Política de Privacidade

Quais dados tratamos

• Dados fornecidos em formulários do site, como nome, e-mail, empresa e telefone.
• Dados de autenticação necessários para acesso ao painel do cliente.
• Informações operacionais configuradas pelo cliente no painel, como nome da empresa, número de WhatsApp e preferências do bot.
• Quando o cliente conecta o Instagram profissional da empresa: os dados dessa conta e das mensagens recebidas pelo Instagram Direct, descritos em Instagram.
• Dados técnicos básicos de navegação, segurança e acesso, quando necessários para operar o serviço e prevenir abuso.

Finalidades

• Responder contatos comerciais e solicitações pela central digital.
• Criar, autenticar e manter acesso ao painel do cliente.
• Operar o fluxo de contratação, cobrança, ativação e caminhos digitais da conta.
• Prevenir fraude, abuso, acesso indevido e incidentes operacionais.
• Prestar suporte e diagnosticar falhas a pedido do cliente, com acesso restrito às conversas necessárias.

Bases legais

O tratamento pode ocorrer com base em execução de contrato, procedimentos preliminares relacionados à contratação, cumprimento de obrigação legal, exercício regular de direitos e legítimo interesse, conforme a finalidade aplicável.

Os cookies de medição de anúncio são a exceção: eles dependem de consentimento, dado no aviso que aparece na primeira visita e revogável a qualquer momento em Cookies e medição.

Compartilhamento

Dados podem ser tratados com provedores necessários para operar o serviço, como hospedagem, autenticação, pagamentos, envio de e-mail e infraestrutura de segurança. O compartilhamento existe para manter a operação funcionando e permanece limitado ao necessário para cada etapa.

Os provedores abaixo processam dados em nosso nome (suboperadores). Cada um recebe só o que precisa para a sua parte:

• Anthropic: gera as respostas do bot; recebe o texto das mensagens e o histórico da conversa. Também pode apoiar a equipe em análises de suporte.
• Meta (WhatsApp Business Platform e Instagram): entrega e recebe as mensagens do WhatsApp e do Instagram Direct.
• Cloudflare: hospedagem, rede, segurança e transcrição de áudios enviados ao bot.
• Supabase: banco de dados e autenticação; armazena conta, configurações, contatos e histórico de conversas.
• Stripe: processa pagamentos e assinaturas. Dados de cartão ficam com a Stripe, não com a MercaBot.
• Resend: envia e-mails da conta, como acesso, cobrança e avisos.
• Sentry: registra erros técnicos do site e do painel para correção.
• Plausible: conta as visitas às páginas do site e os cliques nos botões “Testar”, sem cookie e sem guardar o seu IP.
• Google Ads: medição de anúncios, somente com o seu consentimento (ver Cookies e medição).

Alguns desses provedores ficam fora do Brasil. A transferência internacional acontece para executar o contrato e segue as garantias previstas na LGPD e nos contratos de cada provedor.

Instagram

O cliente pode conectar o Instagram profissional da empresa para o bot responder as mensagens do Instagram Direct. A conexão é feita pelo login do próprio Instagram, e o cliente escolhe autorizar ou não.

Da conta do cliente tratamos o identificador e o nome de usuário (@) da conta e o acesso concedido por ela, que fica guardado cifrado e é renovado automaticamente enquanto a conta do cliente está ativa.

De quem escreve para a empresa pelo Instagram tratamos o identificador que o Instagram atribui à pessoa nessa conversa, o nome, o @ e a foto de perfil públicos e o conteúdo das mensagens. Esses dados servem só para o bot responder e para a empresa ver e continuar a conversa no painel. A foto fica guardada por até 8 dias; o histórico de conversas é apagado automaticamente depois de 90 dias, como o do WhatsApp. O texto das mensagens é enviado à Anthropic para gerar a resposta (ver Compartilhamento).

Os dados do Instagram não são vendidos nem usados para anúncios, e o bot só responde a quem escreveu primeiro para a empresa.

Para desligar ou apagar:

• No painel, em Canais, o botão Desconectar apaga o acesso guardado e as fotos.
• No Instagram, em Configurações → Apps e sites, remover a MercaBot tem o mesmo efeito: a Meta nos avisa e apagamos a conexão e as fotos.
• Um pedido de exclusão de dados feito pelo Instagram apaga também as conversas, os contatos e os pedidos de "sair" que vieram por aquela conta do Instagram. A conta da MercaBot e o WhatsApp do cliente continuam. Você recebe um código para acompanhar o pedido.
• A exclusão da conta da MercaBot (ver Como excluir seus dados) desconecta o Instagram na hora e apaga tudo no prazo da exclusão.

Cookies e medição

O site usa duas categorias de cookie, e elas funcionam de formas diferentes.

Essenciais. Mantêm sua sessão ativa depois do login, preservam preferências como idioma e sustentam proteções contra abuso. Sem eles o site não funciona, então não dependem de escolha.

De medição de anúncio. Só são gravados se você aceitar. Servem para identificar que uma visita veio de um anúncio nosso e que essa visita resultou em cadastro. Sem isso não temos como saber quais anúncios funcionam.

Para essa medição usamos o Google Ads, que atua como operador e trata os dados conforme as políticas do Google. O principal cookie é o _gcl_au, gravado no domínio da MercaBot, com um identificador do clique no anúncio. Aceitar também permite que o Google exiba anúncios nossos para você em outros sites.

Na primeira visita aparece um aviso com as opções de aceitar ou recusar, e recusar não limita nada no site. Sua escolha fica registrada no seu navegador e pode ser alterada a qualquer momento em Cookies e medição, pelo botão abaixo.

Rever minha escolha sobre cookies

Limpar os dados do navegador também apaga o registro da escolha, e o aviso volta a aparecer na visita seguinte.

Contagem de visitas. Para saber quais páginas são lidas usamos o Plausible, que não grava cookie nem guarda o seu IP. Ele registra a página, de onde a visita veio, o país e o tipo de aparelho, e só mostra esses números somados. Um clique num botão “Testar” também é contado, com a posição do botão na página (por exemplo, topo ou rodapé) e o plano do link, sem cookie e nunca com o seu nome, e-mail ou telefone. Os dados ficam em servidores na União Europeia. Por não identificar ninguém, essa contagem não passa pelo aviso de cookies.

Página de entrada. Guardamos no armazenamento desta aba do navegador (sessionStorage, não é cookie) só o endereço da primeira página que você abriu no site, sem parâmetros. Ele some quando a aba é fechada. Se você se cadastrar nessa aba, esse endereço, a posição do botão clicado, a origem do anúncio (utm_source) e o segmento, quando houver, seguem junto com o cadastro e ficam registrados na sua conta e no pagamento, na Stripe, para sabermos quais páginas trazem clientes. Não enviamos esses dados ao Google.

Retenção

Os dados são mantidos pelo tempo necessário para cumprir a finalidade correspondente, atender exigências legais, prevenir fraude e registrar a execução do serviço. Quando aplicável, dados podem ser excluídos ou anonimizados após o encerramento da relação e do prazo necessário.

Dados exportados para uma análise de suporte são mascarados quando possível e eliminados ao fim do atendimento.

Segurança

• Uso de HTTPS/TLS nos ambientes públicos publicados.
• Políticas de segurança de navegador, headers e restrições de origem quando aplicáveis.
• Controle de acesso em áreas administrativas e de parceiro.
• Princípio de menor exposição para credenciais e integrações.

Mesmo com medidas técnicas e organizacionais, nenhum ambiente conectado à internet pode ser considerado absolutamente imune a incidentes. O compromisso da MercaBot é reduzir risco, restringir acesso e tratar segurança como parte contínua da operação.

Direitos do titular

Nos termos da LGPD, o titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação quando aplicável, portabilidade, informação sobre compartilhamentos e revisão das hipóteses legalmente cabíveis.

Como excluir seus dados

Você pode pedir a exclusão dos seus dados a qualquer momento, sem precisar justificar. Há dois caminhos:

1. Pelo painel: entre em sua conta e use a opção de excluir conta em Configurações. A exclusão abrange sua conta, as configurações do bot e o histórico de conversas armazenado por nós.
2. Por e-mail: escreva para privacidade@mercabot.com.br a partir do e-mail cadastrado, pedindo a exclusão. Respondemos em até 15 dias.

A exclusão remove os dados dos nossos sistemas, salvo o mínimo que a lei nos obriga a reter (por exemplo, registros fiscais e de acesso). Dados que estão na sua conta do WhatsApp Business ou do Instagram, na Meta, pertencem a você e são geridos por lá — a MercaBot não os controla. Para o Instagram, veja também os caminhos em Instagram.

Controlador e encarregado

A MercaBot atua como controladora dos dados tratados no site institucional, no fluxo comercial e nos ambientes próprios da plataforma, nos limites descritos nesta política.

O canal do encarregado para temas de privacidade e proteção de dados é privacidade@mercabot.com.br. Esse endereço também recebe solicitações relacionadas aos direitos do titular e incidentes reportados por terceiros.

Contato

Para solicitações relacionadas a privacidade, dados pessoais ou exercício de direitos, use: privacidade@mercabot.com.br.

Para assuntos gerais da conta e da central digital: contato@mercabot.com.br.

Reportes técnicos de segurança podem ser enviados conforme o arquivo security.txt, publicado no domínio oficial.