# Política de privacidade da Grapnel > Quais dados a Grapnel trata, por quê, com quem compartilha, por quanto tempo guarda, como protege e como você exerce seus direitos ou exclui sua conta. Página canônica: [Política de privacidade da Grapnel](https://grapnel.com.br/privacidade). Conteúdo da Grapnel. Atualizado em 2026-10-26. ## 1. Responsável e encarregado de dados Versão de 26 de outubro de 2026. A Grapnel é oferecida por 48.314.992 ENZO HIDEKI YOSHIDA, CNPJ 48.314.992/0001-58, com endereço na Rua do Saveu, 454, Quadra 22, Lote 26, Casa 01, Jardim Atlântico, Goiânia/GO, CEP 74343-520. O encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é Enzo Hideki Yoshida, pelo e-mail privacidade@grapnel.com.br. Você também pode usar o WhatsApp +55 62 98426-8492. Esta política vale para visitantes do site, pessoas com conta e pessoas cujos dados são tratados nas operações dos clientes. Ela não substitui a política que cada cliente deve apresentar aos seus próprios contatos. - [Escrever ao encarregado](mailto:privacidade@grapnel.com.br) - [Falar sobre meus dados pelo WhatsApp](https://wa.me/5562984268492?text=Ol%C3%A1!%20Quero%20exercer%20meus%20direitos%20de%20privacidade%20na%20Grapnel.) ## 2. Quando a Grapnel decide sobre o tratamento A Grapnel é controladora dos dados necessários para administrar contas, autenticação, assinaturas, atendimento, comunicações e segurança do próprio serviço. Nesses casos, ela define as finalidades e os meios do tratamento. Nos contatos, mensagens, cliques, campanhas e pedidos das operações configuradas por um cliente, a Grapnel é operadora: trata os dados conforme as instruções do cliente, que é o controlador e define a finalidade e a base legal. Os pedidos sobre essas operações são encaminhados ao cliente responsável, e a Grapnel colabora no atendimento. As obrigações de cada parte estão na cláusula 6 dos Termos de uso. - [Termos de uso — cláusula 6](https://grapnel.com.br/termos) ## 3. Dados das contas e do relacionamento com a Grapnel Cadastro e acesso: e-mail, nome, empresa ou equipe, permissões, preferências e o método de acesso usado. A senha passa pelo servidor da Grapnel só para ser enviada ao serviço de autenticação, que a guarda protegida; a Grapnel não a armazena. Também há acesso por código de uso único enviado por e-mail, por link de acesso enviado por e-mail ou WhatsApp, por conta Google e por acesso integrado de parceiros. Os links de acesso valem por no máximo 24 horas, funcionam uma única vez e só entram na conta depois que você confirma em uma página da Grapnel. Não pedimos sua senha em mensagens. Login com Google: ao usar essa opção, recebemos do Google seu nome, e-mail e identificador da conta (escopos openid, email e profile). O script do Google é carregado nas páginas de login e de cadastro, o que permite ao Google receber dados técnicos da visita, como IP e navegador, conforme a política dele. Acesso por parceiros: as contas acessadas pela plataforma LotoHub ou pelo login único (SSO) do UChat recebem desses parceiros dados como e-mail, nome, empresa ou site e papel na equipe, para criar e autenticar o acesso. Nas contas vinculadas, a Grapnel também consulta o UChat para sincronizar equipes e integrantes. Assinatura: plano, quantidade de conexões, período, valores, situação de pagamento e identificadores de cliente, assinatura e transação. Os dados do cartão são informados diretamente ao Stripe. Atendimento e comunicações: conteúdo de chamados, mensagens e arquivos enviados ao suporte, página de origem e dados do navegador anexados ao chamado, registros de envio e entrega de e-mails e registros dos acessos ao painel feitos pelos links desses e-mails. Dados obrigatórios: para criar a conta, apenas o e-mail é obrigatório; para assinar um plano, também os dados de pagamento pedidos pelo Stripe. Sem eles não é possível criar a conta ou cobrar a assinatura (LGPD, art. 9º, § 3º). Os demais dados são opcionais ou surgem do uso do serviço. Segurança e registros técnicos: endereço IP, data e hora, navegador, dispositivo, eventos de autenticação, ações administrativas e erros técnicos. ## 4. Dados das operações dos clientes Conexões de WhatsApp: números conectados, identificadores e estado das conexões e, conforme os recursos usados, conversas, contatos, grupos, canais e mídias acessados pela conexão. A Grapnel guarda trechos de mensagens de até 1.000 caracteres para atribuição e métricas. O conteúdo completo pode passar pela plataforma quando o cliente usa a API, o MCP, webhooks, campanhas ou agentes de IA. Links e campanhas: endereço IP (guardado como hash com chave secreta, HMAC, o que é pseudonimização, e não anonimização; cliques anteriores a 26 de outubro de 2026 são convertidos automaticamente para esse formato, e IPs completos antigos são apagados na conversão), navegador e dispositivo, cidade, região e país estimados pelo IP, página de origem, parâmetros de campanha (UTM), identificadores de clique de anúncios, identificador de visitante, telefone do contato, mensagem inicial e atendente atribuído. Integrações: conforme o que o cliente ativar, dados de pedidos, valores, produtos, cupons e telefones do WooCommerce; eventos e identificadores do UChat; e eventos de conversão enviados à Meta (API de Conversões) e ao Google Ads, que podem incluir IP, navegador, identificadores de clique e dados de contato em hash, conforme as regras dessas plataformas. Compartilhamentos feitos pelo cliente: relatórios compartilhados por link e PIN mostram os telefones dos contatos mascarados, salvo se o cliente optar por exibir os números completos a quem tiver o link e o PIN. Exportações em CSV e envios a webhooks, API, MCP e agentes de IA entregam os dados aos destinos escolhidos pelo cliente. Evite incluir dados sensíveis ou desnecessários em campos livres, mensagens, arquivos e capturas de tela. ## 5. Finalidades e bases legais Execução de contrato (LGPD, art. 7º, V): criar e proteger contas, autenticar acessos, prestar as funcionalidades contratadas, cobrar assinaturas e prestar suporte. Cumprimento de obrigação legal (art. 7º, II): guardar registros de acesso por 6 meses (Marco Civil da Internet, art. 15) e documentos fiscais e de cobrança, e atender ordens válidas de autoridades. Legítimo interesse (art. 7º, IX, e art. 10): segurança, prevenção de fraude e de abuso, registros administrativos, melhoria do serviço, medição de visitas às páginas públicas e e-mails sobre o uso da conta. Usamos apenas os dados necessários, avaliamos o impacto sobre os titulares e oferecemos meios de oposição (art. 18, § 2º). Exercício regular de direitos (art. 7º, VI): guardar o mínimo necessário para a defesa em processos judiciais, administrativos ou arbitrais. Consentimento (art. 7º, I): somente quando indicado de forma específica, com possibilidade de revogação por canal facilitado. Ler esta política ou usar o serviço não significa consentimento genérico. Nas operações dos clientes, a base legal é definida e informada pelo cliente. - [Lei Geral de Proteção de Dados](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) ## 6. E-mails sobre a sua conta Enviamos os e-mails necessários ao serviço, como códigos de acesso e avisos de cobrança, segurança e conexões. Com base em legítimo interesse, também enviamos e-mails de relacionamento: boas-vindas, lembretes após 7, 14 e 30 dias sem uso, lembretes de contratação não concluída, avisos após o cancelamento convidando a reativar a assinatura e um resumo semanal de uso. Os lembretes, os convites e o resumo semanal têm link para parar de recebê-los. Os e-mails necessários ao serviço continuam enquanto a conta existir. Alguns e-mails trazem um link de acesso ao painel, válido por no máximo 24 horas e para um único uso. Não encaminhe esses e-mails a outras pessoas. ## 7. Cookies e armazenamento no navegador Cookies necessários: grapnel_session mantém o acesso ao painel por até 365 dias ou até você sair; grapnel_analytics_session mantém o acesso a relatórios protegidos por PIN por até 8 horas; grapnel_instancias_session e grapnel_pixels_session duram 24 horas. Os cookies grapnel_admin_session, grapnel_admin_device e grapnel_admin_sidebar são usados apenas na administração interna da Grapnel, por até 365 dias. Links de atendimento: o cookie grapnel_vid identifica o navegador por até 400 dias para reconhecer retornos e apoiar a distribuição e a atribuição de contatos. Quando o cliente configura pixels, as páginas dos links também carregam o Meta Pixel e a tag do Google Ads, que podem criar cookies dessas empresas, como _fbp e _fbc. A Grapnel lê esses identificadores e os envia, com IP e navegador, à API de Conversões da Meta configurada pelo cliente. O cliente é o controlador dessas medições e deve obter o consentimento exigido para cookies de publicidade. Armazenamento local: preferências de interface, rascunhos de configuração e a escolha sobre a análise de visitas (grapnel-analytics-consent-v1) ficam no navegador. O aplicativo instalável guarda em cache somente arquivos e páginas públicas. Você pode apagar cookies e dados locais nas configurações do navegador. Apagar cookies necessários encerra sessões e pode afetar recursos. - [Dúvidas sobre cookies e campanhas](https://wa.me/5562984268492?text=Ol%C3%A1!%20Quero%20exercer%20meus%20direitos%20de%20privacidade%20na%20Grapnel.) ## 8. Análise de visitas com Google Analytics Nas páginas institucionais públicas em produção, usamos o Google Analytics para saber quais conteúdos são visitados e melhorar o site, com base em legítimo interesse. A análise fica ativada por padrão, sem banner. Você pode desativá-la a qualquer momento em Preferências de cookies, nesta página, sem perder acesso ao conteúdo. A escolha vale neste navegador por até 180 dias; depois desse prazo, a análise volta ao padrão ativado. Você também pode se opor pelo e-mail do encarregado. Quando a análise está ativada, os cookies _ga e _ga_7LM6CNR1QQ ajudam a distinguir visitas e sessões e duram até 180 dias, sem renovação automática a cada visita. As métricas incluem a página pública visitada, a origem da visita sem seus parâmetros e informações do navegador e do dispositivo. Não enviamos ao Analytics e-mails, dados da conta, parâmetros ou fragmentos da URL, nem visitas ao login, aos painéis, às páginas administrativas ou aos links de atendimento. O Google Signals e a personalização de anúncios ficam desativados. Ao desativar a análise, bloqueamos novos envios e removemos deste navegador os cookies de análise. Isso não apaga automaticamente os dados já recebidos pelo Google; você pode pedir informações e exercer seus direitos pelo canal do encarregado. A duração dos cookies não define, sozinha, o prazo de conservação dos relatórios do Analytics. O Vercel Web Analytics e o Speed Insights não estão ativados. A escolha sobre a análise não altera os registros técnicos necessários nem as métricas dos links de atendimento. - [Preferências de cookies](https://grapnel.com.br/privacidade#preferencias-de-cookies) - [Como o Google usa dados de sites parceiros](https://policies.google.com/technologies/partner-sites?hl=pt-BR) ## 9. Fornecedores e compartilhamento Fornecedores que tratam dados por conta da Grapnel: Vercel (hospedagem, registros técnicos e localização aproximada pelo IP); Supabase (banco de dados, autenticação e arquivos); Resend (envio de e-mails); Stripe (pagamentos e cobranças); Sentry (diagnóstico de erros, configurado para não coletar IP, cookies, dados de usuário nem corpo de requisições, e com filtro de telefones, e-mails, nomes e mensagens); UAZAPI (conexões e operações de WhatsApp); e Google (Analytics e login com Google). Parceiros e plataformas: UChat (login único e sincronização de equipes); LotoHub (acesso integrado); Meta e Google Ads (eventos de conversão configurados pelo cliente); WooCommerce (integração ativada pelo cliente). Webhooks, agentes de IA e ferramentas conectadas por API ou MCP recebem dados conforme a configuração do cliente. Não vendemos dados pessoais. Registros de acesso e conteúdo de comunicações só são fornecidos a terceiros mediante ordem judicial. Dados cadastrais podem ser informados às autoridades administrativas que tenham competência legal para pedi-los (Marco Civil da Internet, arts. 10 e 22). Também podemos usar o mínimo necessário para exercer direitos em processos. Se houver reorganização ou transferência do negócio, os dados podem passar ao sucessor, que fica obrigado a respeitar esta política. - [Privacidade da Vercel](https://vercel.com/legal/privacy-notice) - [Privacidade do Supabase](https://supabase.com/privacy) - [Privacidade do Resend](https://resend.com/legal/privacy-policy) - [Privacidade do Stripe](https://stripe.com/br/privacy) - [Privacidade do Sentry](https://sentry.io/privacy/) - [Privacidade do Google](https://policies.google.com/privacy?hl=pt-BR) ## 10. Transferência internacional de dados O banco de dados, a autenticação e os arquivos (Supabase) e as funções da aplicação (Vercel) ficam na região de São Paulo, no Brasil. Alguns fornecedores tratam dados fora do Brasil, como descrito abaixo. Este item é o documento de transparência sobre transferências internacionais previsto nas cláusulas-padrão contratuais da Agência Nacional de Proteção de Dados (ANPD), aprovadas pela Resolução CD/ANPD nº 19/2024. Stripe — Estados Unidos. Finalidade: processar pagamentos e assinaturas. Dados: e-mail, nome, identificadores de cliente e de cobrança e dados do cartão, informados diretamente ao Stripe. Duração: enquanto houver assinatura e, depois, pelos prazos legais que o Stripe deve cumprir. Resend — Estados Unidos. Finalidade: enviar e-mails. Dados: e-mail, conteúdo das mensagens e registros de entrega. Duração: pelo ciclo de registros do fornecedor. Sentry — Estados Unidos ou União Europeia, conforme a região da conta. Finalidade: diagnosticar erros. Dados: informações técnicas dos erros, com filtro de telefones, e-mails, nomes, mensagens, IP e credenciais. Duração: pelo ciclo de retenção do fornecedor. Google — Estados Unidos e outros países. Finalidade: análise de visitas nas páginas públicas e login com Google. Dados: dados técnicos da visita, identificadores dos cookies de análise e, no login, nome, e-mail e identificador da conta Google. Duração: conforme as configurações do Analytics e a política do Google. Vercel — rede global de entrega. Finalidade: entregar o site com rapidez e segurança. Dados: IP, navegador e endereço das páginas acessadas, em trânsito e em registros técnicos. Meta, Google Ads, UChat e outras plataformas que o cliente integrar — Estados Unidos e outros países, conforme cada fornecedor. Nessas transferências, o cliente é o controlador e deve informar seus titulares. Essas transferências se apoiam nos mecanismos do art. 33 da LGPD aplicáveis a cada caso: cláusulas-padrão contratuais da ANPD nos contratos com os fornecedores; reconhecimento de nível adequado de proteção, como o da União Europeia (Resolução CD/ANPD nº 32/2026); e a necessidade para executar o contrato, cumprir obrigação legal ou exercer direitos (art. 33, IX). A pedido, enviamos a íntegra das cláusulas usadas, respeitados os segredos comercial e industrial. - [Pedir informações sobre transferências](mailto:privacidade@grapnel.com.br) - [Regulamento da ANPD sobre transferências](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-19-de-23-de-agosto-de-2024) ## 11. Por quanto tempo guardamos os dados Conta e operações: enquanto a conta existir. Cancelar a assinatura ou deixar de pagar não apaga a conta nem seus dados; para apagá-los, use a exclusão permanente. Contas sem assinatura e sem acesso por mais de 24 meses podem ser eliminadas após aviso ao e-mail cadastrado. Os dados de contatos, cliques, conversões e mensagens das operações ficam disponíveis ao cliente enquanto a conta existir, sem prazo automático de exclusão, porque servem aos relatórios definidos por ele. O cliente pode apagá-los a qualquer momento no painel, com as ferramentas descritas no item 12. Registros com prazo definido: registros de acesso, 6 meses (Marco Civil da Internet, art. 15); registros técnicos, de e-mails, de conexões, de segurança e de eventos de pagamento, 90 dias; registros de uso da API, 7 dias; contadores de tentativas de acesso, 90 dias sem uso; links de acesso, 120 dias depois de criados. Os códigos de uso único expiram em 10 minutos. Os registros de uso de cupons, com IP e navegador, são mantidos enquanto a conta existir, para prevenir fraude. Os registros de ações administrativas são mantidos enquanto forem necessários à segurança, à auditoria e ao exercício de direitos, com acesso restrito. Documentos fiscais e de cobrança são guardados pelos prazos legais, inclusive pelo Stripe. As cópias de segurança automáticas do banco de dados são substituídas em ciclo de até 30 dias, e os registros dos fornecedores seguem ciclos próprios; por isso, eles não desaparecem no mesmo instante da exclusão na base principal. Isso não autoriza guardar um perfil completo nem reutilizá-lo em campanhas depois da exclusão. - [Excluir minha conta](https://grapnel.com.br/excluir-conta) - [Marco Civil da Internet — art. 15](https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm) ## 12. Como apagar dados e excluir a conta Exclusão da conta: na página Excluir minha conta, informe seu e-mail e confirme sua identidade com senha ou código de uso único. Após a confirmação final, o acesso é encerrado e a exclusão começa imediatamente, sem período de reconsideração. Ela apaga a autenticação, os dados e arquivos da conta, as conexões e as conversas guardadas no provedor da conexão, os registros administrativos e de atividade ligados à conta e o cadastro de cliente no Stripe, depois de encerrar a cobrança. Se um fornecedor falhar, a página informa a pendência e o sistema tenta de novo; uma etapa pendente nunca é apresentada como concluída. Depois da exclusão, permanecem apenas: os registros de acesso sem vínculo com a conta (IP, data e hora) até completar 6 meses, como exige o Marco Civil da Internet (art. 15); por 35 dias, um registro mínimo do pedido, só com números internos e sem dados pessoais, usado para refazer a exclusão caso uma cópia de segurança seja restaurada; os dados que o Stripe deve manter por obrigação própria; identificadores técnicos sem dados pessoais, como uma conexão anonimizada que ainda aparece no histórico de outra conta; e as cópias e registros dos fornecedores, que seguem os ciclos do item 11. Mensagens já entregues a outras pessoas e dados em contas de terceiros não são alcançados. Pedidos de reembolso continuam possíveis depois do encerramento. Apagar dados sem excluir a conta: no painel, a pessoa proprietária pode apagar todos os dados da conta, com confirmação de identidade; continuam o acesso, a equipe, as preferências de notificação, a assinatura e o histórico de cobrança e de cupons, os registros de acesso exigidos por lei e os registros de segurança e de administração; as conexões são removidas e podem ser refeitas por QR Code nas mesmas vagas pagas. Também é possível apagar os dados de uma conexão; as conversas guardadas no provedor da conexão só são apagadas quando a própria conexão também é excluída. Apagar um contato: a pessoa proprietária pode apagar, no painel, os dados de um contato pelo telefone. Telefone, mensagens, IP e dados do navegador desse contato são apagados ou anonimizados, e os totais dos relatórios continuam corretos. Ficam apenas, sem o número, um comprovante com um código derivado do telefone por chave secreta (HMAC), por 35 dias, e um registro de auditoria com o mesmo código, por 90 dias. - [Excluir minha conta permanentemente](https://grapnel.com.br/excluir-conta) - [Apagar dados no painel](https://grapnel.com.br/whatsapp-manager/dados) - [Pedir ajuda com meus dados](https://wa.me/5562984268492?text=Ol%C3%A1!%20Quero%20exercer%20meus%20direitos%20de%20privacidade%20na%20Grapnel.) ## 13. Seus direitos e como exercê-los Você pode pedir: confirmação do tratamento; acesso aos dados; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade, conforme a regulamentação; eliminação dos dados tratados com consentimento; informação sobre compartilhamentos e sobre a possibilidade de não consentir; revogação do consentimento; e revisão de decisões automatizadas (LGPD, arts. 18 e 20). Você também pode se opor a tratamento feito com outra base legal, se houver descumprimento da lei. Envie o pedido ao encarregado pelo e-mail privacidade@grapnel.com.br ou pelo WhatsApp, sem custo. Pessoas com conta também podem usar as ferramentas de exclusão do item 12. Podemos pedir apenas as informações necessárias para confirmar sua identidade e proteger os dados de outras pessoas. Não envie senha, código de acesso ou documentos completos sem necessidade. A confirmação ou o acesso simplificado são fornecidos imediatamente; a declaração completa, em até 15 dias (art. 19). Pessoas com conta podem pedir cópia eletrônica integral dos seus dados em formato de uso comum (art. 19, § 3º). Se não for possível atender de imediato, explicaremos as razões e as providências cabíveis. Se a questão não for resolvida, você pode apresentar petição à ANPD ou aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º). Quando a Grapnel for operadora, indicaremos o controlador responsável sempre que possível e ajudaremos no encaminhamento. - [Exercer meus direitos](mailto:privacidade@grapnel.com.br) - [Canais da ANPD para titulares](https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao-titular-de-dados/denuncia-peticao-de-titular-referente-lgpd) ## 14. Segurança e incidentes Medidas adotadas: conexões criptografadas (HTTPS); senhas guardadas apenas pelo serviço de autenticação, nunca pela Grapnel; chaves de API guardadas em hash; segredos de integrações criptografados; IPs de cliques guardados como hash com chave secreta; sessões revogadas no servidor ao sair; links de acesso de uso único válidos por até 24 horas; proteção contra requisições forjadas entre sites (CSRF) e contra a exibição do painel dentro de outros sites; permissões por função; registros de acesso; limites de tentativas; e diagnóstico de erros com filtro de dados pessoais. Nenhum sistema é totalmente imune a falhas. O banco de dados é criptografado em repouso pelo fornecedor de infraestrutura, e os dados trafegam criptografados. Os dados das operações não usam criptografia de ponta a ponta, porque a Grapnel precisa lê-los para entregar o painel, os relatórios, a API e as integrações que o cliente configura. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, a Grapnel comunicará a ANPD e os titulares afetados no prazo regulamentar (LGPD, art. 48; Resolução CD/ANPD nº 15/2024), com a natureza dos dados, os riscos e as medidas adotadas. Quando for operadora, avisará o cliente controlador sem demora injustificada. Todo incidente de segurança com dados pessoais é registrado, mesmo quando não precisa ser comunicado, e o registro é guardado por pelo menos 5 anos (Resolução CD/ANPD nº 15/2024). Se você identificar uma falha ou exposição de dados, avise o encarregado sem divulgar publicamente os dados afetados. - [Comunicar um incidente](mailto:privacidade@grapnel.com.br) ## 15. Decisões automatizadas, crianças e dados sensíveis A distribuição de contatos entre atendentes é automática e segue regras definidas pelo cliente. A Grapnel não usa os dados para criar perfis de crédito, de consumo ou de personalidade. Você pode pedir a revisão de uma decisão automatizada (LGPD, art. 20) ao cliente responsável ou ao encarregado. A Grapnel não é direcionada a crianças e adolescentes, e a conta exige 18 anos ou mais. Se soubermos de uma conta criada por menor de idade, ela pode ser encerrada. Os clientes que tratarem dados de crianças e adolescentes devem cumprir o art. 14 da LGPD e a Lei nº 15.211/2025. A Grapnel não precisa de dados sensíveis (LGPD, art. 5º, II) para funcionar. Não os inclua sem necessidade e base legal. ## 16. Atualizações desta política Novas finalidades, integrações ou mudanças relevantes no tratamento são informadas por e-mail ou por aviso no painel antes de entrarem em vigor. Quando necessário, pediremos uma nova escolha. A data da versão identifica cada alteração. Você pode salvar esta página em Markdown ou imprimi-la pelo navegador. - [Contato do encarregado](mailto:privacidade@grapnel.com.br) - [Salvar a política em Markdown](https://grapnel.com.br/privacidade.md) - [Termos de uso](https://grapnel.com.br/termos)