Política de privacidade e anti-spam

1. Quem somos e escopo

Esta Política explica como o Pulso, plataforma on-line de e-mail marketing, automação de marketing e CRM, trata dados pessoais, e quais regras anti-spam valem para todas as contas. Ela faz parte dos Termos de uso. Aqui, “Pulso” e “nós” se referem à Plataforma e à empresa que a opera:

Marca

Esta Política vale para:

• clientes e usuários — quem cria uma conta no Pulso ou é convidado para usá-la;
• contatos dos clientes — as pessoas cujos dados os clientes importam ou coletam no Pulso para receber e-mails;
• visitantes do nosso site, inclusive quem usa a demonstração.

Usamos os termos da Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018): titular é a pessoa a quem os dados se referem, e tratamento é qualquer operação com dados pessoais, como coleta, armazenamento, uso, compartilhamento e exclusão.

2. Papéis na LGPD: controlador e operador

A LGPD diferencia quem decide sobre o tratamento dos dados (o controlador) de quem trata dados em nome dele (o operador). No Pulso, os papéis são estes:

Recebeu um e-mail enviado pelo Pulso? Quem decide sobre os seus dados é a empresa que enviou a mensagem, nosso cliente. Pedidos de acesso, correção ou exclusão devem ser feitos a ela — e, para parar de receber, basta usar o link de descadastro presente em todos os e-mails. Se você nos procurar, orientamos o caminho e podemos encaminhar o seu pedido ao cliente, que tem no Pulso ferramentas para atendê-lo.

Como operador, o Pulso trata os dados dos contatos somente para armazená-los, enviar os e-mails, medir resultados e aplicar descadastros e supressões. Não vendemos esses dados, não os usamos para fins próprios de marketing e só os compartilhamos com os provedores necessários ao serviço (seção 5) ou por obrigação legal.

Há uma exceção, para proteger todos os clientes: endereços com devolução permanente — que não existem ou recusam mensagens de forma definitiva — entram numa lista de supressão comum a toda a Plataforma. Nessa finalidade específica, que é prevenir abuso e proteger a entrega, o Pulso atua como controlador, com base no legítimo interesse.

3. Dados que tratamos

Não pedimos dados sensíveis, como dados de saúde, religião, origem racial ou biometria. Recomendamos que os clientes também não os guardem nos campos dos contatos; se precisarem, cabe a eles, como controladores, ter base legal específica para isso.

Rastreamento de aberturas e cliques

Para medir resultados, os e-mails podem conter um pixel — uma imagem invisível que registra a abertura — e links que passam por um endereço de redirecionamento assinado, que registra o clique antes de levar ao destino. Esses registros são feitos por destinatário, e o cliente pode desativar o rastreamento de aberturas e de cliques em cada mensagem. Com base nesse engajamento, o Pulso calcula uma pontuação (lead score) que ajuda o cliente a priorizar contatos.

4. Finalidades e bases legais

Só tratamos dados pessoais com uma finalidade definida e uma base legal prevista no art. 7º da LGPD:

Quando uma finalidade depender do seu consentimento, ele será pedido de forma específica, e você poderá revogá-lo a qualquer momento. Quando usamos o legítimo interesse, tratamos apenas os dados necessários e respeitamos os seus direitos e as suas expectativas.

5. Compartilhamento e provedores

Não vendemos, alugamos nem trocamos dados pessoais. Compartilhamos dados apenas com quem precisa deles para o Pulso funcionar, ou quando a lei exige:

Os metadados de envio incluem, por exemplo, o remetente, o assunto e identificadores técnicos da mensagem. O provedor de envio nos informa a entrega, as devoluções e as denúncias de spam, e o Pulso registra qual provedor enviou cada e-mail. O tráfego do site e do aplicativo vai direto para os nossos servidores, sem passar por serviços de proxy de terceiros.

6. Transferência internacional de dados

Como o provedor de envio, a Resend, fica nos Estados Unidos, os dados necessários para enviar cada e-mail — endereço do destinatário, conteúdo e metadados — são transferidos para fora do Brasil. O mesmo valerá para a Amazon SES, se ela passar a ser usada. Os ícones do site e do painel vêm do serviço Iconify, também fora do Brasil, que recebe apenas dados técnicos de acesso, como o endereço IP.

Essa transferência é necessária para prestar o serviço e é feita conforme o art. 33 da LGPD, com apoio nos compromissos contratuais de proteção de dados oferecidos por esses provedores — como acordos de tratamento de dados e cláusulas contratuais padrão —, que limitam o uso dos dados à prestação do serviço de envio e exigem medidas de segurança.

Se você é cliente, informe essa transferência aos seus contatos na sua própria política de privacidade.

7. Por quanto tempo guardamos os dados

A ferramenta “esquecer contato” apaga os dados pessoais de um contato da conta do cliente — cadastro, atividades, negócios e inscrições em formulários — e anonimiza o histórico de envios, que continua nas estatísticas sem identificar a pessoa. Fica guardado apenas um código (hash) do endereço na lista de supressão, para que a pessoa não volte a receber e-mails daquela conta.

Dados também podem ser mantidos por mais tempo quando a lei exigir ou para o exercício regular de direitos em processos, apenas pelo prazo necessário.

8. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, perda e uso indevido. Entre elas:

• conexão criptografada (HTTPS) no site e no aplicativo;
• senhas guardadas apenas como hash, com o algoritmo argon2 — nem a nossa equipe consegue vê-las;
• cookie de sessão protegido (HttpOnly e Secure), que os scripts da página não conseguem ler;
• proteção contra falsificação de requisições entre sites (CSRF);
• isolamento dos dados por conta: cada cliente acessa somente os dados da própria conta;
• papéis de acesso, como Administrador, Gerente, Editor e Visualizador, que limitam o que cada usuário pode fazer;
• limite de tentativas de login, contra ataques de força bruta;
• registro de atividades (auditoria) das ações feitas em cada conta;
• cópias de segurança (backups) periódicas do banco de dados.

Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, faremos as comunicações previstas no art. 48 da LGPD: à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, quando formos o controlador, e ao cliente, quando atuarmos como operador, para que ele tome as providências cabíveis.

Você também tem um papel importante: use senhas fortes e exclusivas, não compartilhe acessos e remova os usuários que deixarem a sua equipe.

9. Cookies e armazenamento local

Usamos um único cookie, essencial para o login:

Ele é HttpOnly (os scripts da página não conseguem lê-lo) e Secure (só trafega por conexão criptografada). Por ser estritamente necessário, não pode ser desativado sem impedir o acesso ao aplicativo. Não usamos cookies de publicidade, de análise (analytics) ou de redes sociais.

Armazenamento local do navegador

O site e o aplicativo usam o armazenamento local do seu navegador para funcionar — por exemplo, para guardar alterações que ainda não foram enviadas ao servidor, de modo que nada se perca se a conexão cair. Esses dados ficam no seu dispositivo e não são usados para rastrear você. Em computadores compartilhados, saia da conta ao terminar.

Demonstração

A demonstração (“Ver a demonstração”) roda apenas no seu navegador, com dados de exemplo, e não envia nada: nenhum e-mail é disparado e o que você fizer nela não vai para os nossos servidores.

10. Direitos dos titulares

A LGPD (art. 18) garante a você, titular, o direito de obter do controlador:

• a confirmação de que os seus dados são tratados;
• o acesso aos seus dados;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• a portabilidade dos dados a outro fornecedor, mediante pedido expresso e conforme a regulamentação da ANPD;
• a eliminação dos dados tratados com base no seu consentimento, salvo as exceções do art. 16 da LGPD;
• a informação sobre as entidades públicas e privadas com as quais os seus dados foram compartilhados;
• a informação sobre a possibilidade de não dar consentimento e sobre as consequências da negativa;
• a revogação do consentimento.

Você também pode se opor a tratamentos feitos sem consentimento quando houver descumprimento da LGPD, pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20) e apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Se você é cliente ou usuário do Pulso

Boa parte dos seus dados pode ser consultada e corrigida diretamente no painel. Para os demais pedidos, fale com o nosso encarregado (seção 11). Para proteger você, podemos pedir informações que confirmem a sua identidade antes de atender. Respondemos nos prazos previstos na LGPD e na regulamentação da ANPD.

Se você recebeu e-mails de um cliente do Pulso

A empresa que enviou os e-mails é a controladora dos seus dados: faça o pedido diretamente a ela. Para parar de receber, use o link de descadastro no rodapé de qualquer e-mail — o descadastro é imediato. Se você nos procurar, orientamos o caminho e podemos encaminhar o pedido ao cliente responsável, que conta com ferramentas do Pulso para exportar ou apagar os seus dados.

11. Encarregado de dados (DPO)

O encarregado pelo tratamento de dados pessoais é o canal de comunicação entre o Pulso, os titulares e a ANPD: recebe reclamações e pedidos, presta esclarecimentos e orienta a nossa equipe sobre proteção de dados (art. 41 da LGPD).

Para falar com o nosso encarregado, use os canais de atendimento informados no site e no painel do Pulso, indicando que o assunto é proteção de dados. Administradores de conta também podem usar diretamente as ferramentas de privacidade do painel, como a exportação de dados e “esquecer contato”.

Correspondências podem ser enviadas para: .

12. Menores de idade

O Pulso é destinado a empresas e profissionais, e só maiores de 18 anos podem criar uma conta. Não coletamos intencionalmente dados de crianças e adolescentes como usuários; se identificarmos uma conta criada por menor de idade, ela poderá ser encerrada.

Clientes que enviam e-mails para crianças ou adolescentes devem observar as regras específicas do art. 14 da LGPD e o melhor interesse desses titulares.

13. Política anti-spam

Spam prejudica quem recebe, prejudica a marca de quem envia e prejudica a entrega de todos os clientes do Pulso, porque a reputação de envio é compartilhada. Por isso, estas regras valem para todas as contas e fazem parte dos Termos de uso.

Práticas obrigatórias

• Envie apenas para quem pediu ou autorizou receber os seus e-mails, ou com quem você tenha outra base legal válida, e guarde a comprovação: data, hora, origem e forma do cadastro.
• Identifique-se com clareza: use um nome de remetente reconhecível e mantenha no rodapé o endereço físico da empresa — o Pulso inclui o que você informar.
• Use assuntos coerentes com o conteúdo da mensagem.
• Mantenha o descadastro fácil: o Pulso inclui o link em todos os e-mails e o cabeçalho de descadastro com um clique exigido por provedores como Gmail e Yahoo.
• Respeite os descadastros imediatamente — o Pulso faz isso de forma automática — e registre no Pulso os pedidos recebidos por outros canais.
• Autentique o seu domínio de envio (SPF e DKIM) e respeite o aquecimento de domínios novos.
• Mantenha a lista saudável: prefira a confirmação dupla (double opt-in) nos formulários e remova contatos que não interagem há muito tempo.

Práticas proibidas

• listas compradas, alugadas, compartilhadas ou extraídas da internet;
• envio sem consentimento ou sem base legal válida;
• phishing, fraude, golpes ou se passar por outra pessoa, empresa ou marca;
• malware, vírus ou links para conteúdo malicioso;
• conteúdo ilegal, como pirataria, jogos de azar não autorizados, conteúdo adulto explícito, discurso de ódio e pirâmides financeiras;
• assunto ou remetente enganosos;
• esconder, remover ou dificultar o descadastro;
• falsificação de cabeçalhos (spoofing);
• usar o Pulso para testar listas ou coletar endereços de e-mail;
• reimportar ou reativar contatos descadastrados, que denunciaram spam ou com devolução permanente.

Limites de reputação e pausas automáticas

Quando uma campanha passa de um desses limites, todos os envios da conta são pausados automaticamente e a nossa equipe é avisada; os envios só voltam depois da revisão. No aquecimento de domínios novos, o volume diário só cresce enquanto as métricas ficam no nível saudável.

Como denunciar abuso

Recebeu um e-mail indesejado enviado pelo Pulso? Você pode:

• descadastrar-se pelo link no rodapé do e-mail ou pelo botão de descadastro do seu provedor de e-mail — você sai da lista na hora;
• marcar a mensagem como spam no seu provedor de e-mail. Quando o provedor nos informa a denúncia, ela é processada automaticamente: o endereço deixa de receber e-mails daquele remetente, e a denúncia entra nas métricas que podem pausar a conta;
• falar com a gente pelos canais de atendimento informados no site e, se possível, enviar uma cópia do e-mail recebido.

Denúncias enviadas diretamente para nós são analisadas pela nossa equipe. Quando houver risco — como phishing, fraude ou malware —, a conta remetente pode ser pausada imediatamente.

14. Alterações desta política

Podemos atualizar esta Política para acompanhar mudanças no Pulso, na lei ou nas nossas práticas. Mudanças relevantes são avisadas por e-mail e/ou no painel com pelo menos 15 dias de antecedência, exceto quando exigidas por lei ou por autoridade, caso em que podem valer em prazo menor. A data da versão em vigor fica no topo desta página.

15. Contato

Dúvidas sobre esta Política? Fale com a gente pelos canais de atendimento informados no site e no painel do Pulso. Pedidos sobre dados pessoais podem ser feitos diretamente ao nosso encarregado.

Se você recebeu e-mails de um cliente do Pulso, lembre-se: para pedidos sobre os seus dados, o caminho é falar com a empresa que enviou a mensagem (seção 10).