1. Quem somos e a quais produtos esta política se aplica

Esta política é da HC Digital ("HC") e cobre dois produtos: o hcflow (CRM de atendimento e captação de leads pelo WhatsApp) e o Propaga Oficial (disparo de mensagens pela WhatsApp Business Platform). Cada produto tem sua seção abaixo (3 e 4); as demais valem para os dois.

Papéis: quando uma associação ou empresa usa o hcflow ou o Propaga, ela é controladora dos dados dos seus próprios leads, clientes e destinatários, e a HC atua como operadora desses dados. A HC é controladora dos dados de cadastro de quem usa as plataformas (nome, e-mail, telefone, CPF/CNPJ, cobrança e uso).

2. Dados de cadastro e uso (os dois produtos)

Cadastro: nome, e-mail, telefone, CPF/CNPJ (quando há cobrança) e senha, guardada somente em forma de hash.

Uso e segurança: registros de acesso, endereço IP, navegador e dispositivo, para autenticar, prevenir fraude e dar suporte.

Integração com a Meta: credenciais e tokens de acesso (guardados cifrados) e identificadores técnicos, como WABA ID, número de telefone e dados de webhook.

3. Produto hcflow

Dados tratados em nome da associação: contatos e leads (nome, telefone, e-mail, dados do veículo, campos personalizados, etapa do funil e origem do anúncio: campanha, anúncio e horário) e conversas (mensagens enviadas e recebidas pelo WhatsApp e, quando conectados, pelo Instagram e Messenger, com fotos, áudios, vídeos e documentos).

Eventos de conversão: quando um lead vira venda, o hcflow informa a Meta (API de Conversões) com telefone e e-mail somente em forma de hash (SHA-256), sem placa, CPF nem conteúdo de mensagem, para a Meta otimizar os anúncios da própria associação.

Isolamento: os dados de cada associação ficam separados e só são vistos pelos usuários dela.

4. Produto Propaga Oficial

Dados tratados em nome do cliente: números de telefone e mensagens que ele escolhe enviar, modelos (templates) criados, histórico de envios e respostas recebidas pelo WhatsApp oficial, e dados de pagamento processados pelo gateway Asaas.

Canais: WhatsApp Business Platform (oficial) para disparos e atendimento e, quando o cliente os conecta, Messenger e Instagram. O Propaga não usa conexões não oficiais.

Cookies: usamos cookies essenciais de autenticação e sessão e o Google Tag Manager para análise de uso com dados anonimizados. Desativar cookies pode afetar funcionalidades.

5. Para que usamos e base legal (LGPD)

Operar o serviço contratado e seus canais (execução de contrato); enviar mensagens promocionais somente com consentimento do destinatário, de responsabilidade da associação ou do cliente; segurança, prevenção a fraude e melhoria do serviço (legítimo interesse); cobrança e notas fiscais (obrigação legal); suporte e comunicações sobre o serviço.

Não vendemos dados pessoais nem os usamos para publicidade própria.

6. Com quem compartilhamos

Meta Platforms: WhatsApp Business Platform e API de Conversões e, quando conectados, Instagram, Messenger e Lead Ads.

Provedor de e-mail (confirmações e recuperação de senha), provedor do servidor e banco de dados (hospedagem e backups) e, no Propaga, o gateway de pagamento Asaas.

Autoridades, quando a lei ou uma ordem judicial exigir. Alguns fornecedores, como a Meta, podem tratar dados fora do Brasil, com as garantias previstas na LGPD.

7. Retenção

Mantemos os dados enquanto o contrato durar; a mídia das conversas fica enquanto a conversa existir. Após o cancelamento, os dados são excluídos em até 90 dias, salvo obrigação legal (por exemplo, dados fiscais por até 5 anos). Registros de auditoria: até 1 ano. Backups são guardados por 30 dias.

8. Segurança

Comunicação criptografada (HTTPS/TLS), tokens de integração cifrados, controle de acesso por login e função, isolamento por associação ou cliente, registros de auditoria e backups regulares.

9. Seus direitos (LGPD) e exclusão de dados

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento, oposição e revogação de consentimento (Lei 13.709/2018, art. 18). Se você é lead ou destinatário de uma associação ou cliente, pode pedir também a ela.

Para pedir a exclusão dos seus dados, veja /exclusao-de-dados (vale para o hcflow e para o Propaga) ou escreva para o contato abaixo.

10. Menores de idade

Os serviços são para empresas e profissionais. Não coletamos intencionalmente dados de menores de 18 anos.

11. Encarregado (DPO), contato e alterações

Encarregado pelo tratamento de dados: [nome a preencher pelo dono], disponível em contato@hcdigital.com.br.

Podemos atualizar esta política; mudanças relevantes serão avisadas por e-mail ou na plataforma, com 30 dias de antecedência. A data no topo indica a versão vigente.

1. Who we are and which products this policy covers

This policy belongs to HC Digital ("HC") and covers two products: hcflow (a CRM for customer service and lead capture over WhatsApp) and Propaga Oficial (message broadcasting through the WhatsApp Business Platform). Each product has its own section below (3 and 4); the other sections apply to both.

Roles: when an association or company uses hcflow or Propaga, it is the controller of the data of its own leads, customers and recipients, and HC acts as processor of that data. HC is the controller of account data of the people who use the platforms (name, email, phone, tax ID, billing and usage).

2. Account and usage data (both products)

Account: name, email, phone, tax ID (when billed) and password, stored only as a hash.

Usage and security: access logs, IP address, browser and device, to authenticate, prevent fraud and provide support.

Meta integration: access credentials and tokens (stored encrypted) and technical identifiers such as WABA ID, phone number and webhook data.

3. hcflow product

Data processed on behalf of the association: contacts and leads (name, phone, email, vehicle data, custom fields, funnel stage and ad source: campaign, ad and time) and conversations (messages sent and received through WhatsApp and, when connected, Instagram and Messenger, with photos, audio, video and documents).

Conversion events: when a lead becomes a sale, hcflow tells Meta (Conversions API) using phone and email only as SHA-256 hashes, without license plate, tax ID or message content, so Meta can optimize that association's own ads.

Isolation: each association's data is kept separate and visible only to its own users.

4. Propaga Oficial product

Data processed on behalf of the customer: phone numbers and messages the customer chooses to send, message templates created, sending history and replies received on official WhatsApp, and payment data processed by the Asaas payment gateway.

Channels: the official WhatsApp Business Platform for broadcasts and conversations and, when the customer connects them, Messenger and Instagram. Propaga does not use unofficial connections.

Cookies: we use essential authentication and session cookies and Google Tag Manager for usage analytics with anonymized data. Disabling cookies may affect functionality.

5. Why we use it and legal basis (LGPD)

To operate the contracted service and its channels (contract performance); to send promotional messages only with the recipient's consent, which is the association's or customer's responsibility; security, fraud prevention and service improvement (legitimate interest); billing and invoices (legal obligation); support and service communications.

We do not sell personal data or use it for our own advertising.

6. Who we share it with

Meta Platforms: WhatsApp Business Platform and Conversions API and, when connected, Instagram, Messenger and Lead Ads.

Email provider (confirmations and password recovery), server and database provider (hosting and backups) and, for Propaga, the Asaas payment gateway.

Authorities, when required by law or court order. Some providers, such as Meta, may process data outside Brazil, with the safeguards required by the LGPD.

7. Retention

We keep data while the contract lasts; conversation media is kept while the conversation exists. After cancellation, data is deleted within 90 days, unless the law requires otherwise (for example, tax records for up to 5 years). Audit logs: up to 1 year. Backups are kept for 30 days.

8. Security

Encrypted communication (HTTPS/TLS), encrypted integration tokens, login- and role-based access control, per-association or per-customer isolation, audit logs and regular backups.

9. Your rights (LGPD) and data deletion

You may request confirmation of processing, access, correction, anonymization, portability, deletion, information about sharing, objection and withdrawal of consent (Brazilian Law 13,709/2018, art. 18). If you are a lead or recipient of an association or customer, you may also ask it directly.

To request deletion of your data, see /exclusao-de-dados (covers both hcflow and Propaga) or write to the contact below.

10. Minors

The services are for companies and professionals. We do not knowingly collect data from people under 18.

11. Data protection officer, contact and changes

Data protection officer: [name to be filled in by the owner], reachable at contato@hcdigital.com.br.

We may update this policy; relevant changes will be announced by email or in the platform 30 days in advance. The date at the top shows the current version.