O KRM é um CRM para operações imobiliárias. Esta Política explica o tratamento realizado no site, na conta KRM, nos workspaces e nas integrações que cada usuário decide conectar.
- Meta e Google são opcionais e só são conectados depois de uma ação do usuário.
- O KRM não vende dados pessoais nem usa dados Google para publicidade.
- Tokens de integração são armazenados de forma criptografada e removidos da conexão local ao desconectar.
- Leads pertencem à operação que os coletou; desconectar uma integração não apaga automaticamente o histórico comercial legítimo.
Responsável e papéis no tratamento
Mauricio Prado Ortega Firmino, com operação em São Paulo - SP, Brasil, é responsável pelo KRM e atua como controlador dos dados necessários para cadastro, autenticação, segurança, relacionamento contratual e funcionamento do próprio serviço.
Quando um corretor, imobiliária ou equipe insere ou recebe dados de leads em um workspace, esse cliente normalmente define a finalidade do atendimento e atua como controlador. Nessa situação, o KRM atua como operador, processando os dados conforme as instruções e configurações do cliente.
Meta e Google também podem atuar como controladores independentes nos tratamentos feitos em suas próprias plataformas, sujeitos aos termos e políticas deles.
Dados que podem ser tratados
Nome, e-mail, identificador de usuário, credenciais protegidas, preferências e participação em workspaces.
Dados de leads e contatos, telefone, e-mail, projeto, origem, responsável, status, preferências, agenda, notas e histórico de atendimento.
Funções, permissões, convites, compartilhamentos e registros de ações necessários para segurança e rastreabilidade.
Data e hora, endereço IP quando registrado, sessão, navegador, erros, logs de segurança e identificadores usados para evitar duplicidade.
Conta conectada, Pages e formulários autorizados, identificadores de campanha/formulário e campos enviados pelo titular no Lead Ad.
Nome e e-mail da conta autorizada, identificadores do calendário e os eventos necessários à sincronização visível no KRM.
O KRM não solicita dados pessoais sensíveis como requisito geral. Clientes não devem registrar informação excessiva ou sem relação com a operação comercial.
Finalidades e bases legais
Os dados são tratados para criar e proteger contas, entregar as funções contratadas, organizar workspaces, registrar atendimentos, sincronizar compromissos, receber leads autorizados, prestar suporte, prevenir fraude, manter auditoria e cumprir obrigações legais.
Conforme o contexto, o tratamento pode se apoiar na execução de contrato ou de procedimentos preliminares, no cumprimento de obrigação legal ou regulatória, no exercício regular de direitos, no legítimo interesse avaliado com os direitos do titular e no consentimento, quando ele for a base adequada.
O cliente controlador é responsável por definir uma base legal válida para captar leads, realizar contatos comerciais e inserir dados no KRM, inclusive para preservar consentimentos ou outras evidências de origem quando aplicável.
Como tratamos dados da Meta e do Google
Meta Lead Ads
Depois da autorização, o KRM identifica as Pages e os formulários aos quais o usuário possui acesso, permite escolher o destino e recebe os leads enviados por esses formulários. Os dados são usados para criar ou atualizar o atendimento correspondente, registrar a origem, impedir duplicidades e permitir reprocessamento de falhas.
O webhook é o canal principal de entrada. Como proteção contra indisponibilidades temporárias, uma reconciliação diária consulta em lote apenas o identificador e a data dos leads dos formulários ativos, compara esses identificadores com os registros locais e recupera o conteúdo completo somente quando o lead ainda não existe no KRM.
As permissões solicitadas devem se limitar ao fluxo demonstrado no produto, como listar as Pages autorizadas, inscrever o webhook e recuperar os leads dos formulários selecionados. A autorização pode ser removida em Conexões ou pela própria Meta.
Google Calendar e Limited Use
Depois da autorização, o KRM acessa nome e e-mail da conta e os eventos necessários para exibir e sincronizar compromissos entre a agenda do CRM e o calendário destinado ao KRM. Esse acesso serve somente a uma funcionalidade visível e solicitada pelo usuário.
O uso e a transferência de dados recebidos das APIs do Google seguem a Google API Services User Data Policy, inclusive os requisitos de Limited Use. Dados Google não são vendidos, usados para anúncios, criação de perfis publicitários ou treinamento de modelos generalistas de inteligência artificial.
O acesso humano a dados Google é limitado a situações autorizadas pelo usuário, suporte necessário, investigação de segurança, cumprimento legal ou operações internas compatíveis com a política do Google.
Compartilhamento e transferências
Dados podem ser processados por fornecedores de infraestrutura, hospedagem, banco de dados, segurança, monitoramento e envio de e-mail estritamente necessários ao serviço, sob obrigações de confidencialidade e proteção. Também podem ser compartilhados quando houver obrigação legal, ordem válida, defesa de direitos ou operação societária com salvaguardas adequadas.
Integrantes de um workspace visualizam somente o que suas permissões permitem. Contas externas conectadas por um usuário não se tornam automaticamente contas compartilhadas da equipe.
Alguns fornecedores ou plataformas podem processar dados fora do Brasil. Nesses casos, o KRM adota medidas compatíveis com a LGPD e exige proteção adequada ao contexto da transferência.
Retenção e descarte
O KRM conserva dados pelo tempo necessário à finalidade informada, à prestação do serviço, à segurança, ao cumprimento de obrigação legal e ao exercício regular de direitos. Aplicamos os seguintes critérios:
- Conta e operação: enquanto a conta ou o workspace estiver ativo e, depois, pelo período necessário a obrigações e defesa de direitos.
- Tokens Meta e Google: enquanto a conexão estiver ativa; são eliminados da conexão local quando o usuário desconecta ou quando a autorização é revogada.
- Leads Meta convertidos: passam a integrar o registro comercial do cliente controlador e seguem a retenção definida por ele e pela legislação aplicável.
- Payload bruto da Meta: é usado apenas em memória para mapear os campos autorizados e é descartado imediatamente depois do processamento; o KRM não mantém uma segunda cópia integral do formulário no registro técnico do webhook.
- Eventos técnicos Meta pendentes ou com falha: identificadores mínimos, estado e diagnóstico são mantidos por no máximo 30 dias para reprocessamento e recuperação.
- Eventos técnicos Meta concluídos ou ignorados: identificadores mínimos de deduplicação e auditoria são mantidos por no máximo 180 dias. A expiração desses registros não apaga o lead, o contato, o atendimento nem o histórico comercial.
- Pedidos automáticos de exclusão Meta: o identificador externo do usuário é pseudonimizado imediatamente após a remoção da autorização; o código, o status e o comprovante técnico do pedido permanecem disponíveis por no máximo 180 dias.
- Agenda: eventos criados no KRM podem permanecer como registro operacional depois da desconexão do Google; a credencial e a sincronização externa são encerradas.
- Logs e backups: seguem ciclos de segurança e recuperação. Dados excluídos deixam de ser usados ativamente e saem dos backups conforme a rotação aplicável.
Uma solicitação de exclusão pode ser recusada ou atendida parcialmente quando a manutenção for necessária por obrigação legal, prevenção à fraude, exercício de direitos ou outra hipótese permitida. O motivo será informado ao solicitante.
Segurança
O KRM utiliza controles proporcionais ao risco, como criptografia de credenciais de integração em repouso, conexão HTTPS, separação por usuário e workspace, controle de permissões, proteção de sessão, validação de callbacks e registros de auditoria.
Nenhum sistema é totalmente imune a incidentes. O KRM mantém medidas de prevenção, detecção e resposta e, quando aplicável, comunicará os envolvidos e as autoridades conforme a legislação.
Direitos do titular
Nos termos da LGPD, o titular pode pedir confirmação de tratamento, acesso, correção, portabilidade quando regulamentada, informação sobre compartilhamentos, revisão de decisões automatizadas quando aplicável, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, além de revogar consentimento quando essa for a base utilizada.
Se você é usuário do KRM, use o contato de privacidade abaixo. Se você é um lead atendido por um corretor, imobiliária ou equipe, procure primeiro quem realizou a coleta ou o contato, pois esse cliente normalmente é o controlador. O KRM cooperará com o controlador e ajudará a identificar o workspace quando houver informações suficientes.
Para proteger o titular, poderemos solicitar dados mínimos para confirmar identidade e vínculo. Nunca envie senha, token OAuth ou documento completo sem uma solicitação específica e um canal adequado.
Cookies, telemetria e menores
O KRM usa cookies e armazenamento local necessários para autenticação, segurança, preferências e funcionamento da interface. Se métricas adicionais forem adotadas, esta Política e os controles correspondentes deverão ser atualizados.
O serviço é destinado a profissionais e empresas e não é direcionado a crianças. O usuário não deve inserir deliberadamente dados de crianças ou adolescentes sem base legal e proteção compatíveis.
Alterações e contato
Esta Política pode ser atualizada para refletir mudanças no produto, nas integrações ou na legislação. A data no início do documento indicará a versão vigente e mudanças relevantes poderão ser comunicadas dentro do KRM.
Informe se você é usuário KRM, titular de um lead ou representante de um workspace e descreva o pedido sem enviar senhas.