Como tratamos seus dados

Teha é uma plataforma comercial brasileira (CRM + WhatsApp + IA) operada por Revolute Digital, com sede em Sorocaba/SP. Tratamos dados pessoais sob a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/18).

Para qualquer pedido sobre seus dados, escreva pra [email protected].

De usuários da plataforma (vendedores, gestores cadastrados):

• Cadastro: nome, email, senha (hash bcrypt), foto opcional
• Sessão: IP, user-agent, hora de login
• Configurações: timezone, locale, preferências de notificação
• Atividade: deals criados, mensagens enviadas, audit log de ações

De contatos/leads gerenciados na plataforma (terceiros):

• Telefone, email, nome, dados que o cliente da plataforma colocar no CRM
• Histórico de mensagens via WhatsApp/Instagram
• Tags, estágio de pipeline, valor de deal

Importante: dados de contatos pertencem ao cliente da plataforma (a empresa que contratou o Teha), que age como controlador. Teha age como operador (art. 5º VII LGPD).

• Execução de contrato (art. 7º V): permitir o uso da plataforma contratada — login, envio de mensagem, pipeline, automações.
• Legítimo interesse (art. 7º IX): segurança da plataforma (rate-limit, audit log, detecção de fraude).
• Consentimento (art. 7º I): cookies opcionais (analytics, chat de suporte). Você aceita ou recusa no banner.
• Cumprimento legal (art. 7º II): retenção de logs fiscais e de segurança quando exigido por lei.

Não vendemos dados. Compartilhamos apenas com fornecedores essenciais (operadores sob contrato) pra fazer a plataforma funcionar:

• Railway (infraestrutura, EUA): hospedagem da aplicação e DB. DPA assinado, dados em PostgreSQL com criptografia em trânsito e repouso.
• Meta Cloud API (WhatsApp + Instagram, Brasil/EUA): envio e recebimento de mensagens.
• Anthropic Claude (IA, EUA): sugestões de próxima ação, resumos de conversa. Conteúdo trafega encriptado e não é usado pra treinar modelos (Anthropic API tier).
• uazapi (provedor WhatsApp legado, Brasil): apenas pra orgs em fase de migração pro Meta Cloud.
• Crisp (chat de suporte, opcional): só carrega se você aceitar o cookie de chat. Compartilha email + nome.

Pela LGPD (art. 18) você tem direito a confirmação, acesso, correção, portabilidade, eliminação, anonimização, informação sobre compartilhamento e revogação de consentimento.

Atendemos em até 15 dias úteis. Se demorarmos, você pode reclamar diretamente à ANPD.

• Dados de cadastro do usuário: enquanto a conta estiver ativa. Após pedido de deleção, anonimizamos em 30 dias (regret window).
• Dados de contatos/leads: conforme política do cliente da plataforma (cada org configura sua retenção em Settings → LGPD).
• Audit logs e logs de segurança: 90 dias (rotativo).
• Backups: 30 dias rotativos (Railway). Dados deletados saem do backup após esse ciclo.
• Dados fiscais: 5 anos (exigência tributária brasileira).

Usamos cookies essenciais (sessão NextAuth — sem isso o login não funciona) e cookies opcionais (analytics agregado, chat de suporte). O banner de consent pergunta antes de carregar qualquer cookie opcional. Você pode revisitar a escolha limpando o localStorage do navegador (chave teha-consent-v1).

Aplicamos:

• Senhas com hash bcrypt (custo 12)
• 2FA disponível pra todos, obrigatório pra admins editarem org
• HMAC validation em webhooks (Meta, uazapi)
• Rate-limit em endpoints públicos (lead capture, login)
• Audit log de ações sensíveis (login, deleção, mudança de role)
• Criptografia TLS 1.3 em trânsito, AES-256 em repouso (Railway)

Em caso de incidente de segurança envolvendo dados pessoais, comunicamos a ANPD e os titulares afetados em até 48h, conforme art. 48 LGPD.

Quando alteramos algo material, bumpamos a versão (você está lendo a 2.0) e re-pedimos consent ativo via banner. Mudanças cosméticas (typo, formato) só atualizam a data de revisão.