Política de privacidade

Esta política explica como o CRM Arena (crm.arenacode.com.br), desenvolvido e operado pela ArenaCode, trata os dados pessoais das pessoas que usam o sistema e dos clientes que as empresas cadastram nele, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Papéis no tratamento

• Dados da conta (nome, e-mail, telefone e dados de cobrança de quem usa o CRM): a ArenaCode é a controladora.
• Dados que a empresa cadastra (clientes, contatos, oportunidades, vendas, atividades, leads): a empresa assinante é a controladora, e a ArenaCode atua como operadora, tratando esses dados apenas para prestar o serviço, conforme as instruções da empresa.

2. Dados que coletamos

• Cadastro e conta: nome, e-mail, senha (guardada apenas como hash), celular opcional, empresa e fuso horário.
• Conteúdo do CRM: tudo o que a empresa e sua equipe registram — clientes, contatos, datas importantes, oportunidades, vendas, atividades, mensagens e anotações.
• Leads captados: respostas de landing pages, formulários e anúncios conectados pela empresa, incluindo o registro de consentimento e parâmetros de campanha (UTM).
• Cobrança: razão social, CPF/CNPJ, endereço e histórico de faturas. Os dados de cartão são digitados no ambiente do Asaas e não passam pelo CRM.
• Dados técnicos: endereço IP, navegador e registros de acesso e de auditoria, usados para segurança e prevenção de abuso.
• Integrações: os dados descritos na seção 4, apenas quando a empresa ou o usuário conecta a integração.

3. Para que usamos

• Prestar o serviço: exibir, organizar e processar os dados no CRM, enviar lembretes, notificações e mensagens solicitadas.
• Autenticar usuários, proteger as contas e prevenir fraudes.
• Cobrar a assinatura e emitir faturas.
• Prestar suporte e enviar comunicações sobre o serviço (por exemplo, código de confirmação, convites e avisos de cobrança).
• Cumprir obrigações legais e regulatórias.

Não vendemos dados pessoais e não os usamos para publicidade.

4. Dados das APIs do Google e da Microsoft

As integrações são opcionais. A autorização acontece na tela do próprio provedor: o CRM nunca vê nem guarda a senha da conta Google ou Microsoft.

Gmail (permissão gmail.send)

Usada exclusivamente para enviar pela conta Google conectada pela empresa os e-mails que a equipe dispara no CRM ou programa no pós-venda (mensagens a clientes, convites e notificações). O CRM não lê, não lista e não armazena e-mails da caixa de entrada. Guardamos apenas o endereço da conta conectada e o registro das mensagens enviadas pelo próprio CRM.

Google Agenda (permissões calendar.events e calendar.readonly)

calendar.events é usada para criar, atualizar e remover na agenda do usuário os eventos correspondentes às atividades do CRM em que ele é responsável. calendar.readonly é usada apenas para listar as agendas da conta, para que o usuário escolha em qual delas os eventos serão criados. O CRM não importa nem armazena o conteúdo de outros eventos da agenda.

Outlook Calendar (Microsoft Graph, permissão Calendars.ReadWrite)

Mesmo uso do Google Agenda: criar, atualizar e remover os eventos das atividades do CRM na agenda do usuário.

Dados básicos do perfil (openid, email, profile)

Usados no Entrar com Google (nome, e-mail verificado, foto e identificador da conta, para criar ou acessar a sua conta no CRM) e para identificar qual conta foi conectada nas integrações. O login com Google não dá ao CRM acesso a e-mails nem à agenda.

Uso limitado

O uso e a transferência, pelo CRM Arena, de informações recebidas das APIs do Google para qualquer outro app obedecerão à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Em particular, os dados recebidos das APIs do Google e da Microsoft:

• são usados apenas para oferecer os recursos descritos acima, visíveis na interface do CRM;
• não são vendidos, não são usados para publicidade e não são transferidos a terceiros, salvo quando necessário para prestar esses recursos, para cumprir a lei ou em caso de fusão ou aquisição, com aviso prévio;
• não são usados para treinar modelos de inteligência artificial nem enviados ao provedor de IA do CRM;
• não são lidos por pessoas, exceto com o consentimento do usuário, para investigar abuso ou incidente de segurança, ou para cumprir a lei.

Os tokens de acesso são guardados criptografados (AES-256-GCM) e nunca são enviados ao navegador. Ao clicar em Desconectar no CRM, os tokens são apagados e, no caso do Google, o acesso também é revogado junto ao Google. O acesso também pode ser revogado a qualquer momento em myaccount.google.com/permissions ou em account.live.com/consent/Manage.

5. Compartilhamento com fornecedores

Compartilhamos dados apenas com fornecedores necessários para o funcionamento do serviço:

• Hospedagem e e-mail: servidores e serviço de e-mail contratados pela ArenaCode (Hostinger).
• Pagamentos: Asaas, para cobrança das assinaturas.
• Inteligência artificial: nexos.ai, quando a empresa ativa as sugestões. Recebe apenas primeiro nome, idade, cidade, compras, campanha de origem e interações do cliente — nunca e-mail, telefone ou documento.
• Integrações escolhidas pela empresa: Google, Microsoft, Meta (Facebook, Instagram e WhatsApp) e o serviço de WhatsApp da ArenaCode.
• Consultas públicas: BrasilAPI, para preencher dados de CNPJ e endereço a partir do CEP.
• Proteção contra robôs: Cloudflare Turnstile, quando ativado nos formulários das landing pages.

Também podemos compartilhar dados quando exigido por lei ou por ordem de autoridade competente.

6. Cookies

• Sessão (crm_session): mantém o usuário conectado. Essencial ao funcionamento.
• Hotlink (crm_hl): nas landing pages, identifica por 30 dias o vendedor que indicou o visitante.
• As landing pages podem carregar o Pixel da Meta e o Google Analytics/Ads quando a empresa os configura; nesse caso, valem também as políticas desses serviços.

7. Segurança

Usamos conexão criptografada (HTTPS), isolamento dos dados de cada empresa, senhas guardadas como hash, criptografia dos tokens de integração, controle de permissões por perfil e registros de auditoria. Nenhum sistema é totalmente imune a incidentes; se ocorrer um que possa gerar risco relevante, comunicaremos os afetados e a ANPD, conforme a LGPD.

8. Retenção e exclusão

Os dados são mantidos enquanto a conta estiver ativa. A empresa pode excluir registros a qualquer momento no próprio CRM. Após o encerramento da conta, ou mediante solicitação, os dados são excluídos em até 30 dias, exceto os que precisarmos guardar por obrigação legal (por exemplo, registros fiscais e de cobrança).

9. Direitos dos titulares

Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação de consentimento. Se você é cliente de uma empresa que usa o CRM Arena, dirija o pedido primeiro a essa empresa, que é a controladora dos seus dados; nós a apoiaremos no atendimento.

10. Contato

Dúvidas, solicitações e contato com o encarregado de dados: contato@arenacode.com.br.

11. Alterações

Podemos atualizar esta política. A data no topo indica a última versão; mudanças relevantes serão avisadas no CRM ou por e-mail. Veja também os Termos de uso.