Política de Privacidade
e Proteção de Dados

A Levora (Levora Tecnologia e Implementações Ltda & EleveAds Marketing e Vendas Ltda) é uma consultoria especializada na implementação de soluções Salesforce — Sales Cloud, Service Cloud, Marketing Cloud, Data Cloud, Agentforce e Experience Cloud — com sede em São Paulo/SP.

No exercício de suas atividades, a Levora pode ter acesso a dados pessoais de colaboradores, clientes finais, leads e usuários dos sistemas que implementa. Reconhecemos que privacidade é um direito fundamental e tratamos o cumprimento da LGPD (Lei nº 13.709/2018) como compromisso estratégico e inegociável.

A Levora atua em diferentes papéis conforme o contexto do tratamento, nos termos do art. 5º da LGPD:

Como Operadora (em nome dos clientes)

• Dados cadastrais: nome completo, CPF, RG, data de nascimento, gênero
• Dados de contato: e-mail, telefone, endereço residencial ou comercial
• Dados de relacionamento: histórico de interações, jornada do cliente, status de lead/oportunidade
• Dados de marketing: comportamento em e-mails, taxa de abertura, cliques (Marketing Cloud)
• Dados educacionais: matrícula, notas, frequência (projetos com clientes do setor educacional)
• Dados financeiros: histórico de compras, adimplência, scoring (integrado ao ERP do cliente)
• Dados sensíveis: somente quando necessário, com consentimento explícito do titular

Como Controladora (próprios da Levora)

• Colaboradores e prestadores PJ: nome, CPF, dados bancários, endereço, contrato, desempenho
• Candidatos: currículo, dados de contato, histórico de processo seletivo
• Clientes e prospects: nome, cargo, e-mail corporativo, histórico de negociações

Encarregado pelo Tratamento (DPO)

Treinamentos e Cultura de Privacidade

• Fundamentos da LGPD e conceitos de dados pessoais e sensíveis
• Boas práticas no manuseio de dados de clientes em ambientes Salesforce
• Procedimentos de resposta a incidentes e notificação
• Princípios de Privacy by Design e Privacy by Default
• Controles de acesso e uso adequado de credenciais de sistemas

Os treinamentos são documentados com lista de presença, com periodicidade mínima anual.

Em razão da utilização da plataforma Salesforce — cuja infraestrutura inclui datacenters nos Estados Unidos e em outros países — a Levora realiza transferência internacional de dados pessoais nos projetos em que atua como Operadora.

Asseguramos o exercício de todos os direitos previstos no art. 18 da LGPD:

Descarte Seguro

• Dados digitais: exclusão com sobrescrita segura ou destruição criptográfica de chaves
• Cloud (Salesforce/AWS): exclusão via APIs certificadas com confirmação de purge nos backups
• Documentos físicos: trituração ou incineração certificada
• Logs de acesso: anonimização após período de retenção mínima

Controles Técnicos

• Autenticação multifator (MFA) obrigatória para todos os ambientes Salesforce e ferramentas internas
• Controle de acesso baseado em perfil (RBAC) — princípio do menor privilégio
• Criptografia em trânsito (TLS 1.2+) e em repouso nos ambientes Salesforce e AWS
• Ambientes de sandbox separados para desenvolvimento, homologação e produção
• Revisão periódica de permissões em orgs Salesforce
• Registro de logs e auditoria (Salesforce Shield / Event Monitoring)

Controles Administrativos

• Política de senhas seguras e proibição de compartilhamento de credenciais
• Cláusulas de confidencialidade em todos os contratos com colaboradores e prestadores
• NDA assinado antes do acesso a qualquer dado de cliente
• Plano de Resposta a Incidentes com notificação à ANPD e titulares em até 72h

• Integrações documentadas em DRP e aprovadas pelo cliente contratante
• Princípio da minimização: somente o mínimo de dados necessários é transmitido
• Endpoints protegidos por autenticação OAuth 2.0 ou mecanismo equivalente
• A Levora não armazena dados de clientes finais em infraestrutura própria — dados residem no ambiente Salesforce (cloud) do cliente
• Ambientes temporários de desenvolvimento são higienizados ao final de cada fase

• Identificação e contenção imediata do incidente
• Avaliação do impacto e dos dados afetados em até 24 horas
• Notificação ao cliente contratante (Controlador) em até 48 horas
• Notificação à ANPD em até 72 horas — art. 48 da LGPD
• Comunicação aos titulares quando o incidente puder causar dano significativo
• Registro do incidente e medidas adotadas para auditoria e prevenção futura

Esta Política será revisada anualmente ou sempre que houver alterações relevantes. Revisões substanciais serão comunicadas com antecedência mínima de 30 dias.

Esta Política é regida pela Lei nº 13.709/2018 (LGPD) e demais normas da ANPD. Fica eleito o foro da Comarca de São Paulo – SP para dirimir quaisquer controvérsias.