Política de privacidade

Última atualização: 16 de julho de 2026.

Esta política descreve como a KenFlow (ZSC Comunicação e Publicidade Ltda., CNPJ 43.750.281/0001-02) trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Controladora e operadora — duas funções distintas

A KenFlow é controladora dos dados da sua própria conta de usuário: nome, e-mail, cargo, preferências, registros de acesso e uso da plataforma. Para esses dados, decidimos a finalidade e os meios do tratamento, e esta política se aplica diretamente.

A KenFlow é operadora dos dados que sua organização insere na plataforma sobre terceiros — contatos, clientes, conversas, negócios, registros financeiros. Nesse caso, quem decide a finalidade do tratamento é a sua organização (controladora desses dados); nós tratamos apenas conforme as instruções dela e nesta política técnica de segurança, nunca para finalidade própria.

2. Dados que coletamos

3. Finalidade e base legal

• Execução de contrato (Art. 7º, V): criar e manter sua conta, operar a plataforma, autenticação e autorização.
• Legítimo interesse (Art. 7º, IX): segurança da informação, prevenção a fraude, registros de auditoria, melhoria do produto a partir de métricas agregadas.
• Cumprimento de obrigação legal/regulatória (Art. 7º, II): retenção de registros exigida por lei (ex.: fiscal, quando aplicável ao módulo financeiro).
• Consentimento (Art. 7º, I): quando sua organização opta por conectar integrações de terceiros (WhatsApp/Meta, Google Ads, provedores de Inteligência Artificial) que envolvem tratamento adicional — veja a seção 6.

4. Isolamento entre organizações

Cada organização tem seus dados isolados por controle de acesso em nível de linha (Row Level Security) diretamente no banco de dados — nenhuma organização visualiza dados de outra, e essa garantia não depende apenas da interface, mas do próprio banco.

5. Compartilhamento e sub-processadores

Não vendemos dados pessoais. Compartilhamos dados apenas com prestadores estritamente necessários para operar a plataforma, sob contrato e obrigação de confidencialidade:

• Supabase — banco de dados, autenticação e armazenamento de arquivos.
• Vercel — hospedagem da aplicação.

Quando sua organização opta ativamente por conectar uma integração (ela nunca vem conectada por padrão), dados relevantes também são processados pelo provedor escolhido — Asaas (cobrança), Meta/WhatsApp Business Platform (mensageria), Google Ads (rastreamento de conversão), ou um provedor de Inteligência Artificial (Anthropic, OpenAI ou Google, conforme configurado). Nesses casos, dados pessoais identificáveis (e-mail, telefone, CPF/CNPJ) são mascarados antes de qualquer chamada a um provedor de IA.

A lista completa e atualizada, com a finalidade, os dados tratados e o país de cada um, está em Subprocessadores. Novos subprocessadores são publicados ali antes de passarem a tratar dados.

Parte da nossa infraestrutura pode processar dados fora do Brasil. Quando isso ocorre, exigimos garantias contratuais equivalentes às da LGPD dos prestadores envolvidos (Art. 33).

6. Seus direitos como titular (Art. 18 da LGPD)

Você pode, a qualquer momento:

• Confirmar e acessar seus dados — em Configurações → Perfil.
• Corrigir dados incompletos ou desatualizados — diretamente na mesma tela.
• Exportar (portabilidade) os dados da sua organização — exportação CSV disponível nos módulos de CRM, respeitando as permissões de dado sensível já configuradas.
• Eliminar permanentemente sua organização e todos os dados associados — Configurações → Organização → Zona de perigo. Ação imediata, irreversível e disponível sem necessidade de contato com o suporte. Um registro mínimo da exclusão (data, quem solicitou, nome da organização) é mantido separadamente por exigência de auditoria e segurança, sem conteúdo de negócio.
• Revogar consentimento de integrações opcionais — desconectando-as em Configurações → Integrações.
• Solicitar qualquer outro direito do Art. 18 (anonimização, bloqueio, informação sobre compartilhamento, revisão de decisão automatizada) — pelo canal de contato da seção 9. Respondemos em até 15 dias, prorrogáveis conforme a lei.

7. Retenção

Mantemos os dados da sua organização enquanto ela existir na plataforma. Ao excluir a organização (seção 6), os dados são apagados de forma imediata e definitiva, exceto o registro mínimo de auditoria da própria exclusão descrito acima, mantido pelo prazo exigido por obrigações legais/regulatórias aplicáveis. [A definir com a área jurídica: prazos específicos de retenção por categoria de dado — ex.: registros fiscais do módulo financeiro — quando exigidos por lei setorial.]

8. Cookies

Estritamente necessários — sempre ativos, dispensam consentimento porque sem eles o serviço não funciona: o cookie de sessão (autenticação, httpOnly, gerenciado pelo Supabase Auth) e o de organização ativa (também httpOnly).

De análise — Google Analytics/Tag Manager, Meta Pixel e Microsoft Clarity, usados para entender como o site é usado. Estes só são carregados após consentimento explícito: até você aceitar, o script sequer é inserido na página, então nenhum cookie de terceiro é gravado. Recusar não limita nada — a navegação e o produto funcionam igual.

Você pode mudar de ideia a qualquer momento, com a mesma facilidade com que aceitou (Art. 8º, §5º da LGPD).

9. Segurança

Aplicamos medidas técnicas e organizacionais proporcionais ao risco: isolamento de dados por organização no próprio banco, criptografia de credenciais de terceiros, autenticação multifator disponível, controle de acesso granular por papel, e registro de auditoria de ações sensíveis. Detalhe técnico completo (para fins de due diligence) disponível mediante solicitação.

10. Encarregado de dados (DPO)

Encarregado pelo tratamento de dados pessoais (DPO), nos termos do Art. 41 da LGPD: Celso Vinicios.

Contato: contato@kenflow.com.br. Toda solicitação relacionada a dados pessoais (acesso, correção, exclusão, portabilidade e demais direitos do Art. 18 da LGPD) deve ser dirigida a este canal, que responde no prazo legal.

11. Alterações desta política

Mudanças relevantes incrementam a versão exibida no topo desta página. Seu aceite fica registrado com a versão vigente no momento do cadastro; recomendamos revisitar esta página periodicamente.