Política de privacidade

01 — Quem somos e o que esta política cobre

O Tave é uma plataforma de operação para agências, feita no Brasil e oferecida em português e em inglês. Esta política explica o que fazemos com dados pessoais em três lugares: o site usetave.com, o cadastro de lista de espera e contato, e o produto em si.

O controlador é o Tave, com sede em Balneário Camboriú, SC, Brasil. Os canais abaixo falam direto com a gente e são os que valem para qualquer assunto desta política.

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): privacy@usetave.com. Assuntos contratuais: legal@usetave.com. Respondemos em português ou em inglês, como você preferir.

A lei brasileira se aplica a este tratamento mesmo quando a infraestrutura fica fora do país — é o que dizem o art. 3º da LGPD e o art. 11 do Marco Civil da Internet. Ver a seção 07.

02 — Dois papéis: controlador e operador

A LGPD separa quem decide o tratamento (o controlador, art. 5º, VI) de quem trata em nome de outro (o operador, art. 5º, VII). O Tave é as duas coisas, em momentos diferentes, e a diferença muda quem você procura.

Somos CONTROLADORES dos dados da sua conta e do seu uso do Tave: o cadastro do seu time, as credenciais, as sessões, os registros de acesso, a cobrança quando ela existir, e os dados de quem se cadastra na lista de espera ou fala com a gente pelo site. Aqui as decisões são nossas e a responsabilidade também.

Somos OPERADORES dos dados que você coloca no Tave sobre os seus próprios clientes: contatos, negócios, propostas, documentos, assinaturas, valores, arquivos. Quem decide por que e como esses dados são tratados é a sua agência — você é o controlador, nós tratamos apenas conforme as suas instruções documentadas (art. 39), que são estes termos, o Acordo de Tratamento de Dados e as ações que você executa dentro do produto. Usar esses dados para finalidade própria nossa, ou vendê-los, está contratualmente excluído.

Se você é cliente de uma agência que usa o Tave, a controladora dos seus dados é a agência. Ver a seção 13.

03 — O que tratamos, superfície por superfície

LISTA DE ESPERA E CONTATO (site). Nome, e-mail, empresa (opcional), o assunto escolhido, a mensagem que você escreve, o idioma em que você estava lendo e — para análise de abuso, nunca para outra coisa — o endereço IP e o identificador do navegador. Nada é enviado de volta para o endereço informado sem que você tenha pedido: o aviso vai para nós, e a resposta é humana.

CONTA DE AGÊNCIA. Nome, e-mail, senha, papel na organização (dono, membro, financeiro, prestador), idioma e fuso horário da organização. A senha nunca é guardada em texto: fica como hash argon2id. Sessões guardam o hash do token (nunca o token), o endereço IP, o identificador do navegador e a validade. Links de acesso enviados por e-mail guardam o hash do token, o IP de quem pediu e uma validade de 15 minutos, de uso único.

CONTEÚDO DO WORKSPACE. Tudo que você cria no produto: clientes e contatos, negócios e estágios do funil, propostas, documentos, modelos, valores em dinheiro. E o registro de eventos: uma trilha append-only que grava toda mudança de estado com quem a fez, quando e o que mudou. Essa trilha não pode ser editada nem apagada — nem por nós — enquanto a organização existir; é ela que sustenta o histórico do seu negócio e a defesa de uma assinatura.

ASSINATURA ELETRÔNICA. Quando alguém assina um documento pelo Tave, ficam registrados: o nome digitado, o e-mail para onde o link foi enviado, a data e hora do relógio do servidor, o endereço IP, o identificador do navegador, o texto exato do consentimento aceito e a versão desse texto, o estilo de assinatura adotado, uma cadeia de auditoria em SHA-256 e o hash SHA-256 do PDF selado. Detalhes na seção 06.

REGISTROS TÉCNICOS. Logs estruturados de operação (identificador da requisição, rota, duração, resultado, eventos de autenticação) e registros de acesso à aplicação. Corpos de mensagem, respostas de formulário, imagens de assinatura, tokens e senhas nunca entram em log — há um redator automático que remove chaves sensíveis, mascara a parte local de endereços de e-mail e limita o tamanho do que é gravado.

O QUE NÃO EXISTE. Não rodamos rastreador de publicidade, nem analytics de terceiros, nem cookie de terceiro — nem no nosso site, nem em nenhuma superfície que os clientes da sua agência vejam.

04 — Base legal de cada tratamento (art. 7º e art. 11)

A LGPD exige uma base legal para cada operação de tratamento, e exige que ela seja honesta. Não usamos consentimento onde ele seria uma ficção: você não pode "retirar o consentimento" para o armazenamento da sua senha e continuar entrando na sua conta. Onde a base é legítimo interesse, ela é acompanhada do teste de balanceamento previsto no art. 10 e se limita ao que uma pessoa razoável esperaria de um software de trabalho.

A tabela abaixo é o mapa completo. Onde a sua agência é a controladora, quem escolhe a base legal é ela — nós só executamos.

DADOS SENSÍVEIS (art. 11). O serviço não pede e não precisa de dados pessoais sensíveis: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde, à vida sexual, dado genético ou biométrico. Não coloque esse tipo de dado no produto. Se você colocar mesmo assim, ele passa a ser tratado sob a sua responsabilidade como controlador e sob a base legal que você tiver — nós não assumimos nenhuma.

05 — Decisões automatizadas e inteligência artificial

Os números que o produto mostra vêm de regras determinísticas sobre os seus próprios dados, não de modelo estatístico nenhum. Não tomamos decisões unicamente automatizadas que produzam efeitos jurídicos sobre você ou afetem seus interesses da forma descrita no art. 20 da LGPD; se um dia tomarmos, você terá o direito de pedir revisão previsto naquele artigo, e esta política dirá isso antes.

Duas funções de assistência por inteligência artificial estão construídas no produto — classificar uma mensagem que chega do cliente e rascunhar um texto que você revisa antes de enviar. Elas ficam desligadas até ativarmos o nosso provedor de IA, e nenhum dado seu foi enviado a provedor de IA até hoje. O provedor designado é a Anthropic, já nomeada na tabela de suboperadores do Acordo de Tratamento de Dados; ela só passa a tratar dados quando as funções forem ligadas, sob contrato de tratamento e sem uso dos seus dados para treinar modelo.

A própria tela de assistência no produto nomeia o provedor e diz exatamente o que seria enviado, antes de você usar. Uma sugestão é sempre sua para revisar — nada que o modelo produz é enviado a um cliente ou vira um número sem uma pessoa decidir.

06 — Assinatura eletrônica: exatamente o que fica registrado

Esta seção descreve o que o sistema grava. A validade jurídica da assinatura está tratada nos Termos de Serviço, seção 06.

O signatário chega por um link enviado ao endereço de e-mail que a agência indicou. O link é a credencial: 32 bytes aleatórios, guardados aqui apenas como hash SHA-256, válidos por 30 dias e vinculados a um único documento e a um único endereço do portal da agência. Um link aberto em qualquer outro endereço não abre nada.

Para assinar, a pessoa digita o próprio nome — o nome digitado é a assinatura, não há imagem desenhada — e marca uma caixa de consentimento. O texto dessa caixa é lido de um catálogo congelado no servidor, no idioma da organização, e é gravado VERBATIM na linha do signatário junto com a versão do texto. Guardamos a frase inteira, não um número de versão, porque um número de versão não prova nada se o catálogo for editado depois.

No mesmo instante são gravados: data e hora do relógio do servidor (nunca o do navegador), endereço IP, identificador do navegador, o nome digitado e o estilo de assinatura adotado. Nada disso vem do que o navegador afirma sobre si: o autor do evento é derivado do link resolvido no servidor, e não pode ser informado por quem chama.

Cada passo (criado, enviado, aberto, assinado, recusado, concluído, selado) vira um elo de uma cadeia de hash: cada elo é o SHA-256 do elo anterior somado ao conteúdo canônico do elo atual, amarrado à organização e ao pedido de assinatura. Inserir, remover ou reordenar um evento quebra todos os hashes seguintes. O topo da cadeia fica gravado na linha do pedido e impresso dentro do próprio PDF.

No fim, o documento é selado: um PDF gravado uma única vez, com página de auditoria, cujo hash SHA-256 é registrado no banco e na trilha de eventos. Gatilhos no banco de dados impedem que o selo, o hash ou a identidade de qualquer signatário sejam alterados depois — para qualquer usuário do banco, inclusive nós. Ambas as partes recebem o PDF selado por e-mail.

O que NÃO fazemos: não verificamos a identidade civil de ninguém. A atribuição é por posse do e-mail para onde o link foi enviado, mais os dados capturados acima. Quem controlar aquela caixa de entrada pode assinar como aquele contato.

07 — Onde os dados ficam e transferência internacional (art. 33)

A infraestrutura do Tave fica fora do Brasil: a aplicação, o banco de dados e o armazenamento de arquivos rodam na Railway, em região dos Estados Unidos e/ou da União Europeia, e o envio de e-mail transacional é feito pela Resend, nos Estados Unidos. Isso caracteriza transferência internacional de dados pessoais e nós dizemos isso de forma clara, e não escondida em uma lista.

Bases da transferência: art. 33, IX, combinado com o art. 7º, V, da LGPD — a transferência é necessária para executar o contrato que você celebrou conosco, porque é onde o serviço roda; e art. 33, II, "b" — cláusulas-padrão contratuais, no modelo aprovado pela Resolução CD/ANPD nº 19/2024, firmadas com cada operador. Nenhum dado de cliente entra em um suboperador antes de o instrumento de transferência correspondente estar assinado com ele; essa é uma condição de lançamento, não uma intenção.

Não invocamos consentimento para a transferência (art. 33, VIII) porque seria consentimento de fachada: sem a infraestrutura, não há serviço.

Estar fora do Brasil não tira a lei brasileira do jogo. O art. 3º da LGPD e o art. 11 do Marco Civil da Internet mantêm a legislação nacional aplicável a tratamento realizado no Brasil, ou destinado a oferecer serviço a pessoas no Brasil, ainda que os dados sejam armazenados no exterior. É a lei brasileira que rege esta política.

08 — Com quem compartilhamos

NÃO VENDEMOS DADOS PESSOAIS. Não fazemos tratamento para publicidade comportamental, não montamos perfil de ninguém para terceiros e não usamos os dados dos clientes da sua agência para oferecer nada a eles.

SUBOPERADORES. Um conjunto deliberadamente pequeno de fornecedores trata dados em nosso nome, sob contrato, apenas com as nossas instruções. Hoje são dois: Railway (hospedagem, banco de dados, arquivos) e Resend (envio de e-mail). Eles estão listados, com finalidade, região e dados envolvidos, na página de Acordo de Tratamento de Dados e suboperadores. Provedores previstos para funções que ainda não existem no produto — a cobrança por merchant of record, o monitoramento de erros, o provedor de IA — não estão nessa lista e não tratam nada hoje; entram nela, com aviso prévio de 30 dias por e-mail, antes de tratar o primeiro dado.

AUTORIDADES. Fornecemos dados a autoridade pública apenas quando houver base legal para isso. Registros de acesso à aplicação são fornecidos a terceiros somente mediante ordem judicial, na forma do art. 10, § 1º, do Marco Civil da Internet, e comunicamos você sobre o pedido sempre que a lei permitir.

SUCESSÃO. Em caso de reorganização societária, fusão ou aquisição, os dados podem ser transferidos ao sucessor — que fica sujeito a esta política até que uma nova seja comunicada com o mesmo prazo de 30 dias.

09 — Segurança (arts. 46 a 49)

As medidas abaixo estão implementadas e testadas hoje, não planejadas. Elas são o cumprimento do art. 46 da LGPD e dos padrões de guarda de registros do Decreto 8.771/2016.

Senhas com hash argon2id nos parâmetros recomendados pela OWASP; o login gasta o mesmo tempo para conta existente e inexistente, para não revelar quem tem cadastro. Tokens de sessão e de link de acesso são 32 bytes aleatórios na URL e apenas hash SHA-256 no banco — um vazamento do banco não devolve nenhuma credencial viva. Cookies de sessão são httpOnly, SameSite=Lax e Secure em produção.

Isolamento entre organizações imposto na cláusula WHERE de toda consulta, com verificação também dos identificadores de relacionamento em toda escrita, provado por testes com duas organizações intercaladas; o acesso ao cliente de banco sem escopo é erro de lint, não convenção.

Trilha de eventos append-only em duas camadas independentes: o papel de banco usado pela aplicação não tem permissão de UPDATE nem DELETE na tabela, e um gatilho recusa a operação mesmo para o dono do banco. Evidência de assinatura protegida por gatilhos de escrita única.

TLS obrigatório com HSTS em produção; política de segurança de conteúdo estrita, com nonce por requisição; um conjunto completo de cabeçalhos de segurança em toda resposta; corpo de requisição limitado a 1 MB antes do roteamento.

Limites de tentativa em login, cadastro, pedido de link e consumo de link, por e-mail e por IP. Redação automática de dados pessoais nos logs. Expurgo diário de tokens e sessões mortos.

Nenhuma dessas medidas torna um sistema invulnerável, e nós não vamos escrever que torna. Elas tornam as falhas mais difíceis e as consequências menores.

10 — Incidentes de segurança (art. 48)

Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicamos a ANPD e os titulares afetados. O prazo que seguimos é o da Resolução CD/ANPD nº 15/2024: até 3 (três) dias úteis contados do conhecimento do incidente, com as informações que o regulamento exige — natureza dos dados, titulares envolvidos, medidas técnicas de proteção, riscos e medidas adotadas para reverter ou mitigar o efeito.

Quando o incidente atingir dados em que a controladora é a sua agência, comunicamos VOCÊ sem demora injustificada e com o que você precisa para cumprir o seu próprio prazo perante a ANPD e perante os seus clientes. Quem comunica a ANPD, nesse caso, é a controladora; nós ajudamos com o que sabemos.

Comunicação de incidente vai para o e-mail dos donos da organização e, quando houver risco a titulares que não são usuários do produto, pelos meios que forem razoáveis para alcançá-los.

11 — Por quanto tempo guardamos

Os prazos abaixo são os que estão configurados, não os que gostaríamos de ter.

Tokens de link de acesso: apagados por rotina diária 24 horas depois de expirados. O token em si vive 15 minutos.

Sessões: apagadas por rotina diária 30 dias depois de mortas (expiradas ou revogadas). Uma sessão viva não é tocada, tenha a idade que tiver.

Dados da organização: mantidos enquanto a organização existir; no encerramento, exportação oferecida, 30 dias de carência e então eliminação definitiva.

Evidência de assinatura (PDF selado, cadeia de auditoria, dados do signatário): mantida por toda a vida da organização, por projeto, porque é prova. No encerramento, a eliminação passa por uma verificação de retenção legal antes de acontecer — um contrato assinado não é um registro descartável, e o prazo de guarda pode ser maior que o da conta.

Registros de acesso à aplicação: guardados sob sigilo, em ambiente controlado, pelo prazo de 6 (seis) meses exigido pelo art. 15 do Marco Civil da Internet, e fornecidos a terceiros apenas por ordem judicial.

Lista de espera e mensagens de contato: mantidas enquanto a conversa fizer sentido e apagadas quando você pedir. É um pedido de uma linha para privacy@usetave.com e não exige justificativa.

Documentos fiscais e de cobrança, quando existirem: pelo prazo legal de guarda, em regra 5 anos.

Dados eliminados saem também das cópias de segurança conforme o ciclo de rotação delas; enquanto uma cópia antiga existir, ela fica sob as mesmas medidas de segurança e não é usada para nada além de restauração.

12 — Os seus direitos (art. 18) e como exercê-los

Como titular, você tem direito a, mediante requisição: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; portabilidade a outro fornecedor, observados os segredos comercial e industrial; eliminação dos dados tratados com base no seu consentimento; informação sobre com quem compartilhamos os dados; informação sobre a possibilidade de não fornecer consentimento e as consequências disso; e revogação do consentimento. Você também pode se opor a tratamento feito com base em legítimo interesse (art. 18, § 2º) e pedir revisão de decisão automatizada, na forma do art. 20 — hoje não tomamos nenhuma.

COMO PEDIR. Escreva para privacy@usetave.com dizendo o que quer. Se estivermos em dúvida sobre quem está pedindo, pedimos uma confirmação de identidade proporcional ao pedido — não pedimos documento onde responder ao e-mail cadastrado já resolve.

PRAZOS (art. 19). Respondemos imediatamente, em formato simplificado, ou em até 15 (quinze) dias em formato completo, com a declaração clara e completa sobre origem, inexistência de registro, critérios e finalidade do tratamento. O atendimento é gratuito.

QUANDO NÃO PODEMOS ATENDER. Alguns dados não podem ser apagados a pedido: os que precisamos manter para cumprir obrigação legal (por exemplo, os registros de acesso do art. 15 do Marco Civil e documentos fiscais) e os que constituem evidência de um documento assinado, cuja guarda se sustenta no exercício regular de direitos (art. 7º, VI, e art. 16, I e II). Nesses casos dizemos qual é o dado, qual é a base e por quanto tempo — não respondemos com "não é possível".

RECLAMAR. Você pode reclamar à Autoridade Nacional de Proteção de Dados (gov.br/anpd), aos órgãos de defesa do consumidor e ao Poder Judiciário. Preferimos resolver antes, mas o direito é seu e não depende de falar com a gente primeiro.

13 — Se você é cliente de uma agência que usa o Tave

Você provavelmente chegou aqui por um link de proposta ou de assinatura que veio com a marca da agência. Isso é intencional: a superfície que você vê pertence a ela, não a nós.

A CONTROLADORA DOS SEUS DADOS É A AGÊNCIA. É a ela que você pede acesso, correção ou eliminação, e é ela que responde por que os seus dados estão ali. Nós somos operadores e ajudamos a agência a atender o seu pedido — inclusive tecnicamente, quando ela precisa.

Se você não conseguir identificar quem é a agência, ou não obtiver resposta, escreva para privacy@usetave.com: encaminhamos o pedido à controladora e dizemos a você que encaminhamos. O que não fazemos é decidir sobre dados que não são nossos para decidir.

Nós nunca usamos os seus dados para falar com você por conta própria, nem para vender nada, nem para qualquer finalidade que não seja executar o serviço que a agência contratou.

14 — Cookies

Usamos apenas cookies estritamente necessários, e por isso não existe banner de cookies neste site — não há nada para você aceitar ou recusar.

São eles: o cookie de sessão de quem está logado no produto (httpOnly, SameSite=Lax, Secure em produção, validade de 30 dias) e um cookie de preferência de idioma, que guarda apenas "en" ou "pt" para as telas que não carregam o idioma na URL.

Não há cookie de terceiro, pixel de rede publicitária, fingerprinting nem qualquer tecnologia de rastreamento entre sites. Se isso mudar, muda com aviso e com escolha real — não com um banner que só tem o botão de aceitar.

15 — Crianças e adolescentes (art. 14)

O Tave é uma ferramenta de trabalho para empresas e não se destina a menores de 18 anos. Não coletamos conscientemente dados de crianças ou adolescentes e não oferecemos conta a eles.

Se soubermos que uma conta foi criada por menor de idade, ou que dados de criança ou adolescente entraram no produto sem a base legal do art. 14, eliminamos o que for possível eliminar e avisamos a agência controladora. Se você é responsável e acredita que isso aconteceu, escreva para privacy@usetave.com.

16 — Alterações desta política

Podemos atualizar esta política. Mudança material é anunciada por e-mail aos donos das organizações com pelo menos 30 (trinta) dias de antecedência da entrada em vigor, e a data no topo desta página sempre reflete a versão vigente.

Mudança que reduza seus direitos ou amplie o que fazemos com seus dados nunca vale para trás: o tratamento já realizado continua regido pela versão vigente à época. Guardamos as versões anteriores e enviamos a quem pedir em privacy@usetave.com.

17 — Idioma, lei aplicável e contato

Esta política é redigida em português do Brasil e regida pela lei brasileira, em especial a Lei 13.709/2018 (LGPD), a Lei 12.965/2014 (Marco Civil da Internet) e o Decreto 8.771/2016.

A VERSÃO EM PORTUGUÊS É A QUE VALE. A versão em inglês é uma tradução de cortesia; em caso de qualquer divergência entre as duas, prevalece o texto em português.

Encarregado pelo tratamento de dados pessoais: privacy@usetave.com. Assuntos contratuais: legal@usetave.com. Assuntos gerais: hello@usetave.com.