1. Quem somos e como falar conosco
A plataforma é fornecida por E-CODEX SOLUCOES EM TECNOLOGIA DA INFORMACAO LTDA, nome fantasia VDD TECH SOLUTIONS, CNPJ 07.430.826/0001-30, Brasil. Neste documento, usamos o nome VDD. Esta é a entidade fornecedora identificada na contratação empresarial da plataforma e responde por todo o serviço. A empresa relacionada que mantém os contratos de infraestrutura consta da lista de fornecedores, no Apêndice C do Acordo de Tratamento de Dados dos Termos da plataforma.
O canal para assuntos de privacidade e exercício de direitos é contact@vddtech.io. Não envie senhas, códigos de autenticação ou tokens por esse canal.
A VDD é agente de tratamento de pequeno porte e, conforme o art. 11 da Resolução CD/ANPD nº 2/2022, não indica encarregado. O canal acima atende os titulares e a Autoridade Nacional de Proteção de Dados.
2. A quem esta política se aplica
Esta política explica o tratamento de dados pessoais na contratação empresarial e no uso dos módulos CRM e Espaço de trabalho, incluindo o acesso de administradores, colaboradores e clientes convidados pelas empresas assinantes. A assinatura é formalizada por instrumento contratual e proposta aplicáveis; esta política não pressupõe compra por checkout no site. A contratação da plataforma não inclui automaticamente consultoria, implantação, desenvolvimento ou serviços de AMS da VDD.
Aplicam-se a legislação brasileira de proteção de dados e, quando o tratamento estiver em seu âmbito territorial e material, o Regulamento Geral sobre a Proteção de Dados da União Europeia — RGPD/GDPR e as normas nacionais pertinentes, inclusive em Portugal. No vocabulário do RGPD, controlador corresponde a responsável pelo tratamento e operador a subcontratante. A sede brasileira da VDD não afasta obrigações europeias quando aplicáveis.
A empresa assinante, chamada aqui de Cliente, decide quais registros de seus negócios inserir, quais pessoas terão acesso e quais comunicações do seu ambiente serão habilitadas. Para esses tratamentos, o Cliente normalmente é o controlador e a VDD atua como operadora, conforme o Acordo de Tratamento de Dados que integra os Termos. Se o Cliente atuar por conta de outro controlador, deve ter autorização para contratar a VDD nessa cadeia. O Cliente responde pelas finalidades, bases legais, avisos de coleta, permissões e instruções que define; a VDD permanece responsável pelas suas próprias obrigações de proteção, confidencialidade e tratamento conforme instruções lícitas.
A VDD atua como controladora nas operações cujas finalidades decide para administrar sua própria relação com contratantes e usuários, proteger as contas, atender solicitações e cumprir suas obrigações. Um mesmo atendimento ou registro pode conter dados sujeitos a finalidades diferentes; os papéis seguem cada finalidade, não apenas o nome da funcionalidade.
O formulário comercial do site público da VDD serve para responder ao contato recebido. Quando um Cliente utiliza formulários de captação em seu próprio site, ele deve informar os visitantes sobre o tratamento que realiza. Sites, serviços e integrações de terceiros também podem ter suas próprias políticas.
3. Dados, finalidades e fundamentos
| Situação | Dados utilizados | Finalidade e responsabilidade |
|---|---|---|
| Contas e acesso | Nome, e-mail, idioma, empresa, vínculos, perfis, permissões e informações de autenticação | A VDD administra a conta e a segurança do serviço; o Cliente decide a concessão de acesso ao seu ambiente. Para pessoas físicas contratantes, quando aplicável, a execução contratual pode fundamentar as operações necessárias. Para representantes e usuários de uma empresa, são avaliados o legítimo interesse na administração e proteção do serviço e as obrigações legais pertinentes. |
| Verificação de representação | CNPJ, nome, cargo, declaração de representação, data, resultado da verificação, IP e informação do navegador | Prevenir a concessão indevida de acesso administrativo, com fundamento no legítimo interesse na segurança da contratação e no exercício regular de direitos. A análise pode incluir consulta cadastral pública e revisão humana. |
| Contratação da plataforma | Identificação do contratante e de seus representantes, proposta, assinatura, situação da licença, cobrança e registros de aceite | A VDD administra o contrato, cumpre obrigações legais e fiscais e preserva a prova necessária ao exercício regular de direitos. |
| Conteúdo do Cliente | Leads, contas, contatos, oportunidades, cotações, pedidos, produtos, pacotes, ativos, faturas, objetos e campos personalizados; projetos, tarefas, horas, comentários, anexos e vínculos | A VDD armazena e processa esses dados por instrução do Cliente. Cabe ao Cliente definir a finalidade, a base legal e os avisos adequados aos titulares. |
| Comunicações do ambiente | Destinatários, preferências, informações necessárias à mensagem e resultado do envio | Avisos de tarefas, resumos de projetos e notificações de formulários são executados por instrução do Cliente, observadas as preferências disponíveis. Mensagens de autenticação, segurança e administração contratual são tratadas pela VDD para essas finalidades próprias. |
| Suporte e privacidade | Identificação, solicitação, conteúdo enviado, respostas e providências adotadas | Atender o pedido, proteger o serviço e demonstrar o atendimento. Conteúdo do negócio do Cliente acessado para suporte continua sujeito às instruções dele; a gestão do atendimento pela VDD tem finalidade própria. |
| Segurança e registros técnicos | Datas, eventos, identificadores de usuário e ambiente, informações do navegador e, nas operações em que é coletado, endereço IP | Prevenir abuso, autenticar, apurar incidentes, manter evidências e cumprir obrigações legais. Esses registros não constituem rastreamento preciso de localização. |
A consulta cadastral utilizada na verificação do responsável envia somente o CNPJ informado à BrasilAPI. A comparação do nome com o quadro societário retornado ocorre no servidor da VDD. Quando a consulta ou a comparação não permite concluir a verificação, o caso segue para análise manual. Uma aprovação automática de representação pode ser objeto de pedido de revisão pelo canal de privacidade.
O uso de dados públicos não dispensa finalidade, necessidade e proteção. Não vendemos o conteúdo dos ambientes dos Clientes nem o utilizamos para publicidade própria ou treinamento de modelos de inteligência artificial de uso geral ou de terceiros.
O aceite dos Termos não equivale a consentimento genérico para tratamento de dados. Quando determinada operação depender de consentimento, ele deverá ser específico, informado e passível de revogação. As bases aplicáveis aos dados cadastrados pelo Cliente são definidas por ele, conforme cada caso.
Quando o RGPD se aplicar, utilizamos os fundamentos correspondentes do seu artigo 6.º para as operações sob nossa responsabilidade. A execução contratual refere-se ao titular que é parte ou solicita diligências pré-contratuais; dados de representantes e usuários de outra pessoa jurídica não recebem automaticamente esse fundamento. O legítimo interesse exige avaliação de necessidade e equilíbrio com os direitos das pessoas. Obrigações legais devem ser pertinentes ao tratamento e ao regime aplicável.
4. Comunicações e destinatários
Mensagens de conta e serviço. Podemos enviar convites, orientações para o primeiro acesso, códigos de segundo fator, recuperação de senha, alertas de segurança, avisos de acesso liberado, concessão ou encerramento de acesso de suporte e avisos sobre a capacidade contratada. Mensagens essenciais à autenticação ou à execução do serviço não são campanhas de marketing.
Avisos de prioridade. As notificações de alteração da prioridade de uma tarefa podem conter o identificador e o título da tarefa, as prioridades anterior e nova, quem realizou a alteração e um link para o projeto. O envio observa os destinatários e as verificações de acesso da funcionalidade. O usuário pode desativar esses avisos nas preferências da sua conta. Avisos que permanecem pendentes por mais de 24 horas expiram em vez de serem enviados com atraso.
Resumos do dashboard. O usuário pode inscrever-se para receber indicadores do projeto na frequência diária, semanal ou mensal e cancelar a inscrição. Os resumos apresentam horas, sprints e distribuição de tarefas; não incluem credenciais, anexos, notas internas ou o conteúdo dos registros do CRM.
Formulários de captação de leads. O administrador pode configurar até três endereços adicionais para receber notificações, além do responsável quando habilitado ou quando necessário ao encaminhamento previsto pela funcionalidade. Esses endereços adicionais não precisam pertencer a usuários cadastrados na plataforma. A notificação pode incluir os campos enviados no formulário e um link para o registro; o link exige as permissões da plataforma, mas o texto já entregue na caixa de e-mail fica sujeito aos controles dessa caixa. O Cliente deve selecionar destinatários autorizados e limitar os dados solicitados no formulário ao necessário.
O envio de um formulário comercial à VDD não inscreve automaticamente a pessoa em marketing. O legítimo interesse em responder ao contato, ou procedimentos preliminares a contrato solicitados pela própria pessoa quando aplicáveis, devem permanecer restritos a essa finalidade.
Caixa de e-mail conectada (Google ou Microsoft). Quando uma pessoa conecta sua caixa Google (Gmail) ou Microsoft (Outlook), a plataforma recebe somente a permissão de enviar mensagens em nome dela, além do endereço e do perfil básico da conta. A plataforma não lê nem lista a caixa de entrada. O token de renovação fica cifrado e é usado apenas para enviar as mensagens que a pessoa envia pelo CRM ou que automações configuradas pelo Cliente enviam em nome dela. Cada mensagem enviada chega aos destinatários escolhidos e fica também na caixa da própria pessoa, como as demais mensagens enviadas por ela; uma cópia fica no histórico do registro no CRM, visível às pessoas com acesso a esse registro e armazenada na infraestrutura descrita nesta política. Esses dados não são vendidos nem usados para publicidade ou para treinar modelos de inteligência artificial. A pessoa pode desconectar a caixa a qualquer momento na plataforma: a conexão e o token armazenado são excluídos, e a plataforma solicita a revogação ao Google. A pessoa também pode remover o acesso nas configurações da sua conta Google ou Microsoft. A desconexão interrompe novos envios e não apaga as mensagens já enviadas. O uso de informações recebidas das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.
Assistentes de IA conectados. Se a empresa habilitar e a pessoa conectar seu assistente (Claude, da Anthropic, ou ChatGPT, da OpenAI) pelo “Conecte sua IA”, o assistente consulta e propõe alterações somente dentro das permissões escolhidas pela pessoa e pela empresa. Os dados que ele ler passam a ser tratados também pelo provedor do assistente, conforme a conta e as políticas da própria pessoa. As propostas só valem depois de aprovadas na plataforma, e a VDD registra cada acesso (o quê e quando, sem o conteúdo). A conexão é opcional, tem termos próprios aceitos na plataforma e pode ser revogada a qualquer momento.
5. Sessão, cookies e proteção contra abuso
Na plataforma publicada com HTTPS, o cookie de sessão chama-se __Host-vdd_session. Ele é necessário para autenticação, não pode ser lido por scripts da página e utiliza as proteções HttpOnly, Secure e SameSite=Strict. Uma sessão completa dura até 8 horas; etapas pendentes de autenticação possuem prazos menores. A saída da conta remove o cookie do navegador e encerra a sessão correspondente.
Preferências de interface podem ser preservadas no navegador ou na conta, conforme a funcionalidade. A plataforma não utiliza ferramentas próprias de publicidade comportamental ou analytics de terceiros.
Formulários públicos habilitados utilizam Cloudflare Turnstile para reduzir envios automatizados. Esse serviço recebe sinais técnicos do navegador e da conexão necessários à verificação. A Cloudflare atua como operadora na proteção do site e informa atuar como controladora para melhorar sua detecção de bots, conforme seu aviso específico de privacidade. O conteúdo comercial dos campos não é enviado pela VDD na chamada de validação do desafio. O site público da VDD possui informações próprias sobre suas preferências de cookies; elas não substituem esta política da plataforma.
6. Quem pode acessar os dados
O acesso dentro de cada empresa depende do vínculo, do módulo contratado e das permissões definidas por seus administradores. Usuários convidados para acompanhamento visualizam as informações liberadas para eles; essa liberação deve considerar comentários, anexos, exportações e outros conteúdos que possam conter dados pessoais.
A equipe da VDD pode acessar informações necessárias a suporte autorizado, manutenção, segurança, resposta a incidentes ou cumprimento de obrigação legal, com limitação de finalidade e de acesso. O acesso de suporte concedido pela plataforma possui escopo e prazo. Nem toda operação técnica de infraestrutura aparece no histórico de negócio visível ao Cliente.
São utilizados fornecedores de hospedagem e de envio de e-mail, além de serviços técnicos descritos no Apêndice C do Acordo de Tratamento de Dados. Integrações habilitadas pelo próprio Cliente podem enviar dados a outros sistemas; o Cliente deve verificar o destino, as permissões, os termos e a necessidade do compartilhamento.
7. Infraestrutura e transferências internacionais
A aplicação e seu banco de dados estão hospedados em infraestrutura da Hostinger nos Estados Unidos, contratada pela empresa relacionada em Portugal. As mensagens do sistema são enviadas pelo serviço de e-mail da Hostinger, e a entrega também envolve os provedores dos destinatários. O Cloudflare Turnstile utiliza infraestrutura internacional. Por isso, os dados não ficam apenas no Brasil.
O fluxo do Brasil para Portugal fundamenta-se nas decisões de adequação recíprocas entre o Brasil e a União Europeia: a Resolução ANPD nº 32/2026 e a Decisão de Execução (UE) 2026/179. A transferência posterior para o servidor nos Estados Unidos é realizada pela Hostinger com as cláusulas contratuais-padrão da União Europeia previstas no seu acordo de tratamento de dados. Se um mecanismo deixar de valer, a VDD adota outro mecanismo válido ou restringe a transferência afetada.
Você pode pedir ao canal de privacidade informações sobre destinatários, países, finalidades e salvaguardas aplicáveis.
8. Conservação, exportação e encerramento
Conservamos dados enquanto forem necessários às finalidades informadas, observadas as instruções do Cliente, as obrigações legais e a preservação proporcional de evidências. Aplicam-se as seguintes regras:
| Categoria | Prazo ou critério |
|---|---|
| Conteúdo do ambiente do Cliente | Durante a contratação. No encerramento, o Cliente pode escolher a devolução seguida de eliminação ou a eliminação sem devolução. A regra de saída oferece 30 dias corridos para consulta e exportação autorizadas, seguida do encerramento do acesso, da eliminação da base ativa em até 30 dias e do descarte das cópias de segurança que contenham esses dados em até 30 dias adicionais, salvo instrução válida de eliminação antecipada, prazo legal menor ou conservação legalmente exigível e delimitada. |
| Contas, representação, contratação e aceite | Durante a relação e, após seu término, apenas o que for necessário a obrigação legal ou exercício regular de direitos, pelo prazo aplicável à obrigação ou à pretensão em questão. O conteúdo integral do CRM não será mantido apenas porque existe um comprovante contratual a conservar. |
| Histórico operacional do Cliente | Acompanha a finalidade do registro ou do ambiente a que pertence, inclusive a regra de encerramento acima; eventuais preservações legais devem ter escopo delimitado. |
| Registros de acesso legalmente exigidos | Prazo de seis meses quando exigido pela legislação brasileira aplicável ao provedor, sem prejuízo de preservação específica determinada ou admitida pela legislação. Esse prazo não significa que todas as ações ou páginas abertas sejam armazenadas como auditoria de negócio. |
| Sessões e verificadores temporários de autenticação | Validade curta conforme a operação. A rotina de manutenção remove sessões vencidas, tentativas de autenticação e códigos de e-mail com mais de um dia; registros de redefinição de senha são removidos sete dias após seu vencimento. A validade de um código termina antes da exclusão do seu registro. |
| Metadados de envio de e-mail | O vínculo direto com o identificador do usuário é removido após seis meses; os registros de tentativa são descartados após 24 meses. Outros vínculos, como empresa ou convite, podem continuar permitindo associação enquanto forem conservados; essa remoção isolada não é anonimização completa. |
| Conteúdo das filas de avisos do projeto | Avisos de prioridade podem conservar dados da alteração, destinatário e estado de envio enquanto necessários ao histórico do serviço, sujeitos à regra de encerramento do ambiente. O resumo renderizado do dashboard não é armazenado no registro de envio da aplicação. |
| Solicitações e incidentes | Conservação necessária à solução, prestação de contas e defesa de direitos. Registros de incidentes sujeitos à regulamentação da ANPD devem ser conservados pelo prazo mínimo de cinco anos, ou por prazo maior quando legalmente exigido. |
A janela de exportação é contada da data de encerramento efetivo, não da simples solicitação de cancelamento. Se o último dia não for útil, a janela se estende até o próximo dia útil; os prazos seguintes de eliminação começam no fim dessa janela efetiva. O Cliente receberá a data e o horário limite aplicáveis. Exportações gerais não incluem senhas e tokens; arquivos e anexos seguem o procedimento e as limitações informados nos Termos.
O backup ou a exportação geral da organização não constitui resposta automática a um pedido individual: pode conter dados de outras pessoas e exige autorização administrativa. Pedidos do titular precisam identificar os dados pertinentes, proteger terceiros e utilizar entrega segura. A execução pode ser assistida pela equipe da VDD.
Arquivar ou enviar um registro para a lixeira não é eliminá-lo definitivamente. Também não basta encerrar um chamado de privacidade: a providência solicitada precisa ser executada e verificada. O atendimento de eliminação pode exigir intervenção operacional e será documentado. Se uma restauração reintroduzir dados sujeitos a eliminação, a instrução correspondente deverá ser reaplicada.
Dados próprios da relação contratual preservados por obrigação legal ou exercício regular de direitos ficam limitados ao necessário, com acesso restrito, sem reutilização incompatível. Quanto ao conteúdo tratado por conta do Cliente, a eliminação e as exceções seguem o DPA e a legislação aplicável; uma possibilidade abstrata de litígio não autoriza reter todo o ambiente. A VDD informará a justificativa quando não puder atender integralmente à eliminação, salvo restrição legal à informação.
9. Seus direitos
Você pode solicitar confirmação e acesso, correção, informações sobre compartilhamento, portabilidade quando aplicável, revisão de decisões exclusivamente automatizadas e análise de anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados irregularmente. Também pode apresentar oposição nos casos legais e revogar consentimento quando essa for a base utilizada, preservadas as consequências e hipóteses legais de conservação.
Usuários autenticados podem registrar pedidos na área Privacidade da plataforma; qualquer titular, inclusive sem conta, pode usar contact@vddtech.io. O registro abre um protocolo para análise e acompanhamento. Verificaremos a identidade e, quando necessário, a representação com informações proporcionais ao risco de revelar ou alterar dados de outra pessoa. Não solicitamos senha ou token para comprovar a titularidade.
Nos pedidos de confirmação ou acesso em que a VDD atua como controladora, aplica-se a resposta simplificada imediata ou a declaração completa em até 15 dias, conforme a LGPD. Os demais direitos seguem os requisitos e prazos legais próprios. A janela contratual de exportação de 30 dias não substitui esses prazos.
Quando o RGPD se aplicar, os direitos abrangem também limitação do tratamento, oposição e portabilidade nas condições legais. A informação sobre as providências é fornecida sem demora injustificada e, em regra, em até um mês do recebimento; a prorrogação de até dois meses adicionais exige complexidade ou número de pedidos que a justifique, com aviso motivado dentro do primeiro mês. Não se presume prorrogação automática. Se mais de um regime for aplicável ao mesmo pedido, serão observadas as obrigações correspondentes, sem utilizar o prazo de um para afastar exigência menor do outro.
Quando o pedido tratar de dados controlados por um Cliente, articularemos o atendimento com ele e prestaremos a assistência devida. Não entregaremos indiscriminadamente os registros de uma empresa a qualquer solicitante. Você também pode dirigir-se ao Cliente, à ANPD e, quando o RGPD se aplicar, à autoridade de controlo competente, incluindo a CNPD em Portugal, sem prejuízo das vias judiciais cabíveis. O exercício ordinário dos direitos é gratuito; qualquer exceção depende de previsão legal e fundamentação.
10. Segurança e dados que exigem cuidado adicional
A plataforma utiliza controles de acesso, autenticação com segundo fator, proteção de sessão, comunicação por HTTPS, proteção de senhas e criptografia das credenciais cadastradas na funcionalidade própria. O Cliente deve revisar permissões, proteger os dispositivos e fatores de autenticação e comunicar suspeitas de acesso indevido.
O serviço não é direcionado a crianças ou adolescentes como usuários. O cadastro sistemático de dados sensíveis ou de menores pelo Cliente exige avaliação prévia e acordo específico; menções incidentais devem ser reduzidas ao estritamente necessário e ter acesso restrito. Uma ocorrência incidental não autoriza a utilização da plataforma como repositório especializado sem essa avaliação.
Nenhuma medida elimina todos os riscos. Não afirmamos certificação de segurança nem garantia de ausência de incidentes. A resposta a incidentes deve observar as responsabilidades de cada parte e os avisos exigidos pela legislação e pelo Acordo de Tratamento de Dados.
11. Atualizações
Alterações relevantes serão apresentadas em nova versão, com indicação da data e dos efeitos aplicáveis. As versões publicadas ficam disponíveis em vddtech.io. Uma atualização não cria autorização retroativa para finalidades incompatíveis nem substitui consentimento específico quando ele for necessário.