Política de Privacidade

1. Quem é controlador e quem é operador

O Automanexia é uma plataforma multiempresa: cada empresa cliente (aqui chamada de "organização") mantém seu próprio ambiente isolado dentro do sistema. Essa estrutura define dois papéis distintos sob a LGPD, e a distinção importa porque muda quem responde por cada pedido.

Em relação aos dados das pessoas atendidas pela organização — seus contatos, clientes e pacientes — a organização é a controladora: foi ela quem decidiu coletar aqueles dados, para qual finalidade e por quanto tempo. O Automanexia atua como operador, tratando esses dados exclusivamente conforme as instruções da organização e as funcionalidades contratadas.

Em relação aos dados das pessoas que administram a conta da organização dentro da plataforma — nome, e-mail profissional e credenciais de acesso — o Automanexia é o controlador, porque esses dados existem para viabilizar o próprio serviço.

2. Quais dados são efetivamente tratados

A lista abaixo reflete o que o sistema realmente armazena, verificado no esquema do banco de dados e no código que reúne dados para exportação — não uma enumeração genérica de possibilidades.

3. Onde os dados ficam armazenados

O banco de dados principal e o serviço de autenticação estão hospedados na região sa-east-1 (São Paulo, Brasil). O serviço de envio de e-mails transacionais também opera na região sa-east-1.

A aplicação em si é executada em infraestrutura de hospedagem que pode processar requisições fora do Brasil, e alguns subprocessadores listados na seção seguinte operam internacionalmente. Isso caracteriza transferência internacional de dados, e o embasamento jurídico dessa transferência é um dos pontos que dependem da revisão profissional indicada no topo deste documento.

4. Subprocessadores utilizados

Estes são os terceiros que efetivamente processam dados a serviço da plataforma. A lista foi levantada a partir das integrações presentes no código, não de uma estimativa.

5. Uso de inteligência artificial

A plataforma usa modelos de linguagem para interpretar mensagens, redigir respostas e executar ações autorizadas dentro do ambiente da organização. Isso significa que o conteúdo textual das mensagens trocadas é enviado a um provedor externo de IA para processamento. Mensagens de voz recebidas por WhatsApp não são transcritas nem enviadas a esse provedor nesta versão — ver limitação declarada adiante.

A IA opera restrita ao ambiente da organização: as ferramentas que ela pode acionar recebem o identificador da organização a partir do contexto autenticado da conversa, não de algo que a própria mensagem possa informar. Uma mensagem não consegue instruir o sistema a consultar dados de outra organização.

O sistema não usa os dados de uma organização para treinar modelos próprios. As condições de retenção e uso pelo provedor externo de IA são regidas pelos termos desse provedor, e revisá-las faz parte da avaliação jurídica pendente.

6. Direitos do titular e como são atendidos hoje

Dois direitos possuem implementação técnica real e verificável na plataforma, e é importante ser preciso sobre como o pedido chega até eles.

• Acesso e portabilidade (LGPD, arts. 15 e 18): existe uma função que reúne, em uma única resposta estruturada, tudo que a organização guarda sobre um contato — cadastro, conversas, mensagens, agendamentos, reservas de horário, execuções de automação, etiquetas, perfil de negócio, projetos, lançamentos financeiros, orçamentos e eventos operacionais.
• Eliminação e anonimização (LGPD, arts. 16 e 18): existe uma função que, em uma única transação, redige os campos diretamente pessoais do contato, das conversas, das mensagens, do perfil de negócio, dos registros de entidade, das observações de agendamento e dos eventos operacionais. A operação é idempotente e respeita o isolamento entre organizações.
• Os registros financeiros, orçamentos e projetos são deliberadamente preservados após a anonimização, por obrigação legal de guarda contábil (LGPD, art. 16, II). Eles continuam vinculados ao contato já anonimizado e não expõem dado pessoal novo.
• O pedido é hoje operacionalizado pela organização controladora: quem executa a exportação ou a anonimização é um administrador dela, a partir do painel de contatos. Não existe, no momento, um portal onde o próprio titular submeta o pedido diretamente ao Automanexia — o titular deve procurar a organização com quem se relaciona.
• Os demais direitos previstos na LGPD (correção, informação sobre compartilhamento, revisão de decisões automatizadas, revogação de consentimento) são atendidos por via de solicitação à organização controladora, sem automação dedicada na plataforma nesta versão.

7. Medidas de segurança implementadas

As proteções abaixo estão implementadas e verificadas no banco de dados de produção, não apenas planejadas.

• Isolamento entre organizações imposto no próprio banco de dados, com segurança em nível de linha ativada e forçada em todas as tabelas, inclusive para o papel de administrador da aplicação.
• Vínculo de cada registro à sua organização protegido por gatilho de imutabilidade: uma linha não pode ser transferida para outra organização, nem mesmo por engano de aplicação. Verificado em 78 de 78 tabelas com esse vínculo.
• Credenciais de integrações externas cifradas com AES-256-GCM, com chave mantida somente no servidor. A tabela dessas credenciais não é alcançável pelo papel usado pelo navegador.
• Registro de auditoria com redação automática de campos sensíveis antes da gravação, e anonimização do endereço IP nos registros de acesso sensível.
• Limitação de taxa em rotas de autenticação e integração, verificação de assinatura nos webhooks recebidos e política de conteúdo restritiva.
• Cópias de segurança do banco geradas de forma automatizada e validadas por verificação de integridade. Cópias contêm dados pessoais e por isso seguem os mesmos cuidados de acesso.

8. Retenção

Os dados de um contato permanecem armazenados enquanto a organização mantiver o relacionamento e a assinatura ativa, ou até que a anonimização seja solicitada por ela.

Registros com finalidade contábil são retidos após a anonimização, conforme descrito na seção de direitos.

As cópias de segurança publicadas pela automação de backup expiram em 90 dias. Ainda não existe política de expiração automática para as cópias mantidas localmente pelo operador da plataforma, e definir prazos de retenção por tipo de dado é um dos itens da revisão jurídica pendente.

9. Limitações conhecidas, declaradas abertamente

Registrar o que ainda não está resolvido é parte de descrever o sistema honestamente. Os pontos abaixo são lacunas reais, conhecidas e rastreadas internamente.

• Não existe portal de autoatendimento para o titular submeter pedidos diretamente ao Automanexia; o caminho é sempre pela organização controladora.
• Campos de texto livre — como anotações de contato e observações de agendamento — não possuem controle técnico que impeça uma organização de registrar ali informação sensível, inclusive dado de saúde. A orientação de produto é não fazê-lo sem base legal clara, mas a orientação não é imposta pelo sistema.
• Existe no banco a estrutura para armazenar documentos de identificação de forma cifrada, porém nenhuma tela da plataforma grava nesses campos hoje. Se uma organização precisar registrar esse tipo de dado, no momento só conseguiria em campo de texto livre, sem cifragem dedicada.
• A exportação devolve os campos cifrados em formato opaco, sem decifragem, porque nenhum fluxo real popula esses campos atualmente.
• A transcrição de mensagens de voz está prevista e parcialmente construída, mas não está conectada ao fluxo de atendimento nesta versão — mensagens de voz chegam, mas seu conteúdo não é convertido em texto nem analisado.
• Ao processar uma eliminação, o telefone e o texto originalmente recebidos do WhatsApp podem permanecer, por um período, em um registro técnico interno usado para evitar o reprocessamento da mesma mensagem — esse registro ainda não está incluído no alcance da anonimização. Ampliar esse alcance é um item de trabalho já identificado e registrado internamente.

10. Informações que ainda precisam ser preenchidas por responsável humano

Este rascunho descreve o comportamento técnico do sistema, que é verificável. Os itens abaixo dependem de informação jurídica e societária que não pode ser inferida do código, e foram deliberadamente deixados em branco em vez de preenchidos com suposições:

• Identificação completa da pessoa jurídica controladora: razão social, CNPJ e endereço.
• Nome e canal de contato do encarregado pelo tratamento de dados pessoais (DPO), exigido pela LGPD, art. 41.
• Base legal aplicável a cada finalidade de tratamento descrita neste documento.
• Mecanismo formal de transferência internacional de dados para os subprocessadores que operam fora do Brasil.
• Prazos de retenção específicos por tipo de dado, além dos já descritos.
• Procedimento de comunicação de incidente de segurança à Autoridade Nacional de Proteção de Dados e aos titulares.