---
title: "Política de privacidade"
url: https://samambai.com/pt/privacidade/
date: 2026-10-03
author: samambai
---

O site coleta o que você envia no formulário para responder e mandar uma proposta, e mede visitas sem cookie de rastreamento e sem IP. O controlador é a samambai, e o pedido de acesso ou exclusão vai para contato@samambai.com.

Esta política diz quais dados o site samambai.com coleta, para que servem, quem trata esses dados junto com o estúdio, por quanto tempo ficam e como pedir acesso, correção ou exclusão. Vale desde 3 de outubro de 2026.

Ela cobre o site e a conversa que começa por ele. Dado de um projeto fica na conta do cliente e segue o contrato daquele trabalho. Não entra aqui.

## Quem controla os dados

O controlador é a samambai, nome fantasia de 19.958.088 DAVID CREIMER REICHHARDT, CNPJ 19.958.088/0001-87, em São Paulo, Brasil.

Contato para privacidade e para qualquer outro assunto desta política: [contato@samambai.com](mailto:contato@samambai.com). Não há outro canal publicado. Não publicamos endereço de rua. A página [sobre a samambai](/pt/sobre/) traz os mesmos dados da empresa.

A lei brasileira que rege este tratamento é a Lei nº 13.709, de 14 de agosto de 2018, a LGPD [1]. Quando o tratamento se relaciona com a oferta do serviço a pessoas na União Europeia, também vale o Regulamento (UE) 2016/679, o GDPR [2]. As regras práticas abaixo são as mesmas nos dois casos: os mesmos dados, os mesmos operadores, o mesmo prazo, o mesmo e-mail.

## O que o formulário coleta

O formulário de contato pede, e o site registra junto da visita que gerou o envio:

- nome
- e-mail
- telefone ou WhatsApp
- a mensagem
- como você conheceu a samambai
- a página de entrada desta visita
- o site de origem (o referenciador)
- os parâmetros utm da visita, quando existirem (utm_source, utm_medium, utm_campaign, utm_content, utm_term ou outro utm que venha na URL)
- os identificadores de clique de anúncio (fbclid, gclid), quando vierem na URL, e o horário da primeira página vista

Não pedimos documento, cartão, dado de saúde nem dado de criança. Se a mensagem trouxer esse tipo de informação por iniciativa de quem escreve, ela fica só pelo tempo desta política e só para responder. Não criamos cadastro à parte com ela.

## Para que usamos

A finalidade é uma: responder e enviar uma proposta.

Nome, e-mail, telefone e mensagem servem para saber quem pediu a conversa e o que responder. Página de entrada, site de origem, parâmetros utm e a resposta de "como conheceu" servem para a resposta bater com a página que você viu, e para o estúdio saber qual página pública gerou o pedido. Não vendemos esses dados. Não usamos o formulário para montar perfil de anúncio. Não usamos dado recebido por aqui para treinar modelo público.

Se a conversa seguir por e-mail, o fio passa a fazer parte do mesmo registro. A finalidade não muda.

## Bases legais

Pela LGPD, o tratamento do formulário se apoia em duas hipóteses do art. 7º [1].

A primeira é o inciso V: procedimento preliminar relacionado a contrato, a pedido de quem envia o formulário. Você pediu uma resposta e uma proposta. Nome, e-mail, telefone e mensagem são o que torna esse pedido possível. O telefone é obrigatório porque é por ele que a conversa costuma seguir.

A segunda é o inciso IX: legítimo interesse. Vale para a página de entrada, o site de origem, os parâmetros utm e a indicação de como você conheceu a samambai. Esses campos não são estritamente necessários para mandar um e-mail de volta, mas são necessários para a resposta ser a da página certa e para saber qual página do site gerou a conversa. O art. 10 limita esse interesse ao dado estritamente necessário e exige transparência [1]. Esta seção é essa transparência. Você pode se opor, como descrito em "Seus direitos".

Pelo GDPR, quando ele se aplica, as bases correspondentes são o art. 6(1)(b) e o art. 6(1)(f) [2]. O art. 6(1)(b) cobre o tratamento necessário para passos pedidos pela pessoa antes de um contrato. O art. 6(1)(f) cobre o interesse legítimo do controlador, desde que não prevaleçam os direitos e liberdades de quem é titular, em especial se for criança. O interesse aqui é responder no contexto da página visitada e saber qual página gerou o pedido. Não é marketing de lista comprada. O site não é dirigido a criança.

Não usamos consentimento como base do formulário. Não há caixa de "aceito a política" no lugar dessas duas bases. A política fica publicada para você ler antes de enviar.

## Quem trata os dados junto com o estúdio

Quatro operadores, cada um com uma função:

| Operador | Função neste site |
| --- | --- |
| Cloudflare | Hospedagem e entrega do site. |
| FormSubmit | Entrega do formulário por e-mail. |
| Google Workspace | Caixa de e-mail em que a mensagem chega e de onde a resposta sai. |
| Supabase | Banco de dados e funções do CRM da samambai, onde o pedido vira um contato para a resposta. |

Eles tratam dados em nome da samambai, para essas funções. Não autorizamos uso para outra finalidade. Não há ferramenta de anúncio nem pixel de rede social nesta lista, porque o site não usa esses produtos. O CRM é da própria samambai e serve só para responder e acompanhar o pedido.

## Medição de visitas

Há uma medição feita no servidor. Ela não usa cookie e não grava o endereço IP. O que fica é:

- a data e a hora da visita
- a página e o código de resposta
- o país
- o site de origem
- os parâmetros utm da URL, quando existirem
- o tipo de navegador ou de robô

A finalidade é saber quais páginas são visitadas. A base é o legítimo interesse do art. 7º, IX, da LGPD e, quando couber, o art. 6(1)(f) do GDPR [1] [2]. Esse registro não é amarrado a um nome. Se, ainda assim, der para ligá-lo a uma pessoa, os mesmos direitos abaixo se aplicam.

## Cookies

O site não usa cookie de rastreamento. A medição de visitas descrita acima não grava cookie.

Isso não é uma promessa de que nenhum operador de infraestrutura grave um cookie estritamente técnico de segurança na borda da rede. É a regra do estúdio: não instalamos cookie para seguir a pessoa entre sites, não instalamos cookie de anúncio e não medimos a visita com cookie.

## Transferência internacional

Os operadores acima podem tratar dados em servidores fora do Brasil. A transferência internacional se apoia em salvaguardas contratuais com esses operadores. Esta página não lista o país de cada servidor e não descreve o contrato de cada um. O que está fixado é a salvaguarda contratual, a lista curta de operadores e a finalidade de cada um.

## Por quanto tempo

Dado do formulário e da conversa que segue fica enquanto houver relação comercial e por até 2 anos após o último contato. O último contato é a última mensagem sua ou nossa nesse fio. Depois desse prazo, apagamos ou anonimizamos, salvo quando a lei exigir ou autorizar a conservação de um registro [1].

O registro de visita sem nome e sem IP não vira ficha de pessoa. Também não fica além de 2 anos.

Se você pedir exclusão antes, aplicamos o pedido na medida do direito exercido. Dado que a lei manda conservar não sai só porque o pedido chegou.

## Seus direitos

Pela LGPD, o art. 18 dá a quem é titular, a qualquer momento e mediante pedido, o direito de obter [1]:

- confirmação de que há tratamento
- acesso aos dados
- correção de dado incompleto, inexato ou desatualizado
- anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a lei
- portabilidade a outro fornecedor, nos termos da regulamentação da autoridade nacional, ressalvado segredo comercial e industrial
- eliminação de dado tratado com base em consentimento, quando essa for a base, com as exceções do art. 16
- informação sobre com quem houve uso compartilhado
- informação sobre a possibilidade de não fornecer consentimento e as consequências, quando o consentimento for exigido
- revogação do consentimento, quando ele tiver sido a base

O art. 18, § 1º, também permite peticionar à autoridade nacional. O § 2º permite opor-se a tratamento feito sem consentimento quando houver descumprimento da lei. O § 5º diz que o pedido é atendido sem custo para o titular. O art. 19 distingue uma confirmação simples, de forma imediata, de uma declaração completa, no prazo de até 15 dias [1].

Pelo GDPR, você pode pedir acesso (art. 15), correção (art. 16), exclusão (art. 17), restrição do tratamento (art. 18), portabilidade do dado que você mesmo forneceu quando a base for o art. 6(1)(b) e o tratamento for automatizado (art. 20) e oposição ao tratamento baseado em interesse legítimo (art. 21) [2]. O art. 15 também lembra o direito de apresentar reclamação a uma autoridade de supervisão. O art. 12 manda responder sem demora injustificada e, em qualquer caso, em até um mês. Esse prazo pode ser estendido por mais dois meses se o pedido for complexo ou numeroso. Se houver extensão, avisamos dentro do primeiro mês, com o motivo [2].

Na prática, os dois regimes saem pelo mesmo lugar. Escreva para [contato@samambai.com](mailto:contato@samambai.com) e diga o que você quer: saber se tratamos seus dados, receber uma cópia, corrigir, apagar, limitar, levar para outro fornecedor ou se opor ao uso dos campos de origem. Vamos pedir o mínimo para confirmar que o pedido é de quem é titular. Não cobramos pelo pedido.

Oposição ao interesse legítimo não apaga, por si, nome e mensagem que você pediu para virar proposta. Apaga ou limita o uso da página de entrada, do site de origem e dos parâmetros utm, salvo se houver base legal bastante para manter aquele campo. Se a conversa já virou contrato, a conservação segue o contrato e a lei, não só esta página.

## O que esta política não cobre

Preço, sprint e escopo de projeto estão em [preços](/pt/precos/). Eles não mudam esta política. Dado de produção (CRM, WhatsApp, base do cliente) fica na conta do cliente, com o acesso mínimo combinado no trabalho. Não é operador desta página.

## Atualização

Esta versão está em vigor desde 3 de outubro de 2026. A data no topo da página é a data da versão vigente. Se a política mudar, a data muda e o texto desta URL passa a ser o novo. Não mantemos um arquivo público de versões antigas.