Em resumo
- Dados dos leads pertencem à empresa cliente. Ela decide o que guardar e para onde enviar. O Sparkle Leadz trata esses dados a pedido dela.
- Não vendemos dados pessoais e não usamos os dados dos leads para fins próprios.
- Se você é lead de uma empresa que usa o Leadz, fale primeiro com essa empresa. Ela é a responsável pelos seus dados.
- Este resumo não substitui o texto completo. As regras estão nas seções abaixo.
1. Quem somos e a quem esta política se aplica
O Sparkle Leadz, antes chamado Sparkle CHRM, é um produto da Sparkle Holding (CNPJ 59.966.511/0001-05), a empresa responsável por ele e pelo tratamento de dados descrito aqui. O Leadz serve para atender e organizar contatos em vários canais, como WhatsApp, Instagram, Messenger e e-mail. O site fica em sparkleleadz.com e o painel em app.sparkleleadz.com. O endereço app.sparklechrm.com leva ao mesmo sistema, com os mesmos dados.
Esta política trata de três grupos de pessoas:
- Quem visita o site sparkleleadz.com. Decidimos como esses dados são usados. A Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD) chama esse papel de controlador.
- Quem tem conta no Sparkle Leadz: as empresas clientes e as suas equipes. Aqui também somos controladores.
- Contatos e leads dos nossos clientes: quem conversa com uma empresa que usa o Leadz. A empresa é a controladora e define a base legal. O Leadz trata os dados a pedido dela, papel que a LGPD chama de operador.
Compras, cobranças e portal do cliente também seguem a política de privacidade da Sparkle Holding, publicada nas páginas de pagamento.
2. Dados que tratamos
De quem visita o site
- O site não tem formulário e não pede dados pessoais. Quem cria conta faz isso no painel.
- O navegador faz pedidos técnicos, com endereço IP e tipo de navegador, ao serviço que hospeda o site e ao Google, que entrega as fontes de letra.
- A preferência de tema claro ou escuro fica guardada só no seu navegador.
De quem tem conta
- Cadastro: nome, e-mail, telefone (se informado), senha guardada em código irreversível, foto, cargo, workspace e preferências. O CPF ou CNPJ é guardado quando vem da compra.
- Acessos: data do último acesso e contagem de tentativas de entrada erradas.
- Assinatura: plano, situação e datas. O pagamento é feito nas páginas da Sparkle Holding e o Leadz não recebe dados de cartão.
- Integrações que você liga: tokens e chaves dos canais e dos provedores, identificadores das contas conectadas e o e-mail da conta Google, se você conectar o Google Agenda.
- Conexões de IA: nome do aplicativo conectado, permissões dadas, datas de criação e de uso, e um registro do que a IA pediu e do resultado, sem senhas nem chaves. Os pedidos que precisam de aprovação ficam guardados com os dados da ação. Se você ligar o aviso no WhatsApp, guardamos o número que confirmou.
- E-mails que enviamos a você: destinatário, assunto e situação do envio.
- Registro de acessos da equipe Sparkle: quem da nossa equipe entrou em uma conta de cliente, quando e de qual endereço IP.
- Registros técnicos: pedidos ao servidor e erros, usados para manter o sistema seguro e investigar falhas.
Dos contatos e leads dos nossos clientes
- Cadastro do contato: nome, telefone, e-mail, identificadores nos canais, foto de perfil, empresa, cargo, tags, campos personalizados, notas e negociações.
- Conversas: mensagens, áudios, imagens, vídeos e documentos; transcrição dos áudios, quando o cliente ativa; reações; comentários recebidos, quando o cliente usa esse recurso; e registro das ligações (situação, direção e duração, sem gravação).
- Eventos de compra e de checkout: o que o cliente envia pelo Sparkle Tracker, por webhook ou pela API, como produto, valor, situação do pagamento e forma de pagamento.
- Origem: quando a conversa começa por um anúncio, os dados que a Meta envia (
ctwa_clid,fbclid, identificador, título e texto do anúncio) e os parâmetros de campanha (UTM). - Cliques e aberturas: o clique nos links e botões enviados pelo cliente, com o telefone de quem clicou, e a abertura dos e-mails de campanha.
- Dados enviados pelo cliente pela API pública, por webhook de entrada ou por importação: o que o cliente mandar. Guardamos também o registro original recebido.
- Pedidos de não receber: quem pediu para não receber marketing no WhatsApp ou se descadastrou dos e-mails.
3. Para que usamos os dados
- Prestar o serviço: receber e enviar mensagens nos canais conectados e manter os contatos, funis, automações, agentes de IA e campanhas do cliente.
- Manter a sua conta: login, assinatura (cobrada pela Sparkle Holding) e e-mails de acesso, de convite, de cobrança e de avisos da conta.
- Atender você: responder a pedidos de suporte. Quando preciso, nossa equipe entra na conta do cliente, e esse acesso fica registrado.
- Segurança: bloquear tentativas de entrada, registrar acessos, prevenir fraude e investigar erros.
- Cumprir a lei: manter os registros exigidos, como os de acesso e os fiscais.
Os dados dos contatos e leads são usados só para prestar o serviço ao cliente dono deles. Não os usamos para treinar modelos de IA nem para vender publicidade.
Base legal (LGPD): tratamos os dados de quem tem conta para executar o contrato, para cumprir obrigações legais e por legítimo interesse (segurança, prevenção de fraude e funcionamento do site). O aviso de aprovação no WhatsApp depende do seu consentimento, confirmado por código, e pode ser desligado a qualquer momento. Para os dados dos contatos e leads, quem define a base legal é o cliente, que é o controlador.
4. Com quem compartilhamos
Os dados dos contatos e leads só vão para os canais e sistemas que o cliente conecta ou aciona:
- Meta (WhatsApp, Instagram e Messenger): mensagens, arquivos e identificadores de quem conversa, conforme as permissões concedidas pelo cliente. No Instagram, buscamos nome e foto de perfil do contato.
- Uazapi: serviço usado na conexão de WhatsApp por QR Code (Sparkle API), fora da API oficial. Por ele passam mensagens, arquivos, nome e foto de perfil dos contatos e participantes de grupos.
- TikTok: as mensagens do canal, se o cliente conectar essa conta.
- Provedores de IA (OpenAI, Anthropic, Google, Groq, Mistral ou outro indicado pelo cliente): só quando o cliente cadastra a própria chave. Vão o texto das conversas, imagens e áudios para transcrição, conforme os recursos ativados, nos termos do contrato do cliente com o provedor. O nome do contato acompanha o texto. O sistema não acrescenta o telefone, mas ele segue se estiver na mensagem ou nas instruções escritas pelo cliente.
- Aplicativos de IA conectados pelo cliente (por exemplo, Claude, ChatGPT, n8n, Make ou Zapier): recebem os dados do CRM que pedirem, dentro das permissões dadas, como contatos, conversas e funis. Esse aplicativo é contratado pelo cliente e segue os termos dele. Senhas, chaves e tokens das integrações não são entregues à IA.
- Sparkle Tracker: produto da Sparkle Holding. Quando o cliente liga os dois sistemas e usa o bloco de evento no funil, enviamos telefone, nome, e-mail, valor e origem (UTM e
fbclid). O Tracker pode repassar a conversão às plataformas de anúncio, como explica a política dele. Do Tracker, recebemos leads e eventos que o cliente manda para o Leadz. - Amazon SES ou Resend: envio dos e-mails de campanha do cliente. Recebem o e-mail do destinatário e o conteúdo.
- Webhooks de saída e blocos HTTP dos funis: quando o cliente configura, os dados do contato vão para o endereço que ele informar.
Para o sistema funcionar, usamos estes fornecedores:
- Sparkle Holding: cobrança, portal do cliente, suporte e envio dos e-mails da conta. Recebe nome, e-mail e telefone de quem tem conta, dados do plano e uma linha do tempo da conta (criação, acessos, workspaces, canais e mudanças de plano), nunca conversas ou contatos dos leads.
- Stripe: processa os pagamentos nas páginas da Sparkle Holding. O Leadz não fala diretamente com a Stripe.
- Supabase: banco de dados e arquivos de mídia.
- Cloudflare: hospeda o painel e fica na frente dos servidores. Por ela passam o endereço IP e o tráfego das páginas.
- Provedor de hospedagem: onde rodam nossos servidores e o site.
- Google: entrega as fontes de letra do site e do painel. Se você conectar o Google Agenda, guardamos a autorização. Hoje o Leadz não envia dados de contatos para a sua agenda.
- Autoridades públicas, quando a lei ou uma ordem judicial exigir.
Não vendemos dados pessoais.
4.1. Dados da Meta (Facebook, Instagram e WhatsApp)
Ao conectar um canal da Meta no Sparkle Leadz, o cliente autoriza:
- Receber e enviar mensagens pelas APIs oficiais.
- Guardar os tokens de acesso cifrados (AES-256-GCM) e os identificadores das contas conectadas (WABA, phone number ID, Instagram Business ID e Page ID).
- Receber os avisos (webhooks) de mensagens. Os segredos de assinatura nunca vão para o navegador.
O Sparkle Leadz não envia eventos de conversão à Meta. Quando o cliente liga o Sparkle Tracker, é o Tracker que faz esse envio.
Para tirar o acesso, remova o app em Configurações do Facebook, Apps e sites, ou desconecte o canal no painel do Leadz.
5. Transferência para fora do Brasil
Alguns fornecedores guardam ou processam dados fora do Brasil, como Meta, TikTok, Supabase, Cloudflare, Google, Stripe, os provedores de e-mail e os provedores e aplicativos de IA escolhidos pelo cliente. Por isso, ao usar o Sparkle Leadz, os dados podem ser processados nesses países, conforme os termos de cada fornecedor.
6. Como protegemos
- Conexão criptografada (HTTPS) no painel, na API e nas trocas com canais e provedores.
- Senhas guardadas só em código irreversível (bcrypt). Depois de 5 senhas erradas seguidas, a entrada é bloqueada por um tempo.
- Login por cookie que só o servidor lê.
- Tokens e chaves das integrações guardados cifrados (AES-256-GCM).
- Cada conta e cada workspace só enxergam os próprios dados. O banco de dados é acessado pelos nossos servidores, nunca direto pelo navegador.
- Arquivos das conversas em armazenamento privado, entregues ao painel e aos canais por link de validade curta.
- A equipe Sparkle com acesso de administrador entra com verificação em duas etapas, e cada acesso a conta de cliente fica registrado.
- As mensagens trocadas com a Sparkle Holding e com o Sparkle Tracker são assinadas, para que um sistema só aceite o que veio do outro.
- Conexões de IA têm validade, podem ser pausadas ou revogadas a qualquer momento, e os tokens ficam guardados só como código irreversível (hash). Ações de maior risco pedem aprovação de uma pessoa ou seguem regras criadas por quem administra a conta.
Nenhum sistema é totalmente imune a falhas. Se um incidente puder causar risco ou dano relevante, seguimos o que a LGPD determina, inclusive a comunicação à ANPD e às pessoas afetadas quando couber. Nos dados dos leads, avisamos a empresa cliente, que é a controladora.
7. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta, contatos, conversas, mensagens e arquivos | Enquanto a conta existir, ou até o cliente apagar o contato ou o workspace |
| Avisos recebidos dos canais | 7 dias depois de processados; 90 dias quando o processamento falhou |
| Registro original dos webhooks de entrada | 90 dias |
| Registro original dos eventos da API pública | 90 dias, e no máximo os 200 mais recentes de cada workspace |
| Texto guardado de mensagem «apagada para todos» | 90 dias |
| Registro do que as IAs conectadas fizeram | 90 dias |
| Pedidos de aprovação de IA já decididos | 90 dias depois da decisão |
| Tokens de IA vencidos (só o código irreversível) | 30 dias depois do vencimento |
| Conexões de IA | Enquanto a conta existir ou até serem revogadas |
| Links de redefinição de senha e de convite vencidos | 30 dias |
| Registro de acessos da equipe Sparkle | 365 dias |
| Cadastro da conta e registros financeiros | Enquanto a conta existir e, depois, pelo prazo que a lei exige |
| Pedidos de não receber mensagens | Sem prazo, para o pedido continuar valendo |
| Cópia dos contatos no seu navegador | Até você sair da conta |
Conta encerrada ou sem plano: os dados ficam guardados e podem ser excluídos a pedido. Podemos também excluir, sem possibilidade de recuperação, os dados de uma conta 120 dias depois do encerramento, ou os contatos, conversas e históricos de um workspace depois de 365 dias sem plano ativo. Nesses dois casos, o responsável pela conta recebe um e-mail 30 dias e outro 7 dias antes, e nada é apagado sem o aviso final.
Cópias de segurança do banco de dados podem manter os dados por mais algum tempo depois da exclusão.
9. Seus direitos
Pela LGPD (art. 18), você pode pedir confirmação do tratamento, acesso, correção, anonimização ou exclusão de dados desnecessários, portabilidade e informação sobre com quem os dados são compartilhados. Quando o tratamento depender de consentimento, você pode retirá-lo.
Se você tem conta no Sparkle Leadz
- Ver e corrigir: em Configurações, no seu perfil.
- Levar os dados: a tela de Contatos exporta os contatos em arquivo (CSV ou XLSX).
- Apagar: quem tem permissão pode excluir um workspace pelo painel, com tudo o que há nele. O único workspace da conta não pode ser excluído por esse caminho.
- Encerrar a conta, excluir os dados da conta ou receber uma cópia deles: escreva para suporte@sparklechrm.com. Não há botão de exclusão da conta no painel; nossa equipe atende o pedido.
Se você é lead ou contato de uma empresa que usa o Leadz
A responsável pelos seus dados é essa empresa, e o pedido deve ser feito a ela. O painel oferece à empresa a exportação e a exclusão completa dos dados de um contato (cadastro, conversas, mensagens e arquivos). Se não conseguir falar com a empresa, escreva para nós informando o nome dela, e encaminharemos o pedido.
Na exclusão de um contato, ficam o registro de que ele pediu para não receber mensagens, para o pedido continuar valendo, e as mensagens dele dentro de grupos. Eventos guardados como chegaram saem pelos prazos da seção 7. Quem pediu para não receber marketing no WhatsApp é pulado em todos os disparos.
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
9.1. Exclusão de dados pedida pela Meta
Se você conectou um canal ao Leadz com a sua conta do Facebook e depois removeu o app nas configurações da Meta, ou pediu a exclusão dos seus dados, a Meta nos envia o pedido automaticamente. Nós desligamos os canais que você conectou, apagamos os tokens de acesso e removemos o identificador da sua conta do Facebook dos canais. Para não refazer um pedido repetido, guardamos por 90 dias um código irreversível derivado desse identificador, junto com o código de confirmação do pedido.
As conversas e os contatos da empresa não são dados da sua conta do Facebook. Eles continuam com a empresa, que é a responsável por eles e é avisada para reconectar o canal. A sua conta de acesso ao Leadz, se você tiver uma, não é alterada por esse pedido.
Depois do pedido, você recebe um link de acompanhamento com código de confirmação, que mostra o que foi feito. Para pedidos adicionais, escreva para suporte@sparklechrm.com.
10. Alterações desta política
Podemos atualizar esta política. A versão que vale é a desta página, com a data da última atualização no topo.
11. Contato sobre privacidade
Para tirar dúvidas ou exercer os seus direitos, escreva para suporte@sparklechrm.com e diga que o assunto é privacidade e dados pessoais. O pedido é encaminhado a quem cuida de proteção de dados na Sparkle Holding.