Política de Privacidade

Vigência: 13 de novembro de 2026, para todas as contas. Até 12 de novembro de 2026 valem a versão de outubro de 2026, para as contas criadas a partir de 19 de outubro de 2026, e a versão de setembro de 2026, para as contas criadas até 18 de outubro de 2026. EmaLabs, marca de Grupo Desenvolve Investimentos & Tecnologia (CNPJ 55.063.045/0001-05). Elaborada com base na LGPD (Lei 13.709/2018) e na Resolução CD/ANPD nº 19/2024

1. Introdução

A EmaLabs respeita a privacidade de seus usuários e está comprometida com a proteção dos dados pessoais tratados por meio da plataforma CFlow CRM.

Esta Política de Privacidade descreve como coletamos, utilizamos, armazenamos, compartilhamos e protegemos os dados pessoais dos usuários da plataforma. A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018) orientou as decisões descritas aqui. Preferimos listar exatamente o que existe hoje, sem promessa genérica de conformidade: banco de dados, backups e arquivos hospedados no Brasil, autenticação em dois fatores, logs de auditoria das ações críticas e exclusão de dados sob demanda. Os casos em que algum dado é tratado fora do Brasil, e o motivo de cada um, estão na seção 9.

Ao criar uma conta e utilizar o CFlow, o usuário declara que leu e compreendeu esta Política. Recomendamos a leitura completa deste documento em conjunto com nossos Termos de Uso.

Esta versão foi publicada em 28 de outubro de 2026 e entra em vigor em 13 de novembro de 2026.

2. Dados que Coletamos

2.1. Dados de Cadastro

Ao criar uma conta na plataforma, coletamos as seguintes informações fornecidas diretamente pelo usuário:

• Nome completo
• Endereço de email
• Número de telefone
• Nome da empresa
• CNPJ da empresa
• Cargo ou função

2.2. Dados de Uso

Durante a utilização da plataforma, coletamos automaticamente dados técnicos e de navegação, incluindo:

• Registros de acesso (logs) com data, hora e endereço IP
• Ações realizadas na plataforma (páginas acessadas, funcionalidades utilizadas)
• Tipo e versão do navegador
• Sistema operacional e dispositivo utilizado
• Tempo de permanência e padrões de navegação
• Eventos de uso das funcionalidades: qual recurso foi usado, quando, em qual conta e por qual usuário
• Registros técnicos de erro da plataforma, descritos na seção 9

2.3. Dados de Pagamento

O teste grátis de 14 dias não exige cartão de crédito. Ao contratar um plano, nossa equipe combina com o usuário a forma de pagamento, e a cobrança é processada pelo Asaas, plataforma de pagamentos brasileira. A EmaLabs não armazena dados de cartão de crédito em seus servidores. Mantemos apenas o registro das transações realizadas (valor, data, status e método de pagamento) para fins de controle financeiro e obrigações fiscais.

2.4. Dados Inseridos pelo Usuário

O CFlow é uma plataforma de CRM, e os usuários inserem dados de seus próprios clientes e operações, tais como:

• Contatos e leads (nome, telefone, email de terceiros)
• Informações de vendas e negociações
• Dados de comissões
• Documentos anexados
• Anotações e histórico de interações

Em relação a esses dados, a EmaLabs atua como operadora (processadora) e o usuário é o controlador, nos termos da LGPD. O usuário é responsável por garantir que possui base legal para o tratamento dos dados pessoais de terceiros inseridos na plataforma.

2.5. Dados Recebidos de Anúncios da Meta (Facebook e Instagram)

Empresas que usam o CFlow podem conectar a própria Página do Facebook para que os cadastros feitos nos formulários instantâneos dos anúncios delas (Lead Ads) entrem automaticamente no CRM. Quando essa conexão está ativa, recebemos da Meta:

• As respostas do formulário preenchido pela pessoa, como nome, telefone, email, cidade e demais perguntas criadas pela empresa anunciante
• A campanha, o formulário, a plataforma de origem (Facebook ou Instagram) e o identificador do cadastro na Meta
• O identificador e o nome da Página conectada

Esses dados são usados exclusivamente para criar o contato dentro da conta da própria empresa anunciante e avisar o vendedor responsável. Não são usados para publicidade, não são cruzados entre empresas diferentes e não são vendidos nem cedidos a terceiros.

Em relação a esses dados, a empresa anunciante é a controladora e a EmaLabs atua como operadora (processadora), nos termos da LGPD, do mesmo modo descrito no item 2.4.

A conexão com a Página é feita pelo administrador da empresa e pode ser desfeita a qualquer momento em Configurações > Anúncios da Meta, pelo botão de desconectar: a partir daí o CFlow deixa de receber novos cadastros daquela Página e o acesso salvo é descartado.

Exclusão desses dados: para pedir a exclusão de um cadastro recebido por anúncio, basta excluir o contato dentro do CFlow ou escrever para contato@cflowcrm.com.br, como descrito no item 8. O pedido é atendido em até 15 dias.

2.6. Cookies e Tecnologias Similares

Utilizamos cookies e tecnologias similares para garantir o funcionamento adequado da plataforma, manter a sessão do usuário autenticado e coletar dados analíticos de uso. No site institucional, se você aceitar os cookies de marketing, também carregamos o Pixel da Meta, que mede as visitas e os cliques para criar conta vindos dos nossos anúncios. Para mais detalhes, consulte nossa Política de Cookies.

2.7. Login com Google

Se você escolher entrar com a sua conta Google, o Google confirma a sua identidade e nos envia o nome, o email e a foto do perfil dessa conta. Não recebemos a sua senha do Google. Quem não usa essa opção não passa por esse tratamento.

3. Finalidade do Tratamento

Os dados pessoais coletados são utilizados para as seguintes finalidades:

• Prestação do serviço contratado: criação e manutenção da conta, funcionamento das funcionalidades da plataforma, suporte técnico e atendimento ao cliente
• Comunicação sobre a conta: envio de notificações sobre cobranças, vencimentos, atualizações de funcionalidades, alterações nos Termos de Uso ou nesta Política de Privacidade
• Melhoria do produto: análise agregada dos eventos de uso para aprimorar funcionalidades, corrigir problemas e desenvolver novos recursos. Os eventos são registrados por conta e por usuário, mas não os usamos para avaliar uma pessoa específica
• Diagnóstico de erros: registrar as falhas técnicas da plataforma para encontrá-las e corrigi-las, como descrito na seção 9
• Medição de anúncios: no site institucional, e somente com o seu consentimento de marketing, medir quais anúncios trazem visitas e cadastros e exibir anúncios do CFlow a quem já visitou o site
• Obrigações legais e regulatórias: cumprimento de exigências fiscais, contábeis e demais obrigações previstas na legislação brasileira
• Segurança e prevenção de fraude: monitoramento de atividades suspeitas, detecção de acessos não autorizados e proteção da integridade da plataforma e dos dados dos usuários

4. Base Legal (LGPD, Art. 7)

O tratamento de dados pessoais pela EmaLabs fundamenta-se nas seguintes bases legais previstas no Art. 7 da LGPD:

• Execução de contrato (Art. 7, V): tratamento necessário para a prestação do serviço contratado pelo usuário, incluindo criação de conta, processamento de pagamentos, fornecimento das funcionalidades da plataforma, envio dos emails da plataforma e diagnóstico dos erros técnicos que impedem o seu funcionamento
• Consentimento (Art. 7, I): para o envio de comunicações de marketing, newsletters e utilização de cookies opcionais (não essenciais). O consentimento pode ser revogado a qualquer momento
• Legítimo interesse (Art. 7, IX): para análise agregada de uso da plataforma visando melhorias no produto, e para medidas de segurança e prevenção de fraude
• Obrigação legal (Art. 7, II): para retenção de dados fiscais e financeiros conforme exigido pela legislação tributária brasileira, e para manutenção de registros de acesso conforme o Marco Civil da Internet (Lei 12.965/2014)

5. Compartilhamento de Dados

A EmaLabs pode compartilhar dados pessoais com terceiros exclusivamente nas seguintes situações:

• Asaas (pagamentos, Brasil): quando há um plano contratado, os dados necessários para a emissão da cobrança são enviados ao Asaas, que possui sua própria política de privacidade e está sujeito às obrigações da LGPD
• Sentry, Apple (iCloud Mail), Cloudflare e Vercel: fornecedores estrangeiros que ajudam a plataforma a funcionar: registro de erros, envio de emails, proteção da conexão e entrega das páginas. O que cada um recebe, para onde vai e por quanto tempo está na seção 9
• Google (login com Google): somente para quem escolhe entrar com a conta Google, como descrito no item 2.7
• Google Analytics (dados de uso): dados anonimizados e agregados de navegação para análise de uso do site institucional. Não compartilhamos dados identificáveis da plataforma com o Google Analytics
• Meta (Pixel da Meta): somente se você aceitar os cookies de marketing no site institucional. A Meta recebe as páginas visitadas, o clique para criar conta, o endereço IP e identificadores do navegador, para medir e direcionar os anúncios do CFlow no Facebook e no Instagram. Nenhum dado cadastrado na plataforma é enviado à Meta
• Provedores de infraestrutura: o banco de dados, os backups e os arquivos da plataforma ficam em servidores no Brasil. Cada fornecedor citado nesta seção tem acesso apenas aos dados necessários para a função que exerce

Não vendemos dados pessoais. Nunca. A EmaLabs não comercializa, aluga ou troca dados pessoais de seus usuários com terceiros para fins de marketing, publicidade ou qualquer outra finalidade comercial.

Em caso de exigência legal, ordem judicial ou requisição de autoridade competente, a EmaLabs poderá ser obrigada a compartilhar dados pessoais, limitando-se ao estritamente necessário para o cumprimento da obrigação.

6. Armazenamento e Proteção

A EmaLabs adota medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, destruição, perda, alteração ou qualquer forma de tratamento inadequado:

• Dados hospedados no Brasil: o banco de dados, os backups e os arquivos da plataforma ficam em servidores localizados no Brasil. Os casos em que algum dado é tratado fora do Brasil estão na seção 9
• Criptografia em trânsito: todas as comunicações entre o navegador do usuário e nossos servidores são protegidas por criptografia TLS 1.2 ou superior
• Banco de dados sem exposição pública: o banco não é acessível pela internet aberta, somente a aplicação se comunica com ele
• Senhas protegidas por hashing: as senhas nunca são gravadas em texto puro, nem a nossa equipe consegue lê-las
• Autenticação em dois fatores (2FA): cada usuário pode ativar um segundo fator no login, por aplicativo autenticador, o que reduz o risco de acesso indevido mesmo se a senha vazar
• Limpeza dos registros de erro: antes de saírem da plataforma, os registros de erro passam por uma limpeza que remove CPF, CNPJ, email e telefone, e não levam o endereço IP nem o identificador do usuário
• Logs de auditoria: ações críticas ficam registradas com autor e data, o que dá rastreabilidade sobre quem acessou ou alterou o quê
• Backup diário automatizado: o banco de dados é copiado todos os dias de forma automatizada, com retenção e cópia redundante
• Controle de acesso por função: o acesso interno aos dados é restrito por meio de controles baseados em função (RBAC), garantindo que apenas colaboradores autorizados tenham acesso ao mínimo necessário para suas atividades
• Verificação de saúde e reinício automático: a aplicação e o banco de dados possuem healthcheck automatizado, e os serviços são reiniciados automaticamente em caso de falha

7. Retenção de Dados

Listamos abaixo o que guardamos e por quanto tempo, do jeito que funciona hoje:

• Dados da conta (cadastro e configurações): mantidos enquanto a conta existir. Depois do cancelamento, ficam disponíveis para exportação pelo usuário por 30 (trinta) dias
• Dados de pagamento e fiscais: mantidos por 5 (cinco) anos após a última transação, conforme exigido pela legislação tributária brasileira
• Logs de acesso: mantidos por no mínimo 6 (seis) meses, conforme previsto no Marco Civil da Internet (Lei 12.965/2014)
• Registros de auditoria (quem fez o quê, quando): mantidos como histórico da conta
• Eventos de uso das funcionalidades: 365 (trezentos e sessenta e cinco) dias, apagados automaticamente depois disso
• Notificações dentro da plataforma: 90 (noventa) dias, apagadas automaticamente depois disso
• Registros de erro enviados à Sentry: até 90 (noventa) dias
• Dados inseridos pelo usuário (contatos, leads, vendas): mantidos enquanto a conta existir. Os dados de consorciados (incluindo CPF/CNPJ e dados cadastrais) são mantidos enquanto a cota estiver vigente e pelo prazo legal subsequente, por serem necessários à execução do contrato de consórcio e exigidos pela administradora

Não apagamos automaticamente, em prazo fixo, os dados inseridos pelo usuário: os dados cadastrais de consorciados sustentam o contrato e o histórico de comissão da venda. A exclusão pode ser pedida a qualquer momento pelo e-mail privacidade@cflowcrm.com.br e é tratada caso a caso, respeitadas as obrigações legais e contratuais (ver a seção 8).

8. Direitos do Titular (LGPD, Art. 18)

Em conformidade com o Art. 18 da LGPD, o titular dos dados pessoais tem direito a:

• Confirmação e acesso: obter a confirmação da existência de tratamento e acessar seus dados pessoais mantidos pela EmaLabs
• Correção: solicitar a correção de dados pessoais incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação: solicitar a anonimização, o bloqueio ou a eliminação de dados pessoais desnecessários, excessivos ou tratados em desconformidade com a LGPD
• Portabilidade: solicitar a portabilidade dos dados pessoais a outro fornecedor de serviço, em formato estruturado e de uso comum
• Eliminação de dados tratados com consentimento: solicitar a eliminação dos dados pessoais tratados com base no consentimento, exceto nas hipóteses de conservação previstas na LGPD
• Informação sobre compartilhamento: obter informações sobre entidades públicas e privadas com as quais a EmaLabs compartilhou seus dados
• Revogação do consentimento: revogar o consentimento dado para finalidades específicas, a qualquer momento, de forma gratuita e facilitada

Como Exercer seus Direitos

Para exercer qualquer dos direitos acima, o titular deve enviar uma solicitação para o endereço de email do nosso Encarregado de Proteção de Dados:

privacidade@cflowcrm.com.br

A solicitação deve conter a identificação do titular (nome completo e email cadastrado) e a descrição do direito que deseja exercer. A EmaLabs responderá às solicitações no prazo de até 15 (quinze) dias úteis, contados a partir do recebimento da solicitação.

Em caso de impossibilidade de atendimento imediato, a EmaLabs informará o motivo e o prazo estimado para conclusão dentro da resposta inicial.

9. Transferência Internacional de Dados

10. Alterações nesta Política

A EmaLabs pode atualizar esta Política de Privacidade periodicamente para refletir mudanças em nossas práticas, em funcionalidades da plataforma ou em exigências legais e regulatórias.

Em caso de alterações substanciais, os usuários serão notificados por email com antecedência mínima de 15 (quinze) dias antes da entrada em vigor da nova versão.

A versão vigente desta Política estará sempre disponível nesta URL. Recomendamos que o usuário a consulte periodicamente.

11. Contato do Encarregado de Proteção de Dados (DPO)

Para questões relacionadas à privacidade, proteção de dados pessoais ou para exercer seus direitos como titular, entre em contato com o nosso Encarregado de Proteção de Dados:

• Email do Encarregado (DPO): privacidade@cflowcrm.com.br
• Email geral: contato@cflowcrm.com.br
• Telefone: +55 11 99694-4651

12. Autoridade Nacional de Proteção de Dados (ANPD)

Caso o titular entenda que o tratamento de seus dados pessoais pela EmaLabs viola a legislação de proteção de dados, ele tem o direito de apresentar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD), o órgão da administração pública federal responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.

Encorajamos que, antes de recorrer à ANPD, o titular entre em contato diretamente conosco pelo email privacidade@cflowcrm.com.br, para que possamos resolver a questão de forma ágil e satisfatória.

Para mais informações sobre a ANPD, acesse: www.gov.br/anpd

Publicada em 28 de outubro de 2026. Em vigor a partir de 13 de novembro de 2026.