Política de Privacidade

01Quem é o controlador dos dados

Kactuz, CNPJ 65.234.233/0001-02, com sede em Teresina (PI), que presta o serviço JayMessage, é o controlador dos dados pessoais de quem cria conta na plataforma e operador dos dados de destinatários cadastrados pelos Usuários.

02Dados que tratamos

Dados que você informa

• Cadastro: nome, e-mail e senha. A senha é guardada pelo nosso provedor de autenticação só em forma de hash, que não permite lê-la. Se você entrar com o Google, recebemos dele nome, e-mail, foto e um identificador da conta.
• Foto de perfil e logo, se você enviar. Esses arquivos ficam numa área de acesso público do armazenamento, para aparecerem no app: quem tiver o endereço do arquivo consegue vê-los.
• Cobrança: o cartão é digitado no formulário da Stripe, e não recebemos o número dele. Enviamos à Stripe o seu e-mail e o identificador da sua conta, e guardamos a situação da assinatura e as datas do teste, das cobranças e de falhas de pagamento. Não coletamos CPF, CNPJ, endereço nem telefone na cobrança.
• Conexão com o WhatsApp: ao conectar, criamos no provedor de conexão uma instância com o seu primeiro nome e um código aleatório. Guardamos as credenciais dessa conexão (endereço e token da instância), cifradas, e o estado dela (conectada ou desconectada). Se você conectar por código, o número que você digita é repassado ao provedor de conexão para gerar o código.
• Conteúdo das mensagens: texto e anexos (imagens, vídeos e documentos) das mensagens e dos modelos que você cria.
• Destinos: nomes e números dos contatos, nomes e identificadores dos grupos e as pastas que você cria.
• Agendamento: datas, horários, recorrências e a situação de cada mensagem (pendente, enviada ou com erro), com o motivo da falha, quando houver.
• Suporte: os e-mails que você troca com a gente.

Dados coletados automaticamente

• Login: data e hora de entrada, saída e renovação da sessão, e de eventos como cadastro e troca de senha.
• Sessões abertas: endereço IP e navegador, enquanto a sessão durar.
• Erros do app: a tela onde o erro aconteceu, o navegador, a mensagem técnica do erro e a sua conta.
• Limites de uso: contadores de uso, usados para aplicar os limites contra abuso.
• Hospedagem: os provedores que hospedam o site, o aplicativo e o banco de dados registram nos próprios sistemas dados técnicos de cada acesso, como IP e navegador.

O que não coletamos

• O cadastro não pede CPF, CNPJ, endereço, telefone nem data de nascimento.
• Os nossos servidores não recebem as suas conversas do WhatsApp. O provedor de conexão tem acesso técnico à sessão enquanto ela estiver conectada (seção 04).
• A agenda do seu WhatsApp só é buscada quando você pede a importação. Ela passa pelo provedor de conexão e pelo nosso servidor de automação e fica guardada no seu navegador. No nosso banco de dados ficam só os contatos que você escolhe como destino.
• Não usamos ferramentas de análise de navegação nem pixels de publicidade.
• Não usamos seus dados para treinar inteligência artificial nem para criar perfis para terceiros.

03Finalidades e bases legais

Tratamos seus dados com base nas seguintes hipóteses do art. 7º da LGPD:

04Como o envio funciona

O JayMessage usa a sua conta de WhatsApp para enviar, no horário que você programou, as mensagens que você criou. O caminho de uma mensagem é este:

1. Você cria a mensagem no app, e ela fica guardada no nosso banco de dados
2. No horário marcado, o banco de dados envia ao nosso servidor de automação o texto, os links dos anexos, os destinos e a credencial da sua conexão
3. O servidor de automação pede ao provedor de conexão (Uazapi) que envie a mensagem pela sua conta de WhatsApp. O provedor baixa os anexos pelo link recebido
4. O WhatsApp entrega a mensagem aos destinatários
5. O servidor de automação informa o resultado, e a situação da mensagem é atualizada no app

O sistema registra se o envio foi feito ou se deu erro. Ele não sabe se a mensagem chegou ao aparelho de quem recebe nem se foi lida.

Servidor de automação. O servidor de automação é nosso e fica num servidor contratado da Hostinger, em São Paulo. A cada envio, ele recebe o texto, os links dos anexos, os destinos e a credencial da sua conexão, porque precisa dela para pedir o envio. Quando você importa a agenda do WhatsApp, a lista de contatos e grupos também passa por ele.

Com os dados que você confia ao JayMessage, nós:

• Usamos o conteúdo das mensagens só para executar os envios que você configura
• Não compartilhamos dados com terceiros além dos fornecedores da seção 05 e das autoridades, quando a lei exige
• Não treinamos modelos de IA com o conteúdo das suas mensagens

05Com quem compartilhamos

Compartilhamos dados pessoais só com os fornecedores que operam o serviço e com autoridades, quando a lei exige. Os fornecedores são:

Fontes e imagens de terceiros carregadas no site, no app e no e-mail de confirmação também recebem o seu IP (seção 08). Também compartilhamos dados com autoridades públicas, mediante ordem judicial ou requisição feita na forma da lei.

Nunca vendemos seus dados. Não compartilhamos dados com corretores de dados, agências de publicidade ou empresas que criem perfis a partir do seu comportamento.

06Por quanto tempo guardamos

Os dados ficam guardados nos fornecedores da seção 05. A tabela mostra o que acontece hoje com cada tipo de dado. Alguns dados ainda não têm rotina de exclusão automática, e a tabela diz quais.

Quando você pede a exclusão da conta, apagamos os dados como explica a página de Exclusão de Dados.

07Segurança

Estas são as medidas de segurança em funcionamento hoje:

• O site, o aplicativo e o banco de dados usam conexão cifrada (HTTPS)
• O banco de dados e os arquivos ficam na Supabase. Segundo a página de segurança da Supabase, os dados dos clientes dela ficam cifrados em repouso com AES-256 e em trânsito com TLS
• As credenciais da conexão com o WhatsApp (endereço e token da instância) ficam cifradas no banco de dados, com a chave guardada no cofre de segredos do provedor do banco, separada do código
• As senhas são guardadas pelo provedor de autenticação só em forma de hash (bcrypt)
• O cartão é digitado no formulário da Stripe e não passa pelos nossos servidores
• Regras no banco de dados limitam cada conta aos próprios registros
• O e-mail precisa ser confirmado antes da contratação
• O cadastro e o login no aplicativo têm verificação contra robôs (Cloudflare Turnstile)
• Limites automáticos de uso contêm abusos
• O provedor do banco de dados faz cópias de segurança diárias

O texto das mensagens e os nomes e números dos destinos não são cifrados pelo próprio JayMessage. Eles ficam protegidos pelas regras de acesso do banco de dados e pelas medidas do provedor citadas acima.

Em caso de incidente de segurança que possa trazer risco ou dano relevante aos titulares, comunicaremos a ANPD e as pessoas afetadas nos prazos da regulamentação, conforme o art. 48 da LGPD.

08Cookies e armazenamento no navegador

O aplicativo (app.jaymessage.com.br) não grava cookies próprios. Ele usa outras formas de armazenamento do navegador, necessárias para funcionar:

Recursos de terceiros

• Stripe: a biblioteca de pagamento da Stripe é carregada quando o aplicativo abre, e não só na tela de pagamento. Ela pode coletar sinais do aparelho e de uso, como movimentos do mouse, para prevenir fraude, e pode gravar cookies próprios com essa finalidade.
• Cloudflare Turnstile: carregado no cadastro, no login, no reenvio de confirmação e na troca de senha, para bloquear robôs. Recebe IP, navegador e sinais técnicos e pode gravar cookies próprios.
• Fontes: o aplicativo carrega uma fonte de fonts.cdnfonts.com, e o site carrega fontes do Google Fonts. Esses serviços recebem o seu IP e o tipo de navegador.
• Imagem padrão de grupos: a tela de grupos tenta carregar uma imagem de via.placeholder.com para grupos sem foto, e esse serviço recebe o seu IP.
• Plataforma de hospedagem: a plataforma do Google que publica o aplicativo insere nas páginas scripts próprios, entre eles um service worker.
• Site: o servidor de hospedagem do Google grava no site um cookie chamado GAESA, com validade de 30 dias.
• E-mail de confirmação: o logo é carregado pelo serviço wsrv.nl e a fonte por fonts.cdnfonts.com. Ao abrir o e-mail, o seu programa de e-mail pode buscar esses arquivos e revelar o seu IP a esses serviços.

Não usamos cookies de análise de navegação nem de publicidade. Você pode apagar esses dados nas configurações do navegador. Se apagar a sessão, você sai da conta. Bloquear os recursos de segurança pode impedir o cadastro, o login ou o pagamento.

09Direitos do titular (art. 18 da LGPD)

Como titular dos dados, você tem direito a:

Para exercer qualquer um desses direitos, escreva para suportejaymessage@gmail.com. O pedido é gratuito e atendido em até 15 dias. Para pedir a exclusão da conta, veja a página de Exclusão de Dados.

10Crianças e adolescentes

O JayMessage não é destinado a menores de 18 anos, e não coletamos de propósito dados de crianças e adolescentes. Se identificarmos conta criada por menor de idade, excluiremos os dados. Pais ou responsáveis que encontrarem um cadastro indevido podem pedir a exclusão pelo suportejaymessage@gmail.com.

11Transferência internacional

Parte dos dados é tratada fora do Brasil:

• o banco de dados, os arquivos e os registros de login ficam na Supabase, nos Estados Unidos
• a sessão do WhatsApp e as mensagens que passam por ela ficam no servidor da Uazapi, na Finlândia
• Stripe, Google, Cloudflare e WhatsApp tratam dados em vários países, conforme as políticas de cada um

O servidor de automação fica no Brasil, em São Paulo.

12Alterações desta política

Esta política pode ser atualizada. Alterações relevantes serão comunicadas com 15 dias de antecedência por e-mail e por aviso na plataforma. A versão e a data de início ficam no topo deste documento, e as versões anteriores, no fim.

13Como falar sobre privacidade

14Versões anteriores

Versão 1.0, de 19 de maio de 2026: ler a versão 1.0.

O que mudou na versão 1.1: descrevemos com mais precisão os dados que tratamos, os fornecedores e os países onde os dados ficam, os prazos de guarda de hoje, as medidas de segurança em funcionamento, os recursos de terceiros carregados no navegador e o canal e o prazo para pedidos sobre dados pessoais.