Política de Privacidade

1. Disposições gerais

1.1. Esta Política aplica-se a todas as pessoas que acessam ou utilizam a plataforma Sabiá (“Plataforma”), serviço de criação, configuração e gestão de agentes de inteligência artificial denominados Miniexperts, e integra os Termos de Uso da Plataforma.

1.2. A Plataforma opera sob arquitetura de não-custódia: o Miniexpert é executado em servidor virtual privado (VPS) contratado diretamente pelo Usuário, em nome próprio, junto a provedor de infraestrutura de sua escolha. Em consequência, as interações entre o Miniexpert e os interlocutores finais não transitam pelos servidores da Plataforma e não são por ela coletadas, armazenadas ou acessadas. As disposições desta Política devem ser interpretadas à luz dessa arquitetura.

1.3. Ao criar conta de acesso e utilizar a Plataforma, o Usuário declara ter lido, compreendido e aceitado esta Política.

2. Identificação da controladora

2.1. A Plataforma é administrada pelo Grupo ONE, pessoa jurídica de direito privado inscrita no CNPJ sob o nº 45.048.277/0001-22, com sede na Av. Paulista, nº 1471, Bela Vista, São Paulo/SP, CEP 01311-927 (doravante “Grupo ONE” ou “Plataforma”).

3. Definições

Para os fins desta Política, consideram-se:

• Usuário: pessoa natural ou jurídica que mantém conta de acesso e utiliza a Plataforma;
• Miniexpert: agente de inteligência artificial configurado pelo Usuário por meio da Plataforma, destinado ao atendimento de interlocutores finais em canais de mensageria;
• VPS: servidor virtual privado contratado diretamente pelo Usuário, em nome próprio, junto a provedor de infraestrutura de sua escolha, no qual o Miniexpert é executado;
• Software Companheiro: componente de software instalado no VPS do Usuário, responsável por obter as configurações junto à Plataforma e manter o Miniexpert em operação;
• Selagem Criptográfica: processo de criptografia assimétrica de chave pública (padrão sealed box, curva X25519) executado no navegador do Usuário, pelo qual credenciais sensíveis são cifradas exclusivamente para a chave privada residente no VPS do Usuário, tornando o conteúdo tecnicamente inacessível à Plataforma;
• Dados Pessoais: informações relacionadas a pessoa natural identificada ou identificável, nos termos do art. 5º, I, da LGPD;
• Tratamento: toda operação realizada com Dados Pessoais, nos termos do art. 5º, X, da LGPD;
• Controlador e Operador: agentes de tratamento definidos, respectivamente, no art. 5º, VI e VII, da LGPD;
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 5º, VIII, da LGPD;
• Cookies: arquivos armazenados no dispositivo do Usuário destinados à manutenção de sessão autenticada e de preferências de navegação.

4. Encarregado e canais de contato

4.1. As solicitações relativas a esta Política e ao exercício dos direitos previstos na LGPD devem ser dirigidas ao Encarregado pelo Tratamento de Dados Pessoais, pelo e-mail lucas@ogrupo.one.

4.2. A Plataforma poderá contatar o Usuário, pelos dados informados no cadastro, para comunicações relativas à conta, à cobrança, à segurança e ao funcionamento do serviço. Comunicações de natureza não essencial disponibilizarão mecanismo de descadastramento.

4.3. A Plataforma não solicita senhas por qualquer canal. Em caso de dúvida quanto à autenticidade de comunicação recebida em nome da Plataforma, o Usuário deverá confirmá-la pelos canais oficiais antes de qualquer providência.

5. Dados pessoais tratados

6. Finalidades e bases legais

O tratamento de Dados Pessoais pela Plataforma fundamenta-se em:

• Execução de contrato (art. 7º, V, da LGPD): criação e manutenção da conta, disponibilização das configurações ao Software Companheiro, processamento da assinatura e prestação de suporte;
• Cumprimento de obrigação legal ou regulatória (art. 7º, II, da LGPD): guarda de registros de acesso e de documentos fiscais pelos prazos legais;
• Legítimo interesse (art. 7º, IX, da LGPD): segurança da Plataforma, prevenção a fraudes e aprimoramento do serviço, nos limites da legítima expectativa do titular;
• Consentimento (art. 7º, I, da LGPD): comunicações de natureza não essencial, revogável a qualquer tempo.

7. Compartilhamento de dados

7.1. A Plataforma não comercializa, não aluga e não cede Dados Pessoais a terceiros para finalidades próprias destes.

7.2. O compartilhamento restringe-se a operadores contratados para a execução do serviço, no limite necessário às respectivas funções:

• Supabase — infraestrutura de banco de dados e autenticação, com hospedagem na região de São Paulo, Brasil;
• Vercel — hospedagem da aplicação web;
• Processador de pagamento — processamento das cobranças da assinatura, identificado no checkout e nos comprovantes de pagamento.

7.3. A Plataforma poderá, ainda, compartilhar Dados Pessoais para cumprimento de ordem judicial ou de requisição de autoridade competente, bem como para o exercício regular de direitos em processo judicial, administrativo ou arbitral, sempre no limite do estritamente necessário.

8. Serviços de terceiros contratados pelo Usuário

8.1. A operação do Miniexpert pressupõe a contratação direta, pelo Usuário e em nome próprio, de serviços de terceiros, incluindo: (i) o provedor de infraestrutura do VPS; (ii) o provedor de inteligência artificial responsável pelo processamento das interações; e (iii) os canais de mensageria utilizados (como o Telegram).

8.2. Tais relações contratuais são autônomas e regidas pelos termos de uso e políticas de privacidade de cada fornecedor. A Plataforma não integra esses contratos, não remunera nem é remunerada por eles e não possui ingerência sobre as práticas de tratamento de dados desses fornecedores, cabendo ao Usuário consultá-las diretamente.

9. Papéis no tratamento de dados

Para os fins da LGPD:

• Dados de conta do Usuário (cadastro, faturamento e registros de acesso): o Grupo ONE atua como Controlador;
• Documentos de treinamento e conteúdos de configuração: o Usuário atua como Controlador, e o Grupo ONE como Operador, limitando-se a armazená-los e disponibilizá-los ao Software Companheiro por determinação do Usuário;
• Dados pessoais dos interlocutores finais do Miniexpert: o Usuário atua como Controlador exclusivo. Em razão da arquitetura de não-custódia, tais dados não transitam pelos sistemas da Plataforma, que não participa do respectivo tratamento em qualquer qualidade. Compete exclusivamente ao Usuário assegurar a conformidade desse tratamento com a LGPD.

10. Retenção e eliminação de dados

10.1. Documentos de treinamento e conteúdos de configuração podem ser eliminados pelo próprio Usuário, a qualquer tempo, por meio da Plataforma. A eliminação é imediata e irreversível, não havendo cópia de segurança que permita a recuperação do conteúdo.

10.2. Encerrada a conta, os Dados Pessoais do Usuário serão eliminados no prazo de até 90 (noventa) dias, ressalvados: (i) os registros cuja guarda seja exigida por obrigação legal, fiscal ou regulatória, mantidos pelos prazos correspondentes (em regra, 5 anos para registros fiscais); e (ii) os registros de acesso, pelo prazo do art. 15 da Lei nº 12.965/2014.

10.3. O encerramento da conta não produz efeitos sobre os dados e conteúdos armazenados no VPS do Usuário, que permanecem sob seu exclusivo controle e responsabilidade.

11. Direitos do titular

11.1. Nos termos do art. 18 da LGPD, o titular de Dados Pessoais pode requerer à Plataforma, a qualquer momento:

• a confirmação da existência de tratamento;
• o acesso aos dados;
• a correção de dados incompletos, inexatos ou desatualizados;
• a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• a portabilidade dos dados, observados os regulamentos aplicáveis;
• a eliminação dos dados tratados com base no consentimento;
• informações sobre as entidades públicas e privadas com as quais houve compartilhamento de dados;
• informações sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• a revogação do consentimento;
• a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

11.2. As solicitações devem ser dirigidas ao Encarregado, pelo canal indicado na cláusula 4.1, e serão respondidas nos prazos legais. Não sendo possível o atendimento imediato, a Plataforma comunicará as razões e o prazo estimado.

12. Medidas de segurança

12.1. A Plataforma adota medidas técnicas e administrativas aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, nos termos do art. 46 da LGPD, incluindo:

• criptografia de todas as comunicações em trânsito (TLS);
• armazenamento de senhas exclusivamente sob a forma de hash criptográfico;
• controle de acesso em nível de registro no banco de dados, sob política restritiva por padrão, de modo que cada conta acesse exclusivamente os próprios dados;
• Selagem Criptográfica das credenciais sensíveis no navegador do Usuário, previamente à transmissão (cláusula 5.3.2);
• princípio do menor privilégio no acesso de sistemas e pessoal.

12.2. Recomenda-se ao Usuário a utilização de senha longa, única e não reutilizada em outros serviços. Em caso de suspeita de comprometimento das credenciais, o Usuário deverá alterá-las imediatamente e comunicar a Plataforma pelos canais oficiais.

13. Alterações desta Política

13.1. Esta Política será revisada sempre que houver alteração relevante nas atividades de tratamento ou na legislação aplicável. Alterações materiais serão comunicadas ao Usuário, por e-mail, antes de sua entrada em vigor.