Política de Privacidade
Versão de 13/10/2026
1. Quem decide e quais dados são tratados
Na LGPD, a MétricaBox tem dois papéis diferentes, conforme de quem são os dados:
| Dados de quem | Quem decide (controlador) | Papel da MétricaBox |
|---|---|---|
| Pessoas que conversam com o Cliente no WhatsApp (os "contatos") | o Cliente | operador: trata em nome do Cliente, só para prestar o serviço |
| Usuários do painel (dono, gestores, vendedores) | a MétricaBox | controlador |
Contatos do Cliente:
- telefone ou identificador do WhatsApp, e o nome de perfil;
- texto das mensagens trocadas com o número conectado, com data e hora;
- dados do clique no anúncio que o WhatsApp informa (qual anúncio, quando);
- o que o Cliente marcar no painel: etapa, venda, valor, vendedor, motivo de perda.
Fotos, áudios, vídeos e documentos não são guardados: só se registra que a mensagem era desse tipo, e a legenda escrita, quando houver. Localizações compartilhadas na conversa ficam guardadas, cifradas. Mensagens de grupos, listas de transmissão e canais do WhatsApp não são guardadas.
Usuários do painel: nome, e-mail, senha (guardada apenas em forma irreversível; quem entra com a conta Google não tem senha na MétricaBox, só o identificador que o Google informa), endereço IP, navegador, horários de acesso, aceite destes termos e registro das ações feitas (por exemplo, quem alterou um orçamento).
Conta de anúncios: números e estrutura dos anúncios (gasto, alcance, campanhas, criativos) e o token de acesso da Meta, guardado cifrado e nunca exibido.
2. Para que os dados são usados e com qual base legal
Os dados são usados só para prestar o serviço contratado. A MétricaBox não vende dados, não os usa para publicidade própria e não cruza dados de um Cliente com os de outro.
| Finalidade | Dados | Base legal (LGPD, art. 7º) |
|---|---|---|
| Medir leads, origem, atendimento e vendas para o Cliente | contatos e mensagens | definida pelo Cliente (controlador); em geral, legítimo interesse em medir as próprias vendas e atendimento (inc. IX) |
| Login, permissões e segurança do painel | Usuários | execução do contrato (inc. V) e legítimo interesse em prevenir fraude (inc. IX) |
| Públicos personalizados na conta de anúncios do Cliente (só se o Cliente ligar) | telefone dos contatos, transformado em código irreversível (SHA-256) antes de sair, e o grupo em que está (todos, engajados, qualificados, compradores, perdidos) | definida pelo Cliente (controlador), que liga a função e é responsável por ter base legal para usar os dados dos próprios contatos em anúncios |
| Registros de acesso | IP e horários | obrigação legal: Marco Civil, art. 15 (inc. II) |
| Cobrança e notas fiscais | nome, e-mail, CPF ou CNPJ do responsável pela conta e histórico de pagamentos | execução do contrato e obrigação legal (inc. II e V) |
| Suporte e correção de erros | o mínimo necessário, caso a caso; os registros automáticos de erros do sistema são guardados sem telefones, e-mails nem textos de mensagens | execução do contrato (inc. V) e legítimo interesse em manter o serviço funcionando (inc. IX) |
Cabe ao Cliente, como controlador dos dados dos seus contatos, informar a eles que as conversas são registradas para atendimento e medição, por exemplo no seu próprio aviso de privacidade ou na mensagem de saudação.
3. Com quem os dados são compartilhados
Os dados só saem da MétricaBox para os fornecedores abaixo, cada um com o mínimo necessário:
| Fornecedor | Para quê | O que recebe |
|---|---|---|
| Hostinger (servidor e e-mail) | hospedar o sistema e o banco de dados; enviar os e-mails do serviço | todos os dados do serviço, no servidor contratado (o provedor não acessa o conteúdo); nos e-mails, o endereço do destinatário e a mensagem |
| Asaas (pagamentos) | cobrar as assinaturas por Pix, boleto ou cartão | nome, e-mail e CPF ou CNPJ do responsável pela conta, plano e valor; nenhum dado dos contatos do Cliente |
| Google (Google Drive) | guardar as cópias de segurança diárias | as cópias, cifradas antes de sair do servidor: o Google não consegue lê-las |
| Google (login, só para quem escolher entrar com a conta Google) | confirmar a identidade do Usuário | o pedido de login; a MétricaBox recebe de volta nome, e-mail e identificador da conta Google |
| Serviço de notificações do navegador (Google, Apple ou Mozilla, conforme o aparelho; só para quem ativar as notificações) | entregar os avisos no celular ou computador | o aviso cifrado de ponta a ponta: o serviço não consegue lê-lo; na tela aparece o primeiro nome do contato e o final do telefone |
| Meta (WhatsApp e Meta Ads) | ler as mensagens e os anúncios do Cliente, aplicar as alterações pedidas e, se o Cliente ligar, montar públicos personalizados na conta de anúncios dele | os comandos do Cliente (pausar, ativar, orçamento) e, só com os públicos ligados, os telefones dos contatos em código irreversível (SHA-256); o texto das mensagens nunca vai para a Meta |
Públicos personalizados (desligados por padrão). Se o dono da conta ligar, a MétricaBox mantém na conta de anúncios do próprio Cliente, na Meta, públicos com os contatos de cada grupo escolhido, atualizados a cada poucas horas. Os telefones saem da MétricaBox já transformados em código irreversível (SHA-256); a Meta só consegue associá-los a quem já tem aquele número no Facebook ou Instagram, e usa o público conforme os Termos de Públicos Personalizados dela. Desligar a função apaga esses públicos na Meta. Um contato excluído no painel (pedido do titular) sai dos públicos na atualização seguinte.
Além disso, dados podem ser entregues a autoridades quando a lei ou uma ordem judicial exigir.
Transferência internacional. O servidor fica nos Estados Unidos, e as cópias no Google Drive e os serviços de notificação também podem ficar fora do Brasil. Essas transferências se apoiam no art. 33 da LGPD (cláusulas contratuais dos fornecedores e garantias de segurança), e as cópias são cifradas com chave que só a MétricaBox tem.
4. Segurança, retenção e exclusão
Como os dados são protegidos:
- conexão sempre por HTTPS;
- telefones, nomes e textos das mensagens cifrados no banco de dados;
- cada conta isolada das outras pelo próprio banco de dados, mesmo em caso de falha no código;
- senhas guardadas só em forma irreversível, com bloqueio após tentativas erradas seguidas;
- banco de dados sem acesso pela internet;
- registro de quem fez cada ação importante (login, convites, alterações na Meta);
- cópias de segurança diárias, cifradas, guardadas por 14 dias no servidor e 30 dias no Google Drive.
Por quanto tempo os dados ficam guardados:
| Dados | Prazo |
|---|---|
| Mensagens e leads | enquanto a conta do Cliente estiver ativa, até 24 meses da data da mensagem (apagados automaticamente) |
| Usuários do painel | enquanto tiverem acesso; depois, só o registro das ações que fizeram |
| Registros de acesso (tentativas de login, convites) | 6 meses (Marco Civil, art. 15) |
| Dados fiscais e de cobrança | 5 anos (legislação tributária) |
| Após o encerramento da conta | 30 dias para exportação; depois, apagados (cópias de segurança expiram em até 30 dias) |
| Teste grátis não contratado | 30 dias depois do fim do teste para exportação; depois, apagados |
Exportação. O dono da conta pode baixar todos os dados da conta a qualquer momento, em planilhas, no painel (Configurações → Seus dados).
Exclusão a pedido. O dono da conta pode excluir na hora os dados de um contato específico, pela ficha do lead no painel (mensagens, lead, venda anotada e registros originais). Se preferir pedir à MétricaBox, a exclusão é feita em até 15 dias e confirmada. Em ambos os casos, as cópias de segurança que ainda tiverem esses dados expiram sozinhas em até 30 dias.
5. Direitos das pessoas, incidentes e contato
Toda pessoa cujos dados estejam na MétricaBox pode pedir (LGPD, art. 18): confirmação de que há dados seus, acesso a eles, correção, anonimização ou exclusão do que for desnecessário, portabilidade, informação sobre com quem foram compartilhados e revisão de decisões automáticas.
Como pedir:
- contatos do Cliente (quem conversou com uma empresa pelo WhatsApp): o pedido é feito à empresa com quem a pessoa conversou, que é a controladora; se o pedido chegar à MétricaBox, ele é repassado a ela em até 2 dias úteis;
- Usuários do painel e Clientes: direto à MétricaBox, pelo e-mail abaixo; a resposta vem em até 15 dias.
Incidentes de segurança. Se houver um incidente que possa causar risco ou dano relevante, a MétricaBox avisa os Clientes afetados em até 2 dias úteis depois de saber, com o que aconteceu, quais dados foram afetados e o que está sendo feito, para que eles cumpram o aviso à ANPD e aos titulares.
Encarregado (DPO) e contato: Isaque Machado Garcia, comercial@anuncee.com.br.