Seu dado é seu. Esta política explica exatamente o que coletamos, por que coletamos, com quem compartilhamos e quais direitos você tem — sem jargão desnecessário.
1. Introdução e identidade do controlador
A Conectei ("plataforma") é um sistema de inteligência e operação imobiliária desenvolvido para corretores e equipes imobiliárias.
Esta Política de Privacidade descreve como coletamos, usamos, armazenamos, protegemos e compartilhamos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais normas aplicáveis.
Controlador dos dados pessoais: AFFARI IMMOBILIARI LTDA
CNPJ: 60.476.467/0001-34
Marca e nome público do produto: Conectei
Localização pública: Itapema, Santa Catarina, Brasil
Canal de privacidade e LGPD: privacidade@conecteimob.com.br
Ao utilizar a plataforma, você confirma que leu e compreende esta política. Se não concordar, não utilize o serviço.
2. Dados pessoais que coletamos
2.1 Dados que você fornece diretamente
Nome completo e e-mail (cadastro e autenticação)
Telefone e WhatsApp (perfil profissional)
CPF e número, estado e tipo de CRECI informados ao solicitar acesso à Captação; CPF/CNPJ quando necessário a uma consulta ou contratação
Empresa, cargo e cidade/estado de atuação
Documentos PDF enviados para assinatura eletrônica
Nome, e-mail e telefone enviados intencionalmente no chat de entrada e no cadastro, para acompanhar seu interesse e ajudar a concluir o acesso, inclusive se você parar antes da confirmação por código. Um contato ainda não confirmado permanece identificado como não verificado
Dados de contato de terceiros (signatários em contratos)
Destinatários, telefones selecionados, mensagens enviadas e recebidas, instruções para a IA, estados de conversa e registros de execução de campanhas de WhatsApp
CPF, finalidade e declaração informados para criar uma verificação de identidade KBA
Respostas enviadas pela pessoa que acessa um questionário KBA
CPF e respostas usados no questionário KBA de verificação profissional para liberar Captação; essa etapa não é exigida para entrar na plataforma ou usar as demais ferramentas
Na contratação anual com cobrança mensal: identificação profissional, CPF/CNPJ, endereço, dados e poderes do signatário, versões do contrato e registros necessários à assinatura eletrônica e à execução do acordo. As partes recebem o documento via Clicksign; dados de pagamento são tratados pelo Asaas. A versão assinada e seus comprovantes são preservados conforme as obrigações contratuais e legais aplicáveis
2.2 Dados coletados automaticamente
Endereço IP, tipo de navegador e sistema operacional
Páginas visitadas, tempo de sessão e interações na plataforma
Cookies de sessão e cookies técnicos de autenticação
Token de sessão armazenado em cookie httpOnly (não acessível por JavaScript)
Logs de acesso (data, hora e ação realizada)
Métricas de uso registradas automaticamente: origem de acesso e campanhas, páginas, cliques, profundidade de rolagem, tempo ativo por seção e etapas do funil. Sem cookies opcionais, usamos identificadores temporários mantidos apenas na memória da página. Eventos de usuários autenticados podem ser relacionados à conta. Não gravamos a tela, senhas, códigos de confirmação, conteúdo digitado ou mensagens como eventos de navegação
2.3 Dados obtidos de terceiros
Google OAuth: nome, e-mail e foto de perfil fornecidos pelo Google ao autenticar
Facebook Login: nome, e-mail e foto de perfil fornecidos pelo Facebook ao autenticar
Motor de dados cadastrais: dados cadastrais e de contato para consultas de análise de crédito
SCPC Boa Vista (via API Full): score e relatório de crédito (mediante consentimento explícito)
Google Maps / Google Places: coordenadas e endereços para pesquisa municipal
Prefeitura de Itapema / Geomais BC: dados fundiários e cadastrais públicos
Provedor de verificação de identidade: perguntas e resultado necessários ao questionário KBA
Prestação dos serviços contratados (pesquisa, campanhas, precificação, verificação de identidade e assinaturas)
Execução de contrato (art. 7º, V)
Envio de e-mails transacionais (magic link, convites, notificações)
Execução de contrato (art. 7º, V)
Análise de crédito (consulta SCPC)
Consentimento específico (art. 7º, I)
Indicações e programa de referência
Legítimo interesse (art. 7º, IX)
Detecção de fraudes e segurança da plataforma
Legítimo interesse (art. 7º, IX)
Observabilidade e monitoramento de saúde do sistema
Legítimo interesse (art. 7º, IX)
Cookies e armazenamento opcionais para continuidade da navegação entre visitas
Consentimento, que pode ser retirado nesta página
Acompanhamento do interesse enviado pelo visitante no chat e cadastro
Autorização informada no envio do contato; você pode pedir o encerramento do acompanhamento
Cumprimento de obrigações fiscais e legais
Cumprimento de obrigação legal (art. 7º, II)
4. Compartilhamento de dados
Não vendemos seus dados. Compartilhamos dados apenas nas situações abaixo, com fornecedores que atuam como operadores e estão contratualmente vinculados a tratar os dados apenas para as finalidades descritas:
Prisma / PostgreSQL — banco de dados principal (hospedagem na infraestrutura Vercel/AWS)
Vercel Inc. — hospedagem, funções serverless e CDN (EUA; adequação via SCCs)
Google LLC — autenticação OAuth, Maps, Places e serviços de geocodificação
Meta Platforms Inc. — autenticação via Facebook Login
Cloudinary Inc. — armazenamento e entrega de imagens de perfil e imóveis
Provedor de assinatura eletrônica — processamento e armazenamento de documentos assinados
Provedor de conexão e mensagens pelo WhatsApp — manutenção da conexão, envio das abordagens e entrega de eventos das conversas elegíveis
Provedor de verificação de identidade — geração e validação do questionário KBA
Asaas Serviços Financeiros S.A. — processamento de pagamentos e cobrança
Meta Platforms — mensuração de anúncios no Facebook e Instagram, somente com autorização específica para publicidade
Provedores de dados cadastrais / API Full — consultas de crédito e enriquecimento cadastral
OpenRouter e provedores com Zero Data Retention — modelos de linguagem para funcionalidades assistidas
Autoridades públicas — quando exigido por lei, ordem judicial ou regulação aplicável
5. Cookies e rastreamento
A publicidade Meta exige autorização específica, separada dos cookies de continuidade entre visitas, e pode ser controlada em /privacidade. Com sua autorização, utilizamos o Meta Pixel e a API de Conversões para medir anúncios do Facebook e Instagram. Compartilhamos eventos de contato, cadastro, reunião, teste, qualificação e pagamento, além de identificadores de campanha e navegador. E-mail, telefone e identificador interno são enviados com hash para correspondência, que não equivale a anonimização. Recusar publicidade interrompe novos envios à Meta sem apagar o histórico operacional interno nem impedir o uso da plataforma. Não enviamos senhas, códigos de verificação, conversas ou informações dos imóveis à Meta. A autorização antiga de cookies não autoriza publicidade automaticamente.
Cookies utilizados:
conectei_session / __Host-conectei_session — cookie de sessão autenticada (httpOnly, Secure, SameSite=Lax; expira em 7 dias)
conectei_oauth_state — estado CSRF para fluxo OAuth (httpOnly; expira em 10 minutos)
conectei_oauth_provider — provedor OAuth em uso (httpOnly; expira em 10 minutos)
conectei_referral — código de referência de indicação (1 dia; removido após uso)
Cookies opcionais e métricas de uso:
Sua escolha é salva em conectei:growth:cookies:v2 apenas para lembrar a preferência. Sem permitir os opcionais, os identificadores e a primeira e última origem ficam apenas na memória da página; recarregar ou reabrir a página inicia uma nova identificação anônima. Somente após permitir, salvamos o identificador do navegador, a sessão e a origem no armazenamento local. A sessão muda após 30 minutos sem atividade; o identificador e a atribuição locais expiram após 90 dias sem renovação
Atribuição pode distinguir indicação, campanha de teste, busca, redes sociais, links de WhatsApp e outros acessos quando o link ou o navegador fornece essa informação. Sem esses sinais, a origem pode ficar como acesso direto; não afirmamos conhecer uma origem que não foi informada
São registradas apenas categorias de eventos e rotas permitidas. Links privados, parâmetros com informações pessoais, conteúdo de formulários e mensagens não integram as medidas de comportamento. O envio intencional de contato para atendimento é tratado separadamente
Ao recusar os opcionais, removemos os identificadores e a atribuição salvos neste navegador e continuamos as métricas com uma nova identificação temporária em memória. A escolha não interrompe o registro de uso nem desvincula eventos autenticados da conta. Os sinais Global Privacy Control e Do Not Track interrompem a coleta comportamental. Para solicitar a exclusão dos dados já recebidos, use o canal de privacidade
Você pode permitir ou recusar os cookies opcionais no aviso, sem bloquear a navegação, e alterar sua escolha abaixo. Cookies essenciais de autenticação e segurança continuam ativos. Dados operacionais de conta, cobrança, segurança e contatos que você enviou para atendimento continuam sujeitos às suas finalidades e regras de retenção.
Continuidade entre visitas: não permitidos.
Os cookies essenciais continuam ativos. Recusar os opcionais remove os identificadores salvos neste navegador; as métricas de uso continuam com identificadores temporários, sem persistência de navegação.
Publicidade Meta: não permitida. Com sua autorização, compartilhamos eventos de conversão e identificadores para medir campanhas do Facebook e Instagram. Recusar interrompe novos envios à Meta.
6. Retenção e exclusão de dados
Dado
Prazo de retenção
Dados de conta e perfil
Enquanto a conta estiver ativa + 5 anos após encerramento
Sessões de autenticação
7 dias (automático) ou até revogação manual
Logs de acesso
6 meses
Eventos comportamentais de navegação
90 dias
Identificadores de publicidade Meta
Até 90 dias ou revogação da autorização
Dados de correspondência na fila de conversões
Até entrega, falha definitiva, revogação ou encerramento do prazo de envio de 7 dias; o histórico operacional do evento permanece separado
Documentos assinados
Até solicitação de exclusão, respeitado prazo legal de 5 anos
Relatórios de crédito (SCPC)
180 dias após a consulta, encriptados
Conexão do WhatsApp
Enquanto estiver ativa para campanhas e conversas, até logout, revogação ou expiração operacional definida para a funcionalidade
Destinatários, mensagens, instruções e resultados de campanhas de WhatsApp
Pelo período de retenção operacional configurado para a funcionalidade
Questionário e respostas da verificação KBA
Até a conclusão, expiração, revogação ou falha; depois, o conteúdo é eliminado e permanece apenas o resumo e a auditoria mínima necessários
Dados financeiros / cobranças
5 anos (obrigação fiscal)
Backups
Até 90 dias após exclusão da conta principal
7. Seus direitos como titular
Nos termos da LGPD (arts. 18 a 20), você tem os seguintes direitos, que podem ser exercidos a qualquer momento pelo e-mail privacidade@conecteimob.com.br:
Confirmação e acesso — saber se tratamos seus dados e obter cópia
Correção — corrigir dados incompletos, inexatos ou desatualizados
Anonimização, bloqueio ou eliminação — de dados desnecessários ou excessivos
Portabilidade — receber seus dados em formato estruturado e interoperável
Eliminação — excluir dados tratados com base em consentimento
Revogação do consentimento — sem prejuízo à legalidade do tratamento anterior
Oposição — opor-se a tratamento realizado com base em legítimo interesse
Informação sobre compartilhamento — saber com quais entidades seus dados são compartilhados
Revisão de decisões automatizadas — solicitar revisão humana de decisões automatizadas
Petição à ANPD — apresentar reclamação à Autoridade Nacional de Proteção de Dados
Responderemos a solicitações em até 15 dias úteis. Em casos excepcionais, poderemos solicitar confirmação de identidade antes de processar o pedido.
8. Segurança dos dados
Tokens de sessão armazenados apenas como hash SHA-256 no banco de dados
Comunicação cifrada via TLS 1.2+ em toda a infraestrutura
Cookies de sessão com flags HttpOnly, Secure e SameSite=Lax
Dados sensíveis (relatórios de crédito) armazenados com criptografia AES-256
CPF usado na verificação KBA não armazenado em claro e conteúdo do questionário protegido durante o fluxo
No onboarding, gabarito, respostas corretas e identificador do fornecedor não são expostos ao navegador; as respostas escolhidas são enviadas para validação sem persistência no dispositivo, e tentativas terminadas mantêm somente estado e auditoria mínimos
Links de questionário KBA temporários, revogáveis e de uso único
Credenciais da conexão do WhatsApp protegidas e acesso limitado ao usuário e à organização responsáveis
CPF/CNPJ usado na validação do CRECI armazenado criptografado e deduplicado por HMAC
Proteção CSRF via state token criptografado em fluxos OAuth
Verificação de autenticidade dos webhooks conforme os mecanismos de cada integração
Controle de acesso por função (RBAC) na plataforma
Monitoramento contínuo de saúde e alertas operacionais
Contas da plataforma usam autenticação sem senha — Magic Link, Google e Facebook. Os acessos de operadores ao painel de Analytics são separados e usam senha protegida por hash, nunca armazenada em texto puro
9. Menores de idade
O Conectei é uma plataforma profissional destinada exclusivamente a corretores de imóveis habilitados (CRECI ativo). Não coletamos intencionalmente dados de menores de 18 anos. Se tomarmos conhecimento de que coletamos dados de menor de idade sem consentimento parental, eliminaremos as informações imediatamente.
10. Transferência internacional de dados
Alguns de nossos fornecedores estão localizados fora do Brasil (notadamente Vercel Inc., Google LLC e Meta Platforms Inc., nos EUA; Cloudinary Inc., também nos EUA). Essas transferências são realizadas com garantias adequadas, incluindo Cláusulas Contratuais Padrão (SCCs) aprovadas por autoridades de proteção de dados, em conformidade com o art. 33 da LGPD.
11. Alterações nesta política
Podemos atualizar esta política periodicamente. Quando fizermos alterações materiais, notificaremos você por e-mail ou mediante aviso destacado na plataforma com pelo menos 30 dias de antecedência, quando aplicável. A data de "última atualização" no topo desta página reflete a versão vigente.
12. Contato sobre privacidade e LGPD
Para exercer seus direitos, fazer perguntas ou reportar preocupações sobre privacidade:
Canal oficial: privacidade@conecteimob.com.br
Tentaremos responder em até 5 dias úteis para questões simples e 15 dias úteis para solicitações formais de direitos. Se não ficar satisfeito com nossa resposta, você pode contatar a Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.