1. Introdução e identidade do controlador
A Conectei ("plataforma") é um sistema de inteligência e operação imobiliária desenvolvido para corretores e equipes imobiliárias.
Esta Política de Privacidade descreve como coletamos, usamos, armazenamos, protegemos e compartilhamos seus dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e demais normas aplicáveis.
Controlador dos dados pessoais: AFFARI IMMOBILIARI LTDA
CNPJ: 60.476.467/0001-34
Marca e nome público do produto: Conectei
Localização pública: Itapema, Santa Catarina, Brasil
Canal de privacidade e LGPD: privacidade@conecteimob.com.br
Ao utilizar a plataforma, você confirma que leu e compreende esta política. Se não concordar, não utilize o serviço.
2. Dados pessoais que coletamos
2.1 Dados que você fornece diretamente
- Nome completo e e-mail (cadastro e autenticação)
- Telefone e WhatsApp (perfil profissional)
- CPF/CNPJ informado para consulta de validação e número, estado e tipo de CRECI
- Empresa, cargo e cidade/estado de atuação
- Documentos PDF enviados para assinatura eletrônica
- Dados de contato de terceiros (signatários em contratos)
- Destinatários, telefones selecionados, mensagens enviadas e recebidas, instruções para a IA, estados de conversa e registros de execução de campanhas de WhatsApp
- CPF, finalidade e declaração informados para criar uma verificação de identidade KBA
- Respostas enviadas pela pessoa que acessa um questionário KBA
- CPF e respostas usados no questionário KBA obrigatório do onboarding para confirmar a identidade profissional
2.2 Dados coletados automaticamente
- Endereço IP, tipo de navegador e sistema operacional
- Páginas visitadas, tempo de sessão e interações na plataforma
- Cookies de sessão e cookies técnicos de autenticação
- Token de sessão armazenado em cookie httpOnly (não acessível por JavaScript)
- Logs de acesso (data, hora e ação realizada)
2.3 Dados obtidos de terceiros
- Google OAuth: nome, e-mail e foto de perfil fornecidos pelo Google ao autenticar
- Facebook Login: nome, e-mail e foto de perfil fornecidos pelo Facebook ao autenticar
- Motor de dados cadastrais: dados cadastrais e de contato para consultas de análise de crédito
- SCPC Boa Vista (via API Full): score e relatório de crédito (mediante consentimento explícito)
- Google Maps / Google Places: coordenadas e endereços para pesquisa municipal
- Prefeitura de Itapema / Geomais BC: dados fundiários e cadastrais públicos
- Provedor de verificação de identidade: perguntas e resultado necessários ao questionário KBA
3. Finalidades e bases legais do tratamento
| Finalidade | Base legal (LGPD) |
|---|
| Autenticação e controle de acesso à plataforma | Execução de contrato (art. 7º, V) |
| Validação do CRECI para uso profissional | Cumprimento de obrigação legal (art. 7º, II) + Legítimo interesse (art. 7º, IX) |
| Prestação dos serviços contratados (pesquisa, campanhas, precificação, verificação de identidade e assinaturas) | Execução de contrato (art. 7º, V) |
| Envio de e-mails transacionais (magic link, convites, notificações) | Execução de contrato (art. 7º, V) |
| Análise de crédito (consulta SCPC) | Consentimento específico (art. 7º, I) |
| Indicações e programa de referência | Legítimo interesse (art. 7º, IX) |
| Detecção de fraudes e segurança da plataforma | Legítimo interesse (art. 7º, IX) |
| Observabilidade e monitoramento de saúde do sistema | Legítimo interesse (art. 7º, IX) |
| Cumprimento de obrigações fiscais e legais | Cumprimento de obrigação legal (art. 7º, II) |
4. Compartilhamento de dados
Não vendemos seus dados. Compartilhamos dados apenas nas situações abaixo, com fornecedores que atuam como operadores e estão contratualmente vinculados a tratar os dados apenas para as finalidades descritas:
- Prisma / PostgreSQL — banco de dados principal (hospedagem na infraestrutura Vercel/AWS)
- Vercel Inc. — hospedagem, funções serverless e CDN (EUA; adequação via SCCs)
- Google LLC — autenticação OAuth, Maps, Places e serviços de geocodificação
- Meta Platforms Inc. — autenticação via Facebook Login
- Cloudinary Inc. — armazenamento e entrega de imagens de perfil e imóveis
- Provedor de assinatura eletrônica — processamento e armazenamento de documentos assinados
- Provedor de conexão e mensagens pelo WhatsApp — manutenção da conexão, envio das abordagens e entrega de eventos das conversas elegíveis
- Provedor de verificação de identidade — geração e validação do questionário KBA
- Asaas Serviços Financeiros S.A. — processamento de pagamentos e cobrança
- Provedores de dados cadastrais / API Full — consultas de crédito e enriquecimento cadastral
- OpenRouter e provedores com Zero Data Retention — modelos de linguagem para funcionalidades assistidas
- Autoridades públicas — quando exigido por lei, ordem judicial ou regulação aplicável
5. Cookies e rastreamento
Utilizamos exclusivamente cookies técnicos estritamente necessários para o funcionamento da plataforma. Não utilizamos cookies de publicidade, retargeting ou rastreamento entre sites.
Cookies utilizados:
- conectei_session / __Host-conectei_session — cookie de sessão autenticada (httpOnly, Secure, SameSite=Lax; expira em 7 dias)
- conectei_oauth_state — estado CSRF para fluxo OAuth (httpOnly; expira em 10 minutos)
- conectei_oauth_provider — provedor OAuth em uso (httpOnly; expira em 10 minutos)
- conectei_referral — código de referência de indicação (1 dia; removido após uso)
6. Retenção e exclusão de dados
| Dado | Prazo de retenção |
|---|
| Dados de conta e perfil | Enquanto a conta estiver ativa + 5 anos após encerramento |
| Sessões de autenticação | 7 dias (automático) ou até revogação manual |
| Logs de acesso | 6 meses |
| Documentos assinados | Até solicitação de exclusão, respeitado prazo legal de 5 anos |
| Relatórios de crédito (SCPC) | 180 dias após a consulta, encriptados |
| Conexão do WhatsApp | Enquanto estiver ativa para campanhas e conversas, até logout, revogação ou expiração operacional definida para a funcionalidade |
| Destinatários, mensagens, instruções e resultados de campanhas de WhatsApp | Pelo período de retenção operacional configurado para a funcionalidade |
| Questionário e respostas da verificação KBA | Até a conclusão, expiração, revogação ou falha; depois, o conteúdo é eliminado e permanece apenas o resumo e a auditoria mínima necessários |
| Dados financeiros / cobranças | 5 anos (obrigação fiscal) |
| Backups | Até 90 dias após exclusão da conta principal |
7. Seus direitos como titular
Nos termos da LGPD (arts. 18 a 20), você tem os seguintes direitos, que podem ser exercidos a qualquer momento pelo e-mail privacidade@conecteimob.com.br:
- Confirmação e acesso — saber se tratamos seus dados e obter cópia
- Correção — corrigir dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação — de dados desnecessários ou excessivos
- Portabilidade — receber seus dados em formato estruturado e interoperável
- Eliminação — excluir dados tratados com base em consentimento
- Revogação do consentimento — sem prejuízo à legalidade do tratamento anterior
- Oposição — opor-se a tratamento realizado com base em legítimo interesse
- Informação sobre compartilhamento — saber com quais entidades seus dados são compartilhados
- Revisão de decisões automatizadas — solicitar revisão humana de decisões automatizadas
- Petição à ANPD — apresentar reclamação à Autoridade Nacional de Proteção de Dados
8. Segurança dos dados
- Tokens de sessão armazenados apenas como hash SHA-256 no banco de dados
- Comunicação cifrada via TLS 1.2+ em toda a infraestrutura
- Cookies de sessão com flags HttpOnly, Secure e SameSite=Lax
- Dados sensíveis (relatórios de crédito) armazenados com criptografia AES-256
- CPF usado na verificação KBA não armazenado em claro e conteúdo do questionário protegido durante o fluxo
- No onboarding, gabarito, respostas corretas e identificador do fornecedor não são expostos ao navegador; as respostas escolhidas são enviadas para validação sem persistência no dispositivo, e tentativas terminadas mantêm somente estado e auditoria mínimos
- Links de questionário KBA temporários, revogáveis e de uso único
- Credenciais da conexão do WhatsApp protegidas e acesso limitado ao usuário e à organização responsáveis
- CPF/CNPJ usado na validação do CRECI armazenado criptografado e deduplicado por HMAC
- Proteção CSRF via state token criptografado em fluxos OAuth
- Verificação de autenticidade dos webhooks conforme os mecanismos de cada integração
- Controle de acesso por função (RBAC) na plataforma
- Monitoramento contínuo de saúde e alertas operacionais
- Sem armazenamento de senhas (autenticação sem senha — Magic Link, Google, Facebook)
9. Menores de idade
O Conectei é uma plataforma profissional destinada exclusivamente a corretores de imóveis habilitados (CRECI ativo). Não coletamos intencionalmente dados de menores de 18 anos. Se tomarmos conhecimento de que coletamos dados de menor de idade sem consentimento parental, eliminaremos as informações imediatamente.
10. Transferência internacional de dados
Alguns de nossos fornecedores estão localizados fora do Brasil (notadamente Vercel Inc., Google LLC e Meta Platforms Inc., nos EUA; Cloudinary Inc., também nos EUA). Essas transferências são realizadas com garantias adequadas, incluindo Cláusulas Contratuais Padrão (SCCs) aprovadas por autoridades de proteção de dados, em conformidade com o art. 33 da LGPD.
11. Alterações nesta política
Podemos atualizar esta política periodicamente. Quando fizermos alterações materiais, notificaremos você por e-mail ou mediante aviso destacado na plataforma com pelo menos 30 dias de antecedência, quando aplicável. A data de "última atualização" no topo desta página reflete a versão vigente.
12. Contato sobre privacidade e LGPD
Para exercer seus direitos, fazer perguntas ou reportar preocupações sobre privacidade:
Canal oficial: privacidade@conecteimob.com.br
Tentaremos responder em até 5 dias úteis para questões simples e 15 dias úteis para solicitações formais de direitos. Se não ficar satisfeito com nossa resposta, você pode contatar a Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.