Política de Privacidade

Última atualização: 28 de setembro de 2026 · versão 2026-09-28-2

1. Quem somos

O Cutucaí é um sistema online para recuperar vendas de Pix, boleto e carrinho abandonado. Ele é operado por o responsável pelo Cutucaí ("nós"). Contato para qualquer assunto de privacidade, inclusive com o nosso encarregado de dados (art. 41 da LGPD): pelo e-mail de suporte informado no site.

2. Dois papéis diferentes

• Dados da sua conta (você, assinante): nós somos o controlador. Decidimos como esses dados são usados, sempre dentro desta política.
• Dados dos seus clientes e leads (quem gerou Pix, boleto ou abandonou o carrinho na sua loja): você é o controlador e nós somos o operador (art. 5º, VI e VII da LGPD). Tratamos esses dados só para prestar o serviço que você contratou, seguindo suas instruções, e nunca para fins próprios.

3. Quais dados tratamos e para quê

Não tratamos dados sensíveis (art. 5º, II) e o serviço não é destinado a menores de 18 anos.

Estatísticas para melhorar o serviço: usamos números agregados e anônimos, como quantas vendas foram recuperadas, em que etapa do contato e por qual canal, para entender o que funciona e melhorar o Cutucaí. Esses números não incluem nome, telefone ou e-mail de compradores e não permitem identificar ninguém (dados anonimizados deixam de ser dados pessoais, art. 12 da LGPD). Também acompanhamos números de uso de cada conta, como quantos leads aguardam o 1º contato, para oferecer suporte (legítimo interesse, art. 7º, IX). Nada disso é vendido. Só mostramos totais gerais na página de vendas (por exemplo, "R$ X recuperados pelos clientes"), sem identificar nenhuma conta nem nenhum comprador.

4. Com quem compartilhamos

Só com fornecedores necessários para o serviço funcionar, que tratam os dados em nosso nome:

• Asaas (Brasil): cobrança Pix da assinatura: nome, e-mail e CPF/CNPJ de quem paga.
• Google (Gmail): envio dos e-mails do sistema (senha, avisos, relatórios). As páginas também carregam fontes do Google Fonts.
• Telegram: só se você conectar. Os avisos levam nome, produto, valor e telefone do lead ao seu Telegram.
• Tailscale e Cloudflare: conexão segura (HTTPS) entre a internet e o nosso servidor.
• Microsoft (OneDrive): guarda as cópias de segurança fora do nosso servidor, criptografadas (AES-256) antes de sair dele. A chave fica só com o responsável: a Microsoft não consegue ler o conteúdo.
• Plataformas de venda que você conectar (Kiwify, Hotmart, Eduzz, Monetizze, Braip, Perfect Pay, Ticto etc.): elas nos enviam os dados dos seus leads, por sua configuração.

Alguns desses fornecedores podem processar dados fora do Brasil. Nesses casos, a transferência segue o art. 33 da LGPD. Não vendemos nem alugamos dados pessoais. Também podemos fornecer dados quando uma lei ou ordem judicial obrigar.

WhatsApp: o CRM não envia mensagens. O botão abre o seu WhatsApp com o texto pronto, e o envio é feito por você.

5. Por quanto tempo guardamos

• Conta: enquanto ela existir. Se você excluir a conta, os dados saem na hora do sistema e somem das cópias de segurança em até 14 dias.
• Leads: apagados automaticamente depois de 365 dias sem nenhuma movimentação, ou antes, se você excluir.
• Pagamentos: registros financeiros ficam também na Asaas, pelo prazo que a lei exigir.
• Registros de acesso (IP, data e hora): guardados por 6 meses, como exige o Marco Civil da Internet, e apagados automaticamente depois. Ficam guardados por esse prazo mesmo que a conta seja excluída, com acesso restrito, e só são entregues por ordem judicial.
• Cópias de segurança: uma por hora (as últimas 24 horas) e uma por dia (os últimos 14 dias), sempre criptografadas.

6. Como protegemos

• Conexão sempre criptografada (HTTPS).
• Senhas guardadas só como código irreversível (scrypt), nunca em texto. As sessões de login também ficam guardadas só como código irreversível.
• Os dados de cada assinante ficam separados: uma conta não enxerga a outra.
• Limite de tentativas de login contra quem tenta adivinhar senhas.
• Verificação em 2 etapas opcional: ao entrar em um aparelho novo, além da senha, um código de 6 dígitos enviado no seu Telegram. O código e o aparelho confiável ficam guardados só como código irreversível.
• Links de nova senha que valem uma vez só e expiram.
• Histórico de acesso em Minha conta: entradas, tentativas com senha errada e mudanças de segurança, com data e IP.
• Cópias de segurança criptografadas (AES-256) antes de sair do servidor; chaves e senhas do sistema guardadas fora de serviços de nuvem.
• Acesso ao servidor restrito ao responsável.

Nenhum sistema é 100% invulnerável. Se acontecer um incidente de segurança que possa causar risco ou dano relevante aos dados da sua conta, avisaremos você e a ANPD, como manda o art. 48 da LGPD. Se ele atingir dados dos seus leads, avisaremos você em até 48 horas, para que você comunique a ANPD e as pessoas afetadas (Termos de Uso, cláusula 10.4).

7. Seus direitos

Você pode, a qualquer momento (art. 18 da LGPD):

• confirmar que tratamos seus dados e ter acesso a eles;
• corrigir dados incompletos ou errados (em Minha conta);
• baixar seus dados em arquivo, ou seja, portabilidade (Minha conta → Baixar meus dados);
• pedir a exclusão (Minha conta → Excluir minha conta);
• saber com quem compartilhamos (item 4) e revogar consentimentos;
• reclamar na Autoridade Nacional de Proteção de Dados (ANPD).

Se você é cliente de uma loja que usa o Cutucaí (ou seja, é um lead), quem decide sobre seus dados é essa loja. Fale primeiro com ela. Se escrever para nós, encaminhamos o pedido a ela e ajudamos no que for preciso.

8. Extensão do Chrome

A extensão "Cutucaí" para o Google Chrome mostra a sua fila de recuperação ao lado do WhatsApp Web. Sobre os dados que ela trata:

• Guarda no seu navegador (armazenamento local da extensão): o token de sessão do login, a sua preferência de notificações, quais avisos já foram mostrados e, se você marcar "Confiar neste computador", um identificador que dispensa o código da verificação em 2 etapas por 60 dias. Sair da conta na extensão apaga o token.
• Envia só para o servidor do Cutucaí: e-mail e senha no login; o registro de cada contato feito (incluindo o texto da mensagem), "Pagou" e "Pular". Com isso a fila e o histórico do lead ficam atualizados.
• Recebe do servidor do Cutucaí: a fila (nome, telefone, produto, valor e situação do pagamento de cada lead) e os seus scripts de mensagem.
• Não lê as suas conversas do WhatsApp, o conteúdo de outros sites nem o seu histórico de navegação. A permissão de abas serve só para encontrar a aba do WhatsApp Web e abrir a conversa escolhida.
• Não envia mensagens sozinha: ela abre a conversa com o texto pronto e quem envia é você.
• Os dados da extensão não são vendidos, não são usados para publicidade nem para análise de crédito, e não são transferidos a terceiros, exceto quando a lei exigir.

O uso de informações recebidas pela extensão segue a Política de Dados do Usuário da Chrome Web Store, incluindo os requisitos de Uso Limitado.

9. Cookies e armazenamento

Não usamos cookies de publicidade nem de rastreamento. O painel usa só um cookie de sessão essencial, que o seu navegador não deixa nenhum script ler (HttpOnly) e que só vale neste site, para você continuar conectado; e guarda no navegador a última aba aberta. Sair da conta apaga a sessão. Se você marcar "Confiar neste aparelho" na verificação em 2 etapas, um segundo cookie do mesmo tipo dispensa o código por 60 dias (Minha conta → Esquecer todos cancela).

10. Mudanças nesta política

Se esta política mudar de forma importante, avisaremos por e-mail ou no painel antes de a mudança valer. A data no topo mostra a última atualização.