Política de Privacidade

1. Controlador dos dados

O controlador dos dados pessoais tratados pelo SpotFlow (o "Serviço") é Hugo Dalmasio de Sousa, inscrito no CNPJ sob o nº 67.302.775/0001-92, com sede em Domingos Martins/ES, que opera o Serviço sob a marca Dalmasio no domínio spotflow.site. Controlador é a pessoa a quem competem as decisões sobre o tratamento de dados pessoais (Art. 5, VI, da LGPD).

Para qualquer assunto relativo à privacidade e à proteção de dados, fale com o Encarregado (DPO), Hugo Dalmasio de Sousa, pelo email dalmasio.dev@gmail.com.

Esta Política vigora a partir de 14 de outubro de 2026 e se aplica a todos os titulares cujos dados são tratados pelo Serviço.

2. Definições

Adotamos as definições da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a "LGPD"):

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (Art. 5, I).
• Titular: a pessoa natural a quem se referem os dados pessoais (Art. 5, V). No Serviço, é você.
• Tratamento: toda operação com dados pessoais, como coleta, uso, armazenamento, compartilhamento e eliminação (Art. 5, X).
• Controlador: quem decide sobre o tratamento (Art. 5, VI). Neste documento, Hugo Dalmasio de Sousa.
• Operador: quem trata dados em nome do controlador (Art. 5, VII). É o papel dos sub-processadores listados adiante.
• Encarregado (DPO): pessoa que atua como canal de comunicação entre o controlador, os titulares e a ANPD (Art. 5, VIII, e Art. 41).
• ANPD: Autoridade Nacional de Proteção de Dados, órgão responsável por fiscalizar o cumprimento da LGPD.

3. Dados que coletamos, por categoria

Coletamos apenas os dados necessários para operar o Serviço e mantê-lo seguro. Eles se organizam nas seguintes categorias:

• Dados cadastrais: nome, email e, opcionalmente, número de WhatsApp. Coletados quando você cria a conta.
• Credenciais da conta de afiliado Shopee: as credenciais da Shopee Open API que você conecta, guardadas cifradas. Servem para descobrir ofertas e gerar os seus links de afiliado.
• Identificadores de afiliado: o ID, a tag, o nome da loja ou a etiqueta que você cadastra em cada loja, e, quando você segue sem eles, o seu aceite da regra do código do SpotFlow, com a data e a versão do texto aceito.
• Leituras da extensão de navegador: se você usa o SpotFlow Conector, o identificador ou o link de afiliado que você mandou ler na página da loja, que espera a sua confirmação na conta e vence em 30 minutos se você não confirmar, e os dados da oferta que você enviar (endereço, título, preço e imagem do produto). A extensão não lê cookies, sessões, senhas nem relatórios das lojas.
• Dados do workspace: nichos, palavras-chave, ofertas aprovadas e modelos de mensagem que você cria e configura.
• Dados de uso e técnicos: endereço IP, user-agent (identificação do navegador ou dispositivo) e eventos de auditoria (quem fez o quê e quando).
• Cliques e conversões: cliques nos links rastreáveis que você gera e conversões reportadas pela Shopee. O IP de quem clica é guardado só de forma protegida (hash seguro); o IP em texto claro não é armazenado.
• Dados de pagamento: processados pelo Mercado Pago. O SpotFlow não armazena o número do seu cartão.

O Serviço não se destina a tratar dados pessoais sensíveis (Art. 11 da LGPD), como origem racial, convicção religiosa, opinião política ou dados de saúde. Pedimos que você não insira esse tipo de informação em campos livres, como nichos ou modelos de mensagem.

4. Finalidades e base legal

Tratamos dados pessoais apenas para finalidades legítimas, específicas e informadas, sempre amparadas em uma das bases legais do Art. 7 da LGPD. A tabela abaixo resume cada finalidade, os dados usados e a base legal correspondente:

As novidades do produto vão para o email do dono de cada workspace que já confirmou o endereço, com base no legítimo interesse: é o jeito de avisar quem usa o Serviço sobre o que muda nele. Todo email de novidades traz o descadastro em um clique e sem login: o botão de cancelar inscrição do seu cliente de email desliga na hora, e o link do rodapé leva a uma página com um botão só. O mesmo ajuste fica em Notificações, na sua conta. O resumo semanal e o aviso de ofertas novas funcionam igual, cada um com o próprio descadastro. Onde a base legal é o consentimento, como na medição anônima de visitas do site, que só liga se você aceitar o aviso de cookies, você pode revogá-lo a qualquer momento sem prejuízo do uso normal do Serviço. Quando é o legítimo interesse, limitamos o tratamento ao estritamente necessário e você pode se opor pelos canais desta Política.

5. O que não fazemos

• Não vendemos os seus dados pessoais a ninguém.
• Não usamos os seus dados, as suas ofertas ou as suas mensagens para treinar modelos de inteligência artificial. Quando você aciona um recurso de IA, o texto necessário vai para o fornecedor de IA (listado nos sub-processadores) só para gerar aquela resposta.
• Não compartilhamos, alugamos nem cedemos a sua base de contatos ou de cliques a terceiros para fins de marketing.
• Não lemos nem espelhamos grupos de WhatsApp de terceiros.
• Não lemos cookies, sessões, painéis nem relatórios das suas contas nas lojas. Vendas e comissões só entram no Serviço pela API oficial da loja, com a chave que você mesmo conecta.

6. Compartilhamento e sub-processadores

Para operar o Serviço, contamos com fornecedores que tratam dados pessoais em nosso nome, na qualidade de operadores (Art. 39 da LGPD). Eles ficam vinculados por contrato a tratar os dados apenas conforme as nossas instruções e a manter segurança e confidencialidade. São eles:

• Neon: banco de dados (Estados Unidos).
• Vercel: hospedagem do app e armazenamento das imagens que você envia (Estados Unidos).
• Mercado Pago: processamento do pagamento das assinaturas (Brasil).
• Resend: envio de emails (Estados Unidos).
• Groq: geração de texto por IA (Estados Unidos). Recebe o título e o nicho do produto, os textos das ofertas e as suas preferências de escrita. Só é acionada quando você usa um recurso de IA.
• Hetzner: envio de mensagens (Finlândia).
• Cloudflare: armazenamento de cópia de segurança cifrada (Estados Unidos).

A lista pública e versionada está na página Sub-processadores. Além dos operadores, podemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente, e para o exercício regular de direitos em processo (Art. 7, VI).

Também recebem dados, mas não tratam nada em nosso nome, as lojas e os canais que você escolhe ligar: Shopee, Mercado Livre e Amazon recebem só o que você gera e publica com os seus links e o clique de quem abre o link; WhatsApp, Telegram e Instagram recebem só o que você manda publicar. Cada um segue os próprios termos e a própria política de privacidade.

7. Transferência internacional de dados

Os seus dados ficam em servidores nos Estados Unidos e na Finlândia, ou seja, fora do Brasil. O banco de dados (Neon) e a hospedagem do app (Vercel) ficam nos Estados Unidos, e o envio das mensagens para o WhatsApp (Hetzner) fica na Finlândia. Também ficam nos Estados Unidos os dados que passam pela Resend (email), pela Groq (texto por IA, só quando você aciona o recurso) e pela Cloudflare (cópia de segurança cifrada). Só o Mercado Pago, que cuida do pagamento, trata dados no Brasil.

Essas transferências internacionais seguem o Art. 33 da LGPD e se apoiam em garantias contratuais de proteção de dados firmadas com cada fornecedor (Art. 33, II), que asseguram grau de proteção compatível com o exigido pela lei brasileira. Só transferimos o mínimo de dados necessário para a finalidade de cada fornecedor. Para saber o que vai para cada país, escreva para o Encarregado em dalmasio.dev@gmail.com.

8. Retenção de dados

Guardamos cada categoria de dado apenas pelo tempo necessário à sua finalidade ou ao cumprimento de obrigação legal:

9. Segurança

Adotamos medidas técnicas e organizacionais para proteger os seus dados (Art. 46 da LGPD). Em resumo:

• Toda comunicação por HTTPS.
• Senhas guardadas de forma protegida (hash seguro), nunca em texto claro, e com mínimo de 8 caracteres.
• Dados guardados com criptografia em repouso.
• Cópia de segurança cifrada.
• Sessões protegidas: o identificador da sessão não fica guardado em texto claro, e a sessão expira sozinha.
• 2FA opcional por aplicativo autenticador (Google Authenticator, 1Password, Authy), com 8 códigos de backup de uso único.
• Chaves de acesso com permissões limitadas.
• Registro de auditoria filtrável, com export em CSV.
• Não lemos nem espelhamos grupos de terceiros.

Mais detalhes na página Segurança.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, na forma do Art. 48 da LGPD.

10. Seus direitos como titular

A LGPD garante a você, como titular, os direitos do Art. 18. A qualquer momento, você pode solicitar:

• Confirmação da existência de tratamento (Art. 18, I).
• Acesso aos dados (Art. 18, II).
• Correção de dados incompletos, inexatos ou desatualizados (Art. 18, III).
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (Art. 18, IV).
• Portabilidade dos dados a outro fornecedor de serviço (Art. 18, V).
• Eliminação dos dados tratados com base no consentimento (Art. 18, VI).
• Informação sobre as entidades com quem compartilhamos os seus dados (Art. 18, VII).
• Informação sobre a possibilidade de não consentir e sobre as consequências da recusa (Art. 18, VIII).
• Revogação do consentimento (Art. 18, IX).
• Ainda, opor-se a tratamento feito com base no legítimo interesse e solicitar revisão de decisões tomadas apenas de forma automatizada, quando aplicável.

Direitos já disponíveis na interface

• Exportar os seus dados pessoais em JSON ou CSV, direto no portal (portabilidade, Art. 18, V).
• Deletar o workspace inteiro no portal (eliminação, Art. 18, VI). Apaga na hora; as cópias de segurança expiram sozinhas em até 60 dias (seção 8).
• Quando você troca o email da conta, avisamos o email antigo (proteção contra sequestro de conta).

Como exercer

Para exercer qualquer direito, escreva para dalmasio.dev@gmail.com (Encarregado). Respondemos em até 15 dias úteis. Podemos pedir informações para confirmar a sua identidade antes de atender, como medida de segurança. Se você entender que os seus direitos não foram atendidos, pode reclamar à ANPD (Autoridade Nacional de Proteção de Dados), instância competente para fiscalizar a LGPD.

11. Cookies

Usamos cookies e tecnologias semelhantes para autenticação (manter a sua sessão), segurança e medição básica de uso. Não usamos cookies para rastreamento publicitário de terceiros. As categorias e a forma de gerenciar estão na Política de Cookies.

12. Crianças e adolescentes

O Serviço destina-se ao uso profissional por afiliados maiores de 18 anos e não é dirigido a crianças ou adolescentes. Não coletamos intencionalmente dados de menores. Se tomarmos conhecimento de que uma conta foi criada por menor de idade sem o devido amparo legal, encerraremos a conta e eliminaremos os dados.

13. Encarregado (DPO)

O Encarregado pela proteção de dados (DPO) é Hugo Dalmasio de Sousa, disponível pelo email dalmasio.dev@gmail.com para receber comunicações de titulares e da ANPD e para orientar sobre o tratamento de dados (Art. 41 da LGPD).

14. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no Serviço, em fornecedores ou na legislação. Quando a alteração for relevante, avisaremos por email ou dentro do produto antes de ela entrar em vigor. A data de vigência no topo indica a versão atual. O uso continuado do Serviço após a vigência de uma nova versão significa que você tomou ciência das mudanças.

15. Contato

Dúvidas sobre esta Política ou sobre o tratamento de dados: dalmasio.dev@gmail.com.

Dados do controlador: Hugo Dalmasio de Sousa, CNPJ 67.302.775/0001-92, Domingos Martins/ES.