Política de privacidade

Esta política diz quais dados o site samambai.com coleta, para que servem, quem trata esses dados junto com o estúdio, por quanto tempo ficam e como pedir acesso, correção ou exclusão. Vale desde 3 de outubro de 2026.

Ela cobre o site e a conversa que começa por ele. Dado de um projeto fica na conta do cliente e segue o contrato daquele trabalho. Não entra aqui.

Quem controla os dados

O controlador é a samambai, nome fantasia de 19.958.088 DAVID CREIMER REICHHARDT, CNPJ 19.958.088/0001-87, em São Paulo, Brasil.

Contato para privacidade e para qualquer outro assunto desta política: contato@samambai.com. Não há outro canal publicado. Não publicamos endereço de rua. A página sobre a samambai traz os mesmos dados da empresa.

A lei brasileira que rege este tratamento é a Lei nº 13.709, de 14 de agosto de 2018, a LGPD Fonte [1]. Quando o tratamento se relaciona com a oferta do serviço a pessoas na União Europeia, também vale o Regulamento (UE) 2016/679, o GDPR Fonte [2]. As regras práticas abaixo são as mesmas nos dois casos: os mesmos dados, os mesmos operadores, o mesmo prazo, o mesmo e-mail.

O que o formulário coleta

O formulário de contato pede, e o site registra junto da visita que gerou o envio:

• nome
• e-mail
• telefone ou WhatsApp
• a mensagem
• como você conheceu a samambai
• a página de entrada desta visita
• o site de origem (o referenciador)
• os parâmetros utm da visita, quando existirem (utm_source, utm_medium, utm_campaign, utm_content, utm_term ou outro utm que venha na URL)
• os identificadores de clique de anúncio (fbclid, gclid), quando vierem na URL, e o horário da primeira página vista

Não pedimos documento, cartão, dado de saúde nem dado de criança. Se a mensagem trouxer esse tipo de informação por iniciativa de quem escreve, ela fica só pelo tempo desta política e só para responder. Não criamos cadastro à parte com ela.

Para que usamos

A finalidade é uma: responder e enviar uma proposta.

Nome, e-mail, telefone e mensagem servem para saber quem pediu a conversa e o que responder. Página de entrada, site de origem, parâmetros utm e a resposta de "como conheceu" servem para a resposta bater com a página que você viu, e para o estúdio saber qual página pública gerou o pedido. Não vendemos esses dados. Não usamos o formulário para montar perfil de anúncio. Não usamos dado recebido por aqui para treinar modelo público.

Se a conversa seguir por e-mail, o fio passa a fazer parte do mesmo registro. A finalidade não muda.

Bases legais

Pela LGPD, o tratamento do formulário se apoia em duas hipóteses do art. 7º Fonte [1].

A primeira é o inciso V: procedimento preliminar relacionado a contrato, a pedido de quem envia o formulário. Você pediu uma resposta e uma proposta. Nome, e-mail, telefone e mensagem são o que torna esse pedido possível. O telefone é obrigatório porque é por ele que a conversa costuma seguir.

A segunda é o inciso IX: legítimo interesse. Vale para a página de entrada, o site de origem, os parâmetros utm e a indicação de como você conheceu a samambai. Esses campos não são estritamente necessários para mandar um e-mail de volta, mas são necessários para a resposta ser a da página certa e para saber qual página do site gerou a conversa. O art. 10 limita esse interesse ao dado estritamente necessário e exige transparência Fonte [1]. Esta seção é essa transparência. Você pode se opor, como descrito em "Seus direitos".

Pelo GDPR, quando ele se aplica, as bases correspondentes são o art. 6(1)(b) e o art. 6(1)(f) Fonte [2]. O art. 6(1)(b) cobre o tratamento necessário para passos pedidos pela pessoa antes de um contrato. O art. 6(1)(f) cobre o interesse legítimo do controlador, desde que não prevaleçam os direitos e liberdades de quem é titular, em especial se for criança. O interesse aqui é responder no contexto da página visitada e saber qual página gerou o pedido. Não é marketing de lista comprada. O site não é dirigido a criança.

Não usamos consentimento como base do formulário. Não há caixa de "aceito a política" no lugar dessas duas bases. A política fica publicada para você ler antes de enviar.

Quem trata os dados junto com o estúdio

Quatro operadores, cada um com uma função:

Eles tratam dados em nome da samambai, para essas funções. Não autorizamos uso para outra finalidade. Não há ferramenta de anúncio nem pixel de rede social nesta lista, porque o site não usa esses produtos. O CRM é da própria samambai e serve só para responder e acompanhar o pedido.

Medição de visitas

Há uma medição feita no servidor. Ela não usa cookie e não grava o endereço IP. O que fica é:

• a data e a hora da visita
• a página e o código de resposta
• o país
• o site de origem
• os parâmetros utm da URL, quando existirem
• o tipo de navegador ou de robô

A finalidade é saber quais páginas são visitadas. A base é o legítimo interesse do art. 7º, IX, da LGPD e, quando couber, o art. 6(1)(f) do GDPR Fonte [1] Fonte [2]. Esse registro não é amarrado a um nome. Se, ainda assim, der para ligá-lo a uma pessoa, os mesmos direitos abaixo se aplicam.

Cookies

O site não usa cookie de rastreamento. A medição de visitas descrita acima não grava cookie.

Isso não é uma promessa de que nenhum operador de infraestrutura grave um cookie estritamente técnico de segurança na borda da rede. É a regra do estúdio: não instalamos cookie para seguir a pessoa entre sites, não instalamos cookie de anúncio e não medimos a visita com cookie.

Transferência internacional

Os operadores acima podem tratar dados em servidores fora do Brasil. A transferência internacional se apoia em salvaguardas contratuais com esses operadores. Esta página não lista o país de cada servidor e não descreve o contrato de cada um. O que está fixado é a salvaguarda contratual, a lista curta de operadores e a finalidade de cada um.

Por quanto tempo

Dado do formulário e da conversa que segue fica enquanto houver relação comercial e por até 2 anos após o último contato. O último contato é a última mensagem sua ou nossa nesse fio. Depois desse prazo, apagamos ou anonimizamos, salvo quando a lei exigir ou autorizar a conservação de um registro Fonte [1].

O registro de visita sem nome e sem IP não vira ficha de pessoa. Também não fica além de 2 anos.

Se você pedir exclusão antes, aplicamos o pedido na medida do direito exercido. Dado que a lei manda conservar não sai só porque o pedido chegou.

Seus direitos

Pela LGPD, o art. 18 dá a quem é titular, a qualquer momento e mediante pedido, o direito de obter Fonte [1]:

• confirmação de que há tratamento
• acesso aos dados
• correção de dado incompleto, inexato ou desatualizado
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei
• portabilidade a outro fornecedor, nos termos da regulamentação da autoridade nacional, ressalvado segredo comercial e industrial
• eliminação de dado tratado com base em consentimento, quando essa for a base, com as exceções do art. 16
• informação sobre com quem houve uso compartilhado
• informação sobre a possibilidade de não fornecer consentimento e as consequências, quando o consentimento for exigido
• revogação do consentimento, quando ele tiver sido a base

O art. 18, § 1º, também permite peticionar à autoridade nacional. O § 2º permite opor-se a tratamento feito sem consentimento quando houver descumprimento da lei. O § 5º diz que o pedido é atendido sem custo para o titular. O art. 19 distingue uma confirmação simples, de forma imediata, de uma declaração completa, no prazo de até 15 dias Fonte [1].

Pelo GDPR, você pode pedir acesso (art. 15), correção (art. 16), exclusão (art. 17), restrição do tratamento (art. 18), portabilidade do dado que você mesmo forneceu quando a base for o art. 6(1)(b) e o tratamento for automatizado (art. 20) e oposição ao tratamento baseado em interesse legítimo (art. 21) Fonte [2]. O art. 15 também lembra o direito de apresentar reclamação a uma autoridade de supervisão. O art. 12 manda responder sem demora injustificada e, em qualquer caso, em até um mês. Esse prazo pode ser estendido por mais dois meses se o pedido for complexo ou numeroso. Se houver extensão, avisamos dentro do primeiro mês, com o motivo Fonte [2].

Na prática, os dois regimes saem pelo mesmo lugar. Escreva para contato@samambai.com e diga o que você quer: saber se tratamos seus dados, receber uma cópia, corrigir, apagar, limitar, levar para outro fornecedor ou se opor ao uso dos campos de origem. Vamos pedir o mínimo para confirmar que o pedido é de quem é titular. Não cobramos pelo pedido.

Oposição ao interesse legítimo não apaga, por si, nome e mensagem que você pediu para virar proposta. Apaga ou limita o uso da página de entrada, do site de origem e dos parâmetros utm, salvo se houver base legal bastante para manter aquele campo. Se a conversa já virou contrato, a conservação segue o contrato e a lei, não só esta página.

O que esta política não cobre

Preço, sprint e escopo de projeto estão em preços. Eles não mudam esta política. Dado de produção (CRM, WhatsApp, base do cliente) fica na conta do cliente, com o acesso mínimo combinado no trabalho. Não é operador desta página.

Atualização

Esta versão está em vigor desde 3 de outubro de 2026. A data no topo da página é a data da versão vigente. Se a política mudar, a data muda e o texto desta URL passa a ser o novo. Não mantemos um arquivo público de versões antigas.