Política de privacidade
Última atualização: 31 de outubro de 2026
Quem somos
A GrowRockets e o Turbo são operados pela GrowRockets Consultoria em TI Ltda, CNPJ 67.546.427/0001-60, Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo, SP, 05424-150, Brasil. Somos o controlador dos dados descritos nesta política, exceto quando as seções sobre WhatsApp e sobre o Radar de conversão abaixo disserem o contrário.
Tratamos dados pessoais de acordo com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018). A base legal é a execução de contrato, para a prestação do serviço, e o consentimento, para o rastreamento de analytics.
O que coletamos
Para a sua conta, a GrowRockets coleta apenas os dados necessários para prestar o serviço:
- Seu endereço de e-mail (para autenticação)
- Se você entrar na lista de acesso antecipado do Turbo: seu nome e seu número de WhatsApp, para que nossa equipe entre em contato sobre o acesso
- Se você se candidatar a uma vaga de estágio em /vagas: nome, e-mail, WhatsApp, curso, faculdade ou bootcamp, semestre atual, links do portfólio e do LinkedIn e a sua resposta sobre como usa IA, para avaliar a candidatura e entrar em contato. A base legal é o seu consentimento, dado no formulário
- Chaves de API das integrações conectadas: PostHog, Amplitude (criptografadas em repouso com AES-256)
- Tokens OAuth do Google Analytics 4 (criptografados em repouso com AES-256)
- Dados agregados de analytics obtidos das ferramentas que você conectou (totais por etapa, taxas de quem volta a usar)
- Métricas de produto que você informa manualmente ou envia por CSV
As empresas que usam o Turbo também nos enviam as conversas de WhatsApp que têm com os próprios clientes. Esses dados são tratados na seção sobre WhatsApp, mais abaixo.
Pesquisa, lista de espera e formulários do site
Pesquisa (/pesquisa)
- O que guardamos: as suas respostas, inclusive o texto que você escrever, a pergunta em que você parou, de onde você veio (o site anterior e os parâmetros do link, como utm_source), o código de indicação, se você clicou para marcar conversa ou para compartilhar e o endereço IP da sua conexão. Se, no fim, você pedir a conta grátis do guia, guardamos também o seu e-mail e o site que você informar.
- Para que usamos: entender onde as empresas perdem clientes, decidir o que construir e falar com você quando você deixar o e-mail. O IP serve para barrar robôs e limitar o número de respostas por rede por dia. Quando você termina a pesquisa ou deixa o e-mail, o nosso time recebe um aviso interno com o seu e-mail e um resumo das respostas.
- Base legal: legítimo interesse (art. 7º, IX, da LGPD) para as respostas e para o IP, que usamos na segurança do formulário; e, quando você pede a conta grátis, a execução de contrato e de procedimentos preliminares a pedido seu (art. 7º, V).
- Por quanto tempo: enquanto usarmos a pesquisa para entender o mercado, ou até você pedir para apagar. Excluir a conta nas configurações não apaga a pesquisa; para isso, escreva para privacidade@growrockets.com e apagamos as suas respostas.
Lista de espera
Quem entra na lista de espera, pela pesquisa ou por outra página, deixa o e-mail. Junto guardamos a lista em que você entrou, o IP (pelo mesmo motivo de segurança) e, quando vem da pesquisa, a sua resposta à primeira pergunta. Na lista da Plataforma, guardamos também o site do produto, as duas respostas do cadastro e quem indicou você. Usamos esses dados só para avisar quando houver vaga ou novidade sobre aquilo em que você se inscreveu. A base legal é o seu consentimento, dado ao se inscrever. Ficam guardados até você pedir para sair, por privacidade@growrockets.com.
Guia atrás da conta grátis
Para ler o guia completo no blog, você cria uma conta grátis com o seu e-mail e recebe um link de acesso. É a mesma conta descrita nesta política: vale o que está em "O que coletamos" e em "Por quanto tempo guardamos os dados", e você pode excluí-la nas configurações.
Páginas de oferta (como /orcamentos)
- O que guardamos: nome, e-mail, WhatsApp, as respostas das perguntas do formulário, de onde você veio (site anterior, parâmetros do link e o identificador de clique de anúncio da Meta, quando houver), o navegador que você usa, o IP e se você aceitou os cookies. Se você reservar a vaga com o sinal devolvível, o pagamento passa pela Stripe e guardamos se foi pago e o valor.
- Para que usamos: entrar em contato sobre a oferta que você pediu e medir quais anúncios e páginas trazem interesse de verdade. O IP serve para barrar robôs e limitar cadastros repetidos.
- Base legal: procedimentos preliminares de contrato, a pedido seu (art. 7º, V), e legítimo interesse para o IP e a origem da visita (art. 7º, IX).
- Por quanto tempo: enquanto a oferta estiver em teste ou em andamento, ou até você pedir para apagar, por privacidade@growrockets.com. Dados do pagamento do sinal seguem o prazo que a lei fiscal exige.
Formulário de orçamento de uma empresa que usa o Turbo
Algumas empresas que usam o Turbo têm uma página pública para você pedir orçamento. Ali você informa nome, telefone e, se quiser, e-mail, CPF ou CNPJ, uma foto e observações, além das respostas sobre o que precisa. Também guardamos de onde veio o clique (parâmetros do link e identificadores de anúncio da Meta e do Google). Esses dados vão para a empresa a quem você pediu o orçamento: ela é a controladora e nós somos o operador, como na seção sobre WhatsApp. Se a empresa ligar o enriquecimento de contatos, consultamos a BigDataCorp para completar os dados do cadastro. Para acessar ou excluir esses dados, procure a empresa ou escreva para nós, e encaminhamos o pedido.
Planilha do Raio-X
No Raio-X, você nos manda uma planilha com números da sua empresa. Pedimos só totais, sem nenhuma linha por cliente ou por pessoa. Usamos a planilha apenas para montar o seu diagnóstico, e a análise por IA roda em uma conta que não usa o conteúdo para treinar modelos. Apagamos a planilha 30 dias depois de entregar o diagnóstico. A base legal é a execução do contrato do Raio-X (art. 7º, V).
Dados do WhatsApp (Turbo)
O Turbo permite que uma empresa conecte o seu número de WhatsApp pela WhatsApp Business Platform (Cloud API), da Meta, e atenda os clientes em uma única caixa de entrada. Nesse caso, a empresa é a controladora dos dados dos seus clientes e nós atuamos como operador, nos termos da LGPD. Tratamos esses dados apenas para prestar o serviço a essa empresa, seguindo as instruções dela.
O que recebemos
A Meta nos envia o seguinte em nome da empresa:
- O número de telefone e o nome de perfil do WhatsApp de cada pessoa que envia mensagem à empresa
- Mensagens enviadas e recebidas: texto, fotos, áudios, vídeos e documentos
- O status de entrega das mensagens enviadas pela empresa (enviada, entregue, lida, com falha) e os respectivos horários
- Identificadores técnicos da Meta, como os IDs das mensagens e os IDs da conta de WhatsApp e do número de telefone da empresa
- Se a empresa conectar o número que já usa no app WhatsApp Business e autorizar no celular: os contatos salvos no app (nome e telefone), as conversas dos últimos 180 dias e as mensagens que a equipe envia pelo celular depois da conexão
Como armazenamos
A Meta nos entrega as mensagens por webhook, e verificamos a assinatura de cada chamada. O texto das mensagens e os contatos ficam armazenados no nosso banco de dados, separados por empresa. Fotos, áudios, vídeos e documentos são baixados da Meta para um armazenamento privado, em uma pasta por empresa, e só membros autenticados daquela empresa conseguem abri-los. O token de acesso que a Meta emite para a empresa é criptografado em repouso com AES-256.
Para que usamos
Usamos os dados do WhatsApp apenas para mostrar as conversas na caixa de entrada da empresa, permitir que a equipe dela responda, vincular cada conversa ao contato e ao negócio certos e mostrar se as mensagens foram entregues e lidas. Dentro desse mesmo serviço:
- Os áudios que os clientes enviam são transcritos automaticamente (OpenAI), para a equipe ler o texto na conversa. A transcrição fica guardada junto com a mensagem e segue as mesmas regras de guarda e exclusão.
- Quando a empresa liga o Rocky, assistente de IA do Turbo, a conversa é enviada à Anthropic para sugerir respostas. Nada vai para o cliente sem o clique de alguém da equipe, a não ser que a própria empresa ligue as respostas automáticas.
- Os avisos de mensagem nova no celular e no computador passam criptografados pelos serviços de notificação da Apple, do Google ou da Mozilla, que não conseguem ler o conteúdo.
Não vendemos nem alugamos esses dados, não os usamos para publicidade, não os combinamos entre empresas e não os usamos para treinar modelos de IA.
Guarda, exclusão e exportação
- Contatos são mantidos enquanto a conta da empresa no Turbo estiver ativa.
- Mensagens e mídias seguem o prazo de guarda que a empresa escolhe nas configurações do Turbo: 12, 24 ou 60 meses, ou para sempre. Sem escolha, as mensagens ficam 24 meses e as fotos, áudios, vídeos e arquivos, 12 meses. Passado o prazo, apagamos de vez em até alguns dias. A empresa pode guardar sem prazo as conversas de clientes com negócio fechado. A cópia de segurança dos arquivos, que guardamos à parte, não segue esse prazo: ela é excluída quando a empresa cancela.
- Quando a empresa cancela, excluímos todos os seus dados de WhatsApp, incluindo os registros no banco de dados e os arquivos de mídia, em até 30 dias após o cancelamento.
- A empresa pode pedir uma cópia das suas mensagens, contatos e mídias a qualquer momento, escrevendo para privacidade@growrockets.com. Enviamos a cópia em formato legível por máquina.
Se você enviou mensagem a uma empresa que usa o Turbo e quer acessar ou excluir os seus dados, procure primeiro essa empresa. Você também pode escrever para nós, e encaminharemos a sua solicitação à empresa.
O que NÃO armazenamos
- Dados brutos de eventos ou eventos individuais de usuários de qualquer ferramenta de analytics
- Chaves de API ou tokens OAuth em texto puro
Criptografia dos dados
Todas as chaves de API (PostHog, Amplitude), os tokens OAuth (Google Analytics 4) e os tokens de acesso do WhatsApp são criptografados em repouso com AES-256 antes de serem armazenados no nosso banco de dados. A chave de criptografia fica armazenada separadamente do banco de dados.
Por quanto tempo guardamos os dados
Os resultados das análises de crescimento, as iniciativas e o perfil do seu produto são mantidos enquanto a sua conta existir. Quando você exclui a sua conta, ela sai na hora. Se você é a última pessoa dona da empresa e confirma, os totais e pedidos do Radar também saem na hora, e o resto dos dados da empresa sai em até 7 dias. As cópias de segurança dos provedores seguem o ciclo normal deles.
- Contas ativas: dados mantidos enquanto a conta existir
- Planos pagos cancelados: dados mantidos, e a conta volta para o plano gratuito
- Exclusão da conta: a conta e os totais e pedidos do Radar na hora, o resto da empresa em até 7 dias, cópias de segurança no ciclo normal dos provedores
- Chaves de API conectadas: criptografadas em repouso e excluídas imediatamente ao desconectar
- Mensagens e mídias do Turbo: pelo prazo de guarda que a empresa escolhe (padrão de 24 meses para mensagens e 12 para mídias)
- Dados de WhatsApp do Turbo: excluídos em até 30 dias após o cancelamento, como descrito acima
- Candidaturas a vagas: guardadas enquanto estivermos contratando para essa vaga ou uma parecida, e excluídas quando você pedir, por privacidade@growrockets.com
- Respostas da pesquisa: enquanto usarmos a pesquisa, ou até você pedir para apagar
- Cadastros das páginas de oferta: enquanto a oferta estiver em teste ou em andamento, ou até você pedir para apagar
- Lista de espera: até você pedir para sair
- Planilha do Raio-X: apagada 30 dias depois da entrega do diagnóstico
Suboperadores
Usamos os seguintes serviços de terceiros para prestar o serviço da GrowRockets:
- Meta Platforms (EUA e outros países): WhatsApp Business Platform, para enviar e receber mensagens
- Supabase (Brasil, São Paulo): banco de dados, autenticação e armazenamento de mídia
- Vercel (Brasil e EUA): hospedagem e funções serverless
- Anthropic (EUA): análises por IA, o Rocky do Turbo e o Rocky da demonstração do Radar de conversão, como explica a seção de suboperadores do Radar (não usa os dados para treinar modelos)
- OpenAI (EUA): transcrição de áudios (não usa os dados para treinar modelos)
- Google (EUA): Gmail, quando a empresa conecta o e-mail à caixa de entrada do Turbo
- Sentry (EUA): monitoramento de erros
- Stripe (EUA/UE): processamento de pagamentos
- Resend (EUA): envio de e-mails transacionais
- Cloudflare (EUA): Turnstile, que confere se quem envia a pesquisa ou um formulário é uma pessoa e não um robô
- SoWork: comunicação interna do nosso time, onde chegam os avisos de nova resposta da pesquisa e de novo cadastro
- BigDataCorp (Brasil): enriquecimento de contatos no Turbo, só quando a empresa liga essa função
Seus direitos
Pela LGPD (artigo 18), como titular dos dados, você pode nos pedir para:
- Confirmar se tratamos os seus dados e dar acesso a eles
- Corrigir dados incompletos, inexatos ou desatualizados
- Anonimizar, bloquear ou eliminar dados desnecessários ou tratados de forma ilícita
- Portar os seus dados para outro fornecedor
- Eliminar dados tratados com base no seu consentimento, ou revogar esse consentimento
- Informar com quais terceiros compartilhamos os seus dados
Você pode ver os seus dados nas configurações, excluir a sua conta com um clique ou escrever para privacidade@growrockets.com. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.
Cookies e analytics
Usamos cookies essenciais para manter você conectado. Com o seu consentimento, também usamos ferramentas de analytics (PostHog, Google Analytics, Metricool e Vercel Speed Insights) para entender como o site e o produto são usados e melhorá-los.
Se você recusar ou não responder o aviso de cookies, o PostHog ainda conta visitas e cliques em modo sem cookie: nada fica guardado no seu aparelho, a sessão não é gravada e a contagem usa um código anônimo que muda todo dia e não se liga ao seu nome, e-mail ou telefone.
Usamos o Sentry para encontrar erros no site. O aviso de erro chega ao Sentry para qualquer visitante, sem cookie. Só com o seu consentimento, quando acontece um erro, o Sentry também guarda uma gravação dos momentos antes dele, com todo texto e campo de formulário escondidos.
Também usamos cookies de medição de anúncios da Meta (pixel da Meta) e do Google (Google Ads). Com eles sabemos se uma visita, um cadastro ou uma compra veio de um anúncio nosso. A Meta e o Google recebem essas informações e as tratam conforme as políticas de privacidade deles. Não mandamos para eles o seu nome, e-mail ou telefone.
Na pesquisa e no guia, com o seu aceite, avisamos à Meta e ao Google quando você termina a pesquisa, entra na lista, pede o guia ou clica para marcar uma conversa, e se o perfil da resposta combina com quem atendemos (sim ou não). As suas respostas não vão para eles.
Fora o PostHog no modo sem cookie descrito acima, nenhuma dessas ferramentas carrega antes de você aceitar os cookies no aviso de consentimento. Se você recusar, elas ficam desligadas e só os cookies essenciais continuam. Você pode mudar a sua escolha quando quiser nas , que também ficam no rodapé.
Radar de conversão: quem decide sobre os dados
O Radar de conversão é um software para empresas. Os dados que a empresa cliente coloca nele (os totais por mês e etapa do caminho, os pedidos que ela faz e a equipe dela) são da empresa. Nesse caso a empresa é a controladora (controller) e a GrowRockets é a operadora (processor, ou operador na LGPD): tratamos esses dados só para prestar o serviço, seguindo as instruções da empresa, sob o Acordo de tratamento de dados (DPA) em /dpa.
Somos controladores dos dados da conta de quem usa o Radar (e-mail, nome, papel na empresa), dos contatos comerciais deixados na demonstração, dos registros de segurança e dos pedidos de privacidade. Para esses, esta política vale diretamente entre você e a GrowRockets.
O Radar não guarda dados pessoais dos clientes da sua empresa. Ele guarda só totais (quantas pessoas se cadastraram, começaram a usar, pagaram e renovaram por mês). A planilha é lida no seu navegador e nunca sobe para os nossos servidores.
Para que usamos os dados e em qual base legal
Cada uso tem uma base legal na LGPD (art. 7) e, para quem está na União Europeia ou no Reino Unido, no GDPR e no UK GDPR (art. 6).
| Para quê | Dados | LGPD | GDPR |
|---|---|---|---|
| Criar a conta, entrar e usar o Radar | E-mail, nome, papel na empresa | Art. 7, V (execução de contrato) | Art. 6(1)(b) |
| Mostrar onde as pessoas travam e as correções | Totais por mês e etapa, pedidos | Art. 7, V (execução de contrato) | Art. 6(1)(b) |
| Convidar colegas e mandar avisos do serviço | E-mail de quem é convidado, texto do aviso | Art. 7, V (execução de contrato) | Art. 6(1)(b) |
| Responder a quem pediu para ver o Radar com a própria empresa | Nome, e-mail, empresa, site, onde mais perde | Art. 7, IX (legítimo interesse, contato comercial entre empresas) | Art. 6(1)(f) |
| Proteger o serviço: limites de uso, anti-robô, registros de erro | IP, sinais do navegador, mensagens de erro sem dado pessoal | Art. 7, IX (legítimo interesse) | Art. 6(1)(f) |
| Medir o uso do app e do site | Cliques e telas vistas | Art. 7, I (consentimento) | Art. 6(1)(a) |
| Atender pedidos de privacidade e guardar a prova | Hash do identificador, data, tipo do pedido | Art. 7, II (obrigação legal) e art. 37 | Art. 6(1)(c) e art. 5(2) |
| Guardar notas fiscais e registros contábeis, quando há cobrança | Dados de cobrança | Art. 7, II (obrigação legal) | Art. 6(1)(c) |
Não pedimos dados pessoais sensíveis (LGPD art. 11, GDPR art. 9) e o Radar não tem campo para eles. Se você escrever algo assim num campo livre, como o recado de um pedido, trate como um erro e nos avise para apagar.
O que o Radar guarda
Resumo do que existe e de onde vem:
- Conta: e-mail, nome (se você informar) e a data do último acesso, no login do Supabase.
- Empresa: nome, o papel de cada pessoa (dono, admin, gerente, membro, leitura) e as configurações do Radar (avisos, idioma, ticket médio).
- Totais: o número de pessoas por mês e por etapa (cadastro, começo de uso, pagamento, renovação). Só números.
- Pedidos: conexão de cobrança, missão aprovada e o ponto de partida vindo do diagnóstico de receita (ticket médio, faixa e confiança).
- Convites de equipe: e-mail de quem foi convidado, papel e validade de 7 dias.
- Contato da demonstração: nome, e-mail, empresa, site e o texto de onde a empresa mais perde.
- Recados que você manda pelo botão de feedback, que chegam como e-mail para a nossa equipe.
O que o Radar nunca guarda
- Nome, e-mail, telefone, CPF ou qualquer identificador dos clientes da sua empresa.
- O arquivo da planilha: ele é lido no seu navegador e só os totais por mês seguem para o servidor.
- Número de cartão (vai direto para a Stripe, quando há cobrança) e senha em texto.
- Eventos brutos de analytics de qualquer ferramenta.
Quanto tempo guardamos
Prazos do Radar. Os de outros módulos estão nas seções acima.
| Dado | Prazo |
|---|---|
| Conta (e-mail e nome) | Enquanto a conta existir. Some na hora quando você apaga a conta |
| Totais por mês e etapa, pedidos de conexão e missões da empresa | Enquanto a empresa existir. Quando a última pessoa dona apaga a conta e confirma, saem na hora; o resto da empresa sai em 7 dias |
| Contato deixado na demonstração (nome, e-mail, empresa) | Até 24 meses, apagado sozinho toda semana. Antes, se você pedir |
| Scan de receita (site, totais digitados, resultado e e-mail de quem pediu o relatório) | 365 dias de guarda; depois disso os dados são apagados do nosso banco. O IP é guardado só como hash (código irreversível). O scan não guarda dados pessoais além do e-mail digitado e dos números informados. Quando houve reserva paga, o registro fica como comprovante do pagamento, sem o IP |
| Convites de equipe | O convite vale por 7 dias. O que não foi aceito é apagado 30 dias depois de vencer |
| Registro de pedidos de privacidade (exportar, corrigir, apagar) | 5 anos, para provar que o pedido foi atendido. Guarda só uma sigla irreversível do seu identificador, nunca e-mail ou nome |
| Pedidos do questionário de segurança | Só no e-mail da nossa equipe, sem banco de dados. Apagamos se você pedir |
| Relatórios de erro (Sentry) | Pelo prazo padrão do plano do provedor, que hoje é de 90 dias. Sem corpo de pedido nem e-mail |
Suboperadores do Radar
Contratamos os serviços abaixo para tratar dados do Radar. A tabela mostra o que cada um recebe e onde fica.
| Empresa | Para quê | Dados | Onde |
|---|---|---|---|
| Supabase | Banco de dados, login e armazenamento de arquivos | Conta, totais por mês, pedidos, convites e contatos comerciais | Brasil (São Paulo) |
| Vercel | Hospedagem do site e das funções do servidor | Tudo o que passa pelo app, em trânsito, e os registros de acesso | Funções em São Paulo; páginas estáticas pela rede global de entrega |
| Resend | Envio de e-mails: convites de equipe e avisos | E-mail e nome de quem recebe, e o texto do aviso | EUA |
| Sentry | Monitoramento de erros | Mensagem e local do erro. Sem corpo de pedido, sem cookies e sem e-mail (removidos antes do envio) | EUA |
| Cloudflare (Turnstile) | Confere que quem envia um formulário público é uma pessoa | Sinais do navegador e endereço de IP, só nos formulários públicos | EUA e rede global |
| PostHog | Estatísticas de uso do app e do site | Cliques e telas vistas, só depois do seu consentimento. Nunca na demonstração | EUA |
| Anthropic | Responde às perguntas feitas ao Rocky na demonstração e lê o site no scan de receita | Totais e texto público: a pergunta e os números da tela da demonstração; no scan, o texto da página inicial do site e os totais digitados. Sem nome nem e-mail | EUA |
| Stripe | Pagamento por cartão, quando a empresa contrata um plano pago | Dados de cobrança. O número do cartão vai direto para a Stripe e nunca passa pelos nossos servidores | EUA e UE |
Estes três só entram em ação em certas condições: o PostHog depois do seu consentimento, a Anthropic quando alguém pergunta ao Rocky na demonstração ou faz o diagnóstico de receita, e a Stripe quando a empresa contrata um plano pago.
O que mandamos a um provedor de IA são totais da empresa e texto público, nunca dado pessoal. Hoje isso acontece em dois lugares, os dois com a Anthropic (EUA). No Rocky, o assistente da demonstração, vão a pergunta e os números da tela: das empresas de exemplo, que são fictícias, ou os que a própria pessoa digitou. Não guardamos a pergunta nem a resposta; contamos só quantas perguntas houve por dia, sem saber de quem. No scan de receita, vão o texto público da página inicial do site e os totais digitados (cadastros, pagantes e ticket médio); o e-mail de quem pede o relatório não vai. Os totais de uma empresa conectada ao Radar não vão para nenhum provedor de IA. Se isso mudar, continuam indo só totais, sem dado pessoal, e a empresa é avisada antes, como diz o DPA. Outros módulos da GrowRockets (Turbo e Ignite) também usam a Anthropic, e a OpenAI (EUA) para transcrever áudio.
Quando entrar um suboperador novo ou sair um atual, avisamos a empresa cliente por e-mail antes da mudança. Ela pode se opor por escrito (veja o /dpa).
Transferências internacionais
Os dados do Radar ficam em São Paulo. Alguns suboperadores ficam nos Estados Unidos e tratam dados de lá, como o Resend e o Sentry. Essas transferências seguem os acordos de tratamento de dados e as cláusulas de transferência de cada provedor. Quem precisar de cláusulas assinadas com a GrowRockets combina na proposta.
Não afirmamos que o Brasil tenha decisão de adequação em todo território europeu. Quando um provedor participa do EU-US Data Privacy Framework, aceitamos essa base como complemento, e não no lugar das cláusulas.
Segurança
O que fazemos hoje para proteger os dados. A página /seguranca explica cada item em linguagem simples.
- Cada empresa vê só os próprios dados: o banco aplica a regra de acesso por empresa em toda tabela (row-level security) e testamos que uma empresa não lê, não altera e não apaga dado de outra
- Conexão cifrada (HTTPS) em todo o site, com HSTS de 2 anos, e dados cifrados em repouso pelo provedor do banco
- Chaves de API e tokens de integração cifrados com AES-256 antes de entrar no banco, com a chave guardada fora do banco
- Acesso por link ou código enviado por e-mail, ou por conta Google, com papéis na empresa (dono, admin, gerente, membro e leitura) conferidos no servidor a cada pedido
- Política de segurança de conteúdo (CSP) com código novo a cada página, cabeçalhos contra clique disfarçado e adivinhação de tipo de arquivo, e proteção contra pedido vindo de outro site nas ações que mudam dados
- Limite de pedidos por pessoa e por rede, verificação anti-robô e campo armadilha nos formulários públicos
- Relatórios de erro sem corpo de pedido, cookies, e-mail nem variáveis do código, removidos antes de sair do servidor
- Segredos só no servidor: nenhuma chave secreta vai para o navegador, e o código é conferido por testes automáticos para isso
Não temos certificação SOC 2 nem ISO 27001. Os controles seguem a mesma linha dessas normas e não afirmamos nenhuma certificação.
Seus direitos e como exercê-los
Pela LGPD (art. 18), pelo GDPR e UK GDPR (arts. 15 a 22), e como princípio também pela LFPDPPP (México, direitos ARCO), você pode:
- Saber se tratamos dados seus e receber uma cópia, em arquivo que se abre em qualquer programa (JSON).
- Corrigir dados errados ou desatualizados.
- Apagar a sua conta e os seus dados, ou pedir bloqueio e anonimização do que for excessivo.
- Levar os seus dados para outro serviço.
- Opor-se ao uso por legítimo interesse e retirar o consentimento a qualquer momento.
- Não receber tratamento discriminatório por exercer um direito. Não vendemos dado pessoal. Se você aceitar os cookies no site, o pixel da Meta e o Google Ads medem as visitas que vieram dos nossos anúncios. Para desligar, recuse no aviso de cookies ou no link "Cookies" do rodapé.
- Pelo próprio produto, na hora: em Configurações do Radar, na seção "Privacidade e dados", você baixa os seus dados, corrige o nome e apaga a conta. Dono e admin também baixam os dados da empresa.
- Por e-mail: privacidade@growrockets.com. Respondemos em até 15 dias, e antes se der.
- Se for pedido da sua empresa sobre dados dos clientes dela, a empresa é a controladora e fala com a gente pelo DPA.
Você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD, gov.br/anpd) ou, na União Europeia, à autoridade de proteção de dados do seu país.
Encarregado (DPO)
O encarregado pelo tratamento de dados pessoais é Rony Lussari. Fale com o encarregado em privacidade@growrockets.com (ou rony@growrockets.com). Para clientes na União Europeia que precisem de um representante local, escreva para o mesmo endereço.
Incidentes de segurança
Se um incidente afetar dados pessoais, avisamos a empresa cliente sem demora indevida e, quando somos nós a controladora, comunicamos a ANPD e as pessoas afetadas no prazo que a lei fixa (a ANPD fixa hoje 3 dias úteis; o GDPR pede à autoridade em até 72 horas depois de sabermos). O aviso diz o que aconteceu, quais dados, o que já fizemos e o que a pessoa pode fazer.
Crianças
O Radar é para uso profissional e não é dirigido a menores de 18 anos. Não coletamos dados de crianças de propósito. Se descobrirmos algum, apagamos.
Cookies e armazenamento local do Radar
O Radar usa só o necessário para funcionar e lembrar as suas escolhas. Nenhum cookie de publicidade.
| Nome | Para quê | Prazo | Tipo |
|---|---|---|---|
sb-…-auth-token | Sessão: mantém você conectado depois do link de acesso (Supabase) | Enquanto a sessão durar; renova a cada acesso | Essencial |
turbo_org | Lembra qual empresa você está vendo, quando você participa de mais de uma. Só o servidor lê; o acesso é sempre conferido no banco | 180 dias | Essencial |
gr_demo_senha | Lembra que você digitou a senha da demonstração com os números da sua empresa. Guarda só uma assinatura, nada seu | 30 dias | Essencial |
radar_locale | Idioma e moeda que você escolheu (português, inglês ou espanhol) | 1 ano | Preferência |
gr-theme (armazenamento local) | Tema claro ou escuro. Fica só no seu navegador e não é enviado | Até você limpar o navegador | Preferência |
cookie-consent (armazenamento local) | Guarda se você aceitou ou recusou os cookies de medição, para não perguntar de novo | Até você limpar o navegador | Essencial |
A demonstração (/demo e /exemplos/radar) abre pela sua conta, como o resto do app, e vale o mesmo aviso de cookies: a medição de uso só começa depois do seu aceite.
Contato
GrowRockets Consultoria em TI Ltda · CNPJ 67.546.427/0001-60
Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo, SP, 05424-150, Brasil
Dúvidas sobre privacidade: privacidade@growrockets.com
Encarregado pelo tratamento de dados pessoais (DPO): Rony Lussari, rony@growrockets.com