1. Introdução

A CobrançaAuto está comprometida em proteger sua privacidade. Esta Política de Privacidade explica como coletamos, usamos, armazenamos e protegemos suas informações pessoais quando você utiliza nossos serviços.

2. Dados que Coletamos

2.1. Dados de Cadastro

  • Nome completo
  • Endereço de e-mail
  • CPF ou CNPJ
  • Número de telefone/WhatsApp
  • Senha (criptografada)

Sobre o CPF/CNPJ: é usado para garantir uma conta gratuita por pessoa e para emitir cobranças quando você ativa boleto. Ele é armazenado de forma criptografada, e a verificação de conta duplicada é feita sobre um código derivado dele, não sobre o número em si. Não consultamos a Receita Federal nem compartilhamos esse dado com terceiros, exceto com o provedor de pagamentos quando você mesmo solicita a emissão de um boleto. Ao excluir sua conta, ele é apagado junto com os demais dados de cadastro.

2.2. Dados de Seus Clientes

São os dados das pessoas que você cadastra para cobrar. Você os fornece, e nós os tratamos apenas para executar as cobranças que você determina:

  • Nome
  • WhatsApp/telefone
  • E-mail (opcional)
  • CPF ou CNPJ (opcional, obrigatório apenas para emitir boleto)
  • Valor, descrição e vencimento das cobranças
  • Endereço (opcional)
  • As mensagens trocadas na cobrança, incluindo o que a pessoa responde, quando a assistente de negociação está ativa

O CPF/CNPJ do seu cliente também é armazenado de forma criptografada. Nós não temos relação contratual com essas pessoas: quem as cadastrou foi você, e é você quem responde pela base legal dessa cobrança. Veja a seção 6.

2.3. Dados de Uso

  • Endereço IP
  • Navegador e dispositivo
  • Páginas visitadas
  • Data e hora de acesso
  • De onde você chegou ao site (por exemplo: Google, Instagram, uma IA ou endereço digitado). Só essa categoria, guardada no seu navegador por até 30 dias e enviada junto com o cadastro, pra sabermos qual caminho traz clientes. Não identifica você e não usa cookie.

3. Como Usamos seus Dados

Utilizamos suas informações para:

  • Prestar os serviços contratados
  • Enviar lembretes de cobrança
  • Comunicar atualizações e novidades
  • Melhorar nossos serviços
  • Garantir a segurança da plataforma

4. Com Quem Compartilhamos, e Exatamente o Quê

Não vendemos seus dados e não os usamos para publicidade. Para o serviço funcionar, alguns dados precisam ser processados por empresas parceiras. Abaixo está a lista completa, com o que cada uma recebe e por quê. Se uma função não estiver ativa na sua conta, o parceiro correspondente não recebe nada.

4.1. Envio das cobranças

  • Servidor de WhatsApp: roda na nossa própria infraestrutura, no Brasil. Recebe o número de telefone do seu cliente e o texto da mensagem. Não é um serviço de terceiros.
  • Meta Platforms (WhatsApp Cloud API): apenas para contas que optam pelo canal oficial do WhatsApp. Recebe o número e o texto da mensagem.
  • Resend (envio de e-mail): recebe o e-mail do seu cliente e o conteúdo da mensagem de cobrança.

4.2. Recebimento de pagamentos

  • Stripe: processa a sua assinatura do CobrançaAuto quando você paga no cartão. Recebe seu nome, e-mail e dados de cartão. Nós nunca armazenamos número de cartão.
  • Asaas (assinatura por Pix ou débito automático): quando você paga a sua assinatura do CobrançaAuto por Pix ou por débito automático, o pagamento é recebido na conta Asaas do CobrançaAuto, e o Asaas recebe seu nome, e-mail, telefone e CPF/CNPJ, porque a legislação bancária exige identificar quem paga.
  • Asaas (cobrança dos seus clientes): apenas se você configurar sua chave para emitir boleto, Pix ou cartão. Recebe nome, CPF/CNPJ, valor e vencimento do seu cliente, pelo mesmo motivo. A conta no Asaas é sua, e o dinheiro cai diretamente nela.

4.3. Assistente de negociação por inteligência artificial (Maya)

Se a Maya estiver ativa, quando o seu cliente responde a uma cobrança nós enviamos para a Groq Inc. (Estados Unidos), que opera o modelo de linguagem:

  • O nome do seu cliente
  • O texto das mensagens que ele escreveu na conversa
  • Valor, vencimento e descrição da cobrança, e o nome da sua empresa
  • As regras de negociação que você configurou (desconto e parcelamento máximos)

Não enviamos à inteligência artificial o telefone, o e-mail nem o CPF/CNPJ do seu cliente. Você pode desligar a Maya a qualquer momento, na conta inteira ou para um cliente específico: desligada, ela não responde ao seu cliente e nenhum texto dele vai para o modelo de linguagem nem para a classificação descrita abaixo. Desligar a IA não interrompe as cobranças automáticas.

Áudio. Quando o seu cliente responde com uma mensagem de voz, o áudio é enviado à Groq Inc. para ser transcrito em texto, e é esse texto que aparece para você no painel e no aplicativo. Isso acontece mesmo com a Maya desligada, porque a transcrição existe para você conseguir ler o que o seu cliente disse; a Maya só responde se estiver ligada. Vai apenas o arquivo de áudio: sem nome, telefone, e-mail ou CPF/CNPJ. Você pode desligar a transcrição no painel, em Configurações, na aba Maya IA: desligada, o áudio não é enviado a ninguém, você é avisado de que chegou um áudio e ouve pelo seu WhatsApp.

Classificação das respostas (Jev). Quando ligada, cada resposta do seu cliente a uma cobrança também é enviada à OpenRouter e à TypeSafe (Estados Unidos), que operam o modelo que identifica a intenção da mensagem: se ele diz que já pagou, se pede prazo ou se pede para parar de receber. Vai só o texto da resposta. Não enviamos o nome, o telefone, o e-mail, o CPF/CNPJ nem o valor da cobrança. Se você desligar a Maya, na conta inteira ou para um cliente, esta classificação também para.

4.4. Operação e segurança

  • Cloudflare: protege o serviço contra ataques e enxerga o endereço IP de quem acessa.
  • Sentry: registra erros técnicos para que possamos corrigi-los. Está configurado para não enviar dados pessoais junto com os erros.
  • Google: em duas situações independentes. O Google Analytics mede o uso do nosso site institucional, e só é ativado se você aceitar os cookies de análise (usamos Consent Mode, então sem o seu aceite ele não coleta). E o Google Agenda, apenas se você conectar sua conta, somente para criar os eventos que você pedir. O Analytics não roda dentro do sistema de cobranças, só no site público.

4.5. Avisos no celular (aplicativo Android e navegador)

Só se você ligar os avisos no aplicativo. Para o aviso chegar ao seu celular mesmo com o app fechado, ele passa pelo Expo (650 Industries, Estados Unidos) e pelo Firebase Cloud Messaging, do Google (Estados Unidos), que recebem:

  • O título e o texto do aviso, que podem incluir o nome do seu cliente e o valor da cobrança (por exemplo, "Pagamento recebido: Ana pagou R$ 150,00").
  • Um identificador do aparelho, criado pelo próprio Android só para entregar os avisos.

No navegador (o painel instalado na Tela de Início do iPhone, ou o Chrome, o Edge e o Firefox do computador): só se você ligar os avisos em Configurações > Notificações, em cada aparelho. O aviso passa pelo serviço de notificações do próprio navegador: Apple (iPhone e Safari), Google (Chrome), Mozilla (Firefox) ou Microsoft (Edge), todos nos Estados Unidos. O título e o texto vão criptografados com uma chave que só o seu aparelho tem: esses serviços entregam o aviso, mas não conseguem ler o que está escrito. Eles recebem só um endereço de entrega, criado pelo próprio navegador.

Os avisos param quando você os desliga nas configurações do aparelho, toca em "Parar avisos neste aparelho" ou sai da conta.

4.6. Obrigação legal

Podemos compartilhar dados quando houver ordem judicial ou exigência de autoridade competente. Sempre que a lei permitir, avisaremos você antes.

4.7. Sua identificação na cobrança

A partir de 16 de outubro de 2026, o nome, o CPF ou CNPJ e o endereço cadastrados na sua conta aparecem para os seus clientes na página de pagamento, no portal do cliente e nos e-mails de cobrança, porque o Código de Defesa do Consumidor (art. 42-A) exige que todo documento de cobrança identifique quem cobra. O endereço é o que você cadastrar: se trabalha em casa, pode usar um endereço comercial ou de correspondência.

5. Transferência Internacional de Dados

Parte dos parceiros acima opera fora do Brasil, o que a LGPD chama de transferência internacional (art. 33). São eles: Groq, OpenRouter, TypeSafe e Stripe (Estados Unidos), Cloudflare e Sentry (Estados Unidos), Meta (Estados Unidos e Irlanda), quando o canal oficial estiver ativo, e Expo e Google (Estados Unidos), quando os avisos no celular estiverem ligados, o serviço de notificações do navegador (Apple, Google, Mozilla ou Microsoft, Estados Unidos), quando os avisos no navegador estiverem ligados, e GitHub (Microsoft, Estados Unidos), que guarda a cópia de segurança diária do banco de dados, criptografada antes de sair do nosso servidor.

O banco de dados principal, o backup local e o servidor de WhatsApp ficam no Brasil. O Asaas e o Resend também operam com infraestrutura brasileira.

6. Nosso Papel: Controlador e Operador

Essa distinção importa juridicamente, então vale ser claro:

  • Sobre os seus dados de cadastro (nome, e-mail, CPF/CNPJ, telefone), nós somos o controlador.
  • Sobre os dados dos seus clientes, quem decide o que cobrar, de quem e quando é você. Nesse caso você é o controlador e nós atuamos como operador, tratando os dados apenas para executar o que você determina.

Na prática, isso significa que você é responsável por ter uma base legal válida para cobrar essas pessoas, normalmente a execução de um contrato ou o legítimo interesse na cobrança de dívida. E significa que, se um cliente seu pedir para não receber mais mensagens, nós respeitamos o pedido dele imediatamente, mesmo que a cobrança continue existindo.

7. Segurança dos Dados

O que fazemos na prática, e não apenas como intenção:

  • Criptografia em trânsito: TLS 1.2 ou superior em todas as conexões.
  • Criptografia em repouso: CPF/CNPJ (seu e dos seus clientes), chaves de integração, dados bancários e tokens de acesso ficam criptografados no banco. Num vazamento de banco de dados, esses campos não saem legíveis.
  • Senhas: guardadas com bcrypt, que é irreversível. Nem nós conseguimos ver a sua senha.
  • Verificação em duas etapas disponível para a sua conta.
  • Proteção contra tentativa de invasão: limite de tentativas de login e bloqueio automático, com aviso à nossa equipe.
  • Backups diários criptografados (AES-256), guardados fora do servidor da aplicação (no próprio servidor de backup e numa cópia cifrada no GitHub), com retenção de 30 dias.
  • Isolamento entre contas: cada conta só enxerga os próprios dados, e isso é verificado por testes automatizados a cada alteração do sistema.

Nenhum sistema é imune. Se ocorrer um incidente de segurança que possa gerar risco relevante a você, comunicaremos você e a ANPD, conforme o art. 48 da LGPD, descrevendo o que aconteceu, quais dados foram afetados e o que fizemos a respeito.

8. Seus Direitos (LGPD)

Você tem direito a:

  • Acessar seus dados pessoais
  • Corrigir dados incorretos
  • Solicitar exclusão dos dados
  • Revogar consentimento
  • Portabilidade dos dados

9. Retenção de Dados

Mantemos seus dados enquanto sua conta tiver acesso e por mais 30 dias depois que o acesso acaba (assinatura não renovada, ou conta que nunca chegou a pagar), para você poder exportar tudo ou voltar com tudo no lugar. Passado esse prazo, avisamos por e-mail com 15 dias de antecedência e então apagamos a conta e os dados: cadastro, clientes, cobranças, conversas e configurações. Ficam guardados sem acesso só os pagamentos da sua assinatura conosco, pelo prazo da legislação fiscal e contábil (5 anos), e os registros de acesso, pelo prazo do Marco Civil da Internet. Por um tempo, os dados apagados ainda podem existir nas cópias de segurança criptografadas do banco, que servem só para recuperar o sistema em caso de falha.

Ao pedir a exclusão da conta, seus dados pessoais (nome, telefone, CPF/CNPJ, endereço, chaves e dados bancários) são anonimizados na hora e a conta é encerrada em até 15 dias, quando o e-mail também é anonimizado. Os registros de cobrança ficam guardados sem acesso pelo prazo que a legislação fiscal e contábil obriga (5 anos), e os registros de acesso pelo prazo do Marco Civil da Internet.

10. Cookies

Utilizamos cookies para autenticação e preferências do usuário. Você pode desativar cookies no seu navegador, mas algumas funcionalidades podem ser afetadas.

11. Alterações nesta Política

Podemos atualizar esta política periodicamente. Alterações significativas serão comunicadas por e-mail.

12. Encarregado de Dados e Contato

A LGPD (art. 41) exige que indiquemos um encarregado pelo tratamento de dados pessoais, que é a pessoa a quem você recorre para exercer seus direitos:

  • Encarregado: Rone Bragaglia
  • E-mail: [email protected]
  • WhatsApp: (11) 95409-2078
  • Atendimento: de segunda a sexta, das 9h às 18h

Respondemos pedidos sobre dados pessoais em até 15 dias. Se você preferir, pode reclamar diretamente à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

Para relatar uma vulnerabilidade de segurança, use o mesmo e-mail. Não abra registro público antes de falar conosco: nosso compromisso é confirmar o recebimento em 48 horas.