Política de Privacidade
Última atualização: 4 de maio de 2026 • English version
1. Controlador dos Dados
O UmCliq, operado por Instituto Innvicton Ltda, inscrita no CNPJ sob o nº 23.285.285/0001-50, com sede em Itapema, SC, Brasil, é o controlador dos dados pessoais tratados nesta plataforma, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD) e com o Regulamento Geral de Proteção de Dados (GDPR) quando aplicável.
2. Encarregado pelo Tratamento de Dados (DPO)
Para exercer seus direitos como titular de dados pessoais ou tirar dúvidas sobre esta política, entre em contato com nosso Encarregado:
- E-mail: privacidade@factorya.com.br
- Endereço: Itapema, Santa Catarina, Brasil
3. Dados que Coletamos
3.1 Dados do cliente do UmCliq (assinante da plataforma): nome, CPF/CNPJ, e-mail, telefone, endereço, registro profissional quando aplicável, forma de pagamento.
3.2 Dados de uso da plataforma: agendamentos, mensagens enviadas via WhatsApp, contatos cadastrados, histórico de interações.
3.3 Dados sensíveis (Art. 11 LGPD), quando aplicável: especialidade médica, tipo de procedimento, observações clínicas. Tratados com consentimento específico e destacado.
3.4 Dados do Meta (Facebook e Instagram), quando o cliente conecta sua conta Meta ao Módulo de Tráfego Pago:
- Identificadores de Business Manager, Ad Accounts, Pages selecionadas pelo cliente
- Tokens de acesso de longa duração (criptografados em repouso com AES-256-GCM)
- Métricas de campanhas publicitárias (gasto, impressões, cliques, conversões, CPM, CTR, CPL, ROAS) lidas via Meta Marketing API
- Dados de leads recebidos via Meta Lead Ads (nome, telefone, e-mail e demais campos que o cliente configurou no formulário)
- Métricas de engajamento de Pages quando autorizadas pelo cliente
3.5 Dados automáticos: endereço IP, navegador, sistema operacional, identificadores de dispositivo, cookies essenciais e analíticos.
4. Finalidades do Tratamento
Os dados acima são tratados para as seguintes finalidades:
- Prestar os serviços contratados (CRM, agendamento, automação de marketing, gestão de tráfego pago)
- Operar campanhas de Meta Ads em nome do cliente quando autorizado, incluindo criação, pausa, edição e leitura de campanhas
- Capturar leads gerados por anúncios Meta Lead Ads e entregá-los ao CRM do cliente
- Enviar comunicações automatizadas (lembretes, confirmações, áudios semanais de performance) por WhatsApp e e-mail
- Prevenir fraudes, abusos e violações dos Termos de Uso
- Cumprir obrigações legais e regulatórias
- Melhorar a plataforma com base em métricas agregadas e anônimas
5. Base Legal
O tratamento é realizado com base nas seguintes hipóteses legais (Art. 7 LGPD):
- Execução de contrato: dados necessários para prestar o serviço contratado pelo cliente
- Consentimento: para finalidades não estritamente contratuais (ex: comunicações de marketing) e para dados sensíveis
- Cumprimento de obrigação legal: retenção fiscal e contábil
- Legítimo interesse: prevenção a fraudes e melhoria da plataforma, sempre balanceado com os direitos do titular
6. Compartilhamento de Dados (sub-operadores)
Não vendemos dados pessoais. Compartilhamos dados apenas com prestadores que nos apoiam na operação da plataforma, na qualidade de operadores, sob contrato e instruções. Esta é a lista completa, com o que cada um enxerga e onde processa:
Quem
Contabo Inc.
Para quê
Hospeda a aplicação e o banco de dados do UmCliq.
Que dados vê
Todos os dados da plataforma, por estarem armazenados nela: cadastro, campanhas, leads, conversas e conteúdo.
Onde processa
Estados Unidos (Nova York)
Retenção e uso
Enquanto durar o contrato de hospedagem, sob instrução da Innvicton.
Quem
Cloudflare, Inc.
Para quê
Entrega o site com proteção contra ataque e cache.
Que dados vê
Metadados de conexão: endereço IP, navegador e endereço acessado.
Onde processa
Estados Unidos, com pontos de presença no Brasil
Retenção e uso
Logs operacionais por prazo curto, conforme a política do fornecedor.
Quem
OpenAI, L.L.C.
Para quê
É o primeiro degrau da inteligência artificial que escreve e decide na plataforma (pela assinatura do Codex, com a Anthropic assumindo quando ela falha) e o gerador padrão das imagens-base das peças. Também transforma roteiro em áudio nas peças com locução e responde às perguntas de teste que verificam se a marca do cliente é citada pelo ChatGPT.
Que dados vê
O briefing e a base de conhecimento que o cliente cadastra, o conteúdo produzido, o prompt de cada imagem com o logo e fotos públicas da marca usadas como referência, o texto do roteiro que vira áudio, e o nome da marca com as perguntas de teste. As chamadas pela assinatura vão com armazenamento desligado (store: false).
Onde processa
Estados Unidos
Retenção e uso
O fornecedor declara não treinar modelos com dados enviados pela API e reter por até 30 dias para prevenção de abuso, com retenção zero disponível para clientes elegíveis.
Quem
Anthropic PBC
Para quê
É a inteligência artificial que escreve e decide na plataforma: gera a copy das peças, o conteúdo editorial e de GEO, o texto das páginas e dos perfis de negócio, conduz o briefing de marca, audita as peças antes de publicar, responde aos clientes no WhatsApp, revisa a qualidade desses atendimentos e corrige o português das legendas automáticas de vídeo, além de escrever a headline delas.
Que dados vê
O briefing e a base de conhecimento que o cliente cadastra, o conteúdo produzido, o conteúdo das conversas de WhatsApp que o assistente responde ou que o supervisor revisa (o que inclui nome e o que a pessoa escrever na conversa), e a TRANSCRIÇÃO DA FALA dos vídeos que o cliente manda legendar no Conteúdo Automático (o texto, nunca o vídeo nem o áudio: a transcrição é feita por um modelo que roda na nossa própria máquina, e a mídia não sai daqui).
Onde processa
Estados Unidos
Retenção e uso
O fornecedor declara não treinar modelos com dados de clientes comerciais e apagar entradas e saídas em até 30 dias, com retenção zero disponível mediante acordo.
Quem
Google LLC (Gemini, Google Ads, Google Drive e YouTube)
Para quê
Verifica se a marca do cliente aparece nas respostas de assistentes de inteligência artificial, conecta a conta de anúncios do Google quando o cliente autoriza, guarda a pasta do Google Drive de onde o Conteúdo Automático lê o material que vai ser publicado, e recebe os vídeos que o cliente agenda para o canal de YouTube dele, quando ele conecta o canal.
Que dados vê
O nome da marca e as perguntas de teste enviadas ao modelo, os dados de campanha da conta de anúncios que o cliente conectar, as fotos, os vídeos e os textos de legenda que o próprio cliente coloca na pasta do Drive dele, e o vídeo, o título e a descrição de cada publicação enviada ao canal de YouTube do próprio cliente.
Onde processa
Estados Unidos
Retenção e uso
Enquanto a conexão estiver ativa, revogável a qualquer momento. A pasta do Drive é do próprio cliente e continua sob a conta dele: nada é apagado de lá pelo Conteúdo Automático. Consultas ao modelo conforme a política do fornecedor.
Quem
TikTok Pte. Ltd. / ByteDance
Para quê
Recebe os vídeos que o cliente agenda para a conta de TikTok dele, quando ele conecta a conta e confirma cada publicação.
Que dados vê
O vídeo, o título e as escolhas de publicação (privacidade, comentários, dueto e stitch) de cada peça que o próprio cliente confirmou, mais o apelido e o identificador da conta que ele conectou.
Onde processa
Singapura, com processamento também nos Estados Unidos
Retenção e uso
Enquanto a conexão estiver ativa, revogável pelo cliente a qualquer momento no painel e na própria conta do TikTok. O conteúdo publicado fica na conta do cliente, sob as regras da plataforma.
Quem
Perplexity AI, Inc.
Para quê
Verifica se a marca do cliente é citada nas respostas do buscador com inteligência artificial.
Que dados vê
O nome da marca e as perguntas de teste. Não recebe dado de lead nem de conversa.
Onde processa
Estados Unidos
Retenção e uso
Conforme a política do fornecedor para uso de API.
Quem
ElevenLabs Inc.
Para quê
Transforma em áudio os relatórios semanais de performance e as peças com locução.
Que dados vê
O texto do roteiro que vira áudio. Não recebe dado de lead nem de conversa.
Onde processa
Estados Unidos
Retenção e uso
O fornecedor declara não treinar modelos com conteúdo de clientes de API e oferece exclusão automática do histórico.
Quem
FAL AI, Inc. (fal.ai)
Para quê
Anima o vídeo de avatar falante dos stories, a partir da foto e do roteiro que o cliente envia.
Que dados vê
O roteiro da cena e a foto do personagem que o cliente enviar. Não gera imagem de peça, não recebe dado de lead nem de conversa.
Onde processa
Estados Unidos
Retenção e uso
Conforme a política do fornecedor para uso de API.
Quem
Higgsfield AI
Para quê
Gera todas as imagens e os vídeos das peças criativas, das capas de artigo e das propostas de logo. É o único provedor de geração de imagem da plataforma.
Que dados vê
O briefing que o cliente escreve para a peça e os dados de marca dele (nome do negócio, ramo, paleta, tipografia e tom), que viram a direção de arte enviada ao modelo. Quando o cliente tem logo cadastrado, o arquivo do logo é enviado como imagem de referência para a arte ficar coerente com a marca. Não recebe dado de lead, de paciente nem de conversa.
Onde processa
Estados Unidos e Cazaquistão
Retenção e uso
O fornecedor declara que usa o conteúdo enviado (prompts, mídia e resultados) para treinar e melhorar os modelos de inteligência artificial dele. Ao excluir a conta, o conteúdo fica inacessível e é apagado dos sistemas ativos em 30 dias, mas o que já foi incorporado a um modelo treinado não é removido. Não há, hoje, opção de retenção zero em autosserviço.
Quem
TikTok (ByteDance Ltd.)
Para quê
Verifica e opera a conta de anúncios do TikTok quando o cliente a conecta à plataforma.
Que dados vê
Identificação e dados da conta de anúncios conectada, e os dados de campanha.
Onde processa
Estados Unidos e Singapura
Retenção e uso
Enquanto a conexão estiver ativa, revogável a qualquer momento.
Quem
ManyChat, Inc.
Para quê
Conecta os fluxos de mensagem já existentes do cliente, quando ele usa essa ferramenta.
Que dados vê
Identificação da página conectada e os dados de contato que o fluxo trocar.
Onde processa
Estados Unidos
Retenção e uso
Enquanto a conexão estiver ativa, revogável a qualquer momento.
Quem
OpenStreetMap Foundation (Nominatim)
Para quê
Converte um endereço em coordenadas para definir o raio de exibição dos anúncios.
Que dados vê
O endereço ou a cidade digitada na configuração da campanha. Não recebe nome, telefone nem dado de lead.
Onde processa
Reino Unido (União Europeia para fins de proteção de dados)
Retenção e uso
Não guardamos a consulta; conforme a política do fornecedor.
Quem
Apify Technologies s.r.o.
Para quê
Coleta conteúdo público de redes sociais para o monitoramento de marca e o radar de concorrentes.
Que dados vê
Perfis, publicações e anúncios públicos das contas que o cliente escolhe monitorar, incluindo as dele.
Onde processa
República Tcheca (União Europeia)
Retenção e uso
Conforme a política do fornecedor. Guardamos apenas o resultado da coleta.
Quem
Semrush Inc.
Para quê
Fornece dados de pesquisa de palavras-chave e de concorrência para o módulo de GEO.
Que dados vê
Os termos de busca e o domínio consultado. Não recebe dado de lead, de conversa nem de cliente final.
Onde processa
Estados Unidos
Retenção e uso
Conforme a política do fornecedor.
Quem
Meta Platforms, Inc.
Para quê
Recebe e entrega anúncios, formulários de lead e mensagens quando o cliente conecta a conta Meta.
Que dados vê
Dados de campanha, os leads capturados nos formulários (nome, telefone, e-mail) e o conteúdo das mensagens do WhatsApp oficial.
Onde processa
Estados Unidos
Retenção e uso
Conforme a política da Meta para a Marketing API e a WhatsApp Business Platform.
Quem
LinkedIn Corporation
Para quê
Publica conteúdo na página da empresa quando o cliente conecta a conta.
Que dados vê
O conteúdo publicado e a identificação da página conectada.
Onde processa
Estados Unidos
Retenção e uso
Enquanto a conexão estiver ativa, revogável a qualquer momento.
Quem
8x8, Inc. (Jitsi Meet)
Para quê
Fornece a sala de vídeo usada na consulta remota, quando o cliente ativa o módulo.
Que dados vê
Áudio e vídeo da chamada, em trânsito, e o nome da sala. A conversa não é gravada pela plataforma.
Onde processa
Estados Unidos
Retenção e uso
Conforme a política do fornecedor. Não guardamos gravação da chamada.
Quem
Asaas Gestão Financeira S.A.
Para quê
Processa a cobrança da assinatura do UmCliq.
Que dados vê
Dados de faturamento do cliente contratante. Não recebe dado de lead nem de conversa.
Onde processa
Brasil
Retenção e uso
Conforme obrigação fiscal e a política do fornecedor.
Quem
Conversas e Evolution (Instituto Innvicton Ltda)
Para quê
São o nosso próprio serviço de conexão com o WhatsApp, usado quando o cliente conecta o número lendo o QR Code.
Que dados vê
Conteúdo das mensagens e número de telefone, em trânsito.
Onde processa
Mesma infraestrutura do UmCliq (Estados Unidos)
Retenção e uso
Mesmas regras deste documento.
Não vendemos, alugamos ou compartilhamos dados pessoais com terceiros para fins de marketing direto sem consentimento explícito do titular.
6.1. Como mantemos esta lista atualizada
A lista acima foi revisada em 6 de agosto de 2026 e é a fonte única do produto: ela vive junto do código, e a nossa esteira de testes recusa a publicação de qualquer versão em que o sistema chame um fornecedor externo que não esteja declarado aqui. Isso existe para que este documento não envelheça enquanto o software anda.
Antes de incluir um novo sub-operador que trate dados de terceiros, comunicamos os clientes com antecedência razoável, para que possam avaliar e, se for o caso, se opor.
6.2. Onde entra a inteligência artificial
A plataforma usa inteligência artificial em pontos específicos, e você tem o direito de saber exatamente quais são:
- Geração de conteúdo e de anúncios: o briefing que você escreve e o texto produzido são enviados aos fornecedores de modelo indicados na tabela acima.
- Supervisão de atendimento: trechos das conversas atendidas são revisados por modelo para apontar erro de informação e promessa indevida.
- Verificação de presença em assistentes de IA (GEO): enviamos o nome da sua marca e perguntas de teste a buscadores com inteligência artificial para medir se você é citado. Não enviamos dado de lead nem de conversa nessa verificação.
- Áudio e vídeo das peças: o roteiro vira locução e imagem nos fornecedores de síntese indicados acima.
O que a inteligência artificial não faz aqui: não é usada para treinar modelos com os seus dados, porque exigimos dos fornecedores o compromisso de não treinar com o que recebem; não toma decisão automatizada com efeito jurídico ou impacto relevante sobre pessoas, e, se isso vier a existir, será informado antes e observará o direito de revisão do art. 20 da LGPD; e não recebe dado que o próprio sistema já sabe responder, porque o que é consultável no banco não é enviado a fornecedor de modelo.
7. Retenção de Dados
- Dados cadastrais do cliente: enquanto durar a relação contratual + 5 anos (prazo prescricional cível)
- Dados financeiros (notas fiscais, recibos): 5 anos
- Leads capturados via Meta Lead Ads: 90 dias por padrão (configurável pelo cliente), depois purga automática
- Métricas de campanha: 24 meses agregadas, 90 dias granulares
- Logs de acesso e auditoria: 24 meses
- Tokens de acesso Meta: enquanto a conexão estiver ativa, criptografados
- Backups: rotação automática de 7 a 30 dias conforme tipo de dado
8. Direitos do Titular (Art. 18 LGPD)
O titular dos dados pessoais tem direito a:
- Confirmação da existência de tratamento
- Acesso aos dados
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade
- Portabilidade dos dados
- Eliminação dos dados tratados com base em consentimento
- Informação sobre as entidades públicas e privadas com as quais foram compartilhados
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências
- Revogação do consentimento
- Oposição a tratamento realizado com fundamento em outras hipóteses legais
- Revisão de decisões automatizadas que afetem seus interesses
Para exercer qualquer direito, envie e-mail para privacidade@factorya.com.br. Responderemos no prazo máximo de 15 dias.
9. Solicitação de Exclusão de Dados
Para solicitar a exclusão completa dos seus dados, você pode:
- Enviar e-mail para privacidade@factorya.com.br
- Acessar a página de status de exclusão em umcliq.com.br/data-deletion-status
- Se você é um usuário Meta cuja conta foi conectada por um cliente UmCliq, sua solicitação automática chega via callback Meta no endpoint
/api/meta/data-deletion
O prazo máximo para conclusão é 30 dias corridos, com retenção apenas de dados legalmente obrigatórios.
10. Segurança
O UmCliq adota medidas técnicas e organizacionais para proteger dados pessoais, incluindo:
- Criptografia em trânsito (TLS 1.3) e em repouso (AES-256-GCM para dados sensíveis e tokens Meta)
- Controle de acesso por papel (RBAC) com Row-Level Security no banco de dados
- Autenticação multifator (MFA) para usuários administradores
- Auditoria contínua de acessos e ações (audit log retido por 24 meses)
- Backups diários testados e isolados
- Plano de resposta a incidentes documentado
- Notificação à ANPD em até 48h em caso de incidente com risco aos titulares (Art. 48 LGPD)
11. Cookies e Tecnologias de Rastreamento
O UmCliq utiliza cookies essenciais (necessários ao funcionamento) e cookies analíticos (com consentimento). Você pode gerenciar suas preferências através do banner de cookies ou configurações do navegador.
12. Transferência Internacional de Dados
A infraestrutura que hospeda a plataforma, incluindo o banco de dados, fica nos Estados Unidos. Outros fornecedores listados na seção 6 também processam dados fora do Brasil, como indicado na coluna de país. Portanto, há transferência internacional de dados, e isso vale para todos os dados da plataforma, não apenas para os enviados aos fornecedores de inteligência artificial.
Nesses casos adotamos salvaguardas compatíveis com o art. 33 da LGPD, exigindo dos fornecedores garantias contratuais de proteção equivalentes às da lei brasileira, incluindo cláusulas de tratamento de dados, compromisso de confidencialidade e limitação de uso ao estritamente necessário para prestar o serviço.
13. Crianças e Adolescentes
O UmCliq não é destinado a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Caso identifiquemos coleta inadvertida, os dados serão excluídos imediatamente.
14. Autoridade Competente
Em caso de descumprimento da LGPD, o titular pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd.
15. Alterações nesta Política
Esta política pode ser atualizada para refletir mudanças legais, regulatórias ou operacionais. Notificaremos os titulares por e-mail e/ou aviso destacado na plataforma com pelo menos 15 dias de antecedência para mudanças materiais.
Esta política está disponível também em English.