Quais dados o Clicks CRM trata, para quê, com quem compartilha e como você exerce os seus direitos.
Este documento explica quais dados pessoais são tratados no site clicks.com.br e no aplicativo Clicks CRM (Android e iOS), para quê, com quem são compartilhados, por quanto tempo ficam guardados e como você exerce os seus direitos. Ele segue a Lei nº 13.709/2018 (LGPD).
1. Quem somos
O Clicks CRM é desenvolvido e operado pela Mlike Soluções em Tecnologia da Informação Ltda., inscrita no CNPJ sob o nº 35.165.768/0001-08, com sede na Alameda Rio Negro, 503, Sala 2020 — Alphaville Centro Industrial e Empresarial, Barueri/SP, CEP 06454-000, Brasil. Nas lojas de aplicativos, o desenvolvedor aparece como Mlike; a marca comercial do produto é Clicks. Ao longo deste texto, «nós» designa essa mesma empresa.
Canal para assuntos de privacidade: . Para ajuda com o produto, a página de suporte.
2. Os dois papéis — leia antes do resto
O Clicks CRM é um produto empresarial. Quem contrata é uma imobiliária, incorporadora ou loteadora, e é ela quem cria as contas dos próprios funcionários, decide quais recursos usar e o que registrar. Isso faz com que o mesmo dado possa ter dois responsáveis diferentes, e essa separação decide a quem você deve dirigir cada pedido.
2.1 A empresa contratante é a CONTROLADORA
Dos dados que existem porque ela decidiu registrá-los. Nesses casos nós somos operadores: tratamos o dado por conta e ordem dela, no limite do contrato, e não o usamos para finalidade própria. Entram aqui:
Os clientes finais (leads). Nome, telefone, e-mail, cidade, estado, mensagem, origem da campanha e todo o histórico de atendimento — o que foi feito, por quem e quando. Esse dado é da carteira da imobiliária.
O cadastro do funcionário. Nome, e-mail, nome de usuário, telefone, foto de perfil, papel, equipe e a que ele tem acesso. Foi o administrador da empresa contratante quem criou a conta.
O registro de ponto. Horário de entrada e saída, localização do registro, distância até o local cadastrado e, quando a empresa usa esse método, a foto do registro. Quem liga o recurso, cadastra os locais e define por quantos dias a foto fica guardada é ela.
O trabalho registrado no produto. Atividades, compromissos, anotações, avisos internos e mensagens da equipe.
2.2 Nós somos os CONTROLADORES
Dos dados que existem por decisão nossa, para operar, proteger e sustentar o serviço — inclusive quando se referem a um funcionário de uma empresa contratante. Entram aqui:
Segurança e prevenção a abuso: endereço IP, identificação do navegador ou do aplicativo, registros de sessão, aparelhos reconhecidos, tentativas de acesso e bloqueios temporários.
Entrega de notificações: o identificador que a loja atribui à instalação do aplicativo no seu aparelho.
Registros técnicos e de diagnóstico usados para manter o serviço no ar e investigar falhas.
O site e o suporte: o que você envia no formulário de contato e no formulário de suporte.
A relação comercial com a empresa contratante.
Na prática: pedidos sobre leads, ponto, histórico de atendimento e a existência da sua conta vão para o administrador da sua empresa; pedidos sobre os registros de segurança e diagnóstico, e sobre o que você enviou pelo site, vêm para nós. Os dois caminhos estão descritos na página de exclusão de dados, e em qualquer dúvida pode nos escrever: encaminhamos a quem for competente.
3. O aplicativo não cria contas
Não existe autocadastro no Clicks CRM. Não há tela de «criar conta», não pedimos cartão e não há compras no aplicativo. A conta existe porque o administrador da empresa que contratou o serviço a criou para um funcionário e entregou as credenciais. O aplicativo faz apenas o login.
Em consequência, você não consegue apagar a sua conta de dentro do aplicativo: ela é um registro de trabalho que pertence ao seu empregador. O caminho para pedir a remoção está em exclusão de dados.
4. Que dados tratamos
A lista abaixo corresponde, categoria por categoria, ao que declaramos nos formulários de privacidade da App Store e do Google Play.
4.1 Identificação e contato
Nome, endereço de e-mail e número de telefone. De duas procedências diferentes:
Seus: vieram do cadastro que o administrador da sua empresa fez. Servem para você entrar, para a equipe saber quem atendeu o quê e para receber avisos. O e-mail pode ser opcional — corretores costumam entrar por nome de usuário; para quem administra a empresa ele é obrigatório, porque é por ele que a senha se recupera.
De terceiros, digitados ou importados por você: os dados de contato dos clientes finais da imobiliária. É o conteúdo principal do produto.
4.2 Endereço
Não coletamos o seu endereço residencial. O que existe é: a cidade e o estado do cliente final, quando informados no cadastro do lead ou trazidos da campanha; e o endereço e as coordenadas do local de trabalho — o stand, a loja, o escritório — cadastrados pela empresa contratante para conferir o registro de ponto.
4.3 Localização precisa
Usada por um recurso só: o registro de ponto. Ao tocar em «Check-in» ou «Check-out», o aplicativo lê a posição do aparelho e a grava junto do horário, com a distância até o local cadastrado pela empresa e a margem de erro informada pelo aparelho.
Somente enquanto o aplicativo está em uso. Não há coleta em segundo plano, nem com o aplicativo fechado, nem rastreamento de trajeto. O Android instalado declara apenas as permissões de localização aproximada e precisa «durante o uso»; a permissão de localização em segundo plano não existe no aplicativo.
A permissão é pedida no momento do gesto, nunca na abertura do aplicativo.
Recusar funciona. A tela passa a oferecer «Registrar sem localização», e o ponto é gravado com essa marca. O registro também não é bloqueado quando você está fora da área: ele é apenas marcado como tal, para que a conferência seja feita por uma pessoa.
4.4 Fotos
O aplicativo trata imagens em três situações, todas iniciadas por você:
Foto do registro de ponto, quando a empresa contratante escolhe esse método. A câmera do sistema é aberta pelo próprio aparelho e a imagem é enviada no momento do registro.
Foto de perfil, opcional, escolhida por você.
Imagem anexada a um pedido de suporte, normalmente o print de uma tela com problema.
Toda imagem recebida é reprocessada no servidor antes de ser guardada. Isso reduz o tamanho, impede o envio de arquivo que se disfarça de imagem e descarta os metadados EXIF — inclusive a coordenada de GPS que a câmera do celular grava na foto. A única informação do EXIF que lemos, e não guardamos como horário, é a data de captura, usada para sinalizar à conferência uma foto tirada muito antes do registro.
Não coletamos vídeos e não acessamos a sua galeria por conta própria: quem escolhe o arquivo é você, na tela do sistema.
4.5 Outros conteúdos e arquivos
O texto que você escreve no produto — relatos de atendimento, anotações, avisos internos e mensagens à equipe — e os arquivos que você envia: planilhas de carteira de clientes, nos formatos .xlsx e .csv, quando migra a base de outro sistema. São dados da operação da empresa contratante.
4.6 Identificadores
Identificador de usuário: um código interno que identifica a sua conta e o seu vínculo com a empresa. É por ele que o sistema sabe de quem é cada lead.
Identificador do dispositivo: o token que o serviço de notificação da loja (Firebase Cloud Messaging, no Android; Apple Push Notification service, no iOS) atribui à instalação do aplicativo no seu aparelho, mais um identificador de instalação e um identificador de aparelho reconhecido, este último guardado para não pedir código de verificação toda vez que você entra do mesmo celular.
Não usamos identificador de publicidade. O aplicativo não declara a permissão de ID de publicidade do Android, não exibe anúncios e não rastreia você em outros aplicativos ou sites. No iOS, não pedimos autorização de rastreamento porque não há rastreamento a fazer.
4.7 Interações no produto
O produto existe para responder «quem atendeu este cliente, quando e em quanto tempo». Para isso, registra as ações relevantes: lead recebido, oferta aceita ou recusada, atividade registrada, compromisso marcado, etapa alterada, ponto batido, alterações de cadastro e de permissões. Esse histórico é registro de trabalho da empresa contratante, não estatística de uso para nós, e não alimenta perfil publicitário nenhum.
4.8 Registros técnicos, de segurança e de diagnóstico
Segurança: endereço IP, identificação do navegador ou do aplicativo, data e hora dos acessos, sessões abertas e encerradas, aparelhos reconhecidos, tentativas de login malsucedidas e bloqueios temporários por excesso de tentativas.
Diagnóstico e desempenho: registros de erro do servidor, falhas de entrega de notificação e medições de funcionamento, usados para achar e corrigir defeito.
Relatórios de falha do aplicativo: Apple e Google coletam, pelos próprios sistemas operacionais e lojas, informações sobre travamentos e desempenho, e nos entregam relatórios — em regra agregados — no console de cada loja. Esse recolhimento é feito por elas, conforme as políticas delas, e depende das configurações de compartilhamento do seu aparelho. Não embarcamos no aplicativo nenhum serviço de terceiro para monitoramento de falhas, análise de comportamento ou estatística de uso.
4.9 Dados do site clicks.com.br
Nos formulários de contato e de suporte: nome, e-mail, telefone, cargo, dados da empresa, a mensagem que você escrever e, no suporte, a imagem anexada. Registramos junto o endereço IP, a identificação do navegador, a página de origem e os parâmetros de campanha (UTM), para segurança, prevenção a abuso e para saber por qual canal você nos encontrou.
5. Para que tratamos, e com que base legal
Executar o contrato com a empresa contratante e, dentro dele, operar o produto — receber, distribuir e acompanhar leads, registrar atendimentos e ponto, enviar avisos. Base legal: execução de contrato (art. 7º, V) na relação com a contratante, e, quanto aos dados dos funcionários e clientes finais, a base definida pela própria contratante como controladora — em regra execução de contrato, legítimo interesse ou cumprimento de obrigação legal e trabalhista.
Autenticar você e proteger as contas — login, código de verificação, detecção de reuso de sessão, limite de tentativas. Base legal: execução de contrato e legítimo interesse (art. 7º, IX).
Manter o serviço no ar, prevenir fraude e abuso, investigar incidentes e manter trilha de auditoria. Base legal: legítimo interesse (art. 7º, IX) e, quando aplicável, cumprimento de obrigação legal (art. 7º, II).
Entregar notificações sobre leads e avisos da sua empresa. Base legal: execução de contrato; e o seu consentimento no sistema operacional, que você pode retirar a qualquer momento nas configurações do aparelho.
Registrar o ponto por localização e, quando a empresa o usar, por foto. Base legal definida pela empresa contratante — em regra cumprimento de obrigação legal e execução do contrato de trabalho (art. 7º, II e V).
Responder ao seu contato comercial ou pedido de suporte. Base legal: procedimentos preliminares de contrato e legítimo interesse (art. 7º, V e IX).
Cumprir obrigações legais e defender direitos em processo judicial, administrativo ou arbitral. Base legal: art. 7º, II e art. 7º, VI.
6. O que não fazemos
Não vendemos dados pessoais, nem os cedemos para terceiros usarem por conta própria.
Não exibimos anúncios e não usamos os dados para publicidade — nossa ou de terceiros.
Não rastreamos você entre aplicativos ou sites de outras empresas, e não usamos identificador de publicidade.
Não coletamos localização em segundo plano nem montamos histórico de deslocamento.
Não lemos a sua agenda de contatos, seu microfone nem suas mensagens. O aplicativo pode gravar um contato no seu aparelho, quando você toca em «Salvar nos contatos» — nesse caso o dado sai de nós para o seu celular, e não o contrário.
Não tomamos decisões automatizadas com efeito jurídico sobre você. A distribuição de leads segue a regra configurada pela sua empresa e é sempre revisável por uma pessoa.
7. Segurança
Os dados trafegam criptografados em trânsito (HTTPS/TLS) em todas as comunicações entre o aplicativo, o site e nossos servidores. Senhas são guardadas apenas como resumo criptográfico (argon2), nunca em texto claro, e o mesmo vale para os tokens de sessão, de convite e de redefinição de senha.
O acesso a dados de uma empresa contratante é isolado por empresa e controlado por permissões que a própria contratante define. Nosso atendimento só entra no ambiente de um cliente por uma sessão de suporte identificada, com motivo e prazo, e tudo o que é feito ali fica registrado com o nome de quem fez — nunca no nome de um usuário do cliente. Alterações de cadastro e configuração ficam em uma trilha de auditoria que não admite edição nem exclusão.
Nenhum sistema é infalível. Ocorrendo incidente de segurança relevante, comunicaremos os titulares afetados, a empresa contratante e a Autoridade Nacional de Proteção de Dados, nos termos do art. 48 da LGPD.
8. Com quem compartilhamos
Não vendemos nem cedemos dados. O compartilhamento se limita a fornecedores que sustentam a operação, sempre sob instrução nossa e no limite da finalidade:
Google Cloud Platform — hospedagem dos servidores, do banco de dados e das cópias de segurança. Os dados ficam em infraestrutura na região de São Paulo, Brasil.
Firebase Cloud Messaging (Google) — entrega das notificações no Android. Recebe o identificador do aparelho e o texto da notificação.
Apple Push Notification service (Apple) — entrega das notificações no iOS, nas mesmas condições.
SendPulse — envio dos e-mails do sistema: convite, redefinição de senha, código de acesso e avisos. Recebe o endereço de e-mail do destinatário e o conteúdo da mensagem.
Telegram — canal opcional de aviso e de código de acesso, usado apenas se você vincular a sua conta ao nosso robô. Sem vínculo, nada é enviado. As mensagens do robô não levam dados do cliente final: nome, telefone e endereço nunca trafegam por ali.
Google Sheets — quando a empresa contratante conecta uma planilha própria para receber leads de campanha. A autorização é dada por ela, na conta Google dela, e restrita aos arquivos que ela selecionar.
App Store e Google Play — distribuição do aplicativo e relatórios de falha e desempenho, conforme as políticas de cada loja.
Também poderemos compartilhar dados com autoridades públicas e com assessores jurídicos quando houver obrigação legal, ordem judicial ou necessidade de defesa de direitos.
9. Transferência internacional
A hospedagem e os backups ficam no Brasil. Alguns dos fornecedores acima — notadamente os serviços de notificação da Apple e do Google, o provedor de e-mail e o Telegram — operam infraestrutura fora do país, o que implica transferência internacional de uma parte limitada dos dados: basicamente o identificador do aparelho, o endereço de e-mail e o conteúdo da mensagem enviada por esses canais.
Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, especialmente a necessidade para a execução do contrato e as cláusulas contratuais firmadas com cada fornecedor. Detalhes sobre as garantias adotadas podem ser solicitados pelo canal do §13.
10. Por quanto tempo guardamos
Como regra, os registros de negócio — leads, atendimentos, ponto e avisos — são mantidos enquanto durar o contrato com a empresa contratante, porque é ela quem precisa deles para operar e prestar contas. O produto trabalha com exclusão lógica: um registro excluído sai das telas e dos relatórios, mas continua existindo, para que um engano possa ser desfeito e para que o histórico não seja reescrito.
Prazos específicos:
Foto do registro de ponto: a imagem é apagada automaticamente depois do prazo escolhido pela empresa contratante — entre 7 e 365 dias, 90 dias por padrão. O registro do turno em si permanece; o que se apaga é a fotografia.
Credenciais temporárias: token de acesso, 30 minutos; sessão renovável, 30 dias; aparelho reconhecido, 180 dias; código de verificação de 6 dígitos, 5 minutos; link de entrada, 3 minutos; convite e senha provisória, 72 horas.
Cópias de segurança: a cópia contínua do banco permite restaurar qualquer instante dos últimos 15 dias; os retratos do disco ficam 14 dias. Um dado excluído pode, portanto, sobreviver nesses arquivos por até esse período, após o qual é descartado com eles.
Registros de acesso e de segurança — endereço IP, data e hora dos acessos, sessões e tentativas malsucedidas: 6 meses, que é o prazo do art. 15 do Marco Civil da Internet (Lei nº 12.965/2014) para provedores de aplicação. Prazo maior só mediante ordem judicial ou requisição de autoridade competente.
Trilha de auditoria — quem alterou qual configuração, quando: 5 anos, acompanhando os prazos de prescrição aplicáveis à relação de consumo e à cobrança de dívidas (art. 27 do CDC e art. 206, §5º, I, do Código Civil).
Contatos do site e pedidos de suporte: 5 anos contados do último contato, pelos mesmos prazos de prescrição acima.
Após o encerramento do contrato: a empresa contratante tem 30 dias para exportar a base, e a eliminação acontece em até 90 dias do encerramento. Ficam de fora os dados que a lei nos obrigue a guardar — documentos fiscais, por 5 anos — e o necessário para a defesa de direitos em processo judicial, administrativo ou arbitral.
Registros de ponto e de jornada podem ter prazo próprio, definido pela empresa contratante para cumprir a legislação trabalhista. Quem responde por ele é ela, como controladora.
Encerrados os prazos, os dados são eliminados ou anonimizados. O caminho para pedir exclusão antes disso está em exclusão de dados.
11. Seus direitos
O art. 18 da LGPD lhe garante, a qualquer momento e gratuitamente: confirmação de que tratamos seus dados; acesso a eles; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade; portabilidade; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e as consequências disso; revogação do consentimento; e oposição a tratamento feito com base em legítimo interesse.
Como exercer:
Para dados que pertencem à operação da sua empresa — leads, seu cadastro de usuário, registros de ponto, histórico de atendimento — procure o administrador da conta da sua empresa, que é o controlador desses dados. Ele consegue corrigir, desativar e excluir pelo painel.
Para os demais dados, e para qualquer dúvida sobre esta política, escreva para ou use a página de suporte.
Respondemos em até 15 dias. Podemos pedir informação adicional para confirmar a sua identidade antes de atender — é o que impede que outra pessoa peça os seus dados no seu lugar.
Recebendo um pedido sobre dado de que somos apenas operadores, nós o encaminhamos à empresa controladora e avisamos você de que foi feito. Você também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).
12. Permissões do aplicativo e como revogá-las
Todas as permissões são pedidas no momento em que o recurso é usado, e todas podem ser retiradas depois, sem desinstalar o aplicativo. Retirar uma permissão desativa o recurso correspondente e nada mais.
Localização — usada só pelo registro de ponto. Android: Configurações › Aplicativos › Clicks CRM › Permissões › Local. iOS: Ajustes › Clicks CRM › Localização. Sem ela, use «Registrar sem localização» na tela de ponto.
Câmera e fotos — usadas só quando você anexa uma imagem. A escolha do arquivo acontece na tela do sistema, e negar o acesso apenas impede o envio daquela imagem.
Notificações — avisam que um lead foi atribuído a você e entregam os avisos da sua empresa. Android: Configurações › Aplicativos › Clicks CRM › Notificações. iOS: Ajustes › Notificações › Clicks CRM. Dentro do aplicativo, em «Meu perfil», também é possível desligar as notificações deste aparelho.
Telegram — vínculo opcional. Desfaz-se em «Meu perfil», no aplicativo, ou enviando /parar ao robô.
13. Encarregado pelo tratamento de dados (DPO)
Encarregado: Adriano Gomes. O canal oficial para pedidos relativos a dados pessoais é este: . Ele vale desde já — os pedidos enviados para lá são tratados nos prazos do §11, independentemente da publicação do nome acima.
14. Cookies e armazenamento no aparelho
Não usamos cookies de publicidade nem de rastreamento de terceiros, no site ou no aplicativo. O que usamos:
No site: armazenamento local do navegador para preservar os parâmetros de campanha durante a visita. Nada é enviado se você não enviar o formulário.
Na plataforma: cookies estritamente necessários para manter a sessão aberta e para reconhecer o aparelho, evitando pedir código de verificação a cada acesso. Eles são inacessíveis a scripts e restritos aos nossos domínios.
No aplicativo: a credencial de sessão é guardada no cofre seguro do sistema operacional, protegida por chave que não sai do aparelho, e não entra em backup nem é transferida para outro celular. Preferências de exibição ficam no armazenamento local do aplicativo.
15. Crianças e adolescentes
O Clicks CRM é uma ferramenta de trabalho destinada a maiores de 18 anos. Não o direcionamos a crianças e adolescentes e não coletamos conscientemente dados deles. Tomando conhecimento de um cadastro nessas condições, o removeremos.
16. Alterações desta política
Podemos atualizar este documento para refletir mudanças no produto ou na lei. A data no topo indica a última revisão. Mudanças relevantes serão comunicadas à empresa contratante e, quando couber, dentro do próprio aplicativo. Recomendamos reler esta página de tempos em tempos.
17. Contato
Mlike Soluções em Tecnologia da Informação Ltda. CNPJ 35.165.768/0001-08 Alameda Rio Negro, 503, Sala 2020 — Alphaville Centro Industrial e Empresarial Barueri/SP · CEP 06454-000 · Brasil