O SpotCRM é uma ferramenta de trabalho: os dados que entram nele são da empresa que contrata, não nossos. Esta página explica o que tratamos, por quê, com quem compartilhamos e como você tira tudo de lá. Sem letra miúda — se algo aqui estiver ambíguo, escreva e a gente corrige o texto.
O SpotCRM é um produto da SpotRecon (razão social e CNPJ em registro). Para qualquer assunto de privacidade — pedido de acesso, correção, exportação ou exclusão de dados — o canal é spotcrm@spotrecon.io, que também é o contato do nosso encarregado pelo tratamento de dados pessoais (art. 41 da LGPD). Respondemos em até 15 dias.
Na relação com o cliente empresarial, ele é o controlador dos dados que insere no CRM (clientes, negócios, histórico) e nós somos o operador: tratamos esses dados para prestar o serviço, seguindo as instruções dele. As obrigações dessa relação estão detalhadas no Anexo de Tratamento de Dados, parte dos Termos de Uso.
Quando um usuário opta por conectar a conta Google dele, pedimos autorização apenas para criar e manter eventos de calendário (escopo calendar.events). Usamos isso para uma coisa só: refletir na agenda dele as tarefas com data que já existem no CRM, e remover o evento quando a tarefa é concluída ou apagada.
Uso limitado. O uso e a transferência, pelo SpotCRM, de informações recebidas das APIs do Google seguem a Google API Services User Data Policy, inclusive os requisitos de Uso Limitado (Limited Use).
Na prática, isso significa que dados obtidos do Google não são vendidos, não são usados para publicidade, não são enviados a modelos de inteligência artificial e não são usados para treinar modelo algum — nem nossos, nem de terceiros. Nenhuma pessoa da nossa equipe lê esses dados, exceto com autorização explícita do usuário para resolver um problema técnico, por exigência legal, ou de forma agregada e anônima.
A autorização é individual e revogável a qualquer momento, tanto pelo botão de desconectar dentro do SpotCRM quanto em myaccount.google.com/permissions. Ao revogar, apagamos as credenciais de acesso guardadas; os eventos já criados continuam na agenda do usuário, sob controle dele.
Há ainda uma forma de uso que não envolve conta Google nenhuma: o link de calendário (.ics), em que o próprio calendário do usuário busca as tarefas dele no nosso servidor. Nesse modo não recebemos nem pedimos qualquer dado do Google.
Não vendemos dados e não os cedemos para publicidade. Compartilhamos apenas com quem é necessário para o serviço funcionar:
Também podemos divulgar dados quando houver ordem judicial ou obrigação legal.
A LGPD exige uma hipótese legal para cada tratamento. As nossas são:
Para os dados que o cliente insere no CRM sobre os clientes dele, quem define a base legal é o próprio cliente, na condição de controlador. Nós tratamos sob instrução dele.
A aplicação e o banco de dados do SpotCRM rodam em servidores no Brasil (São Paulo). Dois fornecedores, porém, processam dados fora do país: o Resend, que entrega os e-mails do sistema, e o provedor de modelos de linguagem usado pelos recursos de IA, ambos nos Estados Unidos. Essa transferência internacional acontece sob contrato que exige proteção compatível com a LGPD, nos termos do art. 33 da lei. Dados obtidos das APIs do Google nunca são enviados a nenhum dos dois.
Mantemos enquanto a conta existir. Encerrada a assinatura, os dados permanecem por 30 dias para o caso de arrependimento ou exportação, e depois são apagados. Registros de auditoria e de cobrança podem ser mantidos por mais tempo quando a lei exigir. Você pode pedir a exclusão antes desse prazo, a qualquer momento.
Tráfego cifrado por TLS, senhas guardadas como hash, isolamento entre contas imposto pelo banco de dados (e verificado por testes automatizados a cada mudança), e acesso administrativo restrito. Nenhum sistema é imune: se acontecer um incidente que traga risco relevante, comunicamos os afetados e a ANPD, como manda a LGPD.
Pela LGPD você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade, exclusão e informação sobre com quem compartilhamos. Basta escrever para spotcrm@spotrecon.io. Quem tem conta também pode baixar tudo sozinho, em formato aberto, em Configurações › Exportar dados. Se os dados forem de um cliente de uma empresa que usa o SpotCRM, encaminhamos o pedido a ela, que é quem controla aquele registro.
Usamos apenas o necessário para manter você conectado e lembrar preferências como o tema claro ou escuro. Não há cookie de publicidade nem rastreamento de terceiros.
Se algo mudar de forma relevante, avisamos por e-mail e atualizamos a data no topo desta página antes de a mudança valer.