Política de Privacidade
Última atualização: 2026-06-02
O UnifyBox é operado por Bestami Caner Kınalı ("nós", "nos" ou "nosso"), uma empresa individual registrada na Türkiye. Esta Política de Privacidade explica quais dados pessoais coletamos quando você usa o UnifyBox, como os utilizamos, com quem os compartilhamos e quais direitos você tem sob a KVKK (Türkiye), o GDPR (UE/EEE) e leis semelhantes. Ela abrange operadores (nossos clientes) e os usuários finais (os clientes deles) cujas conversas fluem por nossa plataforma.
1. Controlador de Dados
Bestami Caner Kınalı é o controlador de dados. CNPJ/Tax ID: 5561006332. Endereço registrado: Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkiye. Contato de privacidade: [email protected]. URL do serviço: https://app.unifybox.io.
2. Informações que Coletamos
Dados da conta do operador: nome, e-mail, nome do espaço de trabalho, hash da senha, detalhes de faturamento (processados pela LemonSqueezy — nunca vemos os números completos do cartão). Dados de conversas de usuários finais: quando um cliente envia uma mensagem a uma empresa por meio de um canal conectado ao UnifyBox (WhatsApp Business API, Instagram, Messenger), recebemos o conteúdo da mensagem, o identificador do canal (número de telefone ou perfil social), os carimbos de data/hora e qualquer mídia que ele envie. Credenciais de integração: quando você conecta um serviço de terceiros, armazenamos um token de acesso OAuth mais o respectivo token de atualização, limitados às permissões mínimas necessárias para o recurso. As credenciais são criptografadas em repouso com AES-256. Telemetria de uso: requisições de API, uso de modelos de IA (contagem de tokens, id do modelo), eventos de erro e metadados básicos de navegador/IP para segurança e planejamento de capacidade.
3. Serviços de API do Google
Quando você conecta o Google Calendar, o UnifyBox acessa dois escopos em seu nome: https://www.googleapis.com/auth/calendar.readonly (para listar os calendários da sua conta, de modo que você possa escolher qual deles o agente de IA usa, e para ler intervalos de disponibilidade/ocupação antes de sugerir um horário de agendamento a um cliente) e https://www.googleapis.com/auth/calendar.events (para criar, atualizar, reagendar ou cancelar eventos quando você ou nosso agente de IA agir em resposta a uma solicitação do cliente). O uso e a transferência de informações recebidas das APIs do Google pelo UnifyBox aderem à Política de Dados do Usuário dos Serviços de API do Google (https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de Uso Limitado. Não transferimos dados de usuários do Google a terceiros (exceto os sub-processadores listados na seção 7, que atuam em nosso nome e são contratualmente restritos ao mesmo escopo), não usamos dados de usuários do Google para publicidade, não os usamos para treinar modelos de IA/ML genéricos ou de terceiros e não permitimos que pessoas os leiam, exceto quando estritamente necessário por segurança, para depurar um problema que você relatou ou para cumprir a legislação aplicável. Você pode revogar o acesso do Google ao UnifyBox a qualquer momento em https://myaccount.google.com/permissions, o que invalida imediatamente o token de atualização que mantemos para sua conta; excluímos o token armazenado em até 24 horas.
4. Plataformas da Meta (WhatsApp, Instagram, Messenger)
Os operadores conectam Contas do WhatsApp Business, contas profissionais do Instagram e Páginas do Facebook por meio do fluxo OAuth da Meta. Recebemos apenas os tokens de acesso necessários para enviar e receber mensagens nos canais conectados e para ler metadados de configuração (id do número de telefone, nome da empresa, nome da página). Os números de telefone e perfis sociais dos usuários finais são armazenados em nosso banco de dados para permitir que sua equipe ou o agente de IA responda. Cumprimos os Termos da Plataforma WhatsApp Business (janela de atendimento ao cliente de 24 horas, regras de mensagens de modelo, tratamento de opt-out) e os Termos da Plataforma da Meta. Não usamos dados derivados da Meta para publicidade ou treinamento de modelos de IA. Os usuários finais podem cancelar o recebimento de novas mensagens a qualquer momento respondendo "DUR" ou "STOP" — honramos os cancelamentos imediatamente e os propagamos ao operador conectado. Os usuários finais também podem solicitar a exclusão do histórico de suas conversas entrando em contato com o operador ou enviando um e-mail para [email protected].
5. Integrações de Comércio + Calendário Conectadas
Os operadores podem conectar plataformas de comércio (Shopify, ikas, WooCommerce, Shopier, Trendyol, Hepsiburada) e provedores de calendário (Google Calendar, Calendly). Para cada conexão, armazenamos apenas as credenciais necessárias para chamar a API correspondente em nome do operador — normalmente um token OAuth mais metadados de identificação (domínio da loja, e-mail do calendário). Cada integração chama apenas os endpoints exigidos por seu recurso (ler dados de produto/estoque, ler disponibilidade/ocupação, criar ou atualizar eventos). Nunca armazenamos ou processamos credenciais de pagamento dessas plataformas. A lista completa de provedores conectáveis e os escopos que solicitamos para cada um são exibidos na tela de consentimento OAuth no momento da conexão. Desconectar uma integração pelo assistente revoga imediatamente nosso acesso e aciona a exclusão do token em até 24 horas.
6. Como Usamos Suas Informações
Usamos os dados acima para: entregar a caixa de entrada de mensagens e as respostas de IA para as quais você se cadastrou; chamar APIs de terceiros (Shopify, Google Calendar, Meta, etc.) em seu nome quando sua equipe ou nossa IA realiza uma ação que as exige; faturar seu espaço de trabalho via LemonSqueezy; prevenir fraude e abuso; cumprir obrigações legais (por exemplo, manutenção de registros fiscais por até 10 anos conforme a lei turca); e melhorar a confiabilidade do produto por meio de telemetria agregada e não identificável. Não vendemos dados pessoais. Não usamos dados de usuários do Google, dados de usuários da Meta ou o conteúdo de conversas de usuários finais para treinar modelos de IA/ML.
7. Compartilhamento de Dados e Sub-processadores
Compartilhamos dados pessoais apenas com sub-processadores que operam o serviço em nosso nome: Hetzner Online GmbH (Alemanha, UE) — hospedagem de infraestrutura primária; Supabase (auto-hospedado em nossa infraestrutura Hetzner) — banco de dados principal + autenticação; Cloudflare R2 — armazenamento criptografado de mídia (imagens, mensagens de voz, anexos de documentos enviados em conversas); API do Google Gemini — inferência de modelo de IA para respostas do agente (chamadas sem estado; o provedor não retém as entradas além do ciclo de vida da requisição em nosso plano de API); Meta (WhatsApp, Instagram, Messenger) — recebimento e envio de mensagens em nome dos operadores; LemonSqueezy — processamento de pagamentos; os provedores de comércio e calendário conectados listados na seção 5 — apenas em ações iniciadas por você ou pelo seu agente de IA. Todos os sub-processadores estão contratualmente obrigados a proteções equivalentes ao GDPR/KVKK. Não vendemos dados pessoais e não os compartilhamos com anunciantes.
8. Armazenamento e Segurança de Dados
Os dados primários da aplicação (contas, conversas, tokens de integração) são armazenados em servidores Hetzner na Alemanha (UE) usando uma implantação Supabase auto-hospedada. Os arquivos de mídia (imagens, mensagens de voz, anexos de documentos enviados em conversas) são armazenados criptografados em repouso no Cloudflare R2 — esses arquivos são acessíveis apenas por meio de URLs assinadas válidas por curtos períodos. Todo o tráfego é criptografado em trânsito via TLS 1.2 ou superior. As credenciais de integração (tokens de atualização OAuth do Google, tokens de acesso da Meta, chaves de API de plataformas de comércio) são criptografadas em repouso com AES-256. O acesso aos sistemas de produção é limitado a funcionários autorizados com credenciais auditadas. Monitoramos atividades suspeitas e corrigimos prontamente dependências sensíveis à segurança. Não sofremos nenhuma violação de dados até a data acima; se isso algum dia ocorrer, os usuários afetados serão notificados em até 72 horas, conforme o Artigo 33 do GDPR.
9. Retenção de Dados
Os dados de espaços de trabalho ativos são retidos enquanto a conta estiver ativa. Espaços de trabalho encerrados são retidos por 30 dias para restauração e, então, excluídos permanentemente, a menos que sejamos legalmente obrigados a manter os registros por mais tempo (lei tributária turca: até 10 anos para faturas e registros financeiros). Os tokens de integração conectados (Google Calendar, Meta, comércio) são excluídos em até 24 horas após a desconexão. Os logs de uso de IA são retidos por 90 dias e, então, agregados; o conteúdo bruto das conversas permanece enquanto o espaço de trabalho estiver ativo e é excluído no encerramento da conta, sujeito ao período de carência de 30 dias. Os arquivos de mídia no Cloudflare R2 seguem o mesmo ciclo de vida da conversa à qual pertencem. Os usuários finais podem solicitar a exclusão do histórico de suas conversas a qualquer momento entrando em contato com o operador ou enviando um e-mail para [email protected] — excluímos em até 30 dias após uma solicitação verificada.
10. Seus Direitos (KVKK e GDPR)
Sob a KVKK (Türkiye), o GDPR (UE/EEE) e leis semelhantes, você tem o direito de: acessar os dados pessoais que mantemos sobre você; corrigir dados imprecisos; excluir seus dados (sujeito a obrigações legais de retenção); restringir o processamento ou se opor a ele; receber uma exportação portável dos seus dados; retirar o consentimento quando o processamento depender dele; e apresentar uma reclamação à autoridade supervisora (KVKK Kurumu na Türkiye, sua DPA local na UE). Para exercer qualquer um desses direitos, envie um e-mail para [email protected] — respondemos em até 30 dias. Usuários finais (clientes do operador): entre em contato primeiro com o operador; se não for resolvido, entre em contato diretamente conosco.
11. Cookies
Usamos cookies essenciais para autenticação, segurança e gerenciamento de sessão. Cookies de análise opcionais podem ser controlados nas configurações do seu navegador ou em nosso banner de consentimento de cookies. Não usamos cookies de publicidade ou rastreamento que o sigam pela web.
12. Privacidade de Crianças
O UnifyBox é um produto B2B destinado a empresas. Não coletamos intencionalmente dados pessoais de qualquer pessoa com menos de 16 anos. Se você acredita que uma criança nos forneceu dados pessoais, envie um e-mail para [email protected] e nós os excluiremos.
13. Transferências Internacionais
Nossa infraestrutura primária está na Alemanha (UE). Alguns sub-processadores operam em outros lugares (Google Gemini, servidores da Meta nos Estados Unidos e em outros locais) — nesses casos, os dados são transferidos sob os mecanismos legais pertinentes (Cláusulas Contratuais Padrão da UE, decisões de adequação ou equivalente sob o Artigo 9 da KVKK).
14. Alterações e Contato
Atualizamos a data de "Última atualização" quando esta política muda. Alterações relevantes são anunciadas dentro do aplicativo e no e-mail da conta registrado com pelo menos 30 dias de antecedência. Dúvidas de privacidade, reclamações, solicitações de direitos KVKK/GDPR: [email protected]. Correspondência postal: Bestami Caner Kınalı, Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkiye.