Política de Privacidade

1. Quem somos e a quem esta política se aplica

A plataforma Working Web é um software (SaaS) desenvolvido e operado pela WORKING WEB CONSULTORIA E ASSESSORIA EM MARKETING DIGITAL LTDA ("Working Web", "nós"), agência de marketing digital, disponível em https://app.workingweb.com.br. A plataforma é utilizada por buffets e casas de festas ("Buffets" ou "clientes") para receber, organizar e responder contatos de pessoas interessadas em contratar seus serviços ("Leads"), por canais como WhatsApp, Instagram, Facebook e formulários.

Esta Política explica quais dados pessoais são tratados, por que, com quem são compartilhados, por quanto tempo são mantidos e como os titulares podem exercer seus direitos, conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — "LGPD"), a Política de Dados do Usuário dos Serviços de API do Google e os Termos da Plataforma Meta.

2. Papéis no tratamento: Controlador e Operador

• Cada Buffet é o Controlador (art. 5º, VI, LGPD) dos dados pessoais de seus Leads e clientes finais. É o Buffet quem decide coletar esses dados, por quais canais e para quais finalidades comerciais, e quem responde pela base legal do tratamento (por exemplo, consentimento ou procedimentos preliminares a contrato solicitados pelo titular).
• A Working Web é a Operadora (art. 5º, VII, LGPD) desses dados: trata-os apenas em nome e conforme as instruções do Buffet, para fornecer as funcionalidades do CRM. Não utilizamos os dados de Leads de um Buffet para finalidades próprias nem os compartilhamos com outros Buffets — cada Buffet (tenant) tem seus dados isolados logicamente dos demais.
• A Working Web é Controladora apenas dos dados cadastrais dos usuários da plataforma (equipe dos Buffets) e dos dados necessários à sua própria relação comercial e de faturamento com os Buffets.

Se você é um Lead e deseja exercer seus direitos, pode contatar diretamente o Buffet com quem conversou ou a Working Web, que encaminhará a solicitação ao Buffet responsável e auxiliará no atendimento.

3. Dados pessoais que tratamos

• Dados de conta dos usuários (equipe do Buffet): nome completo, e-mail, credenciais de acesso (senha armazenada pelo provedor de autenticação de forma criptografada), vínculo com o Buffet e registros de uso necessários à segurança (ex.: data de acesso).
• Dados dos Leads: nome, número de telefone/WhatsApp, nome de usuário e identificador do Instagram (quando o contato vem do Instagram), identificador da conversa no Facebook Messenger, data prevista do evento, número estimado de convidados, origem do contato, status no funil de atendimento, conteúdo das mensagens trocadas, arquivos e mídias enviados (fotos, áudios, documentos), anotações internas da equipe do Buffet e propostas/orçamentos gerados.
• Dados recebidos de integrações: informações provenientes das contas que o próprio Buffet conecta (Meta, Google, Cal.com), descritas nas seções 4 e 5.
• Dados de faturamento do Buffet (relação Working Web × Buffet): razão social, CNPJ, dados de contato do responsável e dados necessários para cobrança e assinatura de contratos.

Não tratamos intencionalmente dados pessoais sensíveis nem dados de crianças como usuários da plataforma.

4. Dados da Plataforma Meta (WhatsApp, Instagram, Facebook) e por que os usamos

Quando um Buffet conecta suas contas da Meta à Working Web, recebemos os dados abaixo exclusivamente por meio das APIs oficiais da Meta e somente para as finalidades indicadas:

• WhatsApp Business (Cloud API): identificadores da conta comercial (WABA ID e Phone Number ID), mensagens recebidas e enviadas, mídias anexadas, status de entrega/leitura das mensagens e modelos de mensagem (templates) aprovados — para que o Buffet converse com seus Leads dentro do CRM, envie mensagens e acompanhe o atendimento.
• Instagram (mensagens do Direct e comentários): nome de perfil, nome de usuário e identificador do Instagram de quem envia mensagem ou comenta, conteúdo das mensagens do Direct e dos comentários nas publicações do Buffet — para exibir as conversas no CRM, responder Leads e, quando o Buffet ativa essa opção, captar Leads a partir de comentários com palavras-chave e enviar uma resposta privada (mensagem direta) à pessoa que comentou.
• Páginas do Facebook: mensagens recebidas pela Página (Messenger), lista de Páginas administradas para seleção da conta, e dados enviados em formulários de anúncios de cadastro (Lead Ads), obtidos com a permissão leads_retrieval — para registrar automaticamente o Lead no CRM do Buffet.
• Meta Ads (métricas de anúncios): métricas agregadas de campanhas (investimento, alcance, impressões, cliques, leads) da conta de anúncios do Buffet — para gerar relatórios de desempenho para o próprio Buffet. Não envolve dados pessoais de usuários individuais.
• API de Conversões (Conversions API): quando o Buffet ativa a integração, enviamos à Meta eventos de conversão (ex.: lead qualificado, visita agendada, contrato fechado) contendo telefone e/ou e-mail do Lead criptografados com hash SHA-256 antes do envio, para que o Buffet meça os resultados de suas próprias campanhas.

5. Dados de usuário do Google e por que os usamos

Quando um usuário do Buffet conecta uma conta Google à Working Web (via OAuth 2.0), solicitamos apenas os escopos necessários para as funcionalidades abaixo:

• E-mail e perfil básico da conta Google (userinfo.email, userinfo.profile): para identificar qual conta Google foi conectada e exibi-la nas configurações.
• Perfil da Empresa no Google / Google Meu Negócio (business.manage): listar as contas e locais do Buffet, ler as avaliações recebidas e publicar respostas a elas, consultar métricas de desempenho do perfil (visualizações, cliques, ligações, rotas) e publicar postagens no perfil — sempre por ação ou configuração do próprio Buffet.
• Google Agenda (calendar.events, calendar.readonly): criar, atualizar e cancelar, na agenda principal do usuário, os eventos de visitas agendadas com Leads.
• Google Ads (adwords, somente se o Buffet optar por conectar): ler métricas de campanhas (investimento, impressões, cliques, conversões) para relatórios de desempenho do próprio Buffet e, se o Buffet ativar as conversões offline, enviar à conta do próprio Buffet as etapas do funil (lead qualificado, visita agendada, contrato fechado) com o identificador do clique no anúncio (gclid) e/ou telefone e e-mail do Lead criptografados com hash SHA-256 antes do envio.

• Os dados do Google são usados apenas para fornecer e melhorar as funcionalidades voltadas ao usuário descritas acima.
• Não transferimos dados do Google a terceiros, exceto quando necessário para fornecer essas funcionalidades, por exigência legal, ou como parte de fusão/aquisição com as devidas garantias.
• Não usamos dados do Google para publicidade, incluindo anúncios personalizados ou redirecionados, e não os vendemos.
• Nenhum ser humano lê dados do Google, exceto com consentimento expresso do usuário, quando necessário para segurança (ex.: investigar abuso), para cumprir a lei, ou quando os dados forem agregados e anonimizados para operações internas.
• Não utilizamos dados de usuário obtidos das APIs do Google para desenvolver, aprimorar ou treinar modelos generalizados de inteligência artificial ou aprendizado de máquina.
• Tokens OAuth do Google são armazenados no servidor, no espaço de configurações do Buffet, e são excluídos quando a integração é desconectada. O usuário também pode revogar o acesso a qualquer momento em myaccount.google.com/permissions.

6. Inteligência artificial (respostas automáticas e resumos)

Quando o Buffet ativa o assistente de IA, o conteúdo das conversas com Leads (incluindo textos extraídos de documentos enviados, como PDF ou Word) e as informações cadastradas pelo Buffet (cardápios, pacotes, regras de atendimento) são enviados à OpenAI, que atua como suboperadora, para gerar sugestões e respostas automáticas, qualificar o Lead e produzir resumos de atendimento.

• A Working Web não utiliza o conteúdo das conversas para treinar modelos próprios de IA.
• Utilizamos a API da OpenAI, cujos dados, segundo a política de dados da API da OpenAI, não são usados para treinar os modelos da OpenAI por padrão, podendo ser retidos temporariamente pela OpenAI (em regra, até 30 dias) para monitoramento de abuso.
• Dados recebidos das APIs do Google não são enviados à OpenAI para treinamento de modelos e não são utilizados para treinar modelos generalizados de IA.
• O Buffet pode desativar a IA a qualquer momento e a equipe pode assumir a conversa manualmente.

7. Suboperadores e compartilhamento

Não vendemos dados pessoais. Compartilhamos dados apenas com os prestadores abaixo, na medida necessária para operar a plataforma, sob obrigações contratuais de confidencialidade e segurança:

Também poderemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente.

8. Transferência internacional de dados

Alguns suboperadores (como Vercel, Supabase, Cloudflare, Upstash, OpenAI, Meta e Google) podem armazenar ou processar dados fora do Brasil, inclusive nos Estados Unidos. Essas transferências ocorrem com base no art. 33 da LGPD, mediante cláusulas contratuais e garantias de segurança adequadas oferecidas por esses fornecedores, e apenas na medida necessária à prestação do serviço.

9. Segurança da informação

• Comunicação criptografada em trânsito (HTTPS/TLS) e criptografia em repouso oferecida pelos provedores de infraestrutura.
• Isolamento de dados por Buffet (multi-tenant) com políticas de segurança em nível de linha (Row Level Security) no banco de dados.
• Validação de assinatura dos webhooks recebidos da Meta e de parâmetros de estado assinados nos fluxos OAuth.
• Controle de acesso por perfil, limitação de requisições e acesso restrito a credenciais e tokens, mantidos apenas no servidor.

Nenhum sistema é totalmente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos os Buffets afetados e, quando aplicável, a ANPD e os titulares, nos termos da LGPD.

10. Retenção de dados

• Dados de Leads e mensagens são mantidos enquanto o Buffet mantiver sua conta ativa e as integrações conectadas, ou até que o Buffet ou o titular solicite a exclusão.
• Tokens de acesso da Meta e do Google são excluídos ao desconectar a respectiva integração.
• Após o encerramento do contrato, os dados do Buffet são excluídos em até 90 dias, salvo os que precisarem ser mantidos para cumprimento de obrigação legal ou exercício regular de direitos (art. 16 da LGPD).

11. Direitos do titular (art. 18 da LGPD) e como exercê-los

Você pode, gratuitamente e a qualquer momento, solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• portabilidade dos dados a outro fornecedor;
• eliminação dos dados tratados com base no consentimento;
• informação sobre as entidades com as quais os dados foram compartilhados;
• informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• revogação do consentimento;
• revisão de decisões tomadas unicamente com base em tratamento automatizado.

Para exercer seus direitos, envie um e-mail para jose@workingweb.com.br informando seu nome, o telefone ou perfil utilizado no contato e o Buffet envolvido. Responderemos em até 15 dias. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

12. Exclusão de dados (incluindo dados da Meta e do Google)

As instruções completas estão em https://app.workingweb.com.br/data-deletion. Em resumo:

• Pelo Facebook/Instagram: remova o aplicativo em Configurações do Facebook → Aplicativos e sites. A Meta envia automaticamente uma notificação de exclusão (Data Deletion Callback) à nossa plataforma, que exclui os Leads e mensagens vinculados ao seu identificador e retorna um código de confirmação, que pode ser consultado na página de exclusão.
• Por e-mail: envie a solicitação para jose@workingweb.com.br. Concluiremos a exclusão em até 15 dias e enviaremos a confirmação.
• Pelo Google: revogue o acesso em myaccount.google.com/permissions ou desconecte a integração no painel do CRM; os tokens são excluídos.

13. Cookies

Utilizamos apenas cookies essenciais ao funcionamento da plataforma (sessão de login, segurança e proteção dos fluxos OAuth). Não usamos cookies de publicidade dentro do aplicativo.

14. Alterações desta política

Podemos atualizar esta Política periodicamente. A data da última atualização fica indicada no topo da página. Alterações relevantes serão comunicadas aos Buffets pelos canais de contato cadastrados.

15. Contato e Encarregado de Dados (DPO)