Política de Privacidade

Os dois papéis, e por que a distinção importa

A Spectra Flow tem dois tipos de pessoa envolvida, e a lei trata cada uma de um jeito.

Quando o assunto é a CONTA de quem usa a plataforma — o vendedor —, a Spectra é a controladora: somos nós que decidimos quais dados são necessários para a conta existir e funcionar.

Quando o assunto são os COMPRADORES daquele vendedor — as pessoas que falam com o bot dele —, quem decide é o vendedor. Ele escolhe o que perguntar, o que oferecer e para quem. A Spectra é operadora: trata esses dados seguindo a instrução dele, e não por conta própria.

Na prática isso significa que um comprador que queira apagar seus dados deve falar com o vendedor de quem comprou. Se falar conosco, encaminhamos — mas a decisão é de quem controla.

O que tratamos de quem tem conta

E-mail

Identifica a conta e recebe código de verificação e avisos. Fica cifrado no banco.

Nome e foto

Aparecem no seu perfil dentro do Control Room. Vêm do cadastro ou da sua conta Google, se você entrar por ela.

Telefone

Opcional, usado para contato e recuperação. Fica cifrado.

Registros de acesso

Endereço de IP, navegador e data de cada sessão. Existem para você conseguir encerrar uma sessão que não reconhece, e para investigar acesso indevido.

Credenciais dos seus gateways

Chaves e segredos dos provedores de pagamento que você conecta. Ficam cifradas e nunca são exibidas de volta na tela.

Entrar com o Google

Se você escolher entrar com o Google, recebemos do Google apenas o seu e-mail, o seu nome e a sua foto de perfil. Nada além disso.

Não temos acesso à sua senha do Google, nem aos seus e-mails, contatos, arquivos ou qualquer outro serviço da conta.

Você pode revogar esse acesso a qualquer momento na página de permissões da sua Conta Google. Sua conta na Spectra continua existindo — você passa a entrar por e-mail e senha.

O que a operação trata dos compradores dela

Quando alguém conversa com um bot criado na plataforma, o Telegram nos entrega os dados necessários para a conversa acontecer: identificador do chat, nome de usuário, primeiro nome e a foto de perfil, quando pública.

Além disso, o vendedor pode pedir e-mail, telefone ou CPF nos formulários de captura que ele mesmo monta. Esses três campos ficam cifrados no banco.

O que NÃO tratamos

Dados de cartão de crédito. Nenhum número, validade ou código de segurança passa pela Spectra ou fica no nosso banco — conferimos isso no próprio esquema de dados. O pagamento com cartão acontece no ambiente do provedor, e voltamos a saber apenas se ele foi aprovado ou não.

Também não vendemos dado nenhum, não cedemos base para terceiro e não usamos o que está na sua operação para treinar modelo de inteligência artificial.

Como protegemos

E-mail, telefone e CPF são cifrados com AES-256-GCM antes de chegarem ao banco. A chave fica no ambiente do servidor, nunca no código, e existe um anel de chaves que permite trocá-la sem perder o que já estava gravado.

Como dado cifrado não pode ser pesquisado, guardamos junto um índice cego: uma marca derivada do valor com uma chave secreta, que permite encontrar um registro sem que o valor original esteja legível em lugar algum.

O que sai para um provedor de pagamento passa por uma camada que remove o que é da sua operação — nome de bot, de produto, de campanha, de grupo e de funil. O provedor recebe o necessário para cobrar, e não o desenho do seu negócio.

Por quanto tempo guardamos

Cada tipo de registro tem prazo próprio, e a limpeza é automática. Estes são os prazos que rodam hoje no servidor:

Códigos de verificação

1 dia

Checkout abandonado e PIX que venceu

7 dias

Sessões encerradas ou revogadas

30 dias

Entregas de webhook e amostras de auditoria

90 dias

Eventos de segurança

180 dias

Conversas com o Gasper sem atividade

365 dias

Com quem compartilhamos

Só com quem é necessário para a plataforma funcionar, e cada um recebe apenas o que o seu papel exige:

Telegram

É onde a operação acontece. Toda conversa, mídia e botão passa por lá.

Mercado Pago, Stripe, SyncPay e PushinPay

Processam as cobranças que você configurar. Recebem o valor, a referência e o necessário para identificar o pagador.

Google

Autentica quem escolhe entrar com a conta Google.

Resend

Entrega os e-mails transacionais, como o código de verificação.

Cloudinary

Guarda foto de perfil, foto de grupo e capa.

Groq

Processa as perguntas feitas ao Gasper, o assistente da plataforma.

Render, Neon e Upstash

Hospedagem, banco de dados e fila. O banco fica em São Paulo; o servidor, nos Estados Unidos.

Serviços de notificação (Google Firebase, Apple, e o do seu navegador)

Entregam os avisos no celular e no computador. Recebem o identificador do aparelho e o texto do aviso — que nunca traz nome de produto, oferta, campanha, grupo ou comprador.

Seus direitos

A LGPD garante que você possa saber o que tratamos, corrigir o que está errado, pedir uma cópia, revogar consentimento e pedir a exclusão do que não somos obrigados a guardar.

Para exercer qualquer um deles, escreva para eclipseroad.contato@gmail.com. Respondemos no prazo da lei.

Se o pedido for sobre dados de um comprador, e não sobre a sua conta, precisamos encaminhar ao vendedor responsável — é ele quem controla aquele tratamento, como explicado no começo desta página.

Cookies e armazenamento no navegador

Não usamos cookie de publicidade nem de rastreamento de terceiros.

O Control Room guarda no seu próprio navegador o necessário para você continuar logado e para lembrar preferências de tela, como a aba que você deixou aberta. Isso fica no seu aparelho e não é enviado para nós.

Mudanças nesta política

Quando algo relevante mudar, atualizamos a data no topo desta página e avisamos por e-mail quem tem conta ativa.

Dúvida sobre qualquer ponto: eclipseroad.contato@gmail.com.