POLÍTICA DE PRIVACIDADE

Como tratamos seus dados

Última atualização: 25 de outubro de 2026. Versão 2.0 (LGPD compliant após Sprint v7-v8).

1. Quem somos

Teha é uma plataforma comercial brasileira (CRM + WhatsApp + IA) operada por F5 Marketing e Vendas LTDA (CNPJ 43.569.207/0001-94), com sede em Sorocaba/SP. Tratamos dados pessoais sob a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/18).

Para qualquer pedido sobre seus dados, escreva pra [email protected].

2. Dados que coletamos

De usuários da plataforma (vendedores, gestores cadastrados):

  • Cadastro: nome, email, senha (hash bcrypt), foto opcional
  • Sessão: IP, user-agent, hora de login
  • Configurações: timezone, locale, preferências de notificação
  • Atividade: deals criados, mensagens enviadas, audit log de ações

De contatos/leads gerenciados na plataforma (terceiros):

  • Telefone, email, nome, dados que o cliente da plataforma colocar no CRM
  • Histórico de mensagens via WhatsApp/Instagram
  • Tags, estágio de pipeline, valor de deal

Importante: dados de contatos pertencem ao cliente da plataforma (a empresa que contratou o Teha), que age como controlador. Teha age como operador (art. 5º VII LGPD).

3. Por que coletamos (finalidade e base legal)

  • Execução de contrato (art. 7º V): permitir o uso da plataforma contratada — login, envio de mensagem, pipeline, automações.
  • Legítimo interesse (art. 7º IX): segurança da plataforma (rate-limit, audit log, detecção de fraude).
  • Consentimento (art. 7º I): cookies opcionais (analytics, chat de suporte). Você aceita ou recusa no banner.
  • Cumprimento legal (art. 7º II): retenção de logs fiscais e de segurança quando exigido por lei.

4. Com quem compartilhamos

Não vendemos dados. Compartilhamos apenas com fornecedores essenciais (operadores sob contrato) pra fazer a plataforma funcionar:

  • Railway (infraestrutura, EUA): hospedagem da aplicação e DB. DPA assinado, dados em PostgreSQL com criptografia em trânsito e repouso.
  • Meta Cloud API (WhatsApp + Instagram, Brasil/EUA): envio e recebimento de mensagens.
  • Anthropic Claude (IA, EUA): sugestões de próxima ação, resumos de conversa. Conteúdo trafega encriptado e não é usado pra treinar modelos (Anthropic API tier).
  • uazapi (provedor WhatsApp legado, Brasil): apenas pra orgs em fase de migração pro Meta Cloud.
  • Crisp (chat de suporte, opcional): só carrega se você aceitar o cookie de chat. Compartilha email + nome.

5. Seus direitos e como exercer

Pela LGPD (art. 18) você tem direito a confirmação, acesso, correção, portabilidade, eliminação, anonimização, informação sobre compartilhamento e revogação de consentimento.

Exportar meus dados

Download em JSON com tudo que temos sobre você.

Disponível no painel →GET /api/account/export

Deletar minha conta

Janela de 30 dias pra cancelar. Após isso, anonimização irreversível.

Disponível no painel →POST /api/account/delete-request

Corrigir dados

Edite seu perfil ou peça correção via DPO.

Settings → Perfil →

Outras solicitações

Anonimização parcial, info sobre compartilhamento, revogação consentimento.

Email DPO →

Atendemos em até 15 dias úteis. Se demorarmos, você pode reclamar diretamente à ANPD.

6. Quanto tempo guardamos

  • Dados de cadastro do usuário: enquanto a conta estiver ativa. Após pedido de deleção, anonimizamos em 30 dias (regret window).
  • Dados de contatos/leads: conforme política do cliente da plataforma (cada org configura sua retenção em Settings → LGPD).
  • Audit logs e logs de segurança: 90 dias (rotativo).
  • Backups: 30 dias rotativos (Railway). Dados deletados saem do backup após esse ciclo.
  • Dados fiscais: 5 anos (exigência tributária brasileira).

7. Cookies

Usamos cookies essenciais (sessão NextAuth — sem isso o login não funciona) e cookies opcionais (analytics agregado, chat de suporte). O banner de consent pergunta antes de carregar qualquer cookie opcional. Você pode revisitar a escolha limpando o localStorage do navegador (chave teha-consent-v1).

8. Segurança

Aplicamos:

  • Senhas com hash bcrypt (custo 12)
  • 2FA disponível pra todos, obrigatório pra admins editarem org
  • HMAC validation em webhooks (Meta, uazapi)
  • Rate-limit em endpoints públicos (lead capture, login)
  • Audit log de ações sensíveis (login, deleção, mudança de role)
  • Criptografia TLS 1.3 em trânsito, AES-256 em repouso (Railway)

9. Incidentes

Em caso de incidente de segurança envolvendo dados pessoais, comunicamos a ANPD e os titulares afetados em até 48h, conforme art. 48 LGPD.

10. Extensão Teha Pilot (Google Chrome)

O Teha Pilot é a extensão do Teha para o WhatsApp Web. Ela só funciona em web.whatsapp.com e só para quem tem conta no Teha.

O que a extensão lê: o número de telefone e o nome do contato da conversa que está aberta na tela, para encontrar esse contato no seu CRM.

O que a extensão NÃO faz:

  • Não lê o conteúdo das suas mensagens.
  • Não acessa outras conversas nem a sua lista de contatos do WhatsApp.
  • Não envia mensagens. Ao usar uma mensagem rápida, ela só escreve o texto na caixa de digitação — quem envia é você.
  • Não funciona em outros sites.

Para onde vão os dados: apenas para a sua conta no Teha (tehacrm.com.br) — o telefone e o nome do contato aberto, e o que você registrar pelo painel (contato, negócio, nota, tarefa). A extensão também envia a versão instalada e se a detecção do contato funcionou, para identificarmos falhas. No navegador ficam salvos só a organização escolhida, o cache dos estágios do funil e preferências de tela.

Nada disso é vendido, compartilhado com terceiros, usado para publicidade ou para qualquer finalidade diferente do funcionamento da extensão. Os dados recebidos seguem esta política (seções 3 a 8). Para parar a coleta, basta desinstalar a extensão.

11. Mudanças nesta política

Quando alteramos algo material, bumpamos a versão (você está lendo a 2.0) e re-pedimos consent ativo via banner. Mudanças cosméticas (typo, formato) só atualizam a data de revisão.