, escreva para [email protected], de preferência a partir do e-mail da conta, para confirmarmos que o pedido é seu. O atendimento é gratuito. Respondemos nos prazos da lei: em até 15 dias pela LGPD e em até um mês pelo RGPD, prorrogável nos casos que ele permite.

Se a nossa equipe bloquear a sua conta, você deixa de entrar no painel e no aplicativo, e a renovação da assinatura é interrompida, sem nova cobrança: no Stripe, a assinatura é cancelada no fim do período já pago; no PIX, a assinatura é encerrada no Asaas, e a autorização do Pix Automático, se houver, é cancelada. Mesmo com a conta bloqueada, você continua podendo exercer todos esses direitos, como o acesso, a exportação e a exclusão dos dados, pelo e-mail [email protected].

Não tomamos decisões exclusivamente automatizadas que produzam efeitos jurídicos sobre você. A moeda do preço segue o país de onde você acessa o site, como descrito na seção 6, e a divergência entre o país do cartão e a moeda da compra só gera um alerta para a nossa equipe, que decide caso a caso, sem cancelamento automático.

Se não ficar satisfeito com a nossa resposta, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), no Brasil, ou à autoridade de proteção de dados do país da União Europeia onde mora, trabalha ou onde ocorreu a suposta infração.

11. Segurança

• Toda a comunicação com o site, o painel e o servidor de licenças é criptografada (HTTPS).
• Senhas são guardadas só como hash argon2id. Tokens de sessão, de computador e de redefinição de senha são guardados só como hash.
• Verificação em duas etapas opcional, com aplicativo autenticador e códigos de recuperação de uso único: o segredo fica guardado criptografado, e os códigos, só como hash. Os links de confirmação de e-mail também são guardados só como hash.
• Há limites de tentativas por endereço IP e por e-mail no login, no código da verificação em duas etapas, na ativação do aplicativo, no resgate de chaves de ativação, no pedido de redefinição de senha e no envio de links de e-mail.
• O site tem proteções contra falsificação de requisições entre sites, e os registros técnicos não contêm senhas, tokens nem o conteúdo das requisições.
• Dados de cartão nunca passam pelo Multly. O CPF ou o CNPJ fica guardado cifrado com AES-256-GCM, e o site e a API mostram só uma versão mascarada dele; o documento completo só sai na exportação dos seus dados.
• A sincronização é cifrada de ponta a ponta com AES-256-GCM no seu computador; o servidor não tem a chave nem a frase de recuperação, e cada registro cifrado fica preso à conta, à coleção e à versão, para não poder ser trocado de lugar sem que a decifragem falhe.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, avisaremos você e as autoridades competentes, como exigem a LGPD e o RGPD.

12. Crianças e adolescentes

O Multly não se destina a menores de 18 anos, e não coletamos dados deles de forma consciente. Se soubermos que uma conta pertence a um menor de 18 anos, ela será excluída. Se souber de um caso assim, avise-nos pelo e-mail [email protected].

13. O aplicativo no seu computador

Os dados do aplicativo, como perfis, notas, etiquetas, tarefas, respostas rápidas e o arquivo local, ficam no seu computador, em bancos de dados criptografados com SQLCipher. No Windows, a chave desses bancos é protegida pelo DPAPI do Windows, ligada à sua conta de usuário do Windows. Se a conta volta ao plano grátis, esses dados continuam no computador, e nada é apagado pela mudança de plano: o que é exclusivo do Pro fica só para leitura ou indisponível, como explicam os Termos de uso. Não há telemetria. As páginas do WhatsApp Web se comunicam diretamente com o WhatsApp, como em qualquer navegador.

Com ou sem conta, o aplicativo faz duas consultas ao nosso site, sem enviar dados pessoais nem conteúdo das conversas. Como em qualquer conexão, o nosso servidor recebe o endereço IP, e a rede de entrega de conteúdo informa o país, como numa visita ao site:

• preços: sem conta, ou com a conta cujo e-mail ainda não foi confirmado, o aplicativo consulta, uma vez depois de abrir, os dias do teste do Pro e se o cadastro pede CPF ou CNPJ, informando só o idioma da interface e a versão do aplicativo;
• atualizações, no Windows: cerca de 1 minuto depois de abrir e depois a cada 24 horas, enquanto o aplicativo está aberto, ele baixa a lista de versões publicadas informando só a versão instalada; uma versão nova só é baixada e instalada com a sua confirmação, e a verificação automática pode ser desligada nas configurações do aplicativo.

Com uma conta, o aplicativo envia ao nosso servidor também o necessário para a licença e, se você ligar a sincronização do Pro, os dados cifrados dela:

• ao entrar ou criar a conta: o e-mail e a senha (esta só para conferência, pela conexão criptografada), com a verificação em duas etapas ativa também o código do aplicativo autenticador, só para conferência, no cadastro também o nome, o idioma e, com acesso do Brasil, o CPF ou o CNPJ, e ainda um identificador da instalação, o nome do computador, o sistema e a versão do aplicativo;
• a cada validação, ao abrir e depois a cada 6 horas: só o token do computador;
• com a sincronização ligada: os registros cifrados e os dados descritos na seção 2, nunca a frase de recuperação nem a chave.

O corretor ortográfico funciona no próprio computador.

Quando detecta que o WhatsApp Web mudou e deixou de funcionar como esperado, o aplicativo pergunta se pode enviar um relato de incompatibilidade e mostra o relato antes do envio. A preferência "Enviar relatos de incompatibilidade automaticamente" vem desligada. O que o relato leva está descrito na seção 2; sem a sua permissão, nada é enviado.

Assistente de escrita

O assistente do Pro é opcional e vem desligado. Você escolhe onde a IA roda. Com um programa no próprio computador, como Ollama ou LM Studio, o texto não sai da máquina. Com um provedor na nuvem escolhido por você, como Anthropic, OpenAI, Google Gemini, Groq, Mistral, DeepSeek, OpenRouter, xAI ou outro compatível, ativar exige aceitar um termo de envio para aquele provedor e informar a chave da sua conta nele. O texto digitado ou colado no assistente vai ao provedor só quando você escolhe uma ação, e o tratamento segue o seu contrato com ele. Para mostrar os modelos disponíveis, o aplicativo também consulta, com a sua chave, a lista de modelos do provedor; nenhum conteúdo de conversa vai nessa consulta. As conversas do WhatsApp nunca são lidas ou enviadas automaticamente, e as chaves ficam protegidas do mesmo modo, pelo DPAPI do Windows.

IA no atendimento (Pro)

A IA no atendimento resume a conversa aberta, sugere uma resposta e sugere etiqueta e etapa do funil, com o mesmo provedor escolhido para o assistente de escrita. Ela só lê a conversa quando você pede uma ação, e antes mostra quantas mensagens vão, de quando até quando, de onde e para qual provedor e endereço; nada sai sem você confirmar o envio. Com um provedor na nuvem, há um termo próprio, separado do termo do assistente, para cada provedor, com a data do aceite e revogável nas configurações, porque esse conteúdo é dado pessoal de terceiros. Com a IA no próprio computador (Ollama ou LM Studio), não há termo e nada sai da máquina.

• O que vai ao provedor: instruções fixas do aplicativo e o texto das mensagens escolhidas, com o horário, em que as pessoas aparecem só como Contato (numerado quando há mais de um) ou Atendente; na sugestão de etiqueta e etapa, também os nomes das etiquetas e das etapas do funil da conta. O que estiver escrito dentro das mensagens vai como está.
• O que não vai: o nome da conversa, os nomes e números dos participantes, fotos, áudios, arquivos e mensagens apagadas.
• O que fica guardado: nada do conteúdo. O que foi lido fica na memória até o envio ou o cancelamento, e o resultado só enquanto aparece na tela. Nós não recebemos esse conteúdo; o tratamento no provedor segue o contrato da sua empresa com ele.
• Quem responde: se você usa a IA no atendimento com um provedor na nuvem para conversas com clientes, a sua empresa é a controladora desses dados perante a LGPD e o RGPD, com a base legal, o dever de informar os clientes e a escolha do que enviar, como explicam os Termos de uso.

Dados de clientes no arquivo local

Se você usa o arquivo local para guardar mensagens de clientes, inclusive as apagadas, você é o controlador desses dados e responde pelo tratamento deles, como explicam os Termos de uso.

14. Alterações desta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A data de vigência aparece no início da página. Mudanças relevantes serão avisadas por e-mail e no site antes de entrarem em vigor.

Versões anteriores desta política podem ser pedidas pelo e-mail [email protected].

15. Contato e encarregado

Controlador: NEXEUS SISTEMAS INTELIGENTES LTDA, CNPJ 58.310.179/0001-63.

Endereço: Rua Izaurina Braga, 160, Compensa I, Manaus, AM, CEP 69030-000, Brasil.

Encarregado (DPO) e contato para assuntos de privacidade: [email protected].