Política de privacidade

A FirstSales ('nós' ou 'nosso') opera a plataforma FirstSales em firstsales.io. É um produto de cold email entre empresas (B2B) que oferece sequências de email com apoio de IA, aquecimento automático de caixas e domínios, ferramentas de entregabilidade, gestão de listas de prospects e análise de campanhas.

Esta Política de privacidade explica como coletamos, recebemos, usamos, guardamos, compartilhamos, transferimos e protegemos dados pessoais quando você usa o site e a plataforma da FirstSales (juntos, o 'Serviço'). Ela vale para todas as pessoas que visitam firstsales.io, todos os titulares de contas e usuários em teste, e qualquer pessoa cujos dados passem pelos nossos sistemas.

Para os dados pessoais dos nossos próprios usuários e visitantes do site, a FirstSales é a controladora: decidimos por que e como os dados são tratados. Para os dados pessoais que os usuários enviam sobre seus próprios prospects e contatos (listas de destinatários, dados de enriquecimento, importações do CRM), a FirstSales é operadora. Agimos conforme as instruções do usuário, que é o controlador desses dados.

Se você recebeu um cold email enviado pela FirstSales e quer saber por que foi contatado, ou quer sair da lista do remetente, responda a esse email ou fale direto com o remetente. Você também pode escrever para firstsales@support.communicate.so e vamos ajudar a encaminhar seu pedido.

Ao criar uma conta, começar um teste ou usar qualquer parte do Serviço, você confirma que leu e entendeu esta Política de privacidade. Se não concordar com alguma parte, não use o Serviço.

Os dados pessoais que coletamos dependem de como você usa a FirstSales.

Dados de conta e perfil: quando você se cadastra, coletamos seu nome, seu endereço de email e os dados opcionais de perfil que você adicionar, como nome da empresa, cargo ou site. Se você convidar membros da equipe, coletamos os emails deles para enviar os convites.

Dados de cobrança e pagamento: quando você começa uma assinatura paga ou o teste de $1, informa dados de cobrança como o nome do titular e os dados do cartão. Nossos processadores de pagamento externos (atualmente a Stripe) cuidam dos pagamentos. Nunca recebemos nem guardamos nos nossos servidores o número completo do cartão, o CVV ou a data de validade completa. Recebemos e guardamos um token de pagamento, os quatro últimos dígitos, a bandeira do cartão e o país de cobrança, para gerenciar sua assinatura e evitar fraude.

Dados de caixas e domínios conectados: para enviar email em seu nome, você permite que a FirstSales acesse sua conta de email por OAuth (Google, Microsoft ou provedores parecidos) ou por credenciais SMTP/IMAP. Isso nos permite enviar email do seu endereço, ler o status de entrega dos emails enviados e, se você ligar o aquecimento, trocar mensagens de aquecimento dentro da nossa rede. Guardamos os tokens OAuth (criptografados), seu endereço de email, o nome exibido, a identidade do provedor e as configurações de envio. Acessamos os metadados do email (assunto, horário, message-id, endereços dos destinatários) e, em alguns casos, uma parte limitada do corpo do email, só para fazer o aquecimento, registrar aberturas e cliques e fornecer análise de entregabilidade.

Dados de prospects e contatos enviados pelos usuários: você pode enviar arquivos CSV, conectar integrações de CRM ou adicionar contatos à mão. Esses registros podem conter nomes, emails profissionais, cargos, nomes de empresas, URLs do LinkedIn e outros dados de prospecção. Esses dados são seus. Você é o controlador e só você deve garantir que tem uma base legal para tratar e contatar cada pessoa.

Dados de uso e do produto: coletamos informações sobre como você usa o Serviço, como páginas visitadas, funções ligadas, sequências criadas, campanhas lançadas, emails enviados e rastreados, aberturas e cliques, e duração das sessões. Esses dados ficam ligados principalmente à sua conta e não servem para seguir você em outros sites.

Dados do dispositivo e registros: nossos servidores registram automaticamente seu endereço IP, tipo e versão do navegador, sistema operacional, URL de origem e horários quando você usa o Serviço. Usamos esses registros para monitorar a segurança, corrigir bugs e evitar abuso.

• Cookies e ferramentas parecidas: usamos cookies essenciais para manter você conectado e proteger contra ataques CSRF. Podemos usar cookies de análise para entender o uso geral do produto. Cookies de preferências lembram configurações como fuso horário e idioma. Para todos os detalhes sobre cookies, ferramentas de rastreamento e como recusar, veja nossa Política de cookies.

Usamos as informações que coletamos para estas finalidades:

• Prestar o Serviço: fazer seu login, enviar email e fazer o aquecimento por você, gerenciar campanhas e sequências, guardar e mostrar suas listas de prospects e mostrar painéis de análise.
• Gestão da conta e cobrança: cuidar de assinaturas, ativações de teste e renovações, e avisar você sobre mudanças de plano, faturas e problemas de pagamento.
• Entregabilidade e aquecimento: analisar padrões de envio, sinais de reputação, taxas de rejeição e chegada à caixa de entrada para orientar você e ajustar automaticamente os cronogramas de aquecimento.
• Escrita com apoio de IA: usar o contexto da sua campanha (para quem você escreve, a descrição do seu produto, o tom escolhido) para escrever textos de email personalizados. Não treinamos modelos de IA compartilhados com seus dados privados de prospects ou o conteúdo dos seus emails sem seu consentimento explícito.
• Suporte ao cliente: responder seus pedidos, resolver problemas e ajudar você a começar.
• Segurança e prevenção de abuso: detectar contas falsas, spam enviado pela nossa plataforma, tentativas de acesso não autorizado e violações dos nossos Termos de Serviço.
• Obrigações legais e de conformidade: guardar os registros que a lei exige, responder a pedidos legais válidos e fazer cumprir nossos contratos.
• Melhorar o produto: estudar tendências de uso gerais e anonimizadas para melhorar funções, corrigir bugs e decidir o que construir depois.

Não vendemos seus dados pessoais, o conteúdo das suas caixas conectadas nem suas listas de prospects para ninguém para fins de publicidade.

Se você está no Espaço Econômico Europeu (EEE), no Reino Unido ou na Suíça, tratamos seus dados pessoais com uma ou mais destas bases legais, segundo o Regulamento Geral sobre a Proteção de Dados (GDPR) e a lei nacional aplicável:

• Contrato (artigo 6(1)(b)): o tratamento de que precisamos para cumprir nosso contrato com você, como manter sua conta, enviar email, cuidar da cobrança e dar suporte.
• Legítimo interesse (artigo 6(1)(f)): o tratamento para nossos interesses comerciais legítimos, quando seus direitos não prevalecem. Por exemplo, detecção de fraude, monitoramento de segurança, análise do produto, avisar clientes atuais sobre funções relacionadas e melhorar as ferramentas de entregabilidade.
• Consentimento (artigo 6(1)(a)): quando usamos seu consentimento, como para cookies de análise opcionais ou emails de marketing para pessoas que a própria FirstSales contata. Você pode retirar o consentimento a qualquer momento. Isso não afeta o tratamento feito antes.
• Obrigação legal (artigo 6(1)(c)): o tratamento que a lei exige, como guardar registros fiscais ou responder a ordens judiciais ou a reguladores.

Se categorias especiais de dados pessoais aparecerem por acidente em listas de prospects enviadas, só as tratamos com consentimento explícito ou quando a lei permite. Recomendamos fortemente que os usuários não enviem dados sensíveis desse tipo ao Serviço.

Conectar sua caixa de email é o que permite à FirstSales enviar email por você. Controlamos de forma rígida o acesso à sua conta de email e só o usamos na medida necessária para as funções que você ligar.

Quando você conecta uma caixa do Google Workspace ou do Microsoft 365 por OAuth, concede à FirstSales permissões OAuth específicas. No Google, pedimos permissões para enviar email (gmail.send), para ler os marcadores e metadados necessários ao rastreamento de entregas (gmail.readonly ou parecido) e, se o aquecimento estiver ligado, para adicionar e gerenciar mensagens de aquecimento. Não pedimos acesso à sua caixa de entrada inteira nem aos seus contatos além do que as funções ligadas precisam.

Guardamos os tokens OAuth criptografados em repouso, com criptografia padrão do setor. Os tokens de acesso se renovam automaticamente e só ficam guardados enquanto sua caixa continua conectada. Se você revogar a permissão OAuth nas configurações da sua conta Google ou Microsoft, nosso acesso termina na hora.

• Lemos os metadados do email (remetente, destinatário, assunto, message-id, horário) para ligar as mensagens enviadas aos eventos de abertura e clique.
• Para o aquecimento, nosso sistema envia e recebe mensagens curtas com jeito humano entre as contas conectadas da nossa rede de aquecimento. Essas mensagens são claramente escritas por máquina para o aquecimento e não contêm o conteúdo real das suas campanhas.
• Não lemos, indexamos nem analisamos o conteúdo completo dos emails da sua caixa de entrada além do que você envia pelo Serviço.
• Não compartilhamos nem vendemos o conteúdo dos seus emails, nem o usamos para publicidade, comércio de dados ou treinamento de modelos de IA compartilhados, sem seu consentimento explícito.
• Só acessamos sua caixa conforme suas instruções. Você continua responsável por garantir que seu uso das caixas conectadas segue os termos de serviço do seu provedor de email.

Se você desconectar uma caixa da FirstSales, paramos de acessá-la na hora. Guardamos os metadados ligados à atividade passada das campanhas (registros de envio, eventos de análise) conforme nossas regras de retenção, para que seus relatórios de campanha continuem completos.

A FirstSales é uma ferramenta de prospecção entre empresas. Os usuários enviam listas de contatos profissionais, normalmente pessoas que trabalham em empresas, para fazer campanhas de cold email. Quando você envia dados de prospects, é o controlador desses dados e a FirstSales é sua operadora.

Só você deve garantir que tem uma base legal para tratar e contatar cada pessoa da sua lista de prospects. Você deve cumprir todas as leis aplicáveis, incluindo CAN-SPAM, GDPR, CASL e qualquer outra regra dos países dos seus destinatários.

Como controlador dos dados de prospects, você deve:

• Obter seus contatos por meios legítimos (por exemplo, informações profissionais públicas, formulários de aceite ou listas compradas de fornecedores que cumprem a lei) e confirmar que tem uma base legal para prospecção B2B.
• Garantir que cada campanha de email identifique claramente o remetente, tenha um assunto honesto e inclua uma opção de descadastro que funcione, como exigem a CAN-SPAM e leis parecidas.
• Atender rápido os pedidos de descadastro e supressão. A FirstSales oferece funções de lista de supressão, e você deve usá-las quando um contato pedir para sair.
• Não enviar categorias especiais de dados pessoais (saúde, finanças, política, biometria ou outros dados sensíveis) para a base de prospects.
• Não enviar dados que você não tem direito legal de tratar ou de usar para email comercial.

A FirstSales só trata os dados de prospects para executar suas campanhas, mostrar os registros no seu painel e dar análise dos seus envios. Não cruzamos suas listas de prospects com as de outros clientes, não vendemos dados de prospects e não os usamos para nada além do trabalho de campanha que você pede.

Quando sua conta termina, apagamos os dados de prospects conforme o cronograma de retenção da Seção 8.

Não vendemos dados pessoais. Só compartilhamos dados pessoais nos casos limitados abaixo.

Suboperadores e prestadores de serviço: usamos empresas externas escolhidas com cuidado para ajudar a operar o Serviço. Esses suboperadores podem tratar dados pessoais por nós, mas seus contratos os obrigam a usá-los só para as finalidades que definimos e a mantê-los seguros. Os principais tipos de suboperadores são:

• Infraestrutura em nuvem: serviços de hospedagem e banco de dados que guardam dados de conta, de campanhas e registros em ambientes de nuvem seguros.
• Infraestrutura de envio de email: serviços de relay SMTP e de entregabilidade que ajudam a encaminhar e monitorar o email enviado.
• Processadores de pagamento: a Stripe (e serviços parecidos) que cuidam dos pagamentos com cartão. Esses processadores seguem o PCI-DSS.
• Análise e monitoramento de erros: ferramentas que coletam dados gerais de uso do produto e registros de erros do aplicativo, para nos ajudar a melhorar a confiabilidade e o desempenho.
• Ferramentas de suporte: plataformas de atendimento e chat que usamos para responder seus chamados e perguntas.
• Provedores de login: provedores de identidade OAuth (Google, Microsoft) cujos servidores de autorização você usa ao conectar caixas de email.

Divulgações legais e de segurança: podemos divulgar dados pessoais se a lei, um regulamento, um processo legal ou um pedido válido do governo (como uma ordem judicial ou intimação) exigir. Quando a lei permitir, avisaremos você antes de entregar dados em resposta a um pedido assim. Também podemos divulgar dados para proteger os direitos, os bens ou a segurança da FirstSales, dos nossos usuários ou do público.

Transferências da empresa: em caso de fusão, aquisição, financiamento, reorganização, falência ou venda de todos ou parte dos nossos ativos, os dados pessoais que temos podem passar para o novo dono. Vamos avisar você sobre qualquer transferência desse tipo e sobre as escolhas que você tiver.

Com seu consentimento: compartilhamos seus dados com outros terceiros quando você pede isso de forma clara, por exemplo quando aprova uma integração nativa com seu CRM.

Guardamos os dados pessoais enquanto sua conta está ativa e por um período definido depois, ou pelo tempo que a lei exigir.

• Contas ativas: guardamos seu perfil, os registros de cobrança, os dados de campanhas e os metadados das caixas conectadas enquanto sua conta existir.
• Depois que sua conta termina ou você cancela: guardamos os registros básicos da conta e o histórico de cobrança por até 7 anos para cumprir obrigações financeiras e legais. Guardamos a análise de campanhas (métricas gerais, registros de envio) por até 2 anos depois do fim da conta, para resolver disputas.
• Dados de prospects e contatos: apagados em até 90 dias depois do fim da conta, a menos que você peça para apagar antes.
• Tokens OAuth: revogados e apagados na hora quando você desconecta uma caixa ou apaga sua conta.
• Registros do servidor e de segurança: guardados por até 12 meses para monitorar a segurança e evitar abuso, e depois apagados ou anonimizados.
• Backups: os backups criptografados podem guardar dados por até 60 dias a mais depois do período normal de retenção antes de serem apagados.

Você pode pedir a qualquer momento que apaguemos sua conta e os dados pessoais ligados a ela escrevendo para firstsales@support.communicate.so. Atendemos pedidos de exclusão em até 30 dias, a menos que a lei nos obrigue a guardar certos registros.

Apagar sua conta remove para sempre suas campanhas, sequências, listas de prospects, configurações de caixas conectadas e dados de perfil. Não dá para desfazer. Guardamos os registros de cobrança exigidos pela lei tributária, de forma anonimizada ou mínima, pelo período que a lei definir.

Proteger seus dados e o acesso às suas caixas de email é essencial para o nosso produto. Usamos medidas de segurança técnicas e organizacionais adequadas à sensibilidade dos dados.

• Criptografia em trânsito: todo o tráfego entre seu navegador ou cliente de email e nossos servidores usa TLS 1.2 ou superior. Os endpoints da API só aceitam HTTPS.
• Criptografia em repouso: bancos de dados, armazenamento de arquivos e backups são criptografados em repouso com AES-256 ou equivalente. Os tokens OAuth e as credenciais SMTP também são criptografados no aplicativo antes de serem guardados.
• Controle de acesso: só pessoas autorizadas podem acessar os sistemas de produção e os dados de clientes, e cada pessoa recebe o mínimo de acesso de que precisa. Registramos e revisamos todo acesso à produção. O acesso de administrador exige autenticação multifator.
• Cuidado com tokens: nunca registramos nem mostramos tokens OAuth em texto puro. Os tokens de atualização mudam a cada uso. Só guardamos as permissões mínimas de que cada integração de caixa precisa.
• Gestão de vulnerabilidades: auditamos nossas dependências com regularidade, aplicamos rápido as correções de segurança e revisamos as mudanças de código em busca de problemas de segurança.
• Resposta a incidentes: mantemos um plano de resposta a incidentes. Se houver um vazamento de dados pessoais, avisaremos os usuários afetados e as autoridades de supervisão competentes no prazo que a lei exigir.

Mesmo com essas medidas, nenhuma transmissão pela internet nem sistema de armazenamento é 100% seguro. Se você acha que alguém acessou sua conta da FirstSales sem permissão, escreva na hora para firstsales@support.communicate.so e troque sua senha e suas permissões OAuth.

A FirstSales atua no mundo todo e pode tratar seus dados pessoais em países diferentes do seu. Em especial, nossa infraestrutura fica hospedada principalmente nos Estados Unidos. Se você está no EEE, no Reino Unido ou na Suíça, seus dados pessoais podem ser enviados e tratados nos Estados Unidos ou em outros países que talvez não protejam os dados tanto quanto o seu país.

Quando enviamos dados pessoais do EEE, do Reino Unido ou da Suíça para um país sem decisão de adequação, usamos garantias adequadas, entre elas:

• Cláusulas contratuais padrão (SCCs) aprovadas pela Comissão Europeia, incluídas nos nossos contratos com suboperadores e importadores de dados.
• O Acordo Internacional de Transferência de Dados do Reino Unido (IDTA), ou o adendo britânico às SCCs, para transferências a partir do Reino Unido.
• Avaliações de impacto das transferências quando exigidas, com medidas técnicas extras (criptografia, pseudonimização) quando adequado.

Ao usar o Serviço, você reconhece que seus dados podem ser transferidos para o exterior como descrito acima. Para dúvidas sobre as garantias que se aplicam aos seus dados, escreva para firstsales@support.communicate.so.

Dependendo de onde você está, você pode ter certos direitos sobre seus dados pessoais. Vamos respeitar esses direitos com rapidez e sem obstáculos desnecessários.

Direitos pelo GDPR (pessoas no EEE, no Reino Unido e na Suíça):

• Direito de acesso: você pode pedir uma cópia dos dados pessoais que temos sobre você e saber como os tratamos.
• Direito de retificação: você pode pedir que corrijamos dados pessoais errados ou incompletos.
• Direito ao apagamento ('direito ao esquecimento'): você pode pedir que apaguemos seus dados pessoais quando não precisarmos mais deles para a finalidade da coleta, quando você retirar o consentimento (e não houver outra base legal) ou quando o tratamento for ilegal.
• Direito à portabilidade: você pode pedir seus dados pessoais em formato estruturado, comum e legível por máquina para levá-los a outro controlador, quando o tratamento se baseia em consentimento ou contrato e é automatizado.
• Direito de oposição: você pode se opor ao tratamento baseado no nosso legítimo interesse, incluindo marketing direto. Vamos parar, a menos que mostremos motivos legítimos fortes que prevaleçam sobre seus interesses.
• Direito à limitação do tratamento: você pode pedir que limitemos o tratamento dos seus dados em certos casos, por exemplo enquanto uma disputa sobre a exatidão deles é resolvida.
• Direitos sobre decisões automatizadas: não tomamos decisões sobre você com efeitos legais ou igualmente importantes só por meios automatizados, sem uma pessoa envolvida.

Direitos pela CCPA/CPRA (moradores da Califórnia):

• Direito de saber: você pode pedir que informemos as categorias e os dados específicos de informação pessoal que coletamos sobre você, de onde vieram, por que os usamos e com quais terceiros os compartilhamos.
• Direito de apagar: você pode pedir que apaguemos as informações pessoais que coletamos, com algumas exceções.
• Direito de corrigir: você pode pedir a correção de informações pessoais erradas.
• Direito de recusar a venda ou o compartilhamento: não vendemos nem compartilhamos informações pessoais para publicidade comportamental entre contextos. Você não precisa recusar nada, mas pode falar conosco para confirmar.
• Direito à não discriminação: não vamos tratar você de forma injusta por usar seus direitos de privacidade.

Como usar seus direitos: envie um pedido para firstsales@support.communicate.so com o assunto 'Privacy Rights Request'. Vamos confirmar sua identidade antes de atender o pedido e responder em até 30 dias (ou 45 dias quando a lei permitir e avisarmos você). Um pedido a cada 12 meses é gratuito.

Se você está no EEE ou no Reino Unido e acha que não tratamos seus dados de forma legal, tem o direito de reclamar à autoridade de supervisão local (por exemplo, a Comissão de Proteção de Dados da Irlanda, a ICO do Reino Unido ou a autoridade do seu Estado-membro). Recomendamos que você fale conosco primeiro em firstsales@support.communicate.so para tentarmos resolver o problema diretamente.

Privacidade de crianças: o Serviço é só para profissionais e não é voltado a crianças com menos de 16 anos (ou da idade de consentimento digital do seu país). Não coletamos de propósito dados pessoais de crianças. Se você acha que uma criança nos deu dados pessoais, escreva para firstsales@support.communicate.so e vamos apagá-los rapidamente.

Mudanças nesta política: podemos atualizar esta Política de privacidade de tempos em tempos para refletir mudanças nas nossas práticas, na lei ou nas funções do produto. Quando fizermos mudanças importantes, vamos avisar você por email (no endereço da sua conta) e com um aviso claro no produto pelo menos 14 dias antes de a mudança valer. A data de 'Última atualização' no topo desta página sempre mostra a data da versão mais recente. Se você continuar usando o Serviço depois que uma política atualizada passar a valer, você aceita as mudanças.

Podemos fornecer versões anteriores desta Política de privacidade se você pedir.

Como falar conosco: se você tiver dúvidas, preocupações ou pedidos sobre esta Política de privacidade ou sobre como tratamos dados, fale conosco:

• Email: firstsales@support.communicate.so
• Assunto para temas de privacidade: 'Privacy Inquiry' ou 'Privacy Rights Request'
• Procuramos responder a toda dúvida de privacidade em até 5 dias úteis e atender os pedidos de direitos em até 30 dias.

Se um assunto de proteção de dados não puder ser resolvido pelo nosso suporte, pessoas no EEE e no Reino Unido podem levá-lo à autoridade nacional de proteção de dados. Moradores da Califórnia podem procurar a California Privacy Protection Agency (CPPA).