Política de Privacidade
Última atualização: 26 de outubro de 2026
Esta política descreve como a plataforma Orion CRM trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018). A plataforma é operada por HULLED — Experiências Digitais (CNPJ 52.311.514/0001-61).
1. Quem é o responsável pelos dados
O Orion CRM é contratado por empresas para gerir o próprio atendimento e as próprias vendas. Nessa relação, a empresa contratante é a controladora dos dados dos clientes dela, e o prestador do serviço atua como operador, tratando esses dados apenas para prestar o serviço e seguindo as instruções da contratante.
2. Dados que coletamos
- Dados de conta: nome, e-mail, senha (guardada apenas como hash) e papel do usuário na organização.
- Contatos e negócios: nome, telefone, e-mail e origem dos contatos cadastrados pela empresa, além do histórico de movimentação no funil de vendas.
- Conversas de WhatsApp: mensagens trocadas entre a empresa e os contatos dela pelos números conectados à plataforma.
- Dados técnicos: registros de acesso e de erros, usados para operar e depurar o serviço, e tokens de dispositivo para envio de notificações push.
- Dados das APIs do Google: descritos na seção 3.
3. Dados obtidos das APIs do Google
A conexão com o Google Agenda é opcional e feita por um administrador da empresa. Ao autorizar, ele concede à plataforma os seguintes escopos:
https://www.googleapis.com/auth/calendar.events— leitura dos eventos para exibi-los no calendário do CRM e criação de eventos nas agendas mapeadas pela organização.https://www.googleapis.com/auth/calendar.calendarlist.readonly— leitura dos nomes e identificadores das agendas para que o administrador possa mapeá-las aos profissionais. Esse escopo não lê nem altera os eventos.openideemail— apenas para identificar e exibir qual conta do Google está conectada.
Como usamos esses dados
Os eventos da agenda (título, descrição, local, horários, participantes e link do evento) são lidos para montar a visualização de calendário para os usuários autorizados da organização. Quando um usuário cria um compromisso pela plataforma, os dados informados são enviados ao Google para criar o evento na agenda mapeada escolhida.
Retenção: os eventos não são armazenados
Os eventos são lidos diretamente da API do Google no momento em que o calendário é aberto e enviados ao navegador do usuário. Nenhum evento da agenda é gravado nos nossos bancos de dados. Os dados que persistem são os tokens OAuth da organização, guardadoscriptografados (AES-256-GCM), o e-mail da conta conectada e o mapeamento administrativo das agendas (identificador e nome da agenda e profissional associado). Os detalhes dos eventos não são armazenados pelo CRM.
Como excluir esses dados
Um administrador pode desconectar a conta a qualquer momento em Integração / API. Isso revoga a autorização junto ao Google e apaga os tokens e o e-mail da conexão. Os mapeamentos das agendas são mantidos para facilitar uma reconexão; o administrador pode removê-los na configuração das agendas. O acesso também pode ser revogado diretamente pelo usuário em myaccount.google.com/permissions.
Uso limitado (Limited Use)
O uso e a transferência de informações recebidas das APIs do Google pelo Orion CRM obedecem à Google API Services User Data Policy, incluindo os requisitos de Uso Limitado. Especificamente: não usamos dados da agenda para publicidade, não os vendemos ou transferimos a terceiros, não os usamos para treinar modelos de inteligência artificial, e nenhum ser humano os lê, exceto com autorização expressa do usuário, para fins de suporte técnico solicitado, ou quando exigido por lei.
4. Compartilhamento com terceiros
Não vendemos dados pessoais. Compartilhamos dados apenas com prestadores necessários à operação do serviço, limitados ao que cada um precisa: infraestrutura de hospedagem e banco de dados, Google (para a integração de agenda descrita acima) e Firebase Cloud Messaging (para notificações push).
5. Segurança
Adotamos medidas técnicas para proteger os dados, entre elas: tráfego exclusivamente por HTTPS, senhas armazenadas apenas como hash, credenciais sensíveis (incluindo tokens do Google) criptografadas em repouso, autenticação por token de curta duração em cookie httpOnly, e isolamento lógico entre organizações — nenhuma empresa acessa dados de outra.
6. Seus direitos
Nos termos da LGPD, o titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade ou eliminação dos seus dados, além de revogar consentimentos. Como atuamos como operadora, solicitações de clientes finais podem ser encaminhadas à empresa contratante, e nós a apoiaremos no atendimento.
Encarregado de dados (DPO): [email protected]
7. Alterações nesta política
Podemos atualizar esta política para refletir mudanças no serviço ou na legislação. A data da última revisão fica no topo desta página, e mudanças relevantes serão comunicadas às empresas contratantes.