Política de privacidade

Última atualização: 2026-10-21.

Se esta tradução divergir da versão em inglês, vale a versão em inglês.

Quem somos. O colding.app é operado por OpenWings Automação Comercial Ltda., CNPJ 63.852.648/0001-06 ("colding", "nós"). Nosso contato de proteção de dados, o encarregado da LGPD e o DPO (data protection officer) do GDPR, é Gustavo Salomé Silva, em [email protected].

1. O que o colding faz

O colding conecta caixas de e-mail que pertencem aos seus clientes, troca e-mails de aquecimento entre elas, envia campanhas, mensagens avulsas e os e-mails do próprio app do cliente por meio delas, e traz a caixa de entrada de cada uma para um único console. Não tem servidores de e-mail próprios e, de endereços do próprio colding, só envia e-mails sobre a sua conta.

2. Quatro tipos de pessoas

Clientes: quem tem uma conta, chama a API ou usa o console.
Contatos: as pessoas nas listas de um cliente, para quem as campanhas são enviadas, e as pessoas a quem o app de um cliente envia e-mails pelo serviço (um recibo, um link de login).
Remetentes: quem escreve para uma caixa de e-mail conectada, e cujos e-mails são lidos na caixa de entrada.
Parceiras de aquecimento: caixas de e-mail de outros clientes que trocam e-mails de aquecimento com a sua, e as pessoas a quem elas pertencem.

Em relação aos clientes, somos o controlador. Em relação aos contatos e remetentes, somos o operador do cliente: o cliente decide quem entra em uma lista e o que é enviado, e nós agimos sob as instruções dele. O acordo de tratamento de dados é o contrato dessa relação.

3. O que coletamos sobre os clientes

Dados da conta: e-mail, nome de exibição, o idioma da interface e o fuso horário que você escolhe, a quais workspaces você pertence e com qual função. Se você continua com o Google, também o que o Google compartilha para isso: o id da sua conta do Google, o nome, o e-mail e o link da foto de perfil.
Dados da caixa de e-mail: o endereço, o provedor e as configurações de cada caixa conectada; as credenciais dela (uma senha de app ou a própria senha SMTP e IMAP da caixa, ou, para uma caixa conectada entrando com a Microsoft ou com o Google, o token que essa empresa emite), criptografadas com uma chave que o serviço que responde aos links dos e-mails enviados nunca possui; cursores de sincronização, histórico de erros e a situação do aquecimento. Um bloqueio no aquecimento (uma quarentena ou um bloqueio, ou um que nossa equipe aplica) pertence ao endereço da caixa, então vai com o endereço quando ele é conectado em outro workspace.
Dados de uso: cada envio no registro de envios (destinatário, assunto, a mensagem renderizada, o Message-ID, o resultado), o tipo, o id e o horário de cada requisição à API, as chaves de API que você gera, guardadas como hash, endpoints de webhook e logs de entrega, e um registro de auditoria de quem mudou o quê no workspace.
Dados do plano: o plano do workspace e o quanto dele foi usado. Em um plano pago, também os ids que a Stripe dá ao cliente, à assinatura e ao checkout. Os números do cartão nunca passam pelos nossos sistemas, porque a Stripe os guarda.
Dados técnicos: o endereço IP e o user agent de cada requisição, guardados nos logs de requisição, e de cada login, guardados pelo serviço de login para proteger a sua conta.

Usamos esses dados para operar o serviço, manter cada workspace dentro dos limites do plano, protegê-lo (detecção de abuso e limites de taxa), dar suporte a você e mostrar alertas. Não vendemos esses dados e não os usamos para treinar modelos.

4. Sua conta e a conexão de uma caixa de e-mail

Sua conta usa um endereço de e-mail e uma senha. Por enquanto, abrimos cada conta manualmente: peça acesso em [email protected] e respondemos por e-mail.

Você também pode continuar com o Google em vez de digitar a senha. O Google então pede que você deixe o colding ver seu nome, e-mail e foto de perfil (openid, email e profile), e você entra na conta do colding que tem o mesmo e-mail. Enquanto abrimos as contas manualmente, uma conta do Google cujo e-mail não tem conta no colding é recusada. Continuar com o Google não lê nenhum e-mail seu e não conecta nenhuma caixa. Para parar, remova o colding da sua conta do Google em https://myaccount.google.com/permissions; sua senha continua funcionando.

Conectar uma caixa de e-mail é uma etapa à parte, e é você quem escolhe quais caixas. Uma caixa do Gmail ou do Google Workspace pode se conectar com uma senha de app, e uma caixa de outro provedor, como o Zoho, com o login SMTP e IMAP dela. Usamos esse login para enviar, ler e organizar os e-mails dessa caixa, e para mais nada: os e-mails de aquecimento vão para uma pasta própria, e o que você lê ou move na nossa caixa de entrada também é feito na caixa de e-mail.

Uma caixa do Microsoft 365 se conecta entrando com a Microsoft, que pede que você aceite estas permissões:

openid, email e profile: o próprio login, que nos informa seu nome e e-mail.
User.Read: seu nome e o endereço da caixa, para conectarmos a caixa certa.
offline_access: para continuar conectado depois que você fechar a aba, até você desconectar.
Mail.Send: para enviar e-mails a partir dessa caixa.
Mail.ReadWrite: para ler os e-mails dela e guardar os e-mails de aquecimento nas pastas dela.

Com esse acesso, enviamos os e-mails que você escreve ou agenda, trazemos os e-mails novos para a sua caixa de entrada e organizamos os e-mails de aquecimento. Nunca lemos outras caixas da sua organização, nem o seu calendário, os seus contatos ou os seus arquivos. Em algumas organizações, um administrador precisa aprovar o colding antes de qualquer pessoa poder aceitar essas permissões. Você pode remover o colding de uma conta do Microsoft 365 em https://myapps.microsoft.com. Se um administrador aprovou o colding para a organização inteira, só um administrador pode removê-lo para todos, em Enterprise applications no Microsoft Entra admin center.

Uma caixa do Google Workspace também pode se conectar entrando com o Google, que pede permissão para ler e enviar e-mails nessa caixa (gmail.modify). Com esse acesso, enviamos os e-mails que você escreve ou agenda, trazemos os e-mails novos para a sua caixa de entrada e fazemos a mesma alteração na caixa quando você lê ou move uma mensagem na nossa caixa de entrada. A seção 13 se aplica a esse acesso. O aquecimento nunca usa a API do Gmail: uma caixa do Google só participa do aquecimento quando é conectada com uma senha de app. Você pode remover o colding de uma conta do Google em https://myaccount.google.com/permissions.

Para desconectar uma caixa, use Desconectar caixa no console. As credenciais dela são excluídas na hora, e as mensagens, na próxima limpeza horária. Para uma caixa conectada entrando com o Google, também pedimos ao Google que remova o nosso acesso. Você também pode revogar a senha de app no seu provedor.

O que podemos e o que não podemos fazer com os dados que recebemos do Google está na seção 13.

5. O que guardamos sobre contatos, remetentes e parceiras de aquecimento

Contatos: o que o cliente importou: e-mail, nome, empresa, campos personalizados; mais o que descobrimos ao enviar: quais etapas foram enviadas, se a pessoa respondeu, deu bounce, denunciou como spam ou se descadastrou, e o registro de supressão quando ela se descadastra. Quando uma campanha rastreia aberturas, também quando um e-mail dela foi aberto (no máximo uma vez por hora para o mesmo e-mail, endereço IP e tipo de programa): quando, o tipo de programa que carregou a imagem (lido dos cabeçalhos da requisição) e o endereço IP de onde ela veio, como hash com chave (no IPv6, só a parte da rede do endereço). O endereço em si aparece só nos nossos logs de requisição. Quando uma campanha rastreia cliques, também quando um link de um e-mail dela foi clicado (no máximo uma vez por hora para o mesmo link, endereço IP e tipo de programa): quando, qual link, o tipo de programa que o seguiu e o endereço IP na mesma forma; e, para que cada link leve a pessoa adiante, o endereço da página para onde ele aponta. Com esses dados, avaliamos se foi uma pessoa que abriu ou clicou, ou um programa (um filtro de spam verificando o e-mail, um proxy de imagens), e guardamos no e-mail quando uma pessoa o abriu pela primeira vez e clicou em um link pela primeira vez, quantas vezes, e quando um programa o abriu pela primeira vez.
E-mail transacional: de cada e-mail que o app de um cliente envia a uma pessoa, o endereço, a mensagem, até quando ele ainda pode sair e o que aconteceu com ele. Nunca é rastreado, e um bounce, uma denúncia de spam ou uma resposta pedindo para parar gera um registro de supressão.
Endereços verificados: quando um endereço é verificado antes de receber e-mails, cada verificação: o endereço, se ele pode receber e-mails (válido, arriscado, inválido ou sem conclusão), o motivo, quem respondeu e quando. Um contato guarda o último resultado.
Remetentes: as mensagens recebidas por uma caixa conectada: cabeçalhos, o corpo em texto e HTML até 512 KB por parte, nunca anexos, e a conversa a que pertencem. Quando você baixa um anexo, buscamos o arquivo na caixa e o entregamos a você, sem guardá-lo.
Parceiras de aquecimento: as mensagens de aquecimento trocadas e os sinais de saúde que tiramos delas (onde caíram, se foram respondidas).

Base legal. Para os clientes, o contrato com você (LGPD art. 7, V; GDPR art. 6(1)(b)). Para contatos e remetentes, a base do cliente, em geral o legítimo interesse na correspondência comercial (LGPD art. 7, IX; GDPR art. 6(1)(f)), com estas salvaguardas do nosso lado: uma linha de descadastro ativada por padrão nas mensagens de campanha e um cabeçalho de descadastro em todas, cada descadastro respeitado na hora, supressão antes de cada envio e uma Política de uso aceitável, parte dos nossos Termos de uso, que exige um jeito de sair em todo e-mail de campanha. O e-mail que o app de um cliente envia a uma pessoa se apoia na relação do cliente com ela, em geral o contrato entre os dois; ele não leva linha de descadastro, e um descadastro das campanhas do cliente não o interrompe, mas um bounce, uma denúncia de spam ou uma resposta pedindo para parar, sim.

6. Por quanto tempo guardamos as informações

Envios: guardados enquanto o workspace existir, sem limite de idade por enquanto, exceto os do aquecimento (abaixo). A contagem diária do que cada caixa enviou, de aquecimento ou não, é apagada depois de 120 dias.
Mensagens: guardadas enquanto a caixa estiver conectada. Ao desconectar uma caixa, as mensagens dela somem da vista na hora, e a próxima limpeza horária as exclui.
Aquecimento: cada e-mail de aquecimento como foi enviado, onde caiu e o que a outra caixa fez com ele: 120 dias, depois é excluído. Alguns ficam mais tempo. Um que caiu no spam fica até o aquecimento de quem enviou ser parado, porque ainda retarda o aquecimento daquela caixa. Um que a outra caixa ainda precisa mover para a pasta de aquecimento dela fica até ela mover, enquanto essa caixa continuar buscando e-mails novos ao menos uma vez a cada 7 dias. Um que ainda possamos encontrar em uma caixa que parou de buscar e-mails, a cópia da outra caixa ou a cópia de quem enviou na pasta Enviados, fica até aquela caixa buscar de novo ou ser desconectada. Toda cópia guardada em uma caixa conectada, a cópia Enviados de quem enviou e a da parceira, é e-mail daquela caixa e é guardada como as mensagens.
Contatos: até o cliente excluí-los ou excluir o workspace. Um registro de supressão sobrevive ao contato, porque é a única forma de continuar respeitando um descadastro. Ele guarda o endereço, como e quando foi adicionado, a observação e a data final que o cliente deu a ele, e de qual campanha, e-mail ou resposta veio, e nada além disso. Quando o workspace é apagado, o descadastro do próprio destinatário continua como hash, como diz o item Workspaces e contas.
Aberturas: 90 dias depois da abertura, depois são excluídas. A primeira abertura e o primeiro clique de uma pessoa, as contagens dela e quando um programa abriu o e-mail pela primeira vez fazem parte do envio e vão com ele.
Cliques: 90 dias depois do clique, depois são excluídos. Links rastreados: 365 dias depois do envio do e-mail, depois são excluídos junto com os cliques que ainda estiverem neles; depois disso, o link não leva mais à página.
Verificações de endereço: 30 dias depois de a verificação terminar, depois são excluídas, junto com os lotes que as executaram. Um contato guarda o último resultado enquanto existir. Quantas verificações um workspace usou em cada mês, uma contagem sem nenhum endereço, é guardado por 13 meses.
Registro de auditoria: 90 dias. Fluxo de eventos: 24 horas.
Logs de entrega de webhook: 30 dias.
O que o log dos nossos servidores de e-mail diz sobre um e-mail: quando um e-mail sai por um servidor de e-mail nosso, o log desse servidor registra o que o servidor de destino respondeu, com o endereço de quem recebeu. Guardamos isso por 40 dias no nosso banco de dados e por 14 dias no servidor de e-mail, e depois apagamos.
O histórico de uma campanha (o que aconteceu com ela, como uma pausa ou um lead deixado de fora): 90 dias. Alertas, lidos ou não: 90 dias.
Alertas para a nossa equipe: a lista diária de pessoas que começaram a usar o colding, com o e-mail de cada uma, é guardada por 2 dias. Dos outros alertas da equipe, guardamos só o mais recente de cada assunto.
Requisições repetidas à API: quando uma requisição leva uma Idempotency-Key, guardamos a resposta por 24 horas, para que uma nova tentativa receba a mesma resposta.
Importações de contatos: o arquivo e as células dele são excluídos assim que os contatos são adicionados, ou 24 horas depois do envio, se nunca forem. As contagens do que a importação fez ficam guardadas por 7 dias.
Exportações de contatos: o arquivo é feito durante o download e nunca é guardado. O link dele funciona por 10 minutos e é excluído em até uma hora depois disso.
Arquivos de caixas de e-mail: as senhas de cada linha são excluídas assim que aquela caixa é conectada ou falha. O resto do arquivo é excluído 7 dias depois de ele ser enviado.
Códigos para confirmar o endereço de uma caixa: um código vale por 30 minutos e depois é excluído. O pedido, sem o código, é guardado por 7 dias, para investigar e-mails que nunca chegaram.
Links de descadastro: um link vale por 365 dias depois do último e-mail que o levou, e é excluído 30 dias depois disso.
As mensagens da Stripe sobre assinaturas. De cada uma guardamos o id e o tipo, a assinatura a que se refere, quando a Stripe a enviou e o que fizemos com ela. Guardamos por 90 dias. Algumas ficam mais tempo: as de cerca de um dia antes de o último checkout de um workspace ser aberto, e todas as seguintes. Elas ficam até a assinatura daquele workspace começar ou ele abrir outro checkout.
Relatórios de bounce e de denúncia de spam de um serviço de envio, para uma caixa só de envio cujo dono ativou esses relatórios. De cada um guardamos de que tipo era, o que fizemos com ele, o e-mail a que correspondeu e quando chegou, nunca as palavras do serviço nem um endereço. Guardamos por 30 dias.
Workspaces e contas: guardados enquanto você os usar. O dono de um workspace pode pedir para excluí-lo em Configurações, em Excluir workspace. Depois de 30 dias, nós mesmos o apagamos; até essa data o dono pode cancelar o pedido. A partir do momento em que ele pede, o workspace não envia nada: as campanhas são pausadas, os e-mails agendados não saem, o aquecimento é pausado e as chaves de API e os convites pendentes são revogados. Os e-mails de entrada continuam chegando, e o dono ainda pode baixar os dados do workspace. Quando a data passa, um worker o apaga em etapas, que levam de alguns minutos a algumas horas em um workspace grande, e passa por tudo de novo até uma passada não encontrar mais nada, no máximo 3 passadas, para pegar o que chegou enquanto rodava. Apagados: as caixas e os logins delas, contatos, campanhas, mensagens e os corpos delas, envios, rascunhos, verificações de endereço, webhooks, chaves de API, membros, convites, links de download e o registro de auditoria. Nada disso pode ser baixado depois que o apagamento começa. O que fica, e só como hash com chave, um código que não conseguimos transformar de volta no endereço, sem nenhum workspace associado: o descadastro do próprio destinatário (ele se descadastrou, respondeu pedindo para parar ou denunciou como spam) por 3 anos, para que o próximo workspace do mesmo dono não possa escrever para quem pediu para parar; um bloqueio no aquecimento do endereço de uma caixa (um prazo definido pela saúde do aquecimento, um descanso, um período de aquecimento reduzido, um bloqueio da nossa equipe e os pedidos de revisão decididos sobre ele) até acabar, e um bloqueio ou descanso, que não têm fim, por 1 ano; e o limite que pusemos no workspace, se havia um, por 2 anos, para que excluir um workspace limitado e começar de novo não faça o limite sumir. Isso é aplicado quando o mesmo endereço, ou o mesmo dono, volta. O registro do workspace continua, sem nome e sem endereço legível: seu id, datas, plano, os ids de cliente e de assinatura da Stripe de que os nossos registros de pagamento precisam, e a versão da política de uso aceitável que ele aceitou. A evidência de aquecimento que as nossas caixas reuniram sobre as caixas de outros workspaces (onde os e-mails de aquecimento delas caíram) fica, sem nada que aponte para o workspace apagado; a evidência sobre as nossas próprias caixas é apagada. A conta de quem pediu continua. Quem pediu recebe um e-mail quando termina.
Sua conta: guardada enquanto você a usar. Você pode excluí-la em Configurações, em Excluir sua conta, digitando o e-mail com que você entra. Primeiro, transfira cada workspace seu para outro membro, ou peça para excluí-lo. Enquanto um workspace que você pediu para excluir espera a data, o seu pedido também espera, e roda quando o último for apagado. Você pode cancelar até a exclusão começar. Ela começa em poucos minutos, quando você não é dono de nenhum workspace. Então um worker tira você de todos os workspaces de que é membro, revoga as chaves de API que você criou e os convites que enviou, e exclui seu login, seu nome, seu e-mail, suas configurações de alerta e seus alertas. O que você fez no workspace de outra pessoa continua lá, sem o seu nome: os e-mails que enviou e o registro de quem mudou o quê. Se a nossa equipe baniu o seu endereço, o banimento continua só como hash com chave, sem nenhuma conta associada, por 2 anos, para que, ao se cadastrar de novo com o mesmo endereço, você encontre o mesmo banimento. Enviamos um e-mail ao seu endereço quando terminar, e depois não guardamos o endereço em lugar nenhum. O pedido em si, com o id da sua conta e sem endereço, é excluído 30 dias depois de concluído ou cancelado.
Logs de requisição, que guardam o endereço IP e o user agent de cada requisição: 180 dias.
Logins: para proteger as contas contra senhas roubadas, o serviço de login guarda o endereço IP e o user agent de cada login junto com a sessão, até você sair ou a conta ser excluída. Ele também guarda o endereço IP de cada login no histórico de logins, e o de cada requisição feita a ele no seu próprio log. Nenhum dos dois tem prazo ainda.
Backups: uma cópia do banco de dados toda noite, guardada por 7 dias no nosso servidor e por 30 dias em um bucket privado da Cloudflare R2. Antes de uma cópia sair do nosso servidor, nós a criptografamos com uma chave guardada offline, nunca no servidor, e a Cloudflare também criptografa o bucket em repouso. Também guardamos um segundo tipo de cópia no mesmo bucket, criptografada do mesmo jeito: uma cópia completa do banco de dados toda noite e cada alteração feita depois dela, que chega ao bucket em poucos minutos. Essas cópias ficam guardadas por até 8 dias. Os dados excluídos do serviço saem dos backups quando expira a última cópia que os contém.

Seja você cliente, contato ou remetente, você pode: confirmar se tratamos dados sobre você; acessá-los; corrigi-los; pedir a exclusão ou a anonimização deles; pedi-los em formato portável; se opor ao tratamento baseado em legítimo interesse; revogar o consentimento quando ele for a base; e fazer uma reclamação à sua autoridade supervisora (no Brasil, a ANPD).

Clientes: o dono de um workspace pode baixar uma cópia dos dados do workspace em Configurações, em Seus dados. É um arquivo só, com os contatos, etiquetas e segmentos, as campanhas, cada e-mail enviado com o que dizia, a caixa de entrada com cada mensagem, rascunhos, a lista de supressão, respostas prontas, as configurações das caixas de e-mail, das chaves de API e do webhook, os nomes, e-mails e funções dos membros e o registro de quem mudou o quê. Ele deixa de fora logins e senhas, tokens de login das caixas, hashes das chaves de API, o segredo de assinatura do webhook e os endereços das parceiras de aquecimento: do aquecimento, traz as contagens por dia e os pedidos de revisão do dono sobre um bloqueio. Cada e-mail está no arquivo como foi enviado, links incluídos, então um link de descadastro em um deles continua funcionando para quem tiver o arquivo. O endereço do webhook também está nele. Guarde o arquivo com o mesmo cuidado que você tem com a caixa de e-mail. O dono pode gerar até 1 desses arquivos por dia, e um novo dia começa às 00:00 UTC. O link de cada arquivo funciona por 60 minutos e por até 3 downloads. Você também pode exportar só os seus contatos, em planilha, na página Contatos. O dono também pode pedir para excluir o workspace em Configurações; a seção 6 diz o que acontece depois. Você também pode excluir a sua própria conta em Configurações, e a seção 6 também diz o que acontece depois. Para receber uma cópia dos dados da sua própria conta, escreva para [email protected].

Se você recebeu e-mails de um cliente do colding, o link de descadastro ou uma resposta dizendo isso interrompe o envio na hora e não exige conta; para qualquer outra coisa, escreva para [email protected] e encaminharemos o pedido ao cliente, que é o controlador, e o ajudaremos a responder. Respondemos em até 15 dias.

8. Quem mais tem acesso aos dados

Para cada empresa abaixo que trabalha para nós, dizemos o que o contrato dela afirma sobre enviar dados para outro país. Quando um contrato não nomeia nenhum mecanismo, dizemos isso e não nomeamos nenhum. Lemos esses contratos em 4 de outubro de 2026. Em 7 de outubro de 2026, lemos de novo o que eles dizem sobre as cláusulas da ANPD e lemos o da Stripe pela primeira vez. Em 21 de outubro de 2026, lemos o da AWS. A página de suboperadores lista as mesmas empresas com o que cada uma recebe e onde trabalha, e o acordo de tratamento de dados é o nosso próprio com você.

Seus provedores de e-mail (Google, Microsoft, Zoho ou o servidor SMTP que você escolheu): cada mensagem é enviada e recebida por eles, sob os termos deles. Eles são os seus provedores, não os nossos operadores.
Stripe: cobra os planos pagos. Enviamos a ela só o id do workspace. Você informa seu e-mail, seu cartão e seus dados de cobrança na página de pagamento dela, então eles nunca chegam até nós. O acordo de tratamento de dados da Stripe, atualizado pela última vez em 28 de setembro de 2026, envia os dados à Stripe, LLC, nos Estados Unidos, e às afiliadas e suboperadores da Stripe em outros países, sob o seu adendo de transferências de dados, atualizado pela última vez em 18 de novembro de 2025. O adendo nomeia o Data Privacy Framework, as cláusulas-padrão contratuais da UE, o adendo de transferência internacional de dados do Reino Unido e uma versão suíça delas. A seção 11 do adendo aplica as cláusulas-padrão contratuais da ANPD aos dados que vão do Brasil para um país sem decisão de adequação da ANPD: o exportador é quem é parte do contrato com a Stripe, e o importador é a Stripe, LLC. Em parte do seu trabalho, a Stripe decide as finalidades por conta própria, e nesses casos ela é controladora, e não nossa operadora.
Nosso próprio servidor de verificação: para verificar um endereço, um servidor nosso pergunta ao servidor de e-mail que recebe as mensagens dele se o endereço existe, e encerra a conexão antes de qualquer mensagem ser enviada. Ele nunca envia e-mails. Recebe o endereço e os nomes dos servidores de e-mail daquele domínio. Não guarda cópia do endereço e nunca o escreve nos logs. Os logs dele trazem o nome do servidor de e-mail que ele consultou e o que esse servidor respondeu, com qualquer endereço removido. O servidor de e-mail do próprio endereço vê a pergunta. Por enquanto, alugamos esse servidor da netcup (netcup GmbH, Alemanha), e ele fica no data center da netcup nos Estados Unidos.
MillionVerifier (GBD Software as a Service Private Limited Company, Hungria): verifica se um endereço de e-mail pode receber mensagens, para os endereços que o nosso servidor de verificação não consegue responder. Recebe só o endereço. Pelo acordo de tratamento de dados dela, guarda o endereço em cache por até 7 dias, e nos backups até eles serem substituídos. Nós guardamos cada verificação por 30 dias depois de ela terminar. Esse acordo não nomeia nenhum mecanismo de transferência. Diz que, quando uma transferência está sujeita ao Capítulo V do GDPR, a MillionVerifier usará um mecanismo lícito de transferência exigido para ela, e que não assina nenhum acordo de transferência específico de um país, a menos que a lei também exija um para o tratamento que ela mesma faz. Não menciona as cláusulas da ANPD nem a LGPD.
Amazon SES (Amazon Web Services, Inc., Estados Unidos): entrega os e-mails sobre a sua conta (links de login, redefinições de senha, alertas, avisos e os códigos que confirmam o endereço de uma caixa) e recebe o seu endereço, o seu nome e a própria mensagem. Os e-mails de campanha nunca passam por ele. Ele funciona na região us-east-1 da AWS, nos Estados Unidos. Os termos de serviço da AWS permitem que a AWS, ou empresas contratadas por ela, guarde e analise cada mensagem para barrar spam, phishing e vírus. Se um e-mail nosso para você der bounce permanente, ou se você marcá-lo como spam, o Amazon SES guarda o seu endereço numa lista da nossa conta, de endereços para os quais ele não envia mais nada, até que o tiremos de lá. O adendo de tratamento de dados da AWS aplica as cláusulas-padrão contratuais da UE aos dados cobertos pelo GDPR que vão para um país fora do EEE sem decisão de adequação da Comissão Europeia, a menos que a AWS tenha adotado normas corporativas vinculantes ou outro padrão reconhecido para essas transferências. Os termos de serviço da AWS acrescentam um adendo do Reino Unido e um suíço. Nenhum desses textos menciona as cláusulas da ANPD nem a LGPD, e a página da AWS sobre a lei brasileira não nomeia nenhum mecanismo para os dados que saem do Brasil, então esta política não nomeia nenhum para eles.
Supabase (hospedado por nós, no nosso próprio servidor): autenticação e banco de dados. Nada sai do nosso servidor por causa disso.
Cloudflare: DNS, a hospedagem dos nossos front-ends web e o armazenamento das cópias de backup da noite (seção 6). Uma verificação de segurança nas páginas em que você entra, cria uma conta ou pede uma nova senha (Cloudflare Turnstile) está pronta, mas ainda não foi ligada. Quando for ligada, o seu navegador carregará a verificação da Cloudflare, que receberá o seu endereço IP, o user agent do navegador e a impressão digital da conexão criptografada dele, para distinguir uma pessoa de um programa e melhorar a verificação. O nosso serviço de login então perguntará à Cloudflare se a verificação passou, enviando o seu endereço IP junto com a pergunta. Hoje a Cloudflare não recebe nada disso. O adendo de tratamento de dados dela aplica as cláusulas-padrão contratuais da UE a uma transferência do EEE que precise delas (Módulo Dois, ou Módulo Três quando o cliente é operador), com o adendo do Reino Unido e uma versão suíça delas. Diz também que a Cloudflare cumpre o Data Privacy Framework UE-EUA e tem as certificações Global CBPR e Global PRP. Não menciona as cláusulas da ANPD nem a LGPD.
netcup (netcup GmbH, Alemanha): o servidor que executa o serviço e guarda o banco de dados, nos Estados Unidos. O acordo de tratamento de dados dela não nomeia nenhum mecanismo de transferência. Diz que o cliente decide onde os dados são tratados.

As cláusulas da ANPD e as da UE são anexos do nosso acordo de tratamento de dados, para os dados dos contatos dos nossos clientes. Das empresas acima, só o adendo da Stripe adota as cláusulas da ANPD, e nenhuma das outras as assinou conosco.

Nossos servidores ficam nos Estados Unidos, então o que guardamos sobre você é armazenado lá, onde quer que você esteja.

Os dados que recebemos do Google seguem as regras adicionais da seção 13.

9. Segurança

As credenciais das caixas são criptografadas em repouso com uma chave que o serviço que responde aos links dos e-mails enviados nunca possui; as chaves de API são guardadas como hash; as sessões são tokens de curta duração; o tráfego de e para os nossos servidores usa TLS sempre que o outro lado aceita (alguns servidores de e-mail que o nosso servidor de verificação consulta sobre um endereço não aceitam, e essa pergunta então vai sem criptografia); o banco de dados pede a senha em todo login vindo de fora do nosso servidor; o acesso é limitado a quem opera o serviço. Os e-mails de desconhecidos aparecem no console em uma sandbox sem scripts. Nenhum sistema é perfeito; se um incidente de segurança afetar você, avisaremos você e a autoridade, como a lei exige.

10. Crianças

O colding não é para menores de 18 anos, e, até onde sabemos, não temos contas de menores.

11. E-mails que enviamos

Sobre a sua conta. Abrimos cada conta manualmente e respondemos ao seu pedido a partir do endereço de uma pessoa. Os e-mails da conta fazem parte do serviço e continuam chegando enquanto a conta existir. Eles levam links de login e redefinições de senha, e os códigos que confirmam o endereço de uma caixa vão para esse endereço. Eles também avisam os donos e administradores de um workspace quando o dono pede para excluí-lo, 7 dias e 24 horas antes de ele ser excluído, e se o dono cancela o pedido. Quando você exclui a sua conta, enviamos um último e-mail para você assim que a exclusão termina.

Alertas. Os alertas aparecem no sino do console e na página Alertas. Você escolhe no console quais tipos também chegam à sua caixa de entrada por e-mail: "Problema numa caixa", "Problema numa campanha", "Uma nova resposta" e "Solicitações para você". Alertas que chegam próximos uns dos outros compartilham um e-mail: depois de um e-mail de alerta, o próximo espera 30 minutos e lista tudo o que chegou nesse meio-tempo. Você recebe no máximo 25 e-mails de alerta em qualquer período de 24 horas, de todos os seus workspaces juntos; depois disso, os alertas esperam no console.

Novidades e dicas. Hoje não enviamos nenhuma. Se um dia começarmos, só quem disser sim vai recebê-las, e todo e-mail terá um link de descadastro.

Não vendemos o seu endereço de e-mail.

12. Acordo de tratamento de dados

Para contatos e remetentes, o contrato de tratamento entre o cliente (controlador) e nós (operador), como exigem a LGPD e o art. 28 do GDPR, é o acordo de tratamento de dados. Ele vale para todo workspace, sem assinatura. A página de suboperadores faz parte dele, e também os seus dois anexos: as cláusulas-padrão contratuais da ANPD e da UE.

13. Dados de usuário do Google

Esta seção trata das informações que recebemos das APIs do Google: o nome, o e-mail e a foto de perfil da sua conta do Google quando você continua com o Google, e os e-mails de uma caixa do Google Workspace que você conecta entrando com o Google (os dois na seção 4). Uma caixa conectada com uma senha de app passa pelos servidores de e-mail do Google, não pelas APIs dele.

O uso e a transferência, pelo colding, a qualquer outro app, de informações recebidas das APIs do Google seguirão a Política de dados do usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use). Na prática:

Usamos essas informações só para oferecer e melhorar os recursos que você vê no console.
Só as repassamos a outra parte para oferecer esses recursos, por segurança ou para cumprir a lei. Em uma fusão ou venda do negócio, só as repassamos depois que você concordar.
Nunca as usamos para publicidade, nunca as vendemos, nunca as usamos para decidir sobre crédito ou empréstimos e nunca as usamos para treinar modelos de IA.
Nenhuma pessoa as lê, a menos que você concorde com isso para mensagens específicas, seja necessário por segurança, a lei exija ou elas tenham sido combinadas e anonimizadas para as nossas operações internas.

14. Alterações

Avisaremos sobre mudanças relevantes por e-mail aos clientes e por uma nota datada no topo desta página.