reportXCS · Squarexcs Media
Política de Privacidade
Última atualização: 19 de outubro de 2026.
Esta Política explica como a Squarexcs Media trata dados pessoais no reportXCS (www.reportxcs.app), o portal que usamos para atender nossos clientes empresariais. Ela segue a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”), o Marco Civil da Internet (Lei nº 12.965/2014) e os Termos da Plataforma e políticas da Meta (Facebook, Instagram e WhatsApp).
1. Quem somos e a quem esta Política se aplica
O reportXCS é operado pela Squarexcs Media (“Squarexcs”, “nós”), agência de marketing e tecnologia. O portal permite que empresas clientes da Squarexcs acompanhem relatórios e gerenciem marketing, atendimento, vendas, catálogo, estoque, logística, produção, finanças e documentos. Esta Política se aplica:
- aos usuários do portal (colaboradores das empresas clientes e da Squarexcs);
- às pessoas cujos dados chegam ao portal pelas contas das empresas clientes, como leads, contatos, compradores e quem conversa com essas empresas pelo WhatsApp, Instagram ou Messenger;
- aos visitantes das páginas públicas do site.
2. Nosso papel: controlador e operador
Controlador. Somos controladores dos dados de cadastro e de acesso dos usuários do portal e dos dados que usamos para faturar, emitir notas fiscais e prestar suporte às empresas clientes.
Operador. Os dados dos clientes finais de cada empresa são tratados em nome dela, que é a controladora (art. 5º, VI e VII, e art. 39 da LGPD). Isso inclui leads, contatos, conversas, pedidos e histórico de compras. A empresa decide quais integrações ativar e é responsável pela base legal e pela transparência com seus clientes. Seguimos as instruções dela e esta Política.
3. Dados que tratamos
3.1 Conta e acesso
Nome, e-mail, telefone, foto de perfil, empresa, perfil de acesso e permissões, preferências de uso (tema e acessibilidade) e credenciais. A senha é armazenada apenas em forma de hash pelo provedor de autenticação.
3.2 Dados das empresas clientes
Razão social, CNPJ, endereço, contatos de cobrança, contratos, faturas, notas fiscais, catálogo de produtos e serviços, estoque, fornecedores, pedidos, ordens de serviço, vendas de balcão (PDV), comissões de vendedores, fichas técnicas e ordens de produção, agendamentos, arquivos enviados, chamados de suporte e materiais criativos. Também tratamos os dados da assinatura do reportXCS (plano, cupom, cobranças e forma de pagamento). O CPF do contato de cobrança fica armazenado criptografado.
3.3 Clientes finais das empresas
Nome, telefone, e-mail, CPF ou CNPJ e endereço (quando a empresa os registra ou a loja os envia), usuário do Instagram, etapa no funil de vendas, pedidos, pagamentos, anotações, arquivos trocados nas conversas (imagens, áudios, vídeos e documentos) e o histórico de interações (“Jornada”) registrados pela empresa ou recebidos pelas integrações abaixo.
3.4 Integrações com a Meta (Facebook, Instagram e WhatsApp)
Somente quando a empresa cliente conecta suas contas e autoriza o acesso, recebemos da Meta (“Dados da Plataforma”):
- identificadores da Página do Facebook, da conta profissional do Instagram e da conta do WhatsApp Business;
- mensagens trocadas com a empresa no Messenger, no Instagram Direct e no WhatsApp: texto, tipo de mídia, data e hora e status de entrega;
- o identificador da pessoa em cada canal (ID do Messenger ou do Instagram, ou número de WhatsApp), nome e foto de perfil públicos e nome de usuário;
- quando a empresa conecta o app WhatsApp Business do celular, também:
- o histórico de conversas dos últimos 180 dias;
- as mensagens que ela enviar pelo celular;
- os nomes salvos na agenda do app, usados apenas para identificar quem já conversou com a empresa;
- respostas a formulários de anúncios (Lead Ads): nome, e-mail, telefone e respostas ao formulário;
- informações do anúncio que originou o contato, como identificadores de anúncio e de campanha e o identificador de clique em anúncios para WhatsApp;
- comentários nas publicações da Página e do Instagram e as respostas da empresa a eles;
- as publicações que a empresa criar ou agendar pelo portal;
- métricas das contas de anúncios, como investimento e resultados.
3.5 Outras integrações
Também somente quando a empresa cliente conecta o serviço e autoriza o acesso:
- TikTok: dados da conta de anúncios e da conta de publicação, como métricas, formulários de leads e as publicações que a empresa criar pelo portal;
- Lojas e marketplaces (Mercado Livre, Nuvemshop, Shopify, WooCommerce e Loja Integrada): pedidos pagos, com nome, contato, endereço e documento do comprador, além de produtos, estoque e código de rastreio. O portal também publica e atualiza produtos nessas lojas quando a empresa pede;
- Open Finance (Pluggy): contas bancárias, saldos e transações da empresa, mediante o consentimento dela no banco, para conciliação financeira;
- Cobrança (Asaas): cadastro do pagador (nome, CPF ou CNPJ e e-mail), cobranças e situação de pagamento, tanto das cobranças que a empresa emite aos seus clientes quanto da assinatura do próprio reportXCS;
- Frete e rastreio (Melhor Envio, Correios e 17TRACK): nome, telefone, endereço e documento do destinatário, medidas e peso da encomenda e código de rastreio.
3.6 Dados técnicos
Endereço IP, data e hora de acesso, navegador e dispositivo, e registros de auditoria das ações feitas no portal.
Não solicitamos dados pessoais sensíveis (art. 11 da LGPD) e pedimos que não sejam inseridos no portal.
4. Finalidades e bases legais
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter contas, autenticar usuários e prestar o serviço contratado | Execução de contrato (art. 7º, V) |
| Receber e responder mensagens, importar leads e conversas, e organizar contatos e o funil das empresas que ativaram as integrações | Execução do contrato com a empresa cliente. Para os dados dos clientes dela, tratamos como operador, e a base legal é definida pela empresa (art. 39) |
| Enviar à Meta eventos de conversão (Conversions API) e atualizar públicos personalizados quando a empresa move um lead no funil | Instrução da empresa controladora, em regra com base no legítimo interesse dela (art. 7º, IX, e art. 10). Telefone e e-mail seguem criptografados com hash SHA-256 |
| Cobrar a assinatura do reportXCS e as cobranças que a empresa emite aos seus clientes | Execução de contrato (art. 7º, V). Nas cobranças da empresa, tratamos como operador |
| Importar pedidos das lojas, calcular frete, emitir etiquetas e acompanhar entregas | Execução do contrato com a empresa cliente; para os dados dos compradores, a empresa é a controladora (art. 39) |
| Ler contas e transações bancárias pelo Open Finance | Consentimento da empresa titular das contas, dado no banco e revogável por ela a qualquer momento |
| Usar inteligência artificial no Chat (resumo, sugestão, transcrição de áudio e atendimento automático) | Instrução da empresa controladora, que decide ligar cada recurso; execução do contrato (art. 7º, V) |
| Faturamento, emissão de notas fiscais e cumprimento de obrigações fiscais e contábeis | Obrigação legal ou regulatória (art. 7º, II) e execução de contrato (art. 7º, V) |
| Segurança, prevenção a fraudes e guarda de registros de acesso | Obrigação legal (art. 15 do Marco Civil da Internet) e legítimo interesse (art. 7º, IX) |
| Suporte e comunicações sobre o serviço | Execução de contrato (art. 7º, V) |
| Defesa em processos judiciais, administrativos ou arbitrais | Exercício regular de direitos (art. 7º, VI) |
Não tomamos decisões exclusivamente automatizadas que afetem direitos das pessoas.
5. Compromissos sobre os Dados da Plataforma Meta
- Usamos esses dados somente para oferecer à empresa que os autorizou as funções que ela ativou no reportXCS.
- Não vendemos, licenciamos nem compramos Dados da Plataforma, e não os repassamos a corretores de dados.
- Não os usamos para decidir a elegibilidade de ninguém a crédito, emprego, moradia ou seguro, nem para vigilância ou discriminação.
- Os dados de cada empresa ficam isolados: só usuários autorizados daquela empresa e a equipe da Squarexcs que a atende têm acesso.
- Quando a empresa desconecta a integração, a Meta pede ou a pessoa solicita, deixamos de receber os dados e os excluímos, conforme as seções 8 e 9.
- Seguimos os Termos da Plataforma da Meta, a Política Comercial do WhatsApp e as demais políticas aplicáveis.
6. Com quem compartilhamos
- Meta Platforms (Facebook, Instagram e WhatsApp): para enviar as mensagens, os eventos e as atualizações de público que a empresa cliente autorizou.
- Supabase: banco de dados, autenticação e armazenamento de arquivos, com servidores em São Paulo, Brasil.
- Vercel: hospedagem e execução do portal.
- OpenRouter: recursos de inteligência artificial do Chat (revisar um texto, resumir a conversa, sugerir uma resposta e transcrever áudios recebidos). Enviamos só o texto digitado, as últimas mensagens da conversa ou o áudio a transcrever, sem os dados cadastrais do contato, e apenas quando o atendente aciona o recurso ou, na transcrição, quando a empresa a ativa.
- Anthropic (Claude): assistente do Dashboard. Enviamos a pergunta feita pelo usuário e os dados da própria empresa consultados para respondê-la (por exemplo, totais de vendas, contas, pedidos e contatos), sempre dentro do que esse usuário já tem permissão para ver. Também usamos a Anthropic no agente de IA do Chat, que a empresa pode ligar para atender conversas ainda sem responsável: ele recebe as mensagens recentes da conversa e as informações do contato necessárias ao atendimento, e qualquer falha devolve a conversa para a equipe.
- Asaas: cobranças e pagamentos, para os quais enviamos os dados do pagador e o valor.
- Pluggy: conexão com bancos pelo Open Finance, a pedido da empresa.
- TikTok, Mercado Livre, Nuvemshop, Shopify, WooCommerce e Loja Integrada: somente as contas e lojas que a empresa conectou.
- Melhor Envio, Correios e 17TRACK: cotação de frete, etiquetas e rastreio, com os dados do destinatário e da encomenda.
- Giphy: pesquisa de GIFs no Chat, para a qual enviamos apenas o termo digitado.
- Focus NFe: emissão de notas fiscais eletrônicas, quando a empresa usa esse recurso.
- Notaas: emissão de notas fiscais eletrônicas, quando a empresa escolhe esse emissor.
- ViaCEP e BrasilAPI: preenchimento de endereço (enviamos apenas o CEP) e consulta de dados públicos de empresas (enviamos apenas o CNPJ).
- Autoridades públicas: quando houver obrigação legal ou ordem judicial.
Esses fornecedores atuam como suboperadores, apenas para as finalidades acima. Dentro de cada empresa cliente, os dados ficam visíveis conforme as permissões que ela define para cada usuário.
7. Transferência internacional
O banco de dados fica no Brasil. A hospedagem (Vercel), os serviços da Meta e os recursos de inteligência artificial (OpenRouter e Anthropic) e os demais serviços da seção 6 podem processar dados em outros países, como os Estados Unidos. Essas transferências seguem o art. 33 da LGPD, com as garantias contratuais e de segurança oferecidas por esses fornecedores.
8. Por quanto tempo guardamos
- Os dados de conta e os dados das empresas ficam guardados enquanto o contrato estiver ativo. Depois do encerramento, são eliminados ou anonimizados em até 90 dias.
- Mensagens, leads e contatos recebidos pelas integrações ficam guardados enquanto a empresa mantiver a integração e o serviço ativos, ou até que ela ou a pessoa titular peça a exclusão.
- Arquivos trocados nas conversas ficam guardados junto com a conversa e são excluídos com ela. Os dados do Open Finance ficam enquanto a empresa mantiver a conexão com o banco e são excluídos quando ela a desfaz.
- Registros de acesso são guardados por 6 meses (art. 15 do Marco Civil da Internet).
- Documentos fiscais e financeiros são guardados pelo prazo legal, em regra 5 anos. Também guardamos o que for necessário ao exercício regular de direitos (art. 16 da LGPD).
9. Seus direitos
Pelo art. 18 da LGPD, você pode pedir:
- confirmação de que tratamos seus dados, e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade;
- eliminação dos dados tratados com base no seu consentimento;
- informação sobre com quem compartilhamos seus dados;
- revogação do consentimento e oposição a tratamentos.
Para exercer esses direitos, escreva para contato@squarexcs.com.br com o assunto “LGPD”. Podemos pedir informações para confirmar sua identidade e respondemos em até 15 dias. Se os seus dados pertencem a uma empresa cliente, como no caso de quem conversou com ela ou preencheu um formulário, avisamos a empresa, que é a controladora, e ajudamos no atendimento. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.
10. Como pedir a exclusão dos seus dados
As instruções completas, inclusive para quem interagiu com uma empresa pelo Facebook, Instagram ou WhatsApp, estão em Exclusão de dados.
11. Segurança
Usamos medidas técnicas e administrativas compatíveis com o art. 46 da LGPD:
- conexões criptografadas (HTTPS/TLS);
- criptografia AES-256-GCM dos tokens de acesso às contas Meta e às demais integrações, dos segredos de integração e do CPF do contato de cobrança;
- isolamento dos dados de cada empresa no banco de dados, com regras de acesso por linha;
- permissões por perfil, por setor e por usuário, e registros de auditoria;
- verificação de assinatura das notificações recebidas da Meta.
Se houver um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas (art. 48).
13. Crianças e adolescentes
O reportXCS é um serviço para empresas e não se destina a menores de 18 anos. Se identificarmos dados de menores inseridos indevidamente, eles serão excluídos.
14. Encarregado e contato
Encarregado pelo tratamento de dados pessoais: Squarexcs Media, pelo e-mail contato@squarexcs.com.br.
15. Alterações
Podemos atualizar esta Política quando mudarem o serviço, as integrações ou a legislação. A data da última atualização fica no topo da página. Mudanças relevantes são avisadas no portal ou por e-mail.