Acordo de tratamento de dados

Última atualização: 2026-10-07.

Se esta tradução divergir da versão em inglês, vale a versão em inglês.

Este acordo é firmado entre a OpenWings Automação Comercial Ltda., CNPJ 63.852.648/0001-06 ("colding", "nós"), e o cliente que é dono de um workspace ("você"). Ele faz parte dos Termos de uso e vale desde o dia em que você cria um workspace, sem assinatura, do mesmo jeito que os Termos. Dois conjuntos de cláusulas-padrão contratuais, para a transferência de dados entre países, são anexos dele (seção 9).

Ele cobre os dados pessoais que tratamos em seu nome: os seus contatos, as pessoas que escrevem para as suas caixas de e-mail e as pessoas para quem o seu app envia e-mails pelo colding. Tanto no GDPR quanto na LGPD, você é o controlador e nós somos o operador. Se você trata esses dados para um cliente seu, você é operador dele e nós somos o seu suboperador, e este acordo vale do mesmo jeito.

Ele não cobre os dados sobre você e a sua equipe, como a sua conta, os seus acessos e o seu plano. Desses dados somos o controlador. Eles estão na Política de privacidade.

O nosso contato de proteção de dados, que é o encarregado na LGPD e o DPO (data protection officer) no GDPR, é Gustavo Salomé Silva, em [email protected].

1. O que fazemos com os seus dados

Nós nos conectamos às caixas de e-mail que você escolhe. Por elas, enviamos as suas campanhas, as mensagens avulsas e os e-mails do seu app, trazemos o que elas recebem para a sua caixa de entrada, verificamos se os endereços conseguem receber e-mail e registramos o que aconteceu com cada mensagem. Fazemos isso só para prestar o serviço a você, como descrevem os Termos, este acordo, o guia da API e as suas próprias configurações.

Este acordo vale enquanto o seu workspace existir e pelo tempo que levar para apagá-lo (seção 8).

2. De quem são os dados e quais são

As pessoas são:

os seus contatos: as pessoas das suas listas e as pessoas para quem o seu app envia e-mails pelo serviço;
remetentes: quem escreve para uma caixa de e-mail que você conectou.

Os dados são:

De um contato: o que você importa ou adiciona (endereço de e-mail, nome, empresa e os campos personalizados que você define) e o que aprendemos ao enviar: quais etapas saíram e se a pessoa respondeu, se o e-mail deu bounce, se ela denunciou como spam ou se pediu o descadastro. Quando alguém pede para sair, guardamos um registro de supressão. Se você ativar o rastreamento, também guardamos quando um e-mail foi aberto ou um link foi clicado, que tipo de programa fez isso e o endereço IP como hash com chave.
De uma verificação de endereço: o endereço, o resultado e o motivo.
De uma mensagem: os cabeçalhos e o corpo em texto e em HTML, até 512 KB por parte. Nunca guardamos anexos. Quando você baixa um anexo, buscamos o arquivo na caixa e o entregamos a você, sem guardá-lo.
Dos e-mails do seu app enviados pelo colding: o endereço, a mensagem e o que aconteceu com ela.

Não procuramos dados sensíveis, como saúde, crenças ou antecedentes criminais, e o serviço não foi feito para guardá-los. Você decide o que entra nas suas listas e nas suas caixas de e-mail.

3. As suas instruções

Tratamos os seus dados só conforme as suas instruções documentadas: este acordo, os Termos, o guia da API, as suas configurações e o que você pede ao console, à API ou ao servidor MCP. Se acharmos que uma instrução viola a lei, avisamos você e podemos esperar para cumpri-la até que você a confirme ou a mude. Uma instrução que vai além de como o serviço funciona precisa de um acordo por escrito. Se a lei nos obrigar a tratar os seus dados de outro jeito, avisamos você antes, a menos que a lei proíba.

Não vendemos os seus dados, não os usamos no nosso próprio marketing e não os usamos para treinar modelos.

4. Quem pode ver os dados e como os protegemos

Só quem opera o colding pode acessar os seus dados, e cada pessoa é obrigada a mantê-los em sigilo, mesmo depois de deixar de trabalhar conosco. Hoje, é uma pessoa só: quem opera o serviço. O que a nossa equipe altera na área de administração é gravado no registro de auditoria, com o nome de quem fez a alteração.

Estas medidas existem hoje:

Os logins das caixas de e-mail são criptografados (AES-256-GCM) antes de serem guardados. O serviço que responde aos links dos seus e-mails nunca tem a chave.
As chaves de API são guardadas como hashes. O segredo de uma chave aparece uma vez só.
Os dados de cada workspace ficam separados. Um pedido pelos dados de outro workspace recebe a resposta "não encontrado".
Você decide o que uma pessoa ou uma chave de API pode fazer: os papéis de dono, admin e membro e, para uma chave, quais caixas de e-mail e campanhas ela alcança, um limite de envios por dia e outro no total e uma data de validade.
O tráfego de e para os nossos servidores usa TLS sempre que o outro lado aceita. O banco de dados pede a senha em todo login vindo de fora do nosso servidor.
O e-mail que você recebe é limpo e aparece em uma sandbox sem scripts.
O registro de auditoria anota quem mudou o quê no seu workspace. Guardamos esse registro por 90 dias.
O nosso servidor de verificação de endereços não guarda cópia dos endereços que verifica e nunca os escreve nos seus logs.
Backups: uma cópia do banco de dados toda noite. Antes de uma cópia sair do nosso servidor, nós a criptografamos com uma chave guardada offline. Guardamos as cópias por 7 dias no nosso servidor e por 30 dias em um bucket privado.

Podemos mudar essas medidas, mas não reduzimos a proteção que elas dão. Nenhum sistema é perfeito.

5. Suboperadores

Você nos autoriza a usar os suboperadores da página de suboperadores. Ela diz o que cada um faz por nós, o que recebe e onde trabalha.

Antes de adicionarmos ou trocarmos um suboperador que trate os seus dados, avisamos por e-mail os donos do seu workspace com 30 dias de antecedência. Se você se opuser por um motivo ligado à proteção de dados, escreva para [email protected] antes de a mudança valer, e vamos conversar. Se não chegarmos a um acordo, você pode excluir o workspace antes de a mudança valer (seção 8).

Temos um acordo de tratamento de dados por escrito com cada suboperador que trata os seus dados. Continuamos responsáveis perante você pelo que eles fazem com esses dados. A seção 8 da Política de privacidade diz o que esses acordos dizem, e o que não dizem, sobre a transferência de dados entre países.

6. Pedidos das pessoas

Se alguém nos pedir para mostrar, corrigir ou excluir dados que guardamos para você, ou para parar de enviar e-mails a essa pessoa, não respondemos no seu lugar. Encaminhamos o pedido a você e ajudamos você a responder. Quem usa um link de descadastro, ou responde pedindo para parar, deixa de receber e-mails na mesma hora e não precisa de conta.

Você mesmo pode fazer quase tudo: encontrar um contato, alterar ou excluir, colocar na lista de supressão e exportar os seus contatos em uma planilha na página Contatos. Se precisar de mais, escreva para [email protected]. Respondemos em até 15 dias.

Com o que sabemos sobre o tratamento, também ajudamos você a preparar um relatório de impacto à proteção de dados pessoais e a responder às perguntas de uma autoridade supervisora (no Brasil, a ANPD).

7. Se algo der errado

Quando tomarmos conhecimento de um incidente de segurança com dados pessoais que afete os seus dados, avisamos por e-mail os donos do seu workspace em até 48 horas. Não esperamos saber tudo. Dizemos o que aconteceu, quais dados e mais ou menos quantas pessoas o incidente atinge, o que já fizemos e com quem falar, e mandamos uma atualização a cada vez que soubermos mais.

Os seus próprios prazos podem ser curtos: 72 horas para avisar uma autoridade supervisora, conforme o GDPR (art. 33), e três dias úteis para avisar a ANPD e as pessoas afetadas, conforme a Resolução CD/ANPD 15/2024. Os dois começam quando você toma conhecimento, então avisamos você o mais cedo que pudermos. Ajudamos você com qualquer aviso que você deva a uma autoridade ou às pessoas afetadas. A decisão de enviar esse aviso é sua.

Mantemos um registro de cada incidente: o que aconteceu, o que ele atingiu e o que fizemos. Entregamos esse registro a você, ou a uma autoridade, a pedido.

8. Como retirar os seus dados e como apagá-los

Enquanto você usa o serviço. O dono do workspace pode baixar uma cópia dos dados do workspace em Configurações, em Seus dados. É um arquivo só, com os contatos, as etiquetas e os segmentos, as campanhas, cada e-mail enviado com o que ele dizia, a caixa de entrada, os rascunhos, a lista de supressão, as respostas prontas, as configurações das caixas de e-mail, das chaves de API e do webhook, os membros e o registro de quem mudou o quê. Ficam de fora os logins e as senhas, os tokens de login das caixas, os hashes das chaves de API, o segredo de assinatura do webhook e os endereços das caixas parceiras de aquecimento. O dono pode gerar até 1 desses arquivos por dia. Cada link funciona por 60 minutos, para até 3 downloads.

Quando você sair. O dono pede a exclusão do workspace em Configurações, em Excluir workspace. Durante 30 dias, o dono pode cancelar o pedido. A partir do pedido, o workspace não envia nada e as suas chaves de API param de funcionar. Quando a data chega, apagamos as caixas de e-mail e os logins delas, os contatos, as campanhas, as mensagens, os envios, os rascunhos, as verificações de endereço, os webhooks, as chaves de API, os membros, os convites, os links de download e o registro de auditoria. O processo de apagar roda em etapas e leva de alguns minutos a algumas horas, em um workspace grande. Nada pode ser baixado depois que ele começa, então baixe antes.

O que fica. Só como hash com chave, um código que não conseguimos transformar de volta no endereço, e sem ligação com nenhum workspace: o descadastro do próprio destinatário, por 3 anos, para que o próximo workspace do mesmo dono não possa escrever a quem pediu para parar; o bloqueio do aquecimento do endereço de uma caixa, até ele acabar, e por 1 ano quando não tem fim; e a restrição que pusemos no workspace, se ele tinha alguma, por 2 anos. O registro do workspace fica sem nome e sem endereço legível: o id, as datas, o plano, os ids da Stripe de que os nossos registros de pagamento precisam e a versão da política de uso aceitável que ele aceitou. A seção 6 da Política de privacidade tem a lista completa.

Backups e suboperadores. Os dados saem dos nossos backups quando expira a última cópia que os guarda: 7 dias no nosso servidor e 30 dias fora dele. A MillionVerifier guarda um endereço que verificou no cache dela por até 7 dias, e nos backups dela até eles serem substituídos.

Um contato. Excluir um contato o tira das suas listas. Os e-mails já enviados para ele ficam na lista de envios até o workspace ser apagado, e o registro de supressão dele fica, porque é a única maneira de continuar respeitando o descadastro.

A conta de login da pessoa que fez o pedido fica. Essa pessoa pode excluí-la por conta própria em Configurações, em Excluir sua conta, digitando o e-mail com que entra. Antes disso, ela precisa transferir para outro membro cada workspace que ainda seja dela, ou pedir para excluí-lo. A seção 6 da Política de privacidade diz quando a exclusão de uma conta acontece e o que ela exclui.

9. Transferência de dados para outros países

Os nossos servidores ficam nos Estados Unidos, então o que guardamos para você está armazenado lá, onde quer que você e os seus contatos estejam. A página de suboperadores diz onde cada um dos outros trabalha. A seção 8 da Política de privacidade diz, para cada um, o que o acordo dele afirma sobre a transferência de dados entre países. Quando um acordo não nomeia nenhum mecanismo, dizemos isso e não afirmamos que existe um.

As cláusulas. Dois conjuntos de cláusulas-padrão contratuais são anexos deste acordo. Eles valem para nós dois desde o dia em que você cria um workspace, do mesmo jeito que o resto do acordo.

As cláusulas da ANPD, Anexo II da Resolução CD/ANPD 19/2024, para os dados pessoais que a LGPD cobre. Elas estão em português e nada nelas foi mudado, porque a resolução (art. 16) determina que sejam adotadas como estão escritas. Os campos em branco do formulário estão preenchidos lá.
As cláusulas da UE, Módulo Dois (de controlador para operador) da Decisão de Execução (UE) 2021/914 da Comissão, com o adendo do Reino Unido e as adições da Suíça, para os dados pessoais que o GDPR, o GDPR do Reino Unido ou a lei suíça cobrem. As opções que escolhemos estão listadas no início dessa página.

Nas duas, você é o exportador e o controlador, e nós somos o importador e o operador. Se você trata esses dados para um cliente seu, você também é operador, e essas versões não servem: escreva para [email protected] e assinamos a que servir. Para receber uma cópia assinada por nós dois, com os seus dados preenchidos, escreva para o mesmo endereço.

Para que serve cada conjunto. O Brasil e a UE agora tratam as regras um do outro como adequadas. A ANPD fez isso na Resolução 32/2026, para os dados pessoais enviados do Brasil à União Europeia. A Comissão Europeia fez isso na Decisão (UE) 2026/179, para os dados pessoais enviados da UE a controladores e operadores no Brasil sujeitos à LGPD. Por isso, uma transferência de dados entre os dois não precisa de cláusulas próprias, e as cláusulas da UE ficam como reserva. A cláusula 16(e) permite que qualquer um de nós as revogue enquanto essa decisão cobrir a transferência. Nenhum de nós revogou, então elas valem até um de nós revogar. Elas também são o instrumento que oferecemos para os dados do Reino Unido e da Suíça. A transferência que sobra é a que sai do Brasil, para os nossos servidores e para alguns dos nossos suboperadores nos Estados Unidos, e as cláusulas da ANPD são para ela.

Onde estamos na LGPD. As cláusulas da ANPD falam de um importador em um país estrangeiro (art. 3 da resolução). Somos uma empresa brasileira, então não é claro que o envio dos seus dados para nós seja uma transferência para o exterior. A transferência que com certeza é uma é a nossa, do Brasil para os Estados Unidos. Adotamos as cláusulas de qualquer forma, para que a sua transferência esteja coberta caso ela conte como transferência para o exterior.

Enviar os dados adiante (transferência posterior). Nas cláusulas da ANPD, escolhemos a Opção B da cláusula 3 e, nas da UE, a Opção 2 da cláusula 9(a). As duas nos deixam repassar os seus dados às empresas que a página de suboperadores lista como capazes de tratar os dados dos seus contatos, para o que a página diz que cada uma faz, e a mais ninguém. Avisamos você 30 dias antes de uma mudança (seção 5) e respondemos a você pelo que elas fazem com os seus dados. As cláusulas (cláusula 18.2 da ANPD, cláusula 9(b) da UE) pedem um contrato escrito que obrigue cada uma delas às mesmas garantias. Cada uma tem um acordo de tratamento de dados conosco. Nenhum desses acordos nomeia as cláusulas da ANPD, e nenhuma dessas empresas as assinou. A seção 8 da Política de privacidade cita o que cada acordo diz.

O que não fizemos. Os dois conjuntos pedem que declaremos que não encontramos, na lei do país onde os dados ficam, nada que nos impeça de cumprir as cláusulas (cláusula 14(a) da UE, cláusula 22.1 da ANPD). Não registramos por escrito uma avaliação da lei dos Estados Unidos que sustente essa declaração, e a cláusula 14(d) da UE pede uma. Se você precisar de uma para os seus registros, escreva para [email protected].

O aviso que os seus contatos leem. Nas cláusulas da ANPD, você é a Parte Designada, então a cláusula 14 manda você publicar um aviso sobre a transferência, em português e em linguagem simples. Não escrevemos esse aviso por você. Estes são os fatos de que ele precisa da nossa parte:

Forma, duração e finalidade: os dados dos seus contatos e as suas mensagens vão para os nossos servidores o tempo todo, enquanto o workspace existir, para que prestemos o serviço a você (seções 1 e 2).
Destino: nos Estados Unidos. A página de suboperadores diz onde cada um dos outros trabalha.
Com quem é compartilhado: só as empresas que essa página lista como capazes de tratar os dados dos seus contatos, cada uma para o que faz por nós.
Quem responde pelo quê: você é o controlador, e nós seguimos as suas instruções (seção 3).
Os direitos das pessoas e como exercê-los: seção 6. Encaminhamos o pedido a você e ajudamos você a responder.
Transferências posteriores: as mesmas empresas, e as finalidades delas, na página de suboperadores.

10. Como conferir que fazemos o que dizemos

Se você pedir, damos as informações de que precisa para conferir que cumprimos este acordo. Se isso não bastar, você pode nos auditar no local, por sua conta, com aviso por escrito de 30 dias. Uma auditoria não pode alcançar os dados de outros clientes.

11. Se os documentos divergirem e se o acordo mudar

Se este acordo e os Termos divergirem sobre dados pessoais, vale este acordo nesse ponto. Se um dos anexos divergir deste acordo, vale o anexo. O resto dos Termos vale para este acordo, inclusive a lei aplicável e o foro (seção 11 deles), exceto onde um anexo indicar o seu próprio. O limite da nossa responsabilidade na seção 10 dos Termos não alcança o que as cláusulas dizem sobre responsabilidade (a cláusula 17 da ANPD, a cláusula 12 da UE). Alteramos este acordo da forma como os Termos dizem que são alterados (seção 12 deles), e cada versão tem a data no alto.