POLÍTICA DE PRIVACIDADE DO KENDRAX

POLÍTICA DE PRIVACIDADE DO KENDRAX Versão 1.4.0 Revisão do texto: 22 de outubro de 2026 Publicação e vigência: conforme registro da nova versão na Plataforma.

1. APRESENTAÇÃO

Esta Política explica como o Kendrax trata dados pessoais relacionados à contratação, utilização da Plataforma, extensão para navegador, integrações, suporte, pagamentos, segurança e demais atividades do serviço.

O Kendrax é disponibilizado por Phablo Raphael Faitanin Pereira, pessoa física, com referência de localização em São Gonçalo/RJ. O canal de privacidade e exercício de direitos dos titulares é faitaninraphael@gmail.com, com retorno inicial estimado em até 48 horas úteis. Essa indicação identifica o canal responsável pelo atendimento de privacidade e não representa, por si só, designação formal de encarregado.

Esta Política deve ser lida em conjunto com os Termos de Uso e demais avisos apresentados na Plataforma.

2. PAPÉIS NO TRATAMENTO DE DADOS

O Kendrax pode atuar em papéis distintos, conforme a atividade:

2.1. Kendrax como controlador

O Kendrax atua como controlador quando define as finalidades e os meios do tratamento relacionado a:

- cadastro e autenticação de usuários; - contratação, teste gratuito e faturamento; - gestão de planos e assinaturas; - segurança, prevenção a fraude e auditoria; - suporte técnico e comunicações administrativas; - proteção da Plataforma e exercício de direitos; - cumprimento de obrigações legais.

2.2. Contratante como controlador e Kendrax como operador

A regional, empresa ou escritório contratante atua como controlador quando decide quais dados de clientes, associados, leads, contatos, dependentes e terceiros serão cadastrados, as finalidades desse uso e as comunicações que serão realizadas.

Nessas situações, o Kendrax atua, em regra, como operador, tratando os dados para fornecer as funcionalidades contratadas e conforme as instruções do Contratante.

O titular poderá ser orientado a procurar diretamente o Contratante quando a solicitação depender de decisão que compete a ele.

3. DADOS QUE PODEMOS TRATAR

Conforme o uso da Plataforma, podem ser tratados:

3.1. Dados do Contratante e da regional

- nome, nome público e dados de identificação; - CPF ou CNPJ, quando fornecido e necessário; - e-mail, telefone e endereço; - plano, contas contratadas e recursos habilitados; - situação da assinatura, teste, bloqueio e cancelamento; - informações de cobrança e pagamento; - aceite de documentos legais.

3.2. Dados de usuários

- nome, e-mail, telefone e perfil de acesso; - credenciais protegidas e hash de senha; - tokens, códigos de confirmação e recuperação; - regional vinculada e permissões; - registros de login, autenticação e segurança; - IP, user-agent, data e hora de eventos relevantes.

3.3. Dados de clientes, associados e leads cadastrados pelo Contratante

- nome, CPF ou CNPJ; - telefone, e-mail e endereço, quando inseridos; - origem, status e etapa comercial; - veículos, placas, modelo do veículo e dados relacionados; - cotações, atendimentos, observações e tarefas; - dados necessários à consulta de boletos ou serviços solicitados; - histórico de relacionamento e comunicação.

3.4. Dados do WhatsApp e da extensão

- número de telefone e identificação da conta; - conteúdo de mensagens necessário à operação solicitada; - data, hora, direção, status e classificação de mensagens; - conversas, atendimentos, observações, templates e tarefas; - identificadores técnicos do WhatsApp Web; - configurações de IA, chatbot e atendimento humano.

3.5. Dados financeiros

- identificadores de clientes e cobranças no Asaas; - valor, vencimento, competência e período pago; - status da cobrança, data de confirmação e ambiente de pagamento; - links de fatura, boleto ou página de pagamento; - histórico de sincronização, cancelamento e reembolso; - assinatura e canais vinculados, valor contratado e preço aceito em pedidos de troca; - concessão/encerramento de gratuidade, solicitação de abono, período beneficiado, motivo, administrador responsável e registros de conciliação.

A cobrança é por assinatura; canais da mesma assinatura não representam mensalidades duplicadas por si só. Um benefício sem pagamento é identificado como tal, sem transformar abono em recebimento.

Os formulários e meios de pagamento são disponibilizados pelo Asaas. O fluxo de assinatura examinado não exige o envio ao Kendrax de número completo de cartão, código de segurança ou senha bancária. Informações inseridas no ambiente de pagamento são tratadas pelo provedor conforme suas políticas. Não envie essas credenciais ao suporte.

3.6. Dados técnicos e de uso

- endereço IP, user-agent, dispositivo e navegador; - logs de acesso e auditoria; - erros, eventos, métricas de desempenho e segurança; - data, hora, rota, ação e recurso acessado; - cookies e tecnologias necessárias à autenticação e funcionamento.

3.7. Dados do ERP e App Consultor/APVS

Quando a integração é configurada, podem ser tratados login e credenciais protegidas, referência da Regional, sessão de navegador, cookies e outros identificadores necessários ao acesso autorizado, relatórios de pré-boletos e inadimplência, identificação de contratos, associados, placas, contatos, valores, vencimentos, situação e dados de cancelamento quando presentes no relatório. A integração App Consultor/APVS também pode tratar dados de cotações, propostas e documentos enviados conforme a operação solicitada, como fotografias ou arquivos de identificação e do veículo, dados extraídos desses arquivos e referências de vistoria. A extração pode utilizar IA quando habilitada. A imagem de documento não é classificada automaticamente como dado biométrico; se houver tratamento biométrico para identificação, aplicam-se as exigências específicas para dados sensíveis.

A consulta serve à preparação, conferência e revalidação das campanhas. Os registros persistidos podem incluir destinatários, mensagens, valores, situação, período consultado, alertas, decisões humanas, prova de conferência e histórico de execução. Falhas de sessão podem gerar tentativas automáticas de reconexão e email de orientação ao contato configurado. Não é uma sincronização automática de toda a base do ERP.

4. DADOS SENSÍVEIS

O Kendrax não foi projetado especificamente para tratar dados pessoais sensíveis.

O Contratante deve evitar inserir dados sobre saúde, biometria, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual, orientação sexual, dados genéticos ou outras categorias sensíveis, salvo quando estritamente necessário, legítimo e amparado por base legal adequada.

O Contratante é responsável por avaliar a necessidade, proporcionalidade e legalidade desses registros.

5. CRIANÇAS E ADOLESCENTES

O Kendrax não se destina diretamente a crianças ou adolescentes.

Caso o Contratante insira dados de menores em registros de associados, dependentes, contatos ou documentos, deverá observar o melhor interesse do titular, possuir finalidade legítima e base legal adequada e cumprir os requisitos da LGPD e demais normas aplicáveis.

6. FINALIDADES DO TRATAMENTO

Os dados podem ser tratados para:

- criar e manter contas e usuários; - autenticar acessos e recuperar senhas; - prestar as funcionalidades do CRM; - organizar clientes, leads, veículos, cotações e atendimentos; - integrar o WhatsApp Web e a extensão; - enviar, receber, classificar e organizar comunicações; - executar chatbot, automações e recursos de IA; - gerar e administrar cobranças, pagamentos e renovações; - aplicar teste gratuito, bloqueio, cancelamento, liberação e benefícios administrativos; - consultar relatórios autorizados do ERP, preparar campanhas e conferir novamente os dados antes de envios sujeitos à revalidação; - enviar e-mails transacionais e avisos; - prestar suporte e solucionar problemas; - prevenir fraude, abuso e incidentes; - registrar auditoria e cumprir obrigações legais; - exercer ou defender direitos em processos; - melhorar segurança, estabilidade e desempenho.

7. FINALIDADES E BASES LEGAIS

Cada operação precisa ter finalidade específica e base legal apropriada; esta Política não autoriza aplicação indistinta de todas as bases da LGPD.

- Cadastro, autenticação, contratação, assinatura, suporte e execução do serviço: execução de contrato e procedimentos preliminares, quando cabíveis. - Registros fiscais, financeiros ou de atendimento cuja guarda seja obrigatória e atendimento a ordens válidas: cumprimento de obrigação legal ou regulatória. - Defesa em processos e preservação de prova necessária: exercício regular de direitos. - Segurança, prevenção de abuso e estabilidade: execução contratual, deveres legais de segurança e, quando adequado, legítimo interesse após avaliação de necessidade, proporcionalidade e salvaguardas. - Proteção do crédito: apenas nas operações em que essa hipótese seja efetivamente aplicável; não autoriza divulgação irrestrita de dívidas. - Marketing e tratamentos que dependam de consentimento: manifestação específica, informada, demonstrável e revogável quando exigida. A finalidade não será presumida pelo simples cadastro ou pelo aceite destes documentos.

Quando o Kendrax atua como operador, o Contratante controlador define e deve documentar a finalidade e a base legal da utilização dos dados, observadas as instruções de tratamento dos Termos. Uma integração autorizada tecnicamente não prova a base legal de toda a base importada. Dados sensíveis seguem as hipóteses próprias do art. 11 da LGPD; não se presume legítimo interesse como base para essas categorias.

O Kendrax deve informar separadamente eventual nova finalidade incompatível e observar as condições legais antes de iniciá-la. A ciência desta Política não é consentimento genérico para marketing, dados de terceiros ou transferências internacionais.

8. COMPARTILHAMENTO E FORNECEDORES

Os dados poderão ser compartilhados, na medida necessária, com fornecedores e categorias como:

- Supabase, para banco de dados e infraestrutura relacionada; - AWS/Lightsail, para hospedagem do backend e VPS; - Vercel, para hospedagem ou distribuição do frontend; - Evolution API e serviços relacionados, para integração operacional com WhatsApp; - OpenAI e outros fornecedores de IA, quando a funcionalidade estiver disponível; - Resend e provedores de e-mail, para mensagens transacionais; - Asaas, para clientes, cobranças, pagamentos e prevenção a fraude; - Meta, WhatsApp Web e componentes do navegador, para operação do canal; - APVS/ERP e App Consultor/APVS, para as consultas, propostas e operações autorizadas; - fornecedores de consulta veicular, como DadosAPI, e de dados de referência FIPE, como Parallelum, quando acionados pelo recurso; - provedores de domínio, DNS, monitoramento, segurança, logs e armazenamento; - autoridades públicas, judiciais ou administrativas, quando exigido; - assessores profissionais, quando necessário à defesa de direitos.

A presença de um fornecedor nesta lista não significa que ele receba todos os dados ou que esteja habilitado em todas as contas. Canais e recursos só envolvem o provedor correspondente quando configurados e utilizados. Acesso administrativo e suporte devem se limitar à finalidade da operação e às permissões aplicáveis; um usuário comum de uma Regional não recebe acesso aos dados de outra.

O compartilhamento será limitado às finalidades legítimas e às informações necessárias para cada atividade. A relação de fornecedores poderá ser atualizada conforme mudanças técnicas e operacionais, preservadas as finalidades e proteções descritas nesta Política.

9. INTELIGÊNCIA ARTIFICIAL

Recursos de IA podem estar em implantação, evolução contínua, fase experimental ou sujeitos ao plano e à disponibilidade.

Dados e mensagens poderão ser enviados a fornecedores de IA para processar solicitações, gerar respostas, executar a funcionalidade e prevenir abuso.

O Kendrax não utiliza dados e mensagens dos clientes para treinar modelos próprios de inteligência artificial.

O envio depende do recurso habilitado e acionado. A retenção técnica e o tratamento do fornecedor dependem do contrato, da modalidade e das configurações utilizadas. Não há garantia geral de retenção zero ou de uma condição contratual específica de todos os provedores. O Kendrax deve selecionar condições compatíveis com a finalidade e os deveres de proteção de dados.

10. EXTENSÃO KENDRAX E WHATSAPP WEB

A extensão para navegador tem a finalidade de operar recursos do Kendrax no WhatsApp Web, identificar e organizar conversas, integrar mensagens ao CRM e permitir controles de atendimento, chatbot e IA.

A extensão:

- acessa somente os dados necessários às funções solicitadas; - pode transmitir dados ao backend e fornecedores indispensáveis; - não vende dados pessoais; - não utiliza mensagens para publicidade comportamental; - não compartilha dados com anunciantes; - não cria perfis publicitários; - depende das permissões concedidas e do funcionamento do WhatsApp Web.

O canal Evolution, o WhatsApp Web e a API oficial Meta Cloud API são modalidades distintas. Dados de conta, conteúdo e metadados necessários são transmitidos ao provedor da modalidade utilizada. Templates, consentimentos comerciais e pedidos de descadastramento podem gerar registros de versão do aviso, manifestação, origem, data/hora e informações técnicas conforme a funcionalidade. O Kendrax é independente da Meta e do WhatsApp e não controla suas decisões de aprovação, bloqueio ou disponibilidade.

11. TRANSFERÊNCIA INTERNACIONAL

Fornecedores de infraestrutura, banco de dados, hospedagem, comunicação, email ou IA podem tratar ou armazenar dados fora do Brasil. Não há garantia de residência exclusiva no território brasileiro.

O tratamento e a transferência são avaliações distintas: a base legal da finalidade não substitui a necessidade de um mecanismo de transferência internacional admitido pela LGPD e pela regulamentação aplicável da ANPD. Conforme a operação, podem ser utilizados adequação reconhecida, cláusulas-padrão ou outros mecanismos legalmente admitidos e efetivamente aplicáveis.

O Kendrax deve identificar os fluxos e verificar as condições dos fornecedores. Esta Política não declara que todos os contratos de fornecedores foram auditados, nem substitui os instrumentos e garantias necessários. O titular pode solicitar informações sobre os compartilhamentos e transferências referentes aos seus dados pelo canal indicado. Devem ser disponibilizadas, quando aplicáveis, informações sobre categorias de dados, finalidades, duração, destino, agentes envolvidos, mecanismo utilizado e modo de exercício de direitos, resguardados segredos legítimos. Uma menção genérica a fornecedores ou o aceite desta Política não substituem a adoção efetiva do mecanismo e as informações exigidas pela regulamentação da ANPD.

12. RETENÇÃO E ELIMINAÇÃO

Os dados são conservados conforme a finalidade, a necessidade demonstrável e as obrigações aplicáveis. Durante a relação contratual, os registros necessários podem sustentar a operação, o histórico de atendimento, a segurança e a cobrança. O cancelamento da assinatura não elimina instantaneamente a base.

Esta revisão não estabelece exclusão automática de toda a base em 90 dias. Os prazos devem considerar a categoria de dados e sua finalidade: cadastros, conversas, documentos, campanhas, aceites, auditoria e registros financeiros podem exigir tratamentos diferentes. A ausência de um prazo único não autoriza conservação indefinida sem necessidade ou base legal. Registros de aceite e cobrança podem ser conservados pelo período necessário à prova da relação, ao cumprimento legal e à defesa de direitos, com restrição de uso. Os prazos concretos de retenção por categoria e os ciclos de backup devem ser documentados e informados quando cabível; a mera possibilidade abstrata de litígio não autoriza conservar toda a base indefinidamente. Aplicam-se os prazos legais específicos, inclusive de registros de acesso quando o enquadramento na legislação os exigir.

O exportador ERP procura remover o arquivo temporário baixado ao encerrar a operação. Isso não elimina os itens, valores, contatos, mensagens, provas de revisão e históricos persistidos na campanha. Falhas técnicas podem exigir limpeza adicional e verificação operacional.

Após cancelamento ou solicitação de exclusão, o pedido é analisado para distinguir dados que podem ser eliminados ou anonimizados e registros cuja conservação seja necessária e legalmente permitida, por exemplo para obrigações legais, exercício de direitos, segurança ou defesa em processos. Os dados conservados devem permanecer restritos às finalidades que justificam a guarda. Uma dívida não justifica, por si só, negar todos os direitos do titular.

Backups podem conter cópias residuais temporárias, sujeitas aos ciclos efetivos de retenção do serviço. Não se promete um ciclo específico de expiração sem verificação operacional. Cópias conservadas não devem ser reutilizadas para finalidades incompatíveis; uma restauração precisa considerar solicitações de eliminação ou restrição já atendidas.

13. DIREITOS DOS TITULARES

Nos termos da LGPD, o titular poderá solicitar, conforme aplicável:

- confirmação da existência de tratamento; - acesso aos dados; - correção de dados incompletos, inexatos ou desatualizados; - anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; - portabilidade, observadas as regras aplicáveis; - informação sobre compartilhamentos; - revogação do consentimento; - revisão de decisões automatizadas, quando aplicável; - oposição a tratamento irregular; - informação sobre consequências da negativa de consentimento.

As solicitações devem ser enviadas para faitaninraphael@gmail.com. Poderemos pedir informações adicionais para confirmar identidade, legitimidade e segurança.

O atendimento é gratuito nos termos legais. Pedidos de confirmação e acesso seguem a forma e os prazos da LGPD, incluindo resposta simplificada imediata ou declaração completa em até 15 dias quando aplicável, observada regulamentação específica. O prazo estimado de suporte não substitui esses prazos. A resposta deve informar providências, eventuais limitações legais e meios de esclarecimento.

Quando o pedido se referir a dados inseridos por uma Regional, o Kendrax deve auxiliar e encaminhar a solicitação ao Contratante controlador quando necessário; o encaminhamento não afasta os deveres próprios do Kendrax. O titular também pode apresentar reclamação à ANPD ou aos órgãos competentes e obter informações sobre consequências da recusa de consentimento. Não são cobradas mensalidades em atraso como condição geral para receber um pedido de titular.

14. EXPORTAÇÃO, PORTABILIDADE E EXCLUSÃO

Não há garantia de ferramenta automática de autoexportação ou autoexclusão.

Pedidos podem ser enviados ao suporte e também são orientados pela página pública https://app.kendrax.com.br/exclusao-de-dados. A ausência de autoatendimento não afasta os direitos e prazos legais. A análise deve considerar a identidade do solicitante, a finalidade, as hipóteses legais de conservação e os direitos de terceiros; registros que precisem ser mantidos não justificam recusar o restante de um pedido cabível.

O cancelamento da assinatura não implica eliminação instantânea de todos os registros.

15. SEGURANÇA

O Kendrax adota medidas técnicas e administrativas razoáveis e proporcionais, que podem incluir controle de acesso, autenticação, registros de auditoria, segregação lógica por regional, criptografia em trânsito, gestão de credenciais e monitoramento.

Essas medidas não significam que todos os dados sejam criptografados de ponta a ponta, que o conteúdo operacional seja inacessível aos profissionais autorizados ou que haja certificação externa de segurança. O acesso administrativo e de suporte deve se limitar à necessidade da atividade e ser protegido e registrado conforme os controles aplicáveis. Nenhum sistema é totalmente imune a incidentes. O Contratante também deve proteger suas credenciais, restringir usuários, atualizar dispositivos e comunicar suspeitas de acesso indevido.

16. INCIDENTES DE SEGURANÇA

Em caso de incidente com dados pessoais, o Kendrax deve adotar medidas para contenção, investigação, avaliação de risco e mitigação e registrar os fatos e decisões. Quando atuar como operador, deve informar o controlador sem demora injustificada e fornecer os elementos disponíveis e suas complementações. Quando atuar como controlador e o incidente puder causar risco ou dano relevante, deve comunicar a ANPD e os titulares nos prazos e condições da regulamentação vigente, sem aguardar indevidamente o fim da investigação. Comunicações devem descrever o incidente, riscos, medidas e canal de esclarecimento, conforme exigido. A indicação de um contato de suporte não comprova existência de resposta automatizada a incidentes nem substitui a atuação do responsável.

O Contratante deverá colaborar com informações e providências necessárias quando o incidente envolver dados sob sua responsabilidade.

17. COOKIES E ARMAZENAMENTO LOCAL

A interface web utiliza armazenamento da sessão da aba para autenticação e contexto de conta e pode manter preferências como tema, disposição de menus e email lembrado no armazenamento local. A extensão utiliza o armazenamento do navegador para suas funções. Na integração ERP, a sessão de navegador dedicado pode manter cookies e dados necessários ao acesso autorizado.

Esses mecanismos têm finalidades operacionais e de segurança; a referência não autoriza rastreamento publicitário irrestrito. Se tecnologias de análise ou publicidade forem adicionadas, seus dados, finalidades e escolhas aplicáveis deverão ser informados adequadamente. As configurações do navegador e a limpeza de dados podem encerrar sessões ou remover preferências.

18. DECISÕES AUTOMATIZADAS

O Kendrax poderá utilizar automações para classificação de mensagens, priorização de tarefas, bloqueio por inadimplência, segurança e execução de fluxos contratados.

Quando aplicável, o titular poderá solicitar informações e revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, observados os limites legais e segredos comercial e industrial.

19. ATUALIZAÇÕES DESTA POLÍTICA

Esta Política poderá ser atualizada para refletir mudanças legais, técnicas, operacionais ou de fornecedores.

Alterações materiais poderão exigir nova ciência ou aceite. A versão vigente, a data de publicação e os registros correspondentes serão mantidos na Plataforma.

20. LEGISLAÇÃO APLICÁVEL

Esta Política será interpretada conforme as leis brasileiras, especialmente a Lei Geral de Proteção de Dados Pessoais, o Marco Civil da Internet, o Código de Defesa do Consumidor e a regulamentação da Autoridade Nacional de Proteção de Dados.

21. CONTATO

Para dúvidas ou exercício de direitos:

Responsável pelo serviço: Phablo Raphael Faitanin Pereira E-mail: faitaninraphael@gmail.com Localidade de referência: São Gonçalo/RJ Prazo estimado para retorno inicial: até 48 horas úteis.

Esta é a versão 1.4.0. A publicação e a vigência serão as registradas na Plataforma. Aceites e textos de versões anteriores permanecem vinculados às suas versões originais.