Política de Privacidade — ViralTalk / ViralCRM
Versão 1.0 — vigente a partir de 15 de setembro de 2026.
Esta Política explica como a Viral Comunicação Integrada trata dados pessoais no ViralTalk / ViralCRM, plataforma de gestão de contatos, oportunidades comerciais e atendimento por mensagens disponível em https://app.viraltalk.com.br.
1. Responsável e canais de contato
- Nome fantasia: Viral Comunicação Integrada.
- Razão social: 41.748.761 Francisco Gilmar de Oliveira Maia Junior.
- CNPJ: 41.748.761/0001-03.
- Endereço: Estrada dos Menezes, 812, Alcantara, São Gonçalo — RJ, CEP 24451-230.
- E-mail principal e canal de privacidade: contato@viralcomunicacao.com.
- Responsável pelo atendimento de privacidade: Adriano Henrique Neves Luiz da Costa (Adriano Costa).
- Responsável técnico: Adriano Henrique Neves Luiz da Costa — adrianocosta@viralcomunicacao.com.
A indicação do responsável técnico não representa, por si só, nomeação formal como encarregado de proteção de dados.
2. Papéis no tratamento de dados
Quando uma empresa utiliza o CRM para atender seus próprios clientes, normalmente ela define as finalidades e os meios essenciais do tratamento e atua como controladora. A Viral Comunicação Integrada normalmente atua como operadora, tratando os dados de acordo com as instruções documentadas dessa empresa.
A Viral Comunicação Integrada pode atuar como controladora em operações próprias, como cadastro e administração de contas, relacionamento comercial, segurança, prevenção a fraudes, suporte e cumprimento de obrigações legais. Os papéis e as responsabilidades de cada operação devem ser detalhados no contrato aplicável.
3. Dados que podemos tratar
Conforme os recursos utilizados, podemos tratar:
- dados de usuários, como nome, e-mail, empresa, função, situação da conta, registros de acesso e senha protegida por hash;
- dados empresariais e dos usuários autorizados;
- dados de contatos e oportunidades, como nome, telefone, e-mail, observações, origem, produtos, valores e histórico comercial;
- conteúdo de mensagens recebidas e enviadas, imagens, áudios, documentos, identificadores, participantes, horários e estados de envio, entrega e leitura;
- número conectado, identificadores e estado da sessão e credenciais necessárias às integrações;
- página e referência de acesso, identificador do link, horário do clique, parâmetros UTM e identificadores de anúncio presentes no link;
- informações técnicas necessárias à segurança e à operação, como IP, sessão, características da requisição, eventos e falhas.
Esses dados podem vir do cadastro realizado pelos usuários, das empresas contratantes, das mensagens trocadas com números conectados, de links rastreáveis e do funcionamento da plataforma. Respostas enviadas pelo celular conectado também podem ser sincronizadas com o CRM. A empresa deve conectar somente números que esteja autorizada a administrar e não deve usar a plataforma para registrar conversas pessoais sem relação com o atendimento empresarial.
4. Finalidades e bases legais
Tratamos dados para autenticar usuários, administrar acessos, organizar contatos e oportunidades, realizar atendimentos, exibir conversas e mídias, identificar a origem de contatos, produzir relatórios, prestar suporte, investigar falhas, proteger a plataforma, prevenir abusos e manter cópias de recuperação.
As bases legais são avaliadas conforme cada operação e podem incluir execução de contrato ou procedimentos preliminares, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, legítimo interesse após avaliação e consentimento quando necessário. Dados sensíveis exigem fundamento específico. A empresa contratante é responsável por definir e documentar a base legal de seus atendimentos e campanhas.
O uso do CRM não representa consentimento automático para publicidade. Evite enviar documentos, dados financeiros completos, informações de saúde ou outros dados sensíveis quando não forem necessários. O serviço empresarial não é destinado ao cadastro de crianças; operações envolvendo menores exigem avaliação e proteção adicionais.
5. WhatsApp, WAHA e integração oficial da Meta
O serviço pode operar em modo híbrido. O canal atualmente disponível utiliza WAHA, software instalado na infraestrutura administrada pela plataforma e baseado no pareamento do número. Esse canal não é a WhatsApp Business Platform oficial.
A plataforma também está sendo preparada para oferecer, quando configurada e autorizada pela empresa contratante, integração com a WhatsApp Business Platform da Meta. Essa integração poderá tratar identificadores da empresa, da conta WhatsApp Business e do número, tokens de autorização, mensagens, mídias e estados de entrega estritamente necessários ao serviço solicitado. A existência de campos técnicos no sistema não significa que a integração oficial já esteja ativa para uma conta.
Esta Política não declara que a Viral Comunicação Integrada já seja Tech Provider aprovado, parceiro ou representante da Meta. WhatsApp e Meta realizam tratamentos próprios conforme seus termos e políticas. A empresa contratante deve obter as autorizações necessárias, informar seus atendentes sobre a sincronização e cumprir as regras aplicáveis ao canal escolhido.
6. Compartilhamento e operadores
Os dados podem ser acessados por usuários autorizados da empresa contratante e, quando necessário, pela equipe autorizada da plataforma para operação, segurança e suporte. Não vendemos dados pessoais.
Utilizamos os seguintes fornecedores na operação atual:
- Hostinger: hospedagem da VPS que executa o CRM, WAHA, serviços auxiliares, arquivos e cópias de recuperação;
- Supabase: banco PostgreSQL do CRM, sujeito também à sua relação de suboperadores;
- WhatsApp/Meta: operações próprias do serviço de mensagens e, quando contratada e ativada, a integração oficial solicitada pela empresa.
O WAHA é executado na VPS da plataforma; sua instalação não significa, por si só, que as conversas sejam compartilhadas com seu desenvolvedor. Cópias de recuperação são mantidas na VPS e em computador administrado pela Viral Comunicação Integrada, com acesso restrito. Não há armazenamento S3 externo contratado para essas cópias. Exportações realizadas por usuários passam também à guarda da empresa que as efetuou.
Podemos compartilhar dados quando isso for necessário para cumprir obrigação legal, ordem válida de autoridade ou exercer direitos, sempre dentro do escopo aplicável. A relação de fornecedores será atualizada antes da ativação de novos serviços que tratem dados pessoais.
7. Armazenamento e transferências internacionais
O banco principal do Supabase está configurado na região de São Paulo, Brasil. A VPS da Hostinger usada na operação está nos Estados Unidos. Por isso, cadastros, mensagens, mídias, informações de integração e cópias de recuperação necessárias ao CRM podem ser armazenados ou processados no exterior.
As transferências são realizadas para executar os serviços contratados, com medidas contratuais e de segurança previstas nos instrumentos dos fornecedores e observância dos mecanismos admitidos pela LGPD e pela regulamentação da ANPD. A localização principal não impede operações de suporte, segurança ou subcontratação descritas nos contratos dos fornecedores. Informações adicionais sobre países, destinatários e garantias podem ser solicitadas pelo canal de privacidade.
8. Cookies e rastreamento
O CRM utiliza cookies e mecanismos equivalentes necessários à sessão, autenticação e proteção das requisições. Bloqueá-los pode impedir o login ou o uso do serviço.
Links de WhatsApp podem registrar parâmetros da campanha e associá-los ao atendimento por um identificador inserido na mensagem inicial. Isso não significa, por si só, que a plataforma utilize Meta Pixel ou API de Conversões. Sites das empresas contratantes podem adotar tecnologias próprias, que devem ser informadas em suas políticas.
9. Retenção e exclusão
Como regra operacional, contatos, oportunidades, mensagens e mídias podem ser mantidos por até três anos após o último contato recebido do cliente. Um novo contato recebido reinicia essa contagem. Mensagens enviadas pela empresa e atividades internas não reiniciam o prazo. A regra não impede a avaliação de um pedido válido de exclusão nem substitui fundamento legal específico.
Nenhum dado é excluído automaticamente pelo simples decurso do tempo. Toda exclusão de conversas, contatos, números, mídias, credenciais, sessões ou backups exige análise e ação manual de profissional interno autorizado, com escopo, fundamento e resultado registrados. Somente a geração das cópias de recuperação é automática.
| Categoria | Regra operacional |
|---|---|
| Contas encerradas | Desativação do acesso após confirmação e avaliação manual para exclusão dos dados operacionais em até 90 dias, ressalvadas obrigações legais e exercício de direitos. |
| Contatos, oportunidades, mensagens e mídias | Até três anos após o último contato recebido, com renovação por novo contato; pedidos válidos podem exigir exclusão anterior. |
| Cliques e atribuição detalhada | Revisão após 90 dias do clique; eventual exclusão é manual e não apaga automaticamente o lead ou sua origem comercial. |
| Logs técnicos e de acesso | Diagnóstico geral por até 30 dias; registros sujeitos ao Marco Civil da Internet por seis meses; registros de incidentes pelo prazo regulatório aplicável. A eliminação é manual. |
| Credenciais e sessões | Revogação após encerramento ou desconexão confirmados e revisão para limpeza local em até sete dias, sem afetar outras empresas. |
| Backups | Geração diária automática; revisão e eventual exclusão manual. Não há expiração ou eliminação automática. |
| Estatísticas anonimizadas | Podem ser conservadas sem prazo predeterminado somente quando a anonimização efetiva impedir razoavelmente a identificação. |
O prazo operacional para concluir uma solicitação de exclusão é de até 90 dias a partir do recebimento, sem prejuízo de prazo legal menor. Dados conservados por obrigação legal, exercício de direitos ou outra hipótese válida terão fundamento, escopo e prazo documentados.
Excluir um contato ou lead da interface não apaga necessariamente o histórico de conversa, pois esse histórico deve permanecer disponível caso o contato retorne, salvo quando houver uma ação manual específica de exclusão da conversa ou um pedido de privacidade aprovado. Desconectar um número também não equivale a apagar seu histórico.
Pedidos aprovados devem abranger, conforme o caso, banco, mídias, credenciais, sessões e cópias aplicáveis. Backups não devem reintroduzir dados cuja exclusão tenha sido determinada; uma restauração deve reaplicar os registros de exclusão antes de liberar os dados. Se uma cópia não puder ser alterada com segurança, ela permanecerá isolada e sujeita à exclusão manual ou ao bloqueio até o fim da obrigação aplicável.
As instruções para exercer esse direito estão em Exclusão de dados.
10. Segurança e incidentes
Adotamos medidas proporcionais ao risco, incluindo HTTPS, controle de acesso por empresa, hash de senhas, cifragem de credenciais selecionadas, autenticação para acesso a mídias, verificação de assinatura de webhooks e restrição de acesso às cópias locais.
Suspeitas de incidente podem ser comunicadas a contato@viralcomunicacao.com. O procedimento de resposta inclui registro, avaliação, contenção, preservação de evidências, recuperação, comunicação à empresa controladora afetada e análise das notificações obrigatórias. Quando atua como operadora, a Viral informa e auxilia a controladora; quando atua como controladora, realiza as comunicações que lhe cabem conforme a legislação e a regulamentação aplicáveis.
Nenhum sistema é totalmente imune a riscos. Usuários devem manter suas credenciais em sigilo e comunicar imediatamente acessos suspeitos.
11. Direitos dos titulares
Conforme a LGPD e a situação aplicável, o titular pode solicitar confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio, eliminação, informações sobre compartilhamento, portabilidade nos termos regulamentados e revogação do consentimento.
Envie a solicitação para contato@viralcomunicacao.com, identificando a empresa e os dados envolvidos. Não envie senhas, chaves de API ou cópia de documento sem que isso seja solicitado por canal adequado. Poderemos confirmar sua identidade de forma proporcional ao risco.
Quando a empresa atendente for a controladora, encaminharemos ou apoiaremos a solicitação. A exclusão no CRM não apaga automaticamente dados mantidos de forma independente pelo WhatsApp, Meta, pela empresa atendente ou por outros controladores. O titular também pode apresentar petição à Autoridade Nacional de Proteção de Dados.
12. Alterações desta Política
Podemos atualizar esta Política para refletir mudanças legais, operacionais ou nos recursos do serviço. Alterações relevantes serão informadas por meio apropriado. A versão e a data de vigência permanecerão disponíveis nesta página.
Referências: Lei Geral de Proteção de Dados Pessoais e regulamentações da ANPD.