Política de Privacidade da StepSales

Versão: 2.1 Última atualização: 2026-06-23 Vigência: a partir do aceite explícito do Usuário

1. Controlador e Encarregado de Dados (DPO)

Controlador: STEPSALES LTDA CNPJ: 66.411.453/0001-19 Sediada em Estância Velha/RS, Brasil

Encarregado pelo Tratamento de Dados Pessoais (DPO): Contato: privacidade@stepsales.com.br Atribuições conforme LGPD art. 41.

Conforme orientação da ANPD ("Guia de Boas Práticas para o Encarregado", 2021), a identificação do Encarregado pode ser feita por canal de contato funcional. Qualquer dúvida, exercício de direitos ou denúncia deve ser enviada ao e-mail acima. A equipe responsável responde em até 15 dias úteis.

2. Definições

Os termos abaixo seguem a definição do art. 5º da LGPD:

• Dados Pessoais: informação relacionada a pessoa natural identificada ou identificável.
• Dados Pessoais Sensíveis: dados sobre origem racial, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural. A StepSales não trata dados sensíveis.
• Tratamento: toda operação realizada com dados pessoais (coleta, uso, armazenamento, eliminação, transferência, etc.).
• Titular: pessoa natural a quem se referem os dados pessoais.
• Controlador: quem decide o que fazer com os dados.
• Operador: quem trata dados em nome do controlador.

3. Dados pessoais coletados

3.1. Dados do Usuário (administrador ou vendedor da Conta)

Quando você cria uma Conta e usa a Plataforma, coletamos:

3.2. Dados dos Contatos (inseridos por você na Plataforma)

Importante: em relação aos dados dos seus Contatos, a StepSales atua como Operadora. Você é o Controlador e responde pela base legal do tratamento (consentimento, execução de contrato, legítimo interesse, etc., conforme LGPD art. 7).

3.3. Dados obtidos via WhatsApp Business Platform (Meta)

Quando o Usuário conecta seu número pelo Embedded Signup da Meta, a StepSales passa a acessar e tratar, em nome do Usuário (como Operadora), os seguintes dados da WhatsApp Business Platform:

Esses dados (as "Plataforma Data" / Dados da Plataforma da Meta) são utilizados exclusivamente para operar o serviço contratado pelo Usuário, enviar e receber mensagens, organizar conversas, registrar histórico e consentimento (opt-in/opt-out). A StepSales não vende esses dados, não os utiliza para publicidade nem para qualquer finalidade não autorizada pelo Usuário, e não os compartilha com terceiros além dos subprocessadores estritamente necessários listados na Seção 6. O token de acesso ao número é armazenado criptografado (AES-256-GCM) e pode ser revogado pelo Usuário a qualquer momento ao desconectar o número em Configurações › WhatsApp. A retenção e a eliminação desses dados seguem a Seção 9, observadas também as políticas da Meta.

4. Bases legais para o tratamento

Tratamos os dados pessoais com base nas seguintes hipóteses do art. 7 e art. 11 da LGPD:

5. Finalidades do tratamento

Os dados coletados são utilizados para:

1. Operação do serviço: autenticação, gerenciamento da Conta, processamento de mensagens, organização de funil, automações, relatórios. 2. Cobrança: emissão de faturas, processamento de pagamentos, cobrança de inadimplentes. 3. Suporte: atendimento a tickets, resposta a dúvidas e reclamações. 4. Comunicação operacional: avisos sobre o serviço, atualizações relevantes, alertas de segurança. 5. Marketing (apenas com opt-in): newsletters, novidades sobre o produto. Você pode descadastrar a qualquer momento via link em cada e-mail. 6. Segurança: prevenção de fraude, ataques, abusos. Auditoria de acessos. 7. Cumprimento legal: atender requisições judiciais, fiscais e regulatórias. 8. Melhoria do produto: análise de uso agregado (sem identificação individual) para evoluir funcionalidades.

6. Compartilhamento e suboperadores

Para operar a Plataforma, compartilhamos dados com os seguintes subprocessadores, cada um com contrato de processamento de dados em vigor:

Não compartilhamos seus dados ou os dos seus Contatos com terceiros para fins de marketing, venda ou perfilamento, exceto:

• Quando explicitamente autorizado por você;
• Para cumprimento de obrigação legal ou ordem judicial;
• Para proteção de direitos da StepSales ou de terceiros em casos comprovados de fraude.

7. Transferência internacional

Alguns subprocessadores armazenam ou processam dados fora do Brasil (EUA, UE). Nestes casos, observamos a LGPD art. 33 e adotamos:

• Cláusulas contratuais padrão (modelo internacional);
• Comprovação de que o país destinatário oferece grau de proteção equivalente à legislação brasileira;
• Termos de transferência específicos quando exigido por lei.

A maior parte dos dados sensíveis ao negócio (Conta, Contatos, Mensagens) fica armazenada no Brasil (Supabase sa-east-1).

8. Cookies e tecnologias similares

A StepSales usa apenas cookies essenciais para o funcionamento da Plataforma. Não usamos cookies de tracking publicitário ou analytics de terceiros sem consentimento.

Não usamos: Google Analytics, Facebook Pixel, Hotjar, ou similares de rastreamento de comportamento sem opt-in explícito.

9. Retenção de dados

Mantemos os dados pelo tempo necessário para cumprir as finalidades declaradas e obrigações legais:

Após o prazo de retenção, os dados são apagados definitivamente, exceto quando houver obrigação legal de preservação.

10. Direitos do Titular (LGPD art. 18)

Como titular dos dados, você (Usuário ou Contato) tem os seguintes direitos:

10.1. Confirmação de tratamento e acesso (incisos I e II)

Saber se seus dados estão sendo tratados e receber cópia dos mesmos.

10.2. Correção de dados (inciso III)

Corrigir dados incompletos, inexatos ou desatualizados.

10.3. Anonimização, bloqueio ou eliminação (inciso IV)

Solicitar a anonimização ou exclusão de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.

10.4. Portabilidade (inciso V)

Receber seus dados em formato estruturado (JSON), de modo a permitir a transferência para outro fornecedor de serviço.

10.5. Eliminação dos dados tratados com consentimento (inciso VI)

Quando o tratamento for baseado em consentimento, você pode revogá-lo a qualquer momento.

10.6. Informação sobre compartilhamento (inciso VII)

Saber com quais entidades públicas e privadas seus dados foram compartilhados.

10.7. Informação sobre a possibilidade de não consentir (inciso VIII)

Conhecer as consequências de negar consentimento, quando aplicável.

10.8. Revogação de consentimento (inciso IX)

Revogar consentimento previamente dado, sem prejuízo dos tratamentos com outra base legal.

10.9. Oposição (LGPD art. 18, § 2)

Opor-se ao tratamento realizado com fundamento em legítimo interesse, em caso de descumprimento do dispositivo legal.

11. Como exercer seus direitos

11.1. Você é Usuário (admin da Conta)

• Exclusão da Conta: painel → Configurações → "Excluir minha conta" (purge automático em 30 dias)
• Recuperar Conta: dentro do prazo de 30 dias, acesse /recuperar-conta
• Portabilidade: painel → Configurações → "Baixar meus dados" (arquivo JSON)
• Correção: edite seu perfil no painel

11.2. Você é um Contato (cliente final do Usuário)

Como a StepSales é Operadora dos seus dados, encaminhamos sua solicitação ao Usuário Controlador. Você também pode:

• Acessar stepsales.com.br/lgpd e preencher o formulário
• Enviar e-mail para privacidade@stepsales.com.br identificando-se e descrevendo a solicitação

Prazo de resposta: até 15 (quinze) dias úteis, conforme LGPD art. 19.

11.3. Casos em que não podemos atender imediatamente

• Dados retidos por obrigação legal (faturas fiscais, audit logs no prazo legal);
• Solicitações sem identificação adequada do titular (podemos pedir documentos complementares);
• Solicitações manifestamente infundadas ou repetitivas (LGPD art. 18 § 5).

12. Segurança

A StepSales adota medidas técnicas e administrativas para proteger os dados pessoais:

Técnicas:

• Senhas armazenadas com bcrypt, em formato irreversível (a StepSales não tem como ler a senha de ninguém);
• Tokens de WhatsApp criptografados em repouso (AES-256-GCM com chave rotacionável);
• HTTPS obrigatório (TLS 1.2+);
• Cookies httpOnly, sameSite=Strict, secure em produção;
• Isolamento entre clientes aplicado em toda consulta ao banco pelo identificador da empresa, auditado a cada revisão de segurança;
• Backups diários automáticos com retenção de 12 meses;
• Logs de auditoria imutáveis de toda ação relevante (acessos, exclusões, exportações).

Administrativas:

• Acesso a dados de produção restrito ao número mínimo de pessoas;
• Onboarding com treinamento de proteção de dados;
• Política interna de mesa limpa, sem credenciais em texto claro;
• Plano de resposta a incidentes (Incident Response) documentado;
• Revisões periódicas de segurança e dependências.

Em caso de incidente de segurança (vazamento, acesso não autorizado), notificaremos a ANPD e os titulares afetados conforme LGPD art. 48, no prazo razoável a partir da ciência.

13. Crianças e adolescentes

A StepSales é uma plataforma B2B destinada ao uso por empresas e profissionais. Não coletamos intencionalmente dados de pessoas menores de 18 anos.

Caso identifiquemos dados de menores armazenados sem consentimento dos responsáveis legais, eles serão excluídos imediatamente, salvo quando houver fundamento legal específico (LGPD art. 14).

14. Decisões automatizadas

A Plataforma utiliza algoritmos para sugestões internas (ex: temperatura do lead, urgência de mensagem). Essas sugestões são apenas indicadores para o Usuário, não constituem decisão automatizada com efeitos jurídicos relevantes (LGPD art. 20).

Caso você tenha dúvidas sobre como uma sugestão foi calculada, entre em contato com o DPO.

15. Alterações desta Política

A StepSales pode atualizar esta Política a qualquer momento. Alterações relevantes (mudança de finalidade, novos subprocessadores, mudanças de retenção) são notificadas por e-mail aos administradores das Contas com antecedência mínima de 15 dias.

Alterações que afetem materialmente direitos exigem re-aceite explícito no próximo login. O histórico das versões anteriores fica disponível em stepsales.com.br/privacidade/versoes.

16. Reclamações à ANPD

Caso entenda que seus direitos foram desrespeitados, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD):

• Site: gov.br/anpd
• Endereço: SCS Quadra 1, Bloco A, Edifício Carlton Tower, Brasília/DF

17. Contato

Versão: 2.1 Última atualização: 2026-06-23