Política de Privacidade

1. Quem somos (Controlador de Dados)

Esta Política descreve como a OminiFox Marketing Digital ("OminiFox", "nós") coleta, utiliza, armazena, compartilha e protege dados pessoais por meio do site ominifoxdigital.com.br e da plataforma app.ominifoxdigital.com.br.

2. Encarregado pelo Tratamento de Dados (DPO)

Em cumprimento ao Art. 41 da Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018), nomeamos um Encarregado para atuar como canal de comunicação entre OminiFox, titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD):

3. Dados que coletamos

4. Finalidades e base legal (LGPD Art. 7)

5. Permissões solicitadas em cada plataforma

Ao conectar suas contas via OAuth, solicitamos apenas as permissões estritamente necessárias para os serviços contratados. Você pode revogá-las a qualquer momento.

Esses dados são usados exclusivamente para os serviços contratados. Não são vendidos, compartilhados com terceiros não autorizados, utilizados para treinamento de IA, ou combinados com fontes externas sem seu consentimento explícito.

6. Conformidade com Google API Services User Data Policy

O uso de informações recebidas de APIs Google pela OminiFox cumpre a Google API Services User Data Policy, incluindo os requisitos de Limited Use:

• Não usamos dados Google para treinar modelos de IA;
• Não vendemos esses dados;
• Não os usamos para publicidade própria ou de terceiros;
• Acesso humano ocorre apenas quando: (a) você consentir explicitamente, (b) para segurança, (c) para cumprir lei aplicável, ou (d) de forma agregada e anonimizada para métricas internas.

7. Compartilhamento de dados

Não vendemos dados pessoais. Compartilhamos apenas com:

• Meta Platforms (Facebook, Instagram, Meta Ads) — para publicação e leitura de métricas autorizadas pelo usuário
• Google LLC (YouTube, Google Ads) — idem
• LinkedIn Corporation — idem
• TikTok For Business — idem
• Supabase Inc. — infraestrutura de banco de dados e storage (servidores em São Paulo e EUA)
• Vercel Inc. — hospedagem da aplicação web (EUA + edge global)
• Resend Inc. — envio de e-mails transacionais (EUA, baseado em AWS SES)
• Sentry / Functional Software Inc. — monitoramento de erros (EUA), com PII scrubbing ativo
• Anthropic PBC — geração de conteúdo via IA (apenas quando o usuário aciona, com PII scrubbing)

Quando exigido por lei ou ordem judicial, podemos compartilhar dados com autoridades competentes — sempre com registro formal e limitado ao estritamente necessário.

LinkedIn: Dados obtidos via LinkedIn API não são combinados com dados de outras fontes sem consentimento explícito do membro, conforme LinkedIn API Terms of Use §4.

8. Transferência internacional de dados

Alguns fornecedores listados acima processam dados fora do Brasil (principalmente EUA e União Europeia). Em conformidade com o Art. 33 da LGPD, essas transferências são amparadas em:

• Cláusulas contratuais padrão entre OminiFox e os operadores;
• Garantias técnicas e organizacionais equivalentes aos padrões brasileiros (TLS 1.3, AES-256, controles de acesso);
• Consentimento do titular ou execução de contrato, conforme a finalidade.

9. Período de retenção

Após esses prazos, dados são excluídos ou anonimizados de forma irreversível.

10. Medidas de segurança (LGPD Art. 46)

• Criptografia em repouso: AES-256-GCM em tokens OAuth, secrets de webhook e dados pessoais sensíveis;
• Criptografia em trânsito: TLS 1.3 obrigatório em todas as conexões;
• Isolamento de banco: Row-Level Security (RLS) PostgreSQL ativo em todas as tabelas;
• Controle de acesso: RBAC (Role-Based Access Control) com permissões granulares;
• Autenticação: hash bcrypt de senhas, MFA opcional, account lockout após tentativas excessivas, anti-enumeração de usuários;
• Uploads: validação de magic bytes (não confia em Content-Type), allowlist de MIME, signed URLs com TTL curto;
• Rate limiting: sliding window por IP, especialmente em endpoints de autenticação e captação de leads;
• Anti-SSRF: validação de URLs em webhooks externos (bloqueia RFC 1918, link-local, metadata de cloud);
• Logs: redação automática de PII, tokens, e-mails antes do armazenamento;
• Backups: diários, criptografados com chave independente, em bucket privado;
• Monitoramento: Sentry com PII scrubbing e detecção de incidentes em tempo real;
• Suíte de testes de segurança: 43+ testes automatizados de regressão (RBAC, isolamento de tenant, SSRF, criptografia, sanitização).

11. Seus direitos como titular (LGPD Art. 18)

Você pode, a qualquer momento:

1. Confirmar a existência de tratamento dos seus dados;
2. Acessar os dados que temos sobre você (export JSON);
3. Corrigir dados incompletos, inexatos ou desatualizados;
4. Solicitar anonimização, bloqueio ou eliminação de dados desnecessários;
5. Solicitar a portabilidade dos seus dados a outro fornecedor;
6. Solicitar a eliminação total dos dados tratados com seu consentimento;
7. Obter informações sobre as entidades públicas e privadas com as quais compartilhamos seus dados;
8. Ser informado sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
9. Revogar consentimento (incluindo conexões OAuth a qualquer momento);
10. Opor-se a tratamento realizado com base em legítimo interesse.

Para exercer esses direitos:

• Pela plataforma: acesse Configurações › Privacidade › Meus Dados (export JSON + exclusão);
• Por e-mail: envie solicitação para contato@ominifoxdigital.com.br;
• Por formulário: ominifoxdigital.com.br/exclusao-de-dados.html.

Resposta em até 15 dias corridos (Art. 19 LGPD). Solicitações via callback oficial da Meta são processadas em 24 horas.

12. Cookies

Utilizamos apenas cookies estritamente necessários para o funcionamento da plataforma:

• Cookies de sessão (HttpOnly, Secure, SameSite=Lax) — autenticação;
• Cookies de preferência — idioma e tema;
• Cookies de role (HMAC-assinado) — controle de acesso RBAC.

Não utilizamos cookies de rastreamento publicitário, fingerprinting de dispositivo, ou cookies de terceiros para perfilamento.

13. Menores de idade

A plataforma OminiFox é destinada a uso por profissionais maiores de 18 anos. Não coletamos conscientemente dados de menores de 13 anos. Caso identifique cadastro indevido, entre em contato para imediata exclusão.

14. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças legais, regulatórias ou operacionais. Alterações relevantes serão comunicadas por e-mail e exibidas em destaque na plataforma com pelo menos 15 dias de antecedência à entrada em vigor.

15. Como nos contatar

Você também pode peticionar diretamente à ANPD em gov.br/anpd.