Política de privacidade

O que o Noha OS faz no piloto

O Noha OS reúne marketing, atendimento e vendas de uma empresa. No piloto, aberto a quem cria conta com e-mail confirmado, ele oferece:

• WhatsApp oficial: a empresa conecta o próprio número pela API oficial da Meta (WhatsApp Cloud API). O número pode continuar em uso no aplicativo WhatsApp Business do celular ao mesmo tempo (coexistência). O Noha OS mostra as conversas, os contatos e os anexos, recebe o histórico que a empresa escolhe sincronizar e envia respostas e modelos de mensagem aprovados pela Meta.
• Sugestão de resposta por IA: a IA pode propor uma resposta com base na conversa, nas orientações aprovadas e nos documentos enviados pela empresa. Uma pessoa da equipe revisa antes de enviar. O atendimento automático é um adicional pago: vem desligado, só a própria empresa pode ligá-lo e ele não está disponível no teste gratuito. Enquanto ele estiver desligado, toda mensagem enviada parte de uma pessoa que clica em Enviar. A equipe pode assumir a conversa a qualquer momento.
• Leitura de anúncios e do site: com autorização da empresa, o Noha OS lê métricas do Meta Ads, do Google Ads, do Google Analytics (GA4) e do Google Search Console. Ele só lê: não cria nem altera campanhas.
• Loja Shopify: quando a loja instala o app Noha OS, ele lê pedidos, produtos e custos para mostrar faturamento, margem e custo por cliente novo de cada anúncio. Ele só lê: não altera pedidos, produtos nem clientes da loja.
• Resultados comerciais: a equipe registra oportunidades, vendas, valores e motivos de perda.
• Tracking do site: quando a empresa instala a tag do Noha OS no próprio site, ela só registra dados depois que o visitante consente.
• Retorno de conversões: o envio de vendas para a Meta e o Google está preparado, mas está desligado. Nenhuma venda é enviada a essas plataformas. Se ele for ligado, esta política será atualizada antes.

Quem responde pelos dados

Noha Agência de Marketing e Produtora Ltda., CNPJ 48.409.196/0001-07, é a controladora dos dados de cadastro, acesso, segurança, suporte e cobrança do próprio Noha OS. Perante a Meta e o Google, a Noha é a responsável pelo aplicativo Noha OS e pelos dados que essas plataformas entregam a ele. O contato para assuntos de privacidade é comercial@nohaoficial.com.br.

Quando uma empresa usa o Noha OS para atender os próprios clientes, ela é a controladora dos dados desses clientes: conversas, contatos, oportunidades, pedidos da loja e métricas das contas dela. É ela quem decide a finalidade do atendimento. Nesse caso, a Noha é operadora: trata esses dados só para prestar o serviço e conforme as instruções da empresa. Uma agência que usa o Noha OS para clientes dela precisa ter a autorização desses clientes.

Se você conversou com uma empresa pelo WhatsApp e ela usa o Noha OS, fale primeiro com essa empresa. Se escrever para a Noha, encaminharemos o pedido a ela.

Dados que tratamos

• Conta: nome, e-mail, empresa, perfil de acesso, registros de aceite e dados necessários ao login, inclusive o login com Google quando você o escolhe. Nesse caso, o Google nos entrega seu nome, e-mail e foto de perfil.
• Integrações autorizadas: identificadores das contas e propriedades escolhidas, permissões concedidas, credenciais de acesso guardadas cifradas, métricas (como investimento, impressões, cliques, sessões e conversas iniciadas) e histórico das importações.
• WhatsApp: número e nome da empresa na Meta, número de telefone e nome de perfil dos contatos, mensagens enviadas e recebidas, histórico sincronizado, modelos de mensagem, etiquetas, notas internas, oportunidades, pedidos de não receber mensagens, o registro da permissão de marketing do contato (quando, como e por quem ela foi dada, e quando foi retirada) e o identificador do anúncio de onde veio a conversa, quando houver. Os arquivos anexados não ficam guardados no Noha OS: eles passam da Meta para quem abre a conversa. Guardamos só a referência ao anexo, junto com a mensagem e pelo mesmo prazo da conversa.
• Referência de anúncios no WhatsApp: quando uma conversa começa a partir de um anúncio, a Meta pode enviar uma referência junto com a mensagem. Além do identificador do anúncio e do clique, essa referência pode trazer o título e o texto da peça, o tipo de mídia e endereços relacionados à mídia. Nas novas mensagens recebidas pelo WhatsApp conectado, o Noha OS guarda um registro reduzido das referências reconhecidas, com horários e situações necessários para ligar a referência ao atendimento. Nesse registro, os endereços de mídia são representados por códigos de comparação. Isso não altera os prazos do conteúdo bruto recebido da Meta e das mensagens, descritos nesta política. A referência é uma informação recebida da Meta. Ela não equivale, sozinha, à confirmação de atribuição de uma venda. Os dados atuais de uma peça consultados depois também não demonstram, sozinhos, qual versão da peça a pessoa viu ao clicar.
• Loja Shopify: pedidos (número, datas, situação do pagamento, meio de pagamento informado pela Shopify, moeda, valores, itens, descontos, frete cobrado, reembolsos, canal de venda de onde o pedido veio e se a venda foi no site ou na loja física), produtos, variantes e custos. Para ligar a venda ao anúncio, a jornada da visita que levou ao pedido: data, página de entrada sem os identificadores de clique, origem e parâmetros de campanha (UTM). Do cliente da loja, guardamos só um código calculado a partir do identificador da Shopify, que serve para saber se é a primeira compra paga do cliente na loja, sem contar as vendas que a Shopify identifica como feitas no ponto de venda da loja física. Não pedimos nem guardamos nome, e-mail, telefone ou endereço dos clientes da loja, nem o endereço da página de onde a visita veio.
• IA: quando a empresa usa a sugestão de resposta ou o atendimento automático, trechos da conversa, as orientações aprovadas e trechos dos documentos enviados pela empresa vão ao provedor de IA para gerar a resposta.
• Tracking do site, com consentimento do visitante: parâmetros de campanha (UTM), identificadores de clique de anúncio do Google e da Meta e o clique no botão de WhatsApp. Não guardamos o endereço IP nem o conteúdo de formulários.
• Cobrança: plano, situação da assinatura e faturas. O cartão é digitado na página da Stripe; a Noha não recebe o número do cartão.
• Operação e segurança: registros técnicos, sessão, erros e ações necessárias para proteger a conta e investigar falhas.

Para que usamos esses dados

Para criar e proteger contas, mostrar conversas, relatórios e registros, enviar as mensagens que a empresa pede, executar as integrações autorizadas, oferecer suporte, manter o serviço no ar e cumprir obrigações legais. O tratamento necessário ao acesso e à prestação do piloto tem como base a execução do acordo de teste; segurança e obrigações legais podem exigir outras bases previstas na LGPD. Quando uma finalidade exigir consentimento, essa escolha é apresentada à parte e pode ser retirada.

A autorização do administrador para conectar uma conta de anúncios ou instalar o tracking não substitui a escolha dos visitantes do site da empresa. A empresa dona do site é quem pede esse consentimento. Recusar dados opcionais de marketing não impede o uso dos recursos essenciais.

Não vendemos dados pessoais. Não usamos dados recebidos da Meta ou do Google para anunciar a Noha. Não usamos conversas para treinar modelos de IA. O conteúdo de uma empresa não é usado como conhecimento de outra. O uso de dados recebidos das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de uso limitado.

Fornecedores e compartilhamento

Compartilhamos dados só com os fornecedores necessários para o serviço funcionar:

• Meta: entrega as mensagens do WhatsApp e fornece as métricas do Meta Ads, nas contas e números que a empresa conectar.
• Google: fornece métricas do Google Ads, do GA4 e do Search Console e o login com Google, quando autorizados.
• Shopify: fornece os pedidos, os produtos e os custos da loja que instala o app Noha OS.
• Supabase: banco de dados e login. Guarda os dados da conta, das integrações e do atendimento.
• Cloudflare: hospedagem e proteção. Todas as telas e chamadas do Noha OS passam por ela.
• Resend: envio de e-mails, como código de acesso, avisos da conta e o resumo diário com métricas, quando a empresa o liga.
• OpenAI, em substituição pela Anthropic (Claude): gera as sugestões de resposta e o atendimento automático, só quando a empresa usa esses recursos.
• Stripe: processa pagamentos e assinaturas.

Também podemos compartilhar dados quando a lei ou uma autoridade competente exigir.

Transferência internacional

O banco de dados do Noha OS fica nos Estados Unidos (Supabase), e a hospedagem roda numa rede global (Cloudflare). O envio de e-mail (Resend), a cobrança (Stripe) e a inteligência artificial (OpenAI, em substituição pela Anthropic) também tratam dados fora do Brasil. Usamos esses fornecedores porque eles são necessários para prestar o serviço que a empresa contratou (LGPD, art. 33, IX, combinado com o art. 7º, V). As mensagens do WhatsApp passam pela Meta, e as métricas de anúncios e de site passam pela Meta e pelo Google. As duas também tratam dados fora do Brasil, sob os termos de proteção de dados de cada uma. O mesmo vale para os pedidos da loja, que vêm da Shopify.

A Anthropic, que está substituindo a OpenAI na inteligência artificial, informa que usa cláusulas-padrão aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD) para transferir dados de titulares no Brasil. Com os demais fornecedores, ainda estamos confirmando a adoção dessas cláusulas brasileiras. Hoje eles usam cláusulas-padrão da União Europeia, que cobrem a LGPD só em parte. Vamos atualizar esta política conforme cada fornecedor confirmar.

A pedido, informamos a relação atualizada de fornecedores, países e do mecanismo de transferência usado em cada caso.

Por quanto tempo guardamos

Alguns dados são apagados automaticamente:

• o conteúdo bruto recebido da Meta pelo WhatsApp, depois de processado: 30 dias (14 dias quando fica em revisão);
• as tentativas de conexão do WhatsApp: 30 dias;
• o conteúdo dos e-mails de relatório já enviados: 30 dias;
• os eventos do tracking do site: 30 dias.

No registro reduzido da referência de anúncios no WhatsApp, depois de 30 dias deixamos de mostrar o título, o texto e os códigos de comparação dos endereços. Uma rotina diária apaga esses campos do registro; não há prazo máximo garantido para a execução dessa limpeza. Os identificadores, as datas, as situações e os registros de remoção seguem a conservação do histórico de atendimento: ficam enquanto a conta estiver ativa e são incluídos na exclusão manual em até 90 dias após seu encerramento. A empresa pode pedir a exclusão desses dados antes. Quando recebemos do WhatsApp um aviso de exclusão da mensagem, o título, o texto e os códigos de comparação podem ser retirados antes dos 30 dias. Esse prazo de 30 dias não significa que todas as mensagens, contatos ou referências sejam apagados.

Métricas, conversas, contatos e oportunidades ficam guardados enquanto a conta da empresa estiver ativa, porque são o histórico que ela usa. A empresa pode pedir a exclusão antes. Quando a conta é encerrada, apagamos esses dados em até 90 dias. Essa exclusão não é automática: a equipe da Noha a executa, a pedido ou no encerramento, seguindo um procedimento interno escrito, e registra o que foi feito. Registros de aceite, cobrança e segurança ficam pelo prazo que a lei exigir.

Os dados de uma loja Shopify ficam guardados enquanto a loja mantiver o app Noha OS instalado. Quando a loja desinstala o app, a Shopify nos avisa 48 horas depois e apagamos todos os dados daquela loja. Quando a loja pede a exclusão de um cliente, apagamos o código desse cliente e a jornada dos pedidos dele. Quando a loja pede uma cópia dos dados de um cliente, a equipe da Noha responde em até 30 dias. Para responder, guardamos o identificador da Shopify desse cliente e dos pedidos citados no pedido de cópia; esses identificadores são apagados junto com os dados da loja quando ela desinstala o app.

Depois que apagamos os dados de uma loja, guardamos só o registro de cada pedido de privacidade recebido da Shopify: o endereço da loja na Shopify, o tipo do pedido, o identificador do aviso e as datas. Esse registro não tem dado de cliente e serve para provar que o pedido foi atendido. Ele fica guardado enquanto precisarmos comprovar esse atendimento; o prazo máximo será fixado na revisão desta política antes da abertura comercial.

Segurança

O acesso é separado por empresa e por função. As credenciais de acesso à Meta, ao Google e à Shopify ficam cifradas no servidor e nunca aparecem no navegador. Os dados ficam cifrados no banco, e toda conexão com o Noha OS usa HTTPS. O Noha OS só aceita avisos do WhatsApp assinados pela Meta.

Seus direitos e exclusão de dados

Você pode pedir confirmação do tratamento, acesso, correção, informações sobre compartilhamento, revogação de consentimento ou exclusão quando cabível. Leia também as instruções para solicitar a exclusão. Escreva para comercial@nohaoficial.com.br com o assunto “Solicitação de dados Noha OS”. Informe o e-mail da conta ou o número associado ao atendimento e descreva seu pedido; não envie senhas nem documentos sensíveis nesse primeiro contato.

Confirmaremos a identidade e o vínculo antes de fornecer ou excluir dados. Quando o pedido envolver contatos atendidos por uma empresa cliente, coordenaremos a resposta com essa empresa. Explicaremos a medida tomada ou a razão legal de eventual conservação.

A empresa pode desconectar uma conta de anúncios, uma propriedade ou o número de WhatsApp a qualquer momento, no próprio Noha OS. Ao desconectar, a credencial de acesso é apagada e as importações e tarefas pendentes daquela conexão são canceladas. Quando a empresa remove o Noha OS do número de WhatsApp pelas configurações da Meta, a Meta nos avisa e registramos a desconexão. Para contas de anúncios, não há esse aviso: se a autorização for retirada na própria plataforma, o Noha OS descobre na próxima importação e pede uma nova conexão. Desconectar o número de WhatsApp no Noha OS não remove a autorização na Meta e não apaga as conversas e contatos já importados, que seguem o procedimento de exclusão descrito nesta política. As métricas e conversas já recebidas continuam na conta até que a empresa peça a exclusão.