Política de privacidade
Versão 2.2 · Vigente desde 23 de outubro de 2026 · Substitui a versão 2.1
Esta política explica, em linguagem direta, como a HubFlow trata dados pessoais, de acordo com a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018, "LGPD"), o Marco Civil da Internet (Lei 12.965/2014) e as normas da Autoridade Nacional de Proteção de Dados (ANPD).
1. Quem somos e em que papel atuamos
53.367.693 CESAR GIOVANINI DE MORAES (MEI), nome comercial CM Negócios Digitais, marca HubFlow, CNPJ 53.367.693/0001-11, Rua Cesário Chaves, 222, Fazenda, Itajaí (SC), CEP 88302-350.
| Situação | Papel da HubFlow | Quem decide sobre os dados |
|---|---|---|
| Visitas ao site, compras na loja, cadastro e cobrança dos assinantes, conversas com a Flora (nossa assistente de vendas), suporte e afiliados | Controladora | A HubFlow (esta política se aplica integralmente) |
| Dados que circulam na instalação do assinante: clientes, contatos, familiares, equipe, mensagens, áudios, arquivos, agenda e memória do assistente | Operadora | O assinante, que é o controlador. Tratamos esses dados só para prestar o serviço e conforme as instruções dele, nos termos do Acordo de tratamento de dados (DPA) |
Se você conversou com o assistente de uma empresa que usa o AssistentFlow, quem responde pelos seus dados é essa empresa: procure-a primeiro. Se não conseguir, escreva para nós e encaminharemos o pedido a ela.
2. Encarregado (DPO) e canal de privacidade
Encarregado pelo tratamento de dados pessoais: Cesar Giovanini de Moraes. Contato: contato@hubflowai.com (assunto "Privacidade"), ou correspondência para o endereço acima. Por este canal você exerce os seus direitos e a ANPD pode nos enviar comunicações.
3. Quais dados tratamos (como controladora)
Na compra e na assinatura
Nome do responsável, nome da empresa (ou o seu nome, no plano Pessoal), e-mail, WhatsApp, CPF ou CNPJ, o endereço escolhido para o assistente, o plano, o histórico de pagamentos, o endereço IP e a data e hora do pedido. Os dados do cartão de crédito são digitados na nossa página de pagamento e enviados criptografados (HTTPS) diretamente ao Asaas para processamento: nós não guardamos o número do cartão, a validade nem o código de segurança — apenas os 4 últimos dígitos, a bandeira e um código (token) gerado pelo Asaas para as próximas cobranças da assinatura.
Na conta do painel
E-mail de acesso, senha (guardada só em forma cifrada irreversível), registros de login e de ações administrativas (auditoria).
No atendimento e nas vendas
Quando você conversa com a Flora no WhatsApp, guardamos as mensagens, inclusive áudios e a transcrição deles, para atender, vender, dar suporte e cumprir o que foi combinado. A Flora usa inteligência artificial (Claude, da Anthropic) e pode passar a conversa para uma pessoa da nossa equipe.
Na navegação
Registros de acesso (IP, data, hora e página) para segurança e prevenção de fraude. Cookies de medição e de anúncios (Google Analytics e Meta) só com o seu consentimento. Veja a Política de cookies.
No SocialFlow
Os vídeos, fotos, áudios e textos que você envia para produzirmos o seu vídeo (que podem mostrar você e outras pessoas) e o vídeo final. Usamos esse material só para produzir e entregar o seu pedido. Ele fica disponível para download por 3 dias depois da entrega e então é apagado automaticamente (material enviado, arquivos de trabalho e vídeo final).
No programa de afiliados
Nome, CPF ou CNPJ, contato, chave Pix ou dados bancários para pagamento, indicações e comissões (quando o programa abrir).
Não tratamos de propósito dados pessoais sensíveis (saúde, religião, biometria etc.) como controladora. Se você os enviar espontaneamente numa conversa, serão tratados apenas para atender ao seu pedido.
4. Para que usamos e com qual base legal
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar o pedido, cobrar, liberar e manter o acesso | Execução de contrato e de procedimentos preliminares (art. 7º, V) |
| Prestar o serviço contratado e o suporte | Execução de contrato (art. 7º, V) |
| Emitir documentos fiscais, guardar registros contábeis e de acesso | Cumprimento de obrigação legal ou regulatória (art. 7º, II) |
| Prevenir fraudes, abusos e garantir a segurança das contas | Legítimo interesse (art. 7º, IX) e proteção ao crédito (art. 7º, X) |
| Avisos sobre o serviço (pagamentos, mudanças, segurança) | Execução de contrato e legítimo interesse |
| Responder a quem nos procura e oferecer produtos a quem pediu informações | Procedimentos preliminares a contrato e legítimo interesse, com opção de sair a qualquer momento |
| Medir a audiência do site e o resultado de anúncios | Consentimento (art. 7º, I), revogável a qualquer momento |
| Defender direitos em processos judiciais, administrativos ou arbitrais | Exercício regular de direitos (art. 7º, VI) |
Quando usamos o legítimo interesse, avaliamos antes se o uso é esperado por você e se não se sobrepõe aos seus direitos. Você pode se opor a esse uso pelo canal do item 2.
5. Com quem compartilhamos (suboperadores e parceiros)
| Fornecedor | O que faz | Onde |
|---|---|---|
| Hetzner Online GmbH | Hospedagem dos servidores (site, loja, painel e instalações dos assinantes) | Empresa alemã; servidores em data center na União Europeia (Finlândia) |
| Cloudflare, Inc. | DNS dos domínios (e, se ativados, proteção contra ataques e entrega de conteúdo) | Estados Unidos e rede global |
| Asaas Gestão Financeira Instituição de Pagamento S.A. | Processamento dos pagamentos (nome, e-mail, WhatsApp, CPF/CNPJ e dados da cobrança) | Brasil |
| Anthropic, PBC | Inteligência artificial (Claude): na Flora, com a conta da HubFlow. No assistente do assinante, pela assinatura Claude ou chave de API do próprio assinante (contratada por ele com a Anthropic) ou, quando a HubFlow fornecer a IA a seu critério, pela conta da HubFlow (suboperadora) | Estados Unidos |
| Google LLC | Agenda, Gmail, Drive e Planilhas, somente quando o assinante conecta a própria conta Google; Google Analytics, só com consentimento | Estados Unidos e outros países |
| Meta Platforms (WhatsApp, Facebook, Instagram) | Canal de mensagens escolhido pelo usuário; Pixel de anúncios, só com consentimento | Estados Unidos e outros países |
| Telegram, Mercado Pago | Somente quando o assinante conecta esses serviços | Conforme cada fornecedor |
A transcrição de áudios é feita no nosso próprio servidor: o áudio não é enviado a outra empresa para ser transcrito. Também compartilhamos dados com autoridades públicas quando a lei ou uma ordem judicial exigir, e com assessores (contador, advogado) sob dever de sigilo. Não vendemos dados pessoais e não usamos os dados dos assinantes nem dos clientes deles para treinar modelos de IA.
6. Transferência internacional
Parte dos fornecedores acima fica fora do Brasil. As transferências seguem o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024: para a União Europeia, com base na decisão de adequação recíproca entre o Brasil e a União Europeia reconhecida pela ANPD em 2026; para os demais países (como os Estados Unidos), com base nas cláusulas contratuais e garantias de proteção oferecidas por esses fornecedores e, quando aplicável, para a execução do contrato a pedido do titular ou com o consentimento dele.
7. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Registros de acesso ao site e às aplicações | 6 meses, no mínimo (Marco Civil, art. 15), e até 1 ano para segurança |
| Cadastro, pedidos, cobranças e documentos fiscais | Durante o contrato e por 5 anos depois (prazos fiscais e do Código de Defesa do Consumidor) |
| Dados da instalação do assinante | Durante a assinatura; até 90 dias depois do fim (para reativação ou exportação) e então excluídos |
| Vídeos do SocialFlow (material enviado, arquivos de trabalho e vídeo final) | Até 3 dias depois da entrega do vídeo final; então são apagados automaticamente e de forma definitiva |
| Conversas com a Flora (vendas e suporte) | Até 2 anos depois do último contato, ou enquanto houver contrato ativo |
| Consentimento de cookies | Até você mudar a escolha ou limpar o navegador |
| Registros de incidentes de segurança | 5 anos (Resolução CD/ANPD nº 15/2024) |
Depois desses prazos, os dados são excluídos ou anonimizados, salvo se a lei exigir a guarda ou para o exercício regular de direitos.
8. Seus direitos
Você pode pedir, gratuitamente e a qualquer momento (LGPD, art. 18): confirmação de que tratamos os seus dados; acesso; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e as consequências; revogação do consentimento; oposição a tratamento com base em legítimo interesse; e revisão de decisões tomadas unicamente de forma automatizada (art. 20).
Envie o pedido para contato@hubflowai.com. Podemos pedir uma confirmação de identidade para proteger você. A confirmação de existência e o acesso em formato simplificado são imediatos sempre que possível; a declaração completa é entregue em até 15 dias (art. 19). Se não ficar satisfeito, você pode reclamar à ANPD ou aos órgãos de defesa do consumidor.
9. Decisões automatizadas e inteligência artificial
A Flora e os assistentes usam IA para responder mensagens. Eles não tomam sozinhos decisões que afetem os seus direitos de forma significativa (como recusar crédito): pedidos de cancelamento, reembolso e reclamações são encaminhados a uma pessoa. Você pode pedir atendimento humano a qualquer momento.
10. Segurança
Adotamos medidas técnicas e administrativas compatíveis com o risco (LGPD, art. 46): conexão cifrada (HTTPS); senhas com hash; chaves de API e tokens cifrados; uma instalação separada (containers e rede próprios) para cada assinante; acesso administrativo restrito por chave; contêineres com privilégios mínimos; registros de auditoria; limites contra abuso; e confirmação humana antes de enviar e-mails e cobranças. Nenhum sistema é 100% imune a falhas.
11. Incidentes de segurança
Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo da Resolução CD/ANPD nº 15/2024 (3 dias úteis contados do conhecimento de que dados pessoais foram afetados), com a descrição do ocorrido, dos dados envolvidos, dos riscos e das medidas tomadas. Quando o incidente atingir dados da instalação de um assinante, avisaremos o assinante (controlador) sem demora, conforme o DPA, para que ele faça as comunicações que lhe cabem.
12. Crianças e adolescentes
Os produtos são destinados a maiores de 18 anos. Não coletamos de propósito dados de crianças e adolescentes como controladora. Se o assinante atender menores pelo assistente, cabe a ele observar o melhor interesse deles e o art. 14 da LGPD.
13. Alterações
Podemos atualizar esta política. A versão em vigor, com número e data de vigência, é sempre a publicada nesta página. Mudanças relevantes serão avisadas aos assinantes por e-mail ou WhatsApp.
Dúvidas sobre este documento: contato@hubflowai.com. Documentos relacionados: Termos de uso · Acordo de tratamento de dados (DPA) · Política de cookies · Cancelamento e reembolso · Uso aceitável · Aviso sobre o WhatsApp · Termos do programa de afiliados.