Política de privacidade (LGPD)

Como a FisgandoPromos trata dados pessoais, em que papel e com que limites, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018).

1. Quem é quem

Esta política cobre quem visita o site e quem participa de grupos de WhatsApp ligados a nós. O nosso papel muda conforme o caso:

• Visitantes do site: somos controladores de uma medição mínima, descrita em Privacidade e medição.
• Membros dos grupos de ofertas que nós mesmos administramos: somos controladores.
• Participantes de grupos de terceiros em que nossos números entram (extração de contatos, ou leads): quem coleta é a BANKS LTDA, que é controladora desses dados.
• Membros de grupos administrados por um cliente da plataforma (contagem de entradas e saídas e proteção do grupo): o cliente é o controlador e nós somos o operador: tratamos só para prestar o serviço e seguindo as instruções dele.

Responsável pela plataforma: BANKS LTDA, CNPJ 64.115.691/0001-51, Rua Maria Aparecida de Paula, 39, Cooperativa, São Bernardo do Campo/SP, CEP 09851-676. Quem usa o painel como cliente (cadastro, cobrança, retenção da conta) deve ler a política de privacidade do painel.

2. O que coletamos

• extração de contatos (leads) de grupos de terceiros: números nossos de WhatsApp entram em grupos de outras pessoas e, de cada participante, guardamos o número de telefone em claro, o identificador interno do WhatsApp (@lid), o nome que a pessoa exibe, o endereço da foto de perfil, em quais grupos a vimos (com a primeira e a última vez) e uma pontuação calculada sobre esse perfil. A pontuação cruza o contato com os membros dos nossos próprios grupos, comparando por hash, então esse hash não é anônimo: serve para reconhecer a mesma pessoa;
• gestão de membros dos grupos: para contar quem entra e quem sai, guardamos o número de telefone em hash pseudonimizado (não é o número, mas quem tem o número consegue recalcular o hash e reconhecer a pessoa);
• proteção de grupos: de quem é removido por abuso, guardamos um rótulo com o número mascarado e o telefone cifrado (reversível por nós, com chave nossa), para poder removê-lo também de outro grupo;
• cliques nas páginas de oferta do site: uma linha por clique, com o horário, a loja, de qual rede veio, o tipo de aparelho, de sistema e de aplicativo (classes grossas), até onde a pessoa rolou a página e qual post originou o clique. Sem IP, sem user-agent e sem identificar a pessoa;
• cliques nos links curtos dos grupos: não guardamos o IP. O IP e o navegador entram num cálculo (HMAC, com chave nossa) que gera um código de visitante de 32 caracteres, só para contar pessoas diferentes; sem a chave não dá para voltar ao IP. Guardamos esse código, o user-agent (identificação do aparelho e do navegador), a página de origem, os parâmetros de campanha (UTM) e o tipo de aparelho e de navegador já interpretados. Usamos isso para contar cliques, saber de onde vieram, e reconhecer robôs e abuso (o acesso de robô, como a prévia do WhatsApp, não entra na contagem);
• mensagens enviadas nos grupos de WhatsApp em que nossos números estão: o texto é lido por um programa nosso, na hora, só para a moderação descrita na seção 3. O que fica guardado na nossa base dessa análise é um registro do alerta: a regra que disparou, o grupo, um hash de quem enviou, o tamanho da mensagem, o tipo e o endereço (host) dos links, até 5 por alerta. O texto da mensagem e o telefone não entram nesse registro. Além disso, o servidor de WhatsApp que usamos (Evolution API) grava, no banco dele, as mensagens e os contatos dos grupos em que nossos números estão (retenção na seção 5);
• visitas às páginas do FisgandoPromos (fisgando.promo e seus subdomínios, inclusive este site): o Google Analytics 4 carrega sempre, sem pedir aceite, por decisão nossa, para medir visitas de forma agregada, inclusive de quem sai sem clicar em nada; ele usa cookies do Google e recebe o endereço IP e dados do navegador. O Pixel da Meta, ao contrário, só carrega depois do aceite dos cookies;
• registros técnicos mínimos de acesso e de segurança do site.

Não vendemos dados. As mensagens dos grupos são analisadas automaticamente só para moderação(spam, golpe, link malicioso, flood e mensagens que travam o aplicativo): não usamos esse conteúdo para anúncio e não o vendemos. Se quem clicou num link curto aceitou os cookies da página, enviamos à Meta, pelo servidor (Conversions API), um evento de "Lead" com: o IP e o user-agent desse clique, os cookies de medição da Meta (_fbp e _fbc; se o _fbc faltar e o link trouxer o fbclid, montamos o identificador a partir dele), o identificador do link curto, as origens de campanha (utm_source e utm_campaign), o endereço do link, o horário e um código do evento (para a Meta não contar duas vezes o mesmo Lead). Não vão nome, telefone nem e-mail. Esse envio é para medir os anúncios que fazemos; sem o aceite, nada disso sai, e nós não guardamos uma cópia do que foi enviado.

Personalização no seu navegador. Com o seu aceite de cookies, o site guarda no próprio navegador (não no nosso servidor) as categorias e lojas de que você mais se interessou, inclusive as que o anúncio que trouxe você citava, para mostrar ofertas parecidas. Sem o aceite, o interesse do anúncio vale só enquanto a aba estiver aberta. O link "Personalização: limpar", no rodapé, apaga tudo.

3. Para quê (finalidade e base legal)

• extração de contatos (leads): formar uma base de possíveis interessados em ofertas, para contato direto no futuro. Hoje essa base é só guardada e pontuada: nenhuma mensagem é enviada a esses contatos a partir dela. Base legal: legítimo interesse, art. 7º, IX. Você pode se opor e pedir a exclusão a qualquer momento (seção 6);
• receber e acompanhar os grupos de ofertas que administramos: quem entra num grupo o faz por ação própria (clica no link e entra), e é a isso que corresponde o envio das ofertas ali. Base legal: consentimento (art. 7º, I). Você revoga saindo do grupo;
• moderar os grupos (analisar as mensagens para remover spam, golpe e link malicioso, e remover quem abusa): legítimo interesse, art. 7º, IX. Não usamos essas mensagens para anúncio nem as vendemos;
• medir o alcance das ofertas e dos grupos, e as visitas às páginas pelo Google Analytics 4, e contar cliques dos links curtos sem guardar o IP (legítimo interesse, art. 7º, IX);
• segurança, prevenção a fraude e a abuso (legítimo interesse, art. 7º, IX);
• medir nossos anúncios na Meta, só com o seu aceite de cookies (consentimento, art. 7º, I);
• mostrar anúncios de ofertas parecidas com o que você viu aqui (remarketing no Google e na Meta), só com o seu aceite de cookies (consentimento, art. 7º, I). Mandamos a essas plataformas apenas a categoria, a loja, o código interno e o preço do produto visto e, numa busca, o termo curto digitado (nunca e-mail, telefone ou número de documento). Recusar, ou não escolher, impede o envio. Você revoga a qualquer momento apagando os cookies do site e das plataformas, ou nas configurações de anúncios delas;
• cumprir obrigações legais e fiscais (art. 7º, II);
• no caso dos membros de grupos de clientes, a base legal é definida pelo cliente, como controlador.

4. Compartilhamento

Usamos prestadores para hospedagem, banco de dados, envio de e-mail e as plataformas de mensagens (WhatsApp, Telegram, Meta). Eles tratam dados só para nos atender. Hoje usamos: Hostinger (servidor VPS), Cloudflare (DNS e túnel de acesso), Google (Google Analytics 4, medição das visitas às páginas), a cópia de segurança fora do servidor (Backblaze B2), Resend (e-mail transacional), Meta (WhatsApp, Instagram e medição de conversões), provedores de modelos de linguagem (Groq, Google Gemini, Cerebras, Mistral e OpenRouter, que recebem textos de ofertas, não dados de membros), a MoreLogin (celulares em nuvem em que roda o WhatsApp dos nossos números), provedores de proxy residencial (IPRoyal, que também é a saída de rede desses celulares, e DataImpulse) e os programas de afiliados e marketplaces (Shopee, Amazon, Mercado Livre, AliExpress e Awin). Parte desses prestadores fica fora do Brasil, em especial nos Estados Unidos. Podemos ainda compartilhar dados por ordem legal ou judicial.

5. Por quanto tempo guardamos (retenção)

Para parte dos dados desta lista não há rotina automática de expurgo: eles ficam por tempo indeterminado, enquanto a plataforma operar, e saem quando excluídos a pedido (seção 6) ou, quando o dado pertence a uma conta de cliente, quando essa conta é apagada:

• contatos extraídos (leads), com os grupos e a pontuação: saem a pedido do titular ou com a conta que os extraiu;
• eventos de entrada e saída de membros (hash): não saem ao apagar o grupo nem a conta;
• cliques nas páginas de oferta: ficam mesmo depois de o site ser removido;

Têm prazo automático: o detalhe de cada clique nos links curtos (180 dias; o IP, quando existiu em cliques antigos, é apagado, e só os totais agregados do link ficam); os alertas e as ações de moderação da proteção de grupos (180 dias), e o telefone cifrado de quem foi removido por abuso e está inativo (apagado após 180 dias, ficando o rótulo mascarado e os hashes).

No banco do servidor de WhatsApp (Evolution API), as mensagens dos grupos em que nossos números estão são apagadas por uma rotina diária quando passam de 30 dias; os contatos, as conversas e o histórico dos grupos nesse banco não têm rotina de expurgo, e a exclusão de um contato extraído (leads) não alcança esse banco.

As cópias de segurança, ao contrário, são apagadas automaticamente por idade: o banco de dados tem cópia diária no servidor (7 dias) e uma cópia fora dele no Backblaze B2 (20 dias), enviada sem cifra própria nossa; os arquivos enviados e o banco do WhatsApp (sem as credenciais de sessão) ficam 7 dias; as cópias completas do banco feitas antes de cada atualização do sistema ficam no servidor até 14 dias; e uma cópia cifrada do banco, junto com o arquivo de configuração do sistema (que contém credenciais), fica 30 dias em outro espaço do Backblaze B2, que só a nossa chave privada abre. Um dado excluído continua nas cópias até a poda: em até 30 dias na cópia cifrada, 20 na cópia sem cifra e 14 nas cópias de antes de cada atualização.

6. Seus direitos (art. 18 da LGPD)

Você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade, informação sobre compartilhamento e sobre a possibilidade de não consentir;
• oposição ao tratamento feito com base em legítimo interesse;
• revogação do consentimento, quando essa for a base legal.

Contatos extraídos de grupos (leads): peça ao encarregado, pelo canal da seção 8, informando o seu telefone (com DDI e DDD). Nossa equipe localiza o registro pelo telefone, o apaga junto com os grupos e a pontuação ligados a ele, e responde em até 15 dias.

Membro de um grupo de cliente: peça primeiro a quem administra o grupo (o controlador). Se o pedido chegar a nós, encaminhamos ao controlador ou o atendemos conforme a instrução dele. Como guardamos só o hash do número, talvez precisemos que você o informe para localizar o registro.

7. Segurança

Usamos controles de acesso por conta, segregação de dados entre clientes, credenciais cifradas e backups verificados. Nenhum sistema é infalível: em caso de incidente com risco relevante, comunicaremos a ANPD e os afetados nos termos da lei.

8. Encarregado de dados (DPO) e contato

Encarregado: BANKS LTDA. Canal: [email protected]. Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Mudanças nesta política

Esta política pode mudar. A data da última atualização fica no topo; mudanças relevantes serão avisadas. Veja também os Termos de uso.