Taggor — Política de Privacidade

Versão: 1.0 — Lançamento comercial
Última atualização: 12 de novembro de 2026
Início de vigência: quando publicada como Política de Privacidade aplicável ao Serviço.
Canal de privacidade: privacidade@taggor.dev

Esta Política de Privacidade explica como a Haftware Sistemas de Internet Ltda., por meio do serviço Taggor, trata dados pessoais. Aplica-se aos nossos sites, contas, painel, acessos por CLI e API, infraestrutura de componentes hospedados e atividades relacionadas (em conjunto, o “Serviço”). Destina-se a usuários e representantes de clientes, visitantes dos nossos próprios sites e pessoas que interagem com componentes inseridos em sites de clientes.

Distinção importante: quando um cliente do Taggor escolhe coletar dados de visitantes por meio de um componente, normalmente é esse cliente quem determina quais dados coletar e para quais finalidades. A Haftware trata essas informações em nome do cliente, conforme o Acordo de Tratamento de Dados (DPA). Em relação à administração de contas, assinaturas, segurança e determinadas métricas operacionais próprias, a Haftware define as finalidades e atua como controladora. Esta Política descreve ambas as situações, mas não substitui o aviso de privacidade que cada cliente deve fornecer aos visitantes de seus sites.

1. Quem opera o Taggor e quais são nossos papéis

Haftware Sistemas de Internet Ltda., CNPJ 31.659.341/0001-05, com sede na Rua Silveira Martins, nº 810, Sala 504, Centro, Novo Hamburgo, Rio Grande do Sul, CEP 93510-310, Brasil (“Haftware”, “Taggor”, “nós” ou “nosso”), desenvolve, opera e fatura o Taggor. Para contato geral, utilize contato@taggor.dev; para assuntos relativos a dados pessoais, privacidade@taggor.dev.

• Controladora independente: determinamos as finalidades e os meios de tratamento dos dados necessários a cadastro, autenticação, cobrança, comunicações, suporte, prevenção a fraudes e abusos, segurança e métricas próprias de operação e produto.
• Operadora: tratamos dados pessoais enviados por componentes e coleções controlados por clientes, bem como certos avisos associados, conforme suas instruções e o DPA. Quando uma agência atua como operadora de um proprietário de site, poderemos atuar como sua suboperadora.
• Sites dos clientes: não controlamos o conteúdo desses sites, a configuração dos componentes, os dados que eles solicitam nem a utilização independente que o cliente faz dos envios. O visitante deve, em regra, procurar o responsável pelo site para exercer direitos referentes a essas decisões ou aos envios realizados.

O enquadramento depende da operação de tratamento efetiva e da legislação aplicável, e não apenas da denominação adotada no contrato.

2. Quais informações tratamos e de onde vêm

As categorias abaixo descrevem o modelo atual do Serviço. Os dados efetivamente tratados dependem das funcionalidades utilizadas, das configurações do cliente e da interação realizada.

Podemos receber dados diretamente de você, de administradores de workspaces que o convidem, do seu navegador ou de softwares conectados quando interagir com o Serviço, e de prestadores necessários para autenticação, hospedagem e cobrança. Buscamos não solicitar dados pessoais além dos razoavelmente necessários às finalidades informadas.

Quando utilizamos a hipótese do legítimo interesse, consideramos interesses como segurança do Serviço, prevenção a abusos, continuidade operacional, compreensão do uso de funcionalidades e exercício regular de direitos. O titular pode se opor nas hipóteses previstas em lei.

3. Dados coletados por componentes dos clientes

Os clientes podem criar e inserir componentes, como formulários, em sites próprios ou que estejam autorizados a administrar. Eles determinam campos, avisos de privacidade, hipóteses legais, autorizações, destinatários e utilização lícita das respostas. Dependendo da configuração e do plano, o Serviço pode tratar:

• dados fornecidos pelo visitante, como nome, e-mail, telefone, mensagem, informações empresariais e identificadores comuns (inclusive CPF ou RG, quando solicitados legitimamente);
• data e contexto técnico do envio, como componente/site associado, caminho da página sem parâmetros de consulta, país ou categoria geral do navegador, quando a funcionalidade registrar esses elementos;
• configurações ou registros relativos a consentimento, quando habilitados, como hash do texto apresentado, idioma, versão do componente e horário do envio; e
• destinatários de notificações indicados pelo cliente e informações necessárias para entregar e administrar esses avisos.

O desenho atual do Serviço limita o tamanho de cada envio a 32 KiB, sujeito a futuras alterações do produto e aos limites técnicos publicados. A indicação, pelo cliente, de que uma coleção contém dados pessoais não garante a classificação correta do conteúdo. Compilar, verificar ou publicar um componente não significa validar a licitude da coleta; um registro relacionado a consentimento, isoladamente, não comprova que ele foi validamente obtido.

Os clientes devem fornecer avisos adequados, escolher fundamentos jurídicos válidos, atender pedidos dos visitantes e evitar a coleta de categorias proibidas ou sem autorização, de acordo com os Termos. O DPA padrão integra automaticamente os Termos, sem segundo aceite facultativo. Não vendemos dados de envios, não utilizamos seu conteúdo para publicidade comportamental entre contextos e não o empregamos para treinar modelos de IA generativa próprios ou de terceiros. Poderá ocorrer tratamento limitado e proporcional para segurança, suporte solicitado, cumprimento legal ou prevenção a abusos, conforme DPA e lei.

Se você preencheu um componente Taggor em site de terceiro: procure o responsável identificado no próprio site para exercer direitos sobre o que enviou. Se não conseguir identificá-lo, envie ao privacidade@taggor.dev o endereço do site e contexto suficiente para localizar o cliente correspondente; prestaremos auxílio ou encaminharemos a solicitação quando razoavelmente possível e permitido por lei. Pode não ser possível localizar um envio específico sem a colaboração do cliente.

4. Métricas de componentes, cookies e tecnologias similares

Para operar o Serviço, apresentar informações agregadas de desempenho aos clientes, identificar erros e abusos e administrar consumo, o Taggor trata informações operacionais como chaves de site/componente, domínio de origem quando disponível, contagens de carregamento e exibição, eventos de interação configurados pelo cliente, classe de dispositivo, país aproximado, metadados de erro e informações de rede, como o número do sistema autônomo (ASN). Algumas medições podem ser agregadas, e certos sinais técnicos podem ser tratados transitoriamente para segurança e limitação de volume de requisições.

O desenho atual das métricas de componentes não depende de cookies publicitários nem de identificador persistente criado para acompanhar o mesmo visitante entre sites de terceiros. Entretanto, provedores de rede e segurança podem precisar tratar endereços IP e cabeçalhos do navegador durante o tráfego ou em seus próprios controles de segurança. Não armazenar o IP completo na tabela de envios não significa que nenhum sistema técnico tenha acesso a ele. Tampouco afirmamos que todo registro técnico é automaticamente anônimo.

O site público do Taggor foi projetado sem pixels de publicidade nem ferramentas de analytics de terceiros para fins publicitários. O portal autenticado usa cookies ou armazenamentos equivalentes necessários para login, manutenção da sessão e segurança, inclusive estados transitórios de autenticação. Não utilizamos essas tecnologias para publicidade comportamental entre contextos. Caso sejam adotados cookies não essenciais, analytics opcionais ou publicidade, atualizaremos os avisos pertinentes e implementaremos os mecanismos de consentimento ou escolha exigidos por lei antes do uso.

Não vendemos dados pessoais nem os compartilhamos para publicidade comportamental entre contextos, nos significados adotados pela legislação californiana aplicável, considerando os tratamentos aqui descritos. Quando exigido, respeitaremos sinais de preferência juridicamente vinculantes, como o Global Privacy Control (GPC), para atividades sujeitas a essa opção; o sinal antigo Do Not Track não cria, isoladamente, obrigação idêntica em todas as jurisdições. O cliente responde pelos rastreadores, cookies e práticas adicionais do próprio site.

5. Como e para que utilizamos as informações

Usamos dados para as finalidades descritas nesta Política ou informadas claramente no momento da coleta, inclusive: prestar funcionalidades e assinaturas; autenticar pessoas e agentes conectados; enviar comunicações; atender e solucionar problemas; prevenir e apurar usos indevidos; proteger pessoas e sistemas; cumprir obrigações legais e financeiras; manter registros razoavelmente necessários a disputas; analisar o funcionamento do produto e melhorá-lo.

A decisão de conectar agentes de IA de terceiros é do cliente, que escolhe o provedor, as permissões, os prompts, as informações transmitidas e as operações autorizadas. Podemos tratar os metadados de autenticação e autorização necessários à integração, enquanto o tratamento independente pelo provedor de IA segue a política deste. O Taggor não utiliza o conteúdo dos envios de clientes para treinar modelos de IA generativa.

Não utilizamos nossos próprios dados de conta para criação de perfis publicitários nem tomamos, nos processos de administração de conta aqui descritos, decisões exclusivamente automatizadas com efeitos jurídicos ou similarmente relevantes sobre indivíduos. Se essas práticas forem materialmente alteradas, apresentaremos os avisos e salvaguardas adicionais exigidos por lei.

6. Compartilhamento e prestadores

Compartilhamos dados apenas quando necessário às finalidades indicadas, inclusive com prestadores sujeitos às obrigações contratuais pertinentes, administradores autorizados pelo cliente, destinatários que o cliente indicar, assessores profissionais sujeitos a deveres adequados e autoridades públicas quando legalmente exigido. Em reorganização societária lícita, pode haver transferência de informações, respeitados os deveres de aviso, confidencialidade e proteção de dados aplicáveis.

Entre os principais prestadores atualmente previstos estão:

Esses prestadores não exercem necessariamente o mesmo papel jurídico para todos os dados. O processamento, pela Stripe, das assinaturas próprias do Taggor não a torna automaticamente suboperadora dos envios de formulários de clientes. A Lista de Suboperadores, mantida na seção Jurídico do Serviço, descreve fornecedores usados especificamente nos dados controlados pelos clientes, suas funções e atualizações. Destinatários, locais e condições efetivos dependem do ambiente implantado e dos contratos com os prestadores.

Não armazenamos intencionalmente números completos de cartão ou códigos de segurança em nosso banco de dados da aplicação; os dados de pagamento são tratados pela Stripe e pelos sistemas associados. Ainda assim, podemos acessar ou conservar identificadores limitados de pagamento e registros de transações necessários para suporte, conciliação ou cumprimento de obrigações.

7. Tratamento e transferência internacional de dados

A Haftware está estabelecida no Brasil, enquanto alguns fornecedores de infraestrutura operam nos Estados Unidos e em outros países. Assim, dados pessoais podem ser acessados, hospedados, transmitidos ou tratados internacionalmente, conforme a funcionalidade e o prestador. Em especial, a configuração de banco de dados descrita nos documentos atuais de implantação utiliza infraestrutura americana. Adotamos os mecanismos e salvaguardas exigidos pela legislação aplicável a cada transferência, em conjunto com o DPA e os contratos de fornecedores.

Para transferências sujeitas à LGPD, avaliamos os mecanismos previstos no art. 33 e na Resolução CD/ANPD nº 19/2024, inclusive decisões de adequação ou salvaguardas contratuais devidamente implementadas quando cabíveis. A mera utilização de fornecedor estrangeiro ou a autorização contratual genérica, por si só, não assegura a validade da transferência.

Para dados pessoais transferidos da União Europeia/EEE à Haftware no Brasil, a Decisão de Execução (UE) 2026/179, de 26 de janeiro de 2026, reconhece o Brasil como adequado, dentro do alcance da decisão. Transferências posteriores a outros países seguem sujeitas à avaliação e a mecanismos próprios quando aplicáveis. Transferências restritas provenientes do Reino Unido são analisadas separadamente: a decisão europeia não estabelece, por si, adequação do Brasil perante a legislação britânica. Instrumentos britânicos específicos podem ser necessários. Informações sobre as salvaguardas aplicáveis podem ser solicitadas em privacidade@taggor.dev, respeitados sigilo e obrigações legais.

8. Prazos de retenção e exclusão

Guardamos dados pelo tempo razoavelmente necessário às finalidades informadas, ao prazo selecionado pelo cliente e às exigências legais. A tabela descreve o modelo operacional atual; períodos concretos podem variar em função de obrigações legais, plano aplicável, incidentes de segurança e configuração efetivamente implantada.

O cliente deve exportar dados importantes antes de excluir o workspace ou do fim do prazo de retenção. O Serviço pode oferecer um período de recuperação de 7 dias antes da exclusão irreversível; após isso, os dados operacionais são removidos, ressalvados registros de segurança ou obrigações legais e a expiração das cópias de segurança. Alguns dados podem subsistir temporariamente em backups protegidos, que vencem ou são sobrescritos de acordo com o ciclo do prestador e normalmente não permitem restauração individual de envios. Registros legitimamente preservados para documentar incidentes, cumprimento legal, disputas, cobranças ou exclusões ficam restritos a essas finalidades. Informações agregadas que não permitam razoavelmente identificar uma pessoa podem ser mantidas por período maior.

9. Direitos dos titulares e como exercê-los

Seus direitos dependem do local, da lei aplicável e de quem controla o tratamento específico. Em relação a dados controlados pela Haftware, podem existir direitos de confirmação, acesso, obtenção de cópia, correção, exclusão, restrição ou oposição ao tratamento, portabilidade, revogação do consentimento quando essa for a hipótese legal, e informações sobre compartilhamento e transferência internacional. Aplicam-se as exceções legais e os procedimentos razoáveis de verificação de identidade.

Brasil. Quando a LGPD se aplicar, os arts. 18 e 19 preveem, conforme o caso, confirmação do tratamento, acesso, correção, anonimização/bloqueio/eliminação, portabilidade nos termos da regulamentação, informação sobre compartilhamento e outros direitos previstos em lei. Também podem existir direitos relativos à revisão de decisões automatizadas aplicáveis. É possível peticionar à Autoridade Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd.

União Europeia/EEE e Reino Unido. Quando aplicável o GDPR europeu ou britânico, os direitos podem abranger acesso, retificação, apagamento, limitação, portabilidade, oposição, revogação do consentimento e garantias sobre certas decisões automatizadas. O titular pode reclamar à autoridade de controle competente (UE: https://www.edpb.europa.eu/about-edpb/about-edpb/members_en; Reino Unido: https://ico.org.uk/).

Estados Unidos. Residentes da Califórnia e de outros estados podem ter, conforme os requisitos de aplicação das respectivas leis, direitos de conhecimento/acesso, correção, exclusão, portabilidade, recurso de certas negativas quando previsto e oposição a sale, sharing, publicidade direcionada ou determinados perfis. Não vendemos nem compartilhamos dados pessoais para publicidade comportamental entre contextos, conforme a seção 4, e, considerando o tratamento descrito, não utilizamos intencionalmente dados sensíveis para finalidades que acionem o direito californiano de limitar seu uso. Não discriminamos ilicitamente quem exerce direitos protegidos. Representantes autorizados poderão apresentar solicitações quando a lei permitir, sujeitos a verificação adequada.

Como solicitar: envie mensagem a privacidade@taggor.dev, indicando a conta, site ou componente envolvido (quando pertinente), a providência solicitada e um meio seguro de resposta. Podemos pedir dados razoavelmente necessários para verificar a solicitação e respondemos nos prazos previstos em lei. Se o tratamento estiver sob controle de um cliente, normalmente orientaremos ou encaminharemos o pedido a ele, se identificável, e prestaremos auxílio conforme o DPA e a legislação. Não revelaremos dados de terceiros apenas porque foram solicitados.

10. Segurança e incidentes

Adotamos medidas administrativas, técnicas e organizacionais proporcionais ao Serviço e aos riscos envolvidos, inclusive controles de acesso entre workspaces, proteção de contas e credenciais, comunicações protegidas, registros e auditoria selecionados e mecanismos para reduzir riscos de código de clientes e operações não autorizadas. Quando aplicável, o DPA descreve compromissos adicionais. Nenhum serviço online ou verificação automática de código garante que o componente do cliente seja seguro ou que incidentes nunca ocorram.

Quando atuamos como operadora, comunicamos aos clientes afetados os incidentes relevantes nos termos do DPA e da lei, para que possam avaliar e cumprir seus deveres como controladores. Quando atuamos como controladora, avaliamos a necessidade de comunicar titulares e autoridades e cumprimos os prazos legalmente aplicáveis. Isso não significa assumir automaticamente os deveres de comunicação do cliente relativos às coletas determinadas exclusivamente por ele.

11. Crianças, adolescentes e dados sensíveis

As contas do Taggor destinam-se a pessoas com 18 anos ou mais, em contexto empresarial ou profissional. O serviço de contas não foi concebido para crianças ou adolescentes, e não solicitamos intencionalmente o cadastro de menores. Como os componentes incorporados são controlados pelos clientes, não é possível garantir que nenhum visitante menor de 18 anos interaja com um site de terceiro. Cabe ao cliente observar a legislação de dados de crianças e adolescentes, obter autorizações eventualmente necessárias e evitar usos proibidos pelos Termos. Se entender que um componente coletou indevidamente informações de criança, procure o responsável pelo site e/ou privacidade@taggor.dev, informando o contexto.

Não exigimos dados pessoais sensíveis no cadastro normal da conta. Os clientes não podem utilizar componentes para coleta de categorias restritas em violação aos Termos ou à lei. Não nos comprometemos a detectar ou classificar automaticamente todos os dados enviados.

12. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças do Serviço, das práticas de tratamento ou da legislação. Publicaremos a nova versão e a data de atualização. Quando exigido por lei, daremos aviso adicional ou colheremos consentimento antes de mudanças materiais. Alterações não autorizam retroativamente tratamentos para finalidades substancialmente novas sem a informação, a autorização ou outro fundamento jurídico necessário. Mudanças contratuais seguem os Termos; atualizar a Política de Privacidade não constitui renúncia a direitos legais.

13. Contato e documentos relacionados

Haftware Sistemas de Internet Ltda.
CNPJ: 31.659.341/0001-05
Rua Silveira Martins, nº 810, Sala 504, Centro
Novo Hamburgo, RS, CEP 93510-310 — Brasil
Privacidade e direitos dos titulares: privacidade@taggor.dev
Contato geral e contratual: contato@taggor.dev
Denúncias de abuso e segurança: abuse@taggor.dev

Na seção Jurídico do Serviço, também estão disponíveis os Termos de Uso e Serviço, o Acordo de Tratamento de Dados (DPA) (incorporado automaticamente aos Termos no que couber) e a Lista de Suboperadores. Se a legislação aplicável exigir a indicação formal de encarregado ou representante na União Europeia/Reino Unido, a identificação e os contatos correspondentes serão divulgados no aviso jurídico pertinente.