Política de Privacidade
Superlead — Grigoletto Tecnologia Digital LTDA · CNPJ 54.141.824/0001-00
Vigente a partir de 14 de julho de 2026 · Última atualização: 12 de novembro de 2026
Esta Política de Privacidade descreve como a Grigoletto Tecnologia Digital LTDA, inscrita no CNPJ sob o nº 54.141.824/0001-00 ("Superlead", "nós"), coleta, utiliza, compartilha e protege dados pessoais, em conformidade com a Lei nº 13.709/2018 ("LGPD"). Ela se aplica ao site superlead.app, ao painel painel.superlead.app e a todos os serviços da plataforma Superlead.
Dois papéis diferentes. Em relação aos visitantes do nosso site e aos assinantes da plataforma, a Superlead atua como Controladora dos dados. Já em relação aos leads e contatos que nossos clientes gerenciam dentro do CRM (por exemplo, quem conversa com a empresa cliente pelo WhatsApp), a Superlead atua como Operadora, tratando esses dados em nome e sob instrução da empresa cliente, que é a Controladora. Nesses casos, os direitos do titular devem ser exercidos primariamente junto à empresa cliente, e nós a auxiliamos.
1. Quem somos e como falar conosco
A Superlead é uma plataforma de CRM e rastreamento de leads voltada a pequenas e médias empresas, com foco em atendimento e conversão via WhatsApp. Para qualquer assunto relacionado à privacidade e à proteção de dados, incluindo o exercício dos seus direitos, entre em contato com o nosso Encarregado (DPO):
- E-mail: contato@superlead.app
- Controladora: Grigoletto Tecnologia Digital LTDA — CNPJ 54.141.824/0001-00
2. Dados que coletamos
2.1. Visitantes do site
Quando você navega em superlead.app, coletamos dados de navegação e de marketing: endereço IP, tipo de dispositivo e navegador, páginas visitadas, origem do tráfego e parâmetros de campanha (UTMs, fbclid e identificadores semelhantes). Parte desses dados é coletada por cookies e ferramentas de terceiros descritas na seção 3.
2.2. Assinantes da plataforma
- Cadastro e conta: nome, e-mail, telefone e senha (a senha é gerida pelo provedor de autenticação e nunca é armazenada por nós em texto puro); fuso horário e foto de perfil (quando fornecida).
- Empresa e faturamento: razão social/nome, CPF ou CNPJ, endereço fiscal e dados de assinatura. Os dados de cartão são processados diretamente pelo processador de pagamentos e não trafegam pelos nossos servidores.
- Conexões de integração: ao conectar contas de Meta (Facebook/Instagram/WhatsApp) ou Google, armazenamos identificadores da conta, tokens de acesso e escopos autorizados, além de dados do número de WhatsApp Business conectado (nome de exibição, foto e qualidade da conexão).
- Uso do produto: convites de equipe, preferências, notificações e registros de atividade.
2.3. Leads e contatos gerenciados pelos nossos clientes
Como Operadora, tratamos, em nome das empresas clientes, os dados dos leads que elas gerenciam no CRM:
- Identificação: nome de perfil do WhatsApp, número de telefone, e-mail (quando informado) e, se cadastrado pela empresa, CPF/CNPJ e endereço.
- Conteúdo de conversas: mensagens de texto, mídias (imagens, áudios, vídeos, documentos, figurinhas), reações, localização compartilhada e cartões de contato trocados com a empresa via WhatsApp.
- Atribuição de marketing: identificadores de clique e de campanha (por exemplo ctwaclid, gclid, gbraid, wbraid, fbclid, fbc, fbp e outros click-ids de redes de anúncios), UTMs, URL de origem e referenciador, criativo do anúncio que originou a conversa.
- Dispositivo e localização aproximada: tipo/marca/modelo de dispositivo (derivados do navegador) e país/região/cidade aproximados (por IP, nunca por GPS).
- Gestão comercial: etapa do funil e histórico, notas, etiquetas, valores de venda e demais dados de pipeline inseridos pela empresa.
3. Cookies e tecnologias de rastreamento
Utilizamos cookies e tecnologias equivalentes (armazenamento local do navegador, pixels e beacons) para operar o serviço, medir audiência e atribuir a origem de leads e cadastros. Os principais são:
| Nome | Origem | Finalidade | Duração |
|---|---|---|---|
| sl_vid | Superlead (1ª parte) | Identificador de visitante para religar visitas ao mesmo indivíduo na jornada de rastreamento. | 2 anos |
| sl_t | Superlead (1ª parte) | Token que vincula um clique de WhatsApp ao contexto de atribuição do momento. | Sessão do navegador |
| sl_attr | Superlead (armazenamento local) | Guarda o último contexto de campanha entre páginas do site. | Até você limpar os dados do navegador |
| sl_utm | Superlead (1ª parte) | Leva os parâmetros de campanha do site ao cadastro no painel, para medir aquisição. | 30 dias |
| _fbp, _fbc | Meta Pixel | Medição e atribuição de anúncios do Meta; também lidos para dedup em eventos de conversão. | Até ~90 dias |
| _clck, _clsk, MUID, CLID, ANONCHK, SM | Microsoft Clarity | Análise de comportamento (mapas de calor e gravação de sessão) no site institucional. | 10 min a 1 ano |
| Cookie de indicação | Endorsely | Atribuir um cadastro a um afiliado/parceiro que indicou o visitante. | Definida pelo fornecedor |
| Analytics da plataforma de site | Provedor de hospedagem do site | Métricas de visitação (visitas, páginas, origem, dispositivo). | Definida pelo fornecedor |
Você pode bloquear ou apagar cookies nas configurações do seu navegador. Cookies estritamente necessários ao funcionamento do serviço não podem ser desativados sem afetar o uso da plataforma.
4. Para que usamos e bases legais
Tratamos dados pessoais com as seguintes finalidades e bases legais (art. 7º e, quando aplicável, art. 11 da LGPD):
- Prestar e operar o serviço (contas, CRM, integração com WhatsApp e anúncios) — execução de contrato.
- Cobrança e obrigações fiscais — execução de contrato e cumprimento de obrigação legal.
- Medição, atribuição e melhoria (analytics, mapas de calor, atribuição de origem de leads e cadastros) — legítimo interesse, com salvaguardas.
- Marketing e mensuração de anúncios (incluindo o envio de eventos de conversão a plataformas de publicidade) — legítimo interesse ou consentimento, conforme o caso.
- Notificações push e comunicações — consentimento (você pode revogar a qualquer momento).
- Segurança, prevenção a fraude e cumprimento legal — legítimo interesse e obrigação legal.
Como o conteúdo de conversas de WhatsApp pode, eventualmente, conter dados pessoais sensíveis fornecidos espontaneamente pelo titular, orientamos empresas clientes a não solicitarem dados sensíveis desnecessários e a obterem consentimento específico quando a finalidade exigir.
5. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos dados apenas com operadores e parceiros necessários à prestação do serviço, que ficam obrigados a protegê-los. Principais categorias e destinatários:
- Infraestrutura e hospedagem: Supabase (banco de dados, autenticação e armazenamento), Cloudflare (CDN, segurança e rede de borda), Vercel (hospedagem do aplicativo) e a plataforma que hospeda nosso site institucional.
- WhatsApp e mensageria: Meta Platforms (WhatsApp Business Platform / Cloud API) e, para conexões alternativas via QR Code, provedor de integração de WhatsApp.
- Publicidade e mensuração de conversões: Meta (Pixel e Conversions API) e Google Ads (Enhanced Conversions / Click Conversions). Para esses fins, dados de contato como e-mail e telefone são criptografados com hash (SHA-256) antes do envio, e usamos identificadores de clique (por exemplo gclid e fbclid). Esse compartilhamento serve para medir e otimizar campanhas — as nossas e, quando a empresa cliente ativa a funcionalidade, as dela.
- Análise de comportamento: Microsoft Clarity (mapas de calor e gravação de sessão no site institucional).
- Pagamentos: Stripe (processamento de assinaturas e faturas).
- Notificações: OneSignal (envio de notificações push).
- Programa de afiliados: Endorsely (atribuição de indicações).
- Autoridades: quando exigido por lei, ordem judicial ou para exercício regular de direitos.
Também podemos capturar identificadores de clique de outras redes de anúncios (como TikTok, LinkedIn, Microsoft/Bing, Pinterest, X, Snapchat, entre outras) apenas para relatórios internos de atribuição; esses identificadores ficam armazenados conosco e não são transmitidos a essas redes.
5.1. Dados obtidos das APIs do Google
Quando a empresa conecta sua conta Google Ads ao Superlead, usamos a Google Ads API para listar as contas às quais o usuário tem acesso, consultar suas ações de conversão, criar uma ação de importação de cliques quando solicitado e consultar nomes e identificadores de campanhas e grupos de anúncios relacionados aos leads. Não usamos essa integração para criar ou alterar campanhas, anúncios, palavras-chave, lances ou orçamentos, nem para consultar métricas de desempenho.
Pela Data Manager API, enviamos à conta Google Ads conectada as conversões das etapas de funil configuradas pela empresa. O envio inclui o identificador de clique disponível (gclid, gbraid ou wbraid), a ação de conversão, data e hora, valor e moeda quando aplicáveis e, quando disponíveis, telefone e e-mail normalizados e submetidos a hash SHA-256 para correspondência. Consultamos também o estado de processamento desses envios.
O refresh token OAuth fica no servidor, criptografado com AES-256-GCM. Os nomes de campanha e grupo podem ficar armazenados no registro do lead. Aplicam-se os prazos de retenção descritos nesta política. A empresa pode desconectar a integração em Integrações → Conexões; isso revoga o token no Google e interrompe as consultas e envios. Solicitações de exclusão podem ser encaminhadas a contato@superlead.app, observadas as responsabilidades de controladora e operadora descritas nesta política.
Não vendemos dados obtidos das APIs do Google e não os usamos para treinar modelos de inteligência artificial. Seu uso e compartilhamento ficam limitados à prestação das funcionalidades autorizadas e às finalidades e operadores descritos nesta política, conforme as regras aplicáveis do Google.
O uso e a transferência, pelo Superlead, de informações recebidas das APIs do Google para outros aplicativos seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Superlead's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
6. Transferência internacional
Alguns dos parceiros acima processam dados fora do Brasil (por exemplo, nos Estados Unidos). Nesses casos, a transferência internacional ocorre com base nas hipóteses do art. 33 da LGPD e é acompanhada de salvaguardas contratuais adequadas para manter a proteção dos dados.
7. Por quanto tempo guardamos
- Dados de conta e faturamento: enquanto a assinatura estiver ativa e pelos prazos legais aplicáveis após o encerramento.
- Dados de leads e conversas: enquanto a empresa cliente mantiver a conta e os dados no CRM, ou conforme instrução dela.
- Dados de atribuição de rastreamento web: até 2 anos.
- Cookies: conforme a tabela da seção 3.
Encerrado o prazo ou a finalidade, os dados são eliminados ou anonimizados, salvo quando a conservação for permitida ou exigida por lei.
8. Seus direitos
Nos termos do art. 18 da LGPD, você pode solicitar: confirmação da existência de tratamento; acesso aos dados; correção; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre com quem compartilhamos; e revogação do consentimento. Para exercer, escreva para contato@superlead.app. Se os dados forem de um lead gerenciado por uma empresa cliente, encaminharemos ou auxiliaremos a solicitação junto a ela, que é a Controladora.
9. Segurança
Adotamos medidas técnicas e organizacionais para proteger os dados, incluindo criptografia em trânsito (TLS), controle de acesso, isolamento de credenciais e uso de hash (SHA-256) para identificadores enviados a plataformas de publicidade. Nenhum sistema é 100% infalível, mas trabalhamos continuamente para reduzir riscos.
10. Menores de idade
A plataforma é destinada a empresas e não se dirige a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos tratamento indevido, adotaremos medidas para eliminá-lo.
11. Alterações desta Política
Podemos atualizar esta Política periodicamente. Alterações relevantes serão sinalizadas nesta página, com atualização da data de vigência no topo. Recomendamos revisá-la de tempos em tempos.