Esta Política de Privacidade explica como o SG CRM (SG Emp Ltda.) trata os dados pessoais de visitantes do site, usuários da plataforma e contatos, em conformidade com a Lei nº 13.709/2018 (LGPD).
1. Quem é o controlador
O controlador dos dados é a SG Emp Ltda., inscrita no CNPJ 32.321.219/0001-89, com sede em Rua Desembargador Joaquim Bandeira de Melo, 657, Casa 4 — São Paulo/SP. Dúvidas sobre privacidade podem ser enviadas ao nosso Encarregado (DPO) pelo e-mail privacidade@sgcrm.com.br.
2. Quais dados coletamos
2.1. Dados que você nos fornece
- Cadastro: nome, e-mail, telefone e dados da empresa ao criar a sua conta.
- Cadastro iniciado: se você começa a criar uma conta e não conclui, guardamos os dados informados até ali (como e-mail, nome e segmento de interesse) e a etapa em que o cadastro parou, para retomar o contato e facilitar a conclusão.
- Comunicação: mensagens enviadas a nós por e-mail, formulários ou WhatsApp.
2.2. Dados coletados automaticamente
- Uso e dispositivo: endereço IP, tipo de navegador, páginas visitadas e data/hora de acesso.
- Cookies e tecnologias similares: ver a seção Cookies.
2.3. Dados tratados em nome do cliente (operador)
Quando você usa a plataforma, insere informações dos seus próprios clientes e negócios (contatos, conversas, tarefas). Em relação a esses dados, atuamos como operador: tratamos apenas para prestar o serviço, conforme as instruções do cliente, que é o controlador desses dados.
3. Para que usamos os dados e com que base legal
- Prestar e manter o serviço — execução de contrato (art. 7º, V, LGPD).
- Criar e administrar sua conta — execução de contrato.
- Retomar um cadastro iniciado e não concluído — procedimentos preliminares relacionados ao contrato, a seu pedido (art. 7º, V, LGPD). Você pode pedir a exclusão desses dados a qualquer momento pelo e-mail do nosso Encarregado.
- Suporte e comunicação — execução de contrato e legítimo interesse (art. 7º, IX).
- Segurança, prevenção a fraudes e melhoria do produto — legítimo interesse.
- Métricas e marketing do site — consentimento (cookies analíticos).
- Cumprimento de obrigações legais e regulatórias — obrigação legal (art. 7º, II).
4. Cookies
Utilizamos dois tipos de cookies:
- Essenciais: necessários para o funcionamento do site e da plataforma. Não dependem de consentimento.
- Analíticos: ajudam a entender como o site é usado (via Google Analytics / Google Tag Manager). Ficam ativos quando você navega pelo site.
Ao acessar o site, exibimos um aviso sobre o uso de cookies. Você pode desativar os cookies analíticos e de publicidade a qualquer momento bloqueando ou apagando os cookies nas configurações do seu navegador, sem prejuízo das funcionalidades essenciais. Para rever o aviso, clique em .
5. Com quem compartilhamos
Não vendemos seus dados. Compartilhamos apenas com:
- Provedores de infraestrutura (hospedagem, banco de dados e armazenamento em nuvem) que processam dados em nosso nome, sob contrato.
- Provedores de análise (Google), conforme o seu consentimento de cookies.
- Integrações que você ativar — ver a seção seguinte.
- Autoridades, quando exigido por lei ou ordem judicial.
6. Integrações de terceiros
A plataforma permite conectar serviços externos (por exemplo, Google para e-mail e agenda, WhatsApp / Meta para mensagens e LinkedIn para captação de leads e anúncios). Essas conexões só ocorrem com a sua autorização explícita e nos dão acesso apenas aos dados necessários para a funcionalidade escolhida. O uso desses serviços também está sujeito às políticas de privacidade dos respectivos provedores.
6.1 Dados do Google (Gmail e Google Agenda)
Ao conectar sua conta Google — e somente com o seu consentimento na tela de autorização do próprio Google — a plataforma acessa:
- Leitura de e-mails (escopo
gmail.readonly): para exibir, dentro do CRM, as mensagens trocadas com os seus contatos, no histórico do registro correspondente. Por padrão, o conteúdo dos seus e-mails é visível apenas para você; o compartilhamento com o restante do time é uma escolha sua, por conexão. - Envio de e-mails (escopo
gmail.send): para enviar mensagens que você escreve e comanda no CRM, em seu nome, pela sua própria caixa. Nenhum e-mail é enviado sem uma ação sua. - Eventos de agenda (escopo
calendar.events): para sincronizar reuniões entre a sua agenda Google e a Agenda do CRM.
O uso e a transferência de informações recebidas das APIs do Google pela plataforma aderem à Google API Services User Data Policy, incluindo os requisitos de Uso Limitado (Limited Use). Em particular:
- Os dados do Google são usados somente para prover as funcionalidades acima, visíveis na interface da plataforma — nunca para publicidade, nunca para treinar modelos de IA generalistas e nunca vendidos a terceiros.
- Não transferimos esses dados a terceiros, exceto os subprocessadores de infraestrutura necessários para operar a plataforma (sob contrato), por exigência legal, ou com o seu consentimento explícito.
- Humanos não leem esses dados, salvo com a sua permissão explícita (ex.: suporte solicitado por você), por exigência legal ou para fins de segurança (ex.: investigação de abuso).
- Credenciais de acesso (tokens) são armazenadas criptografadas; você pode desconectar a conta a qualquer momento na plataforma, o que interrompe a sincronização, e revogar o acesso também em myaccount.google.com/permissions.
6.2 Conversões para plataformas de anúncio (Meta e LinkedIn)
A plataforma permite que o cliente (workspace) devolva eventos de conversão às plataformas de anúncio que ele mesmo utiliza — por exemplo, informar à Meta ou ao LinkedIn que um lead vindo de um anúncio virou negócio, para que os anúncios do próprio cliente sejam otimizados. Esse recurso é desligado por padrão e só funciona após ativação explícita por um administrador do workspace; quem ativou e quando fica registrado de forma auditável.
- O que é enviado: o nome do evento (ex.: "negócio fechado"), a data, o valor do negócio (quando configurado), o identificador do clique no anúncio de origem (quando a conversa começou por um anúncio) e identificadores de contato transformados por hash criptográfico (SHA-256) — telefone e/ou e-mail normalizados. No caso do LinkedIn, o evento pode ser identificado pela referência da própria resposta de formulário que o LinkedIn nos entregou (um código gerado pelo LinkedIn, que já é dele). Nenhum dado de contato sai em texto legível.
- O que nunca é enviado: nome, endereço, conteúdo de conversas, anotações ou qualquer outro dado do contato.
- Finalidade e papel: a mensuração e otimização das campanhas é uma decisão e finalidade do cliente (controlador dos dados dos seus contatos); a plataforma atua como operadora, executando o envio sob instrução do cliente. O tratamento posterior segue as políticas de privacidade da própria plataforma de anúncio — Meta e LinkedIn.
- Transparência e controle: cada evento enviado fica registrado na plataforma (com status e resposta da plataforma de anúncio), e o recurso pode ser desativado a qualquer momento — o que interrompe imediatamente novos envios. As credenciais de acesso são armazenadas criptografadas.
6.3 Dados do LinkedIn (captação de leads e anúncios)
Ao conectar uma conta LinkedIn — ação restrita aos administradores do workspace e realizada somente com o consentimento na tela de autorização do próprio LinkedIn — a plataforma acessa:
- Formulários de captação e suas respostas (escopo
r_marketing_leadgen_automation): para que os leads dos formulários do próprio cliente (de anúncios, de publicações ou de eventos da Página) entrem automaticamente no CRM como contato e oportunidade, sem exportação manual de planilha. - Páginas e contas de anúncio administradas (escopos
r_organization_adminer_ads): apenas para listar as Páginas e contas disponíveis, de modo que o cliente escolha quais delas alimentam o CRM. Nada é importado sem essa escolha. - Relatórios de anúncios (escopo
r_ads_reporting, somente leitura): para exibir investimento, impressões, cliques e número de leads por campanha ao lado do funil. São números agregados por campanha e por dia — não contêm dados de pessoas. A plataforma nunca cria, edita, pausa ou altera orçamento de campanhas. - Envio de conversões (escopo
rw_conversions): recurso opcional, desligado por padrão, descrito na seção 6.2 acima. - Nome e foto do membro (escopo
r_liteprofile): apenas para exibir, na tela de integrações, qual conta está conectada.
Sobre o tratamento desses dados:
- Só acessamos Páginas e contas de anúncio que o membro autenticado já administra no LinkedIn, e apenas as que ele selecionar na plataforma.
- Os dados dos leads pertencem ao cliente que os captou, que é o controlador; a plataforma atua como operadora, tratando-os sob instrução dele.
- Esses dados são usados somente para prover as funcionalidades acima dentro do workspace do cliente. Nunca são usados na nossa própria publicidade, nunca são vendidos, nunca são cruzados entre clientes diferentes e nunca são usados para treinar modelos de IA generalistas.
- Credenciais de acesso (tokens) são armazenadas criptografadas. Ao desconectar a conta na plataforma, removemos as assinaturas de notificação de leads junto ao LinkedIn e a sincronização é interrompida; o acesso também pode ser revogado diretamente em linkedin.com/psettings/permitted-services.
- O tratamento dos dados pelo próprio LinkedIn segue a Política de Privacidade do LinkedIn.
6.4 Dados da Meta (Messenger, Instagram Direct e WhatsApp)
Ao conectar uma Página do Facebook, uma conta profissional do Instagram ou um número do WhatsApp Business — ação restrita aos administradores do workspace e realizada somente com o consentimento na tela de autorização da própria Meta — a plataforma acessa:
- Páginas administradas pelo usuário (escopo
pages_show_list): apenas para identificar as Páginas que ele autorizou e criar a conexão da caixa de entrada. Não acessamos Páginas que não foram concedidas nessa tela. - Assinatura de notificações da Página (escopo
pages_manage_metadata): exclusivamente para receber, em tempo real, as mensagens enviadas à Página. Nenhuma outra configuração da Página é lida ou alterada. - Mensagens da Página e do Instagram Direct (escopos
pages_messaging,instagram_basiceinstagram_manage_messages): para exibir, na caixa de entrada compartilhada do cliente, as conversas que os clientes finais iniciam, e permitir que os atendentes humanos respondam por ali, dentro da janela de atendimento definida pela Meta. Junto da conversa, exibimos os dados básicos de quem escreve (nome, nome de usuário e foto do perfil) fornecidos pela própria Meta — a plataforma não recebe e-mail nem telefone do remetente por esses canais. - WhatsApp Business (escopos
whatsapp_business_messaging,whatsapp_business_managementebusiness_management): para conectar o número do próprio cliente e trocar mensagens com os contatos dele pela caixa de entrada.
Sobre o tratamento desses dados:
- Os dados são usados somente para prover o atendimento dentro do workspace do cliente. Nunca são usados na nossa própria publicidade, nunca são vendidos, nunca são cruzados entre clientes diferentes e nunca são usados para treinar modelos de IA generalistas.
- O cliente que conecta a conta é o controlador dos dados dos contatos dele; a plataforma atua como operadora, tratando-os sob instrução dele.
- As credenciais de acesso (tokens) são armazenadas criptografadas.
- Exclusão: ao desconectar a conta na plataforma, a sincronização é interrompida.
Também honramos o Data Deletion Callback da Meta — a solicitação feita nas configurações
de aplicativos do Facebook chega ao endereço
https://api.sgcrm.com.br/api/webhooks/meta/data-deletione remove os dados associados àquele usuário, com página de acompanhamento do status. Pedidos também podem ser enviados diretamente ao nosso Encarregado (seção 12). - O acesso pode ser revogado a qualquer momento em facebook.com/settings (Integrações de negócios). O tratamento dos dados pela própria Meta segue a Política de Privacidade da Meta.
7. Armazenamento, segurança e retenção
Adotamos medidas técnicas e organizacionais para proteger os dados, como criptografia de credenciais sensíveis, controle de acesso e isolamento por cliente. Mantemos os dados pelo tempo necessário às finalidades acima ou conforme exigido por lei; encerrada a relação, os dados são eliminados ou anonimizados, salvo obrigação legal de guarda. Dados de cadastros iniciados e não concluídos são mantidos por até 1 ano e depois eliminados ou anonimizados.
8. Transferência internacional
Alguns provedores podem processar dados em servidores fora do Brasil. Nesses casos, adotamos salvaguardas para garantir um nível de proteção compatível com a LGPD.
9. Seus direitos como titular
Nos termos do art. 18 da LGPD, você pode, a qualquer tempo, solicitar:
- confirmação da existência de tratamento e acesso aos seus dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados tratados com base no consentimento;
- informação sobre o compartilhamento e revogação do consentimento.
Para exercer esses direitos, escreva para privacidade@sgcrm.com.br. Responderemos no prazo previsto em lei. Se o tratamento envolver dados que o cliente inseriu na plataforma, encaminharemos a solicitação ao respectivo controlador.
10. Dados de menores
O serviço é destinado a empresas e profissionais; não é direcionado a menores de 18 anos, e não coletamos dados deles intencionalmente.
11. Alterações desta Política
Podemos atualizar esta Política periodicamente. A data da última revisão é indicada no topo da página. Mudanças relevantes serão comunicadas pelos canais usuais.
12. Contato
Encarregado (DPO): privacidade@sgcrm.com.br
Contato geral: contato@sgcrm.com.br
Veja também os nossos Termos de Uso.