Privacidade e proteção de dados

Política de Privacidade

Última atualização: 28 de outubro de 2026

A CLcomm é atendimento pelo WhatsApp e por outros canais para empresas de qualquer segmento e porte. Esta página explica, em linguagem direta, quais dados pessoais tratamos, por quê, com quem compartilhamos e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD).

1. Quem somos e quem decide sobre os dados

A CLcomm é um sistema de atendimento, agenda, vendas e cobrança pelo WhatsApp, oferecido por:

Na prática, existem dois papéis diferentes, e é importante saber em qual deles você está:

• Donos e acessos que usam o painel (nossos clientes). Aqui a CLcomm é a controladora: decide como os dados da sua conta e do seu login são tratados.
• Pessoas que conversam com um negócio que usa a CLcomm (por exemplo, quem manda mensagem para uma clínica, um salão ou uma loja). Aqui a empresa que você procurou é a controladora e a CLcomm é operadora: trata os dados em nome dela e seguindo as instruções dela. Se você quer exercer direitos sobre essas conversas, o primeiro caminho é falar com a própria empresa; nós ajudamos a atender o pedido (veja a seção 9).

2. Dados que tratamos

Não pedimos nem esperamos dados pessoais sensíveis. Como o conteúdo de uma conversa é escrito livremente por quem conversa, ele pode eventualmente conter esse tipo de informação; nesse caso ele é tratado apenas para entregar o atendimento, com as mesmas proteções.

3. Para que usamos os dados

• Prestar o serviço contratado: receber e responder mensagens, organizar a fila de atendimento, agendar e lembrar compromissos, enviar campanhas e modelos de mensagem, registrar vendas, contratos e cobranças. Base legal: execução de contrato (art. 7º, V) e, para as conversas, as instruções da empresa controladora.
• Autenticar usuários e proteger o sistema: login, verificação em duas etapas, limites contra abuso e prevenção a fraude. Base legal: legítimo interesse (art. 7º, IX).
• Atender solicitações e dar suporte a donos e acessos.
• Medir e melhorar o site público: contar visitas, ver de que campanha o visitante veio e como ele usa a página inicial, sem cookie e sem identificar quem volta (seção 11). Base legal: legítimo interesse (art. 7º, IX).
• Medir o resultado dos anúncios da CLcomm: quando você cria uma conta pelo teste grátis e quando faz o primeiro pagamento, informamos esse fato à Meta e ao Google, pelos nossos servidores e sem cookie, para saber quais anúncios trazem clientes. Enviamos o e-mail e o celular do cadastro transformados em código irreversível (hash SHA-256), um código da conta no mesmo formato, o valor do plano, o identificador do clique no anúncio (se você chegou por um) e, só para a Meta, o endereço IP e o navegador usados no cadastro. Não enviamos nome, documento nem dados de uso do painel. Base legal: legítimo interesse (art. 7º, IX), com a sua expectativa razoável de que a CLcomm saiba qual anúncio a trouxe. Você pode se opor a qualquer momento escrevendo para clcomm@clcomm.com.br com o assunto Oposição a anúncios: paramos de enviar eventos da sua conta, e isso não muda nada no serviço.
• Análise e anúncios com cookies: só se você aceitar no aviso de cookies da página inicial, para reconhecer visitas que voltam, medir os anúncios da CLcomm e mostrá-los a quem já visitou o site. Base legal: consentimento (art. 7º, I), que você pode retirar a qualquer momento.
• Cumprir obrigações legais e regulatórias e defender direitos em processos (art. 7º, II e VI).
• CPF e CNPJ:
  • Da empresa que contrata a CLcomm: emitir a nota fiscal do serviço, que a lei exige com o documento de quem contrata (cumprimento de obrigação legal, art. 7º, II), e identificar a empresa no contrato da plataforma e na cobrança (execução de contrato, art. 7º, V). Aqui a CLcomm é a controladora.
  • Dos clientes de cada empresa: a empresa decide pedir o documento, por exemplo para um contrato ou uma cobrança dela, e responde pela base legal desse uso. A CLcomm é operadora: guarda e usa o número só para gerar esses contratos e cobranças, por conta da empresa e conforme as instruções dela. Quando o dono informa o documento numa conversa com a Lió, a mensagem fica no histórico dessa conversa, que é dado da empresa.
  • Do cadastro pelo teste grátis: conferir o CNPJ nos dados públicos da Receita Federal e garantir um único teste por documento, para prevenir fraude (legítimo interesse, art. 7º, IX). Para o controle de um teste por documento guardamos um código irreversível do CNPJ, calculado com uma chave secreta, junto com a razão social consultada; o número fica só no formulário do cadastro (seção 7) e, se o teste vira contratação, passa a ser o CNPJ da empresa.
• Assistente automático (bot e Lió): quando a empresa ativa o assistente, as mensagens recebidas são processadas automaticamente para responder dúvidas, consultar agenda e produtos e, no caso da Lió, apoiar o dono. Para entender o que foi escrito ou dito, o assistente usa a inteligência artificial Gemini, do Google (seção 5). Ela só interpreta o pedido: o texto das respostas é do roteiro do assistente, e qualquer ação que altere dados exige a confirmação explícita ("sim") de quem pediu. Qualquer conversa pode ser passada a uma pessoa da equipe. Base legal: execução de contrato (art. 7º, V) e, para as conversas, as instruções da empresa controladora. O que vai ao Google:
  • Bot dos clientes: o texto da mensagem atual, sem o histórico da conversa, para entender o pedido (como agendar, remarcar ou cancelar) e perceber se o cliente está irritado, caso em que o bot chama uma pessoa. Vão junto a data de hoje, o fuso e os nomes dos serviços da empresa.
  • Lió: o texto do pedido do dono e o final do pedido anterior (até 1.000 caracteres), com a data e a hora e os nomes dos produtos, serviços e categorias da empresa. O resultado das consultas (agenda, clientes, valores) é montado por nós e não vai ao Google.
  • Áudios do WhatsApp: quando a conversa está com o assistente, o áudio inteiro (até 5 MB) vai ao Google para ser transcrito e para ler o humor pelo tom de voz. Se não for possível ouvir o áudio, o bot chama uma pessoa; com a Lió, ela pede que o dono escreva.
  • Antes do envio, um filtro automático procura e troca por marcadores e-mails, telefones e CPF ou CNPJ no texto escrito; formatos incomuns podem passar. O áudio vai como foi gravado. Como o conteúdo é livre, ele pode ter outros dados pessoais, como nomes, e eles vão como foram escritos ou ditos.
• Acesso da equipe da CLcomm às conversas: pessoas autorizadas da CLcomm podem abrir, pelo painel de administração da CLcomm, a lista de conversas de uma empresa (nome e telefone do contato e o começo da última mensagem) e a conversa inteira, inclusive a do dono com a Lió. Fazemos isso só para dar suporte à empresa, achar conversas que ficaram sem resposta ou em que o assistente não entendeu o cliente e conferir se o assistente está atendendo bem. A lista de conversas travadas de todas as empresas mostra apenas o nome da empresa, o canal e o motivo, sem contato nem texto. Aqui a CLcomm é operadora: age a serviço da empresa controladora, conforme as instruções dela, e não usa essas conversas para outra finalidade. Os acessos são registrados (seção 10).

Não vendemos dados pessoais, não os usamos para publicidade de terceiros e não montamos perfis para fins diferentes dos acima. Os anúncios são apenas da própria CLcomm: os que usam cookies dependem do seu aceite, e a medição de cadastro e pagamento pelo servidor admite oposição.

4. WhatsApp, Instagram, Messenger e a Meta

A CLcomm usa a Plataforma do WhatsApp Business (API em nuvem) e as integrações de Instagram e Messenger da Meta Platforms, Inc. para que a empresa atenda seus clientes pelo painel.

• Conexão feita pelo dono. O dono conecta o número pelo Cadastro Incorporado (Embedded Signup) da Meta e autoriza explicitamente o acesso. Pedimos as permissões whatsapp_business_management e whatsapp_business_messaging, e só as usamos na conta e no número que ele escolheu.
• Para que usamos o acesso: receber mensagens, enviar respostas e modelos de mensagem, ler a situação de entrega e a qualidade do número e gerenciar os modelos da própria conta. Nada além disso.
• Credenciais protegidas. O token de acesso é guardado cifrado, por empresa, e é apagado quando o dono desconecta o canal.
• A Meta também trata dados. As mensagens passam pela infraestrutura do WhatsApp e da Meta, que tratam os dados conforme os próprios termos e políticas: Termos do WhatsApp Business e Política de Privacidade da Meta.
• Respeitamos as políticas da Meta para o uso dos dados recebidos por essas plataformas, inclusive o limite de uso para o fim autorizado.
• Coexistência com o app WhatsApp Business. Se o dono conectar um número que também usa o app WhatsApp Business no celular, o celular continua sendo o aparelho principal e as mensagens enviadas por ele também chegam ao painel. Nesse modo, a Meta compartilha com a CLcomm os contatos e o histórico de conversas permitido; o histórico é exibido somente para consulta, não vira uma conversa da fila e fica guardado para consulta enquanto a empresa usar o serviço, podendo ser apagado a pedido (seção 9). Recursos que existem só no celular, como mensagens temporárias e listas, continuam apenas nele. O dono pode desconectar o canal em Integrações a qualquer momento; o número continua funcionando no app. Para deixar de compartilhar novas mensagens com a CLcomm, basta desconectar o canal e, se quiser, remover o aplicativo nas configurações da Meta.

5. Com quem compartilhamos

• A empresa controladora e sua equipe autorizada: cada empresa só enxerga os dados da própria conta.
• Provedores que nos ajudam a operar o serviço (operadores contratados): hospedagem e infraestrutura em nuvem, armazenamento de arquivos e banco de dados (Cloudflare), proteção contra robôs no login (Cloudflare Turnstile), envio de e-mails de acesso e de redefinição de senha (Resend) e medição de visitas ao site público (Cloudflare Web Analytics e Microsoft Clarity).
• Inteligência artificial do assistente: o Google (Gemini API) é o operador de inteligência artificial do assistente automático, contratado por nós. Ele recebe o que a seção 3 descreve: texto de mensagens, depois do filtro de e-mail, telefone e CPF ou CNPJ descrito na seção 3, os nomes de serviços, produtos e categorias da empresa e os áudios inteiros. Fora o que a própria pessoa escreve ou diz, ele não recebe cadastro de clientes, agenda nem valores do painel, nem o histórico completo da conversa. O Google também tem termos próprios para a Gemini API: Termos adicionais da Gemini API.
• Medição de anúncios pelo servidor: Meta (Conversions API) e Google (Google Ads, pela Data Manager API) recebem os eventos de cadastro e de primeiro pagamento descritos na seção 3, sem cookie, e os tratam também conforme as próprias políticas.
• Plataformas de análise e anúncios, só com o seu aceite no aviso de cookies: Google (Google Analytics e Google Ads) e Meta (Meta Pixel). Elas recebem dados de navegação na página inicial e identificadores de cookie e seguem também as próprias políticas.
• Plataformas de mensagens: Meta (WhatsApp, Instagram e Messenger), conforme a seção 4.
• Provedores escolhidos pela empresa: processadores de pagamento (como Asaas e Mercado Pago) e assinatura eletrônica de contratos (como Autentique), apenas se o dono conectar a conta dele. Nesses casos, o provedor também tem os próprios termos.
• Cobrança e nota fiscal da CLcomm: o Asaas, nosso parceiro de pagamentos, recebe o nome, o CNPJ (ou CPF), o e-mail, o celular e o endereço da empresa que contrata ou inicia o teste grátis, para cobrar a assinatura e emitir a nota fiscal. A Autentique recebe os dados do contrato da plataforma para a assinatura eletrônica.
• Consulta do CNPJ no cadastro pelo teste grátis: a BrasilAPI, serviço que consulta os dados públicos da Receita Federal, recebe o CNPJ informado.
• Autoridades públicas, quando houver obrigação legal ou ordem judicial.

Exigimos dos provedores medidas de segurança e confidencialidade compatíveis com a LGPD.

6. Transferência internacional

Nossos provedores de infraestrutura e de medição, a Meta e o Google operam em vários países, então seus dados podem ser tratados fora do Brasil. Isso inclui a inteligência artificial do assistente (seção 3): as mensagens e os áudios enviados ao Google (Gemini) podem ser processados e guardados por um período limitado em qualquer país onde o Google ou os fornecedores dele tenham instalações. Quando isso ocorre, adotamos os mecanismos previstos no art. 33 da LGPD, como a contratação de fornecedores com cláusulas e garantias adequadas de proteção.

7. Por quanto tempo guardamos

• Conta e dados da empresa: enquanto a conta estiver ativa e for necessário para o serviço. Depois do encerramento, eliminamos ou anonimizamos os dados mediante solicitação, salvo o que a lei nos obrigue a manter.
• Clientes da empresa: o dono da empresa pode excluir o cadastro de uma pessoa pelo painel (Clientes, Excluir dados) para atender um pedido dela (seção 9). A exclusão apaga as conversas ligadas a ela, os anexos, os bloqueios e o cadastro, e deixa os agendamentos antigos sem nome, telefone ou e-mail, apenas com o serviço, o preço e a situação.
• Contatos e histórico importados do app WhatsApp Business: ficam guardados para consulta enquanto a empresa usar o serviço e podem ser apagados a pedido, junto com os demais dados da empresa (seção 9). O histórico importado é somente leitura e não entra na fila de atendimento.
• Mensagens apagadas por quem enviou: quando alguém apaga uma mensagem para todos no WhatsApp, o texto e a mídia dessa mensagem são apagados dos nossos registros. Permanecem apenas os dados da conversa (horário, tipo e identificador da mensagem), para que o histórico não fique com lacunas.
• Registros técnicos dos eventos da Meta: os dados brutos recebidos para processar mensagens são apagados depois do processamento e, no máximo, em 7 dias. Em pedido de exclusão, são apagados imediatamente.
• CPF ou CNPJ da empresa que contrata a CLcomm: enquanto durar o contrato e por mais 5 anos depois do fim, o prazo em que a nota fiscal e a cobrança ainda podem ser fiscalizadas ou cobradas (Código Tributário Nacional, arts. 173 e 174). Depois disso, o número é apagado do cadastro. O contrato assinado guarda o documento pelo mesmo prazo.
• CPF ou CNPJ dos clientes da empresa: enquanto a empresa mantiver o cadastro da pessoa. Sai do cadastro, dos contratos e das cobranças guardados na CLcomm junto com a exclusão do cadastro, pedida pela empresa no painel ou feita pela exclusão automática abaixo. Os contratos e as cobranças que já foram enviados aos provedores escolhidos pela empresa (assinatura eletrônica e pagamento) seguem as regras dela e desses provedores. O documento informado numa conversa com a Lió segue o histórico dessa conversa.
• Documento do cadastro pelo teste grátis: o número sai junto com o formulário, 30 dias depois de o cadastro terminar; se o teste virou contratação, ele continua como CNPJ da empresa, no prazo do item acima. O código irreversível que impede um segundo teste e a razão social consultada ficam guardados enquanto essa regra existir.
• Exclusão automática: cadastros com agendamentos e sem nenhuma atividade há mais de cinco anos entram em exclusão automática.
• Registros de uso do assistente automático: 90 dias.
• Mensagens e áudios enviados ao Google (Gemini): o Google pode guardar o que recebe por um período limitado, para detectar abuso e cumprir obrigações legais, conforme os termos dele. Os termos publicados não fixam esse prazo e a CLcomm não o controla.
• Dados do cadastro pelo teste grátis: o formulário original, com a origem da campanha, o IP e o navegador, é apagado 30 dias depois de o cadastro terminar. Para a medição de anúncios (seção 3), guardamos só os códigos irreversíveis do e-mail e do celular, o identificador do clique, o IP e o navegador até o primeiro pagamento, por no máximo 90 dias; cada evento enviado sai da fila em até 30 dias.
• Registros de segurança: pelo tempo necessário à proteção do serviço e ao cumprimento de obrigações legais.
• Registro dos acessos da equipe da CLcomm às conversas (seção 10): guarda quem acessou, de qual empresa e quando e, quando a conversa é aberta, qual conversa; nunca o texto das mensagens. Ainda não há prazo fixo para apagá-lo; quando houver, ele será informado aqui.
• Cópias de recuperação: a infraestrutura (Cloudflare) guarda automaticamente o histórico dos bancos de dados por até 30 dias, para recuperação em caso de falha. Um dado excluído some do serviço assim que a exclusão termina e deixa de existir nessas cópias quando os 30 dias passam. Arquivos anexados são apagados na hora, sem cópia.

8. Seus direitos

Pela LGPD (art. 18), você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade dos dados;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre as entidades com as quais compartilhamos dados;
• informação sobre a possibilidade de não consentir e sobre as consequências;
• revogação do consentimento;
• revisão de decisões tomadas apenas por tratamento automatizado.

Também pode se opor a um tratamento feito com base em legítimo interesse, como a medição de anúncios pelo servidor (art. 18, § 2º).

Assistente automático: a inteligência artificial só interpreta o que foi escrito ou dito, e nada que altere dados acontece sem o "sim" da pessoa. Ela pode, porém, levar a conversa a uma pessoa (por exemplo, quando o cliente parece irritado). Se você discorda do que o assistente entendeu ou decidiu, escreva "atendente" na conversa para falar com uma pessoa, ou peça a revisão (art. 20) e informações sobre os critérios usados pelo e-mail clcomm@clcomm.com.br.

Respondemos em até 15 dias, contados do pedido com a sua identificação. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.

9. Como pedir a exclusão dos seus dados

Há também uma página só com estas instruções: clcomm.com.br/exclusao-de-dados.

10. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados contra acesso indevido, perda e alteração, entre elas: conexão cifrada (HTTPS), credenciais de integração e segredos cifrados em repouso, senhas guardadas apenas como hash, verificação em duas etapas opcional, separação dos dados por empresa e por perfil de acesso, limites contra tentativas abusivas e anexos servidos somente a quem tem sessão autorizada. O acesso da nossa equipe às conversas (seção 3) é restrito a contas individuais de operadores, com senha e verificação em duas etapas, e fica registrado: guardamos quem consultou, de qual empresa e a hora e, quando a conversa é aberta, qual conversa, sem copiar o texto. Para a lista de conversas de uma empresa, o registro marca a consulta (no máximo um por operador e empresa a cada 10 minutos); para a conversa aberta, um por conversa (se o mesmo operador a relê em menos de 1 minuto, conta como um só). Se o registro não puder ser gravado, o acesso não é concedido. Nenhum sistema é totalmente imune a falhas; se ocorrer um incidente que possa causar risco relevante, comunicaremos os afetados e a ANPD, como determina a lei.

11. Cookies e armazenamento no navegador

No painel usamos apenas o necessário: um cookie de sessão para manter você conectado, com proteção contra acesso por scripts, e o desafio anti-robô do login (Cloudflare Turnstile). Nenhuma ferramenta de análise ou de anúncio roda no login, no cadastro ou no painel. Na tela de Integrações, ao conectar o WhatsApp, o painel carrega o componente de login da Meta, configurado para não gravar cookies próprios nem verificar seu status de login.

Na página inicial (clcomm.com.br):

• Sem cookie e sem aceite: o Cloudflare Web Analytics conta visitas e o Microsoft Clarity registra como a página é usada (cliques, rolagem e mapas de calor), em modo sem cookie, sem identificar quem volta. Se você chegou por um link de campanha, guardamos a origem dela (como utm_source ou o identificador do clique no anúncio) apenas nesta aba do navegador (sessionStorage), apagada ao fechar a aba. Se você criar uma conta pelo teste grátis nessa aba, essa origem vai junto com o cadastro, para a medição descrita na seção 3.
• Cookie da sua escolha (clcomm_consent): guarda por 6 meses o que você decidiu no aviso de cookies. É necessário para respeitar essa decisão.
• Só com o seu aceite: Análise (Google Analytics: reconhece visitas que voltam e o caminho até o cadastro) e Marketing (Meta Pixel e Google Ads: medem os anúncios da CLcomm e permitem mostrá-los a quem já visitou o site). Recusar não muda nada no uso do site.

Você pode mudar a escolha a qualquer momento em preferências de cookies.

12. Crianças e adolescentes

O painel da CLcomm é destinado a empresas e a seus acessos, todos adultos. Não direcionamos o serviço a menores de 18 anos nem coletamos propositalmente dados deles. Se uma empresa atender menores, é responsável por tratar esses dados nos termos do art. 14 da LGPD.

13. Mudanças nesta política

Podemos atualizar esta política quando o serviço ou a lei mudarem. A data no topo mostra a versão em vigor. Se a mudança for relevante, avisaremos os usuários do painel antes que ela passe a valer.

14. Contato