1. Quem somos
A GestIA ("nós", "nosso") é uma plataforma SaaS B2B de gestão operacional com inteligência artificial cuja oferta pública atual atende Advocacia e Clínicas, operada por GESTIA LTDA, CNPJ 68.111.826/0001-61, com atuação em R. Severino Nicolau de Melo, 420, Sala 207 B (CXPST 1785), Jardim Oceania, João Pessoa/PB, CEP 58.037-700, Brasil. Dados de módulos descontinuados, como Educação e Cobrança, podem permanecer tratados apenas durante a retenção e as obrigações de contratos legados; essa retenção não representa oferta comercial vigente.
Somos controladores dos dados cadastrais dos nossos clientes e operadores dos dados de contatos finais processados em nome de cada cliente.
E-mail de contato: [email protected]
2. Dados que coletamos
Coletamos as seguintes categorias de dados pessoais:
| Categoria | Dados |
|---|---|
| Cadastro do cliente | Nome, e-mail, senha (hash BCrypt), CPF ou CNPJ, telefone, endereço, cidade, UF e CEP |
| Contatos finais | Telefone, nome, e-mail, histórico de mensagens |
| Dados de navegação | Endereço IP, user-agent, timestamps de ações, cookies |
| Dados de uso | Métricas de conversas, taxas de conversão, configurações de jornada |
| Identificadores e integrações | Documento, identificadores externos, hashes de busca, metadados operacionais e identificadores de provisionamento ou integração |
| Consentimentos e preferências | Opt-in e opt-out, base e fonte do consentimento, versões aceitas, categorias de cookies e eventos do ciclo de consentimento |
| Dispositivos e notificações | Endpoint e chaves de push, identificadores do dispositivo ou navegador e user-agent |
| Aquisição e atribuição | Página e referência de origem, parâmetros UTM, gclid, gbraid, wbraid e identificadores de sessão do funil |
| Leads, espera e convites | Nome, e-mail, vertical de interesse, estado do convite e eventos de ativação enquanto retidos |
| Dados clínicos e de saúde | Perfil do paciente, histórico e observações clínicas, consultas e consentimentos de telemedicina, conforme o módulo contratado |
| Dados jurídicos e processuais | Casos, partes e demais participantes, prazos, publicações, minutas e documentos jurídicos |
| Dados financeiros e contratuais | Contratos, cobranças, pagamentos e informações fiscais aplicáveis |
| Profissionais e terceiros | Profissionais responsáveis, signatários, testemunhas, peritos e partes relacionadas ao serviço |
3. Como usamos os dados
- Personalização: adaptar o comportamento dos agentes de IA ao perfil de cada contato e segmento do cliente.
- Automação: executar rotinas operacionais da vertical do Cliente (ex.: organização de agenda, casos, prazos, obrigações financeiras e comunicação por canais disponíveis), sempre dentro dos limites configurados pelo Cliente.
- IA generativa: processar mensagens com Gemini 2.5 Flash-Lite para identificar intenção, resumir contexto e sugerir respostas dentro dos limites configurados pelo cliente.
- Analytics: gerar relatórios de desempenho (conversões, ROI, objeções) para o painel do cliente.
- Cobrança: processar assinaturas e faturas por meio de integração com gateway de pagamento.
- Comunicação: enviar e-mails transacionais (boas-vindas, redefinição de senha, relatórios semanais).
- Segurança: detectar acessos anômalos, prevenir fraudes e manter audit logs.
No frontend Next.js, os eventos enviados ao Sentry são reconstruídos por uma allowlist fechada. Na API, a cobertura é declarada por carrier: corpo e cookies da requisição são descartados; headers sensíveis, query, URL, template da mensagem e logger recebem o tratamento indicado em cada evento. Outros carriers não são declarados sanitizados até terem cobertura comprovada. Não há tracing comportamental nem replay de sessão no navegador.
4. Base legal (LGPD)
Os tratamentos de dados pessoais realizados pela GestIA estão fundamentados nas seguintes bases legais da Lei Geral de Proteção de Dados (Lei 13.709/2018):
- Consentimento (art. 7º, I): para analytics do site, para a medição de conversão de anúncios e audiências de remarketing (Meta Pixel e Conversions API) e para o envio de comunicações de marketing, quando você fizer opt-in específico. Analytics e Marketing são categorias independentes.
- Execução de contrato (art. 7º, V): para cadastro do cliente, processamento de pagamentos e prestação do serviço SaaS.
- Cumprimento de obrigação legal (art. 7º, II): quando a legislação aplicável exige conservação, registro ou fornecimento de informações.
- Exercício regular de direitos (art. 7º, VI): para constituir, exercer ou defender direitos em processos judiciais, administrativos ou arbitrais.
- Legítimo interesse (art. 7º, IX): para segurança, melhoria e prevenção de fraudes, quando aplicável e após a avaliação pertinente. Essa base não libera GA4, funil de aquisição, Web Vitals de navegador, eventos PWA, medição de demo, o Meta Pixel/Conversions API nem audiências de remarketing sem consentimento. Contatos finais são processados conforme a finalidade contratada pelo cliente e as bases aplicáveis ao fluxo.
5. Compartilhamento de dados
Não vendemos dados pessoais. A tabela abaixo reproduz o catálogo atualmente publicado no DPA padrão. Integrações contratadas e outros carriers operacionais podem acrescentar terceiros; o inventário completo e seu versionamento jurídico permanecem em revisão, sem transformar esta lista em prova de uso por titular.
| Provedor | Finalidade | País |
|---|---|---|
| Google (Gemini) | Processamento de linguagem natural por IA generativa | EUA |
| Google (Google Analytics 4) | Medição de audiência e conversão do site após consentimento Analytics; page_location usa a URL completa observada no navegador | EUA |
| Meta Platforms (Meta Pixel / Conversions API) | Medição de conversão de anúncios e construção de audiências de remarketing, sem e-mail/telefone; o Pixel e a Conversions API só disparam após consentimento Marketing | EUA |
| Asaas | Gateway de pagamento e cobranças | Brasil |
| Resend | Envio de e-mails transacionais | EUA |
| Hetzner | Hospedagem da infraestrutura principal | Alemanha |
| OpenAI | Fallback de plataforma para IA generativa quando o Google Gemini não conclui a operação | EUA |
| Anthropic | IA generativa selecionada pela plataforma, quando configurada, para geração de peças jurídicas e classificações de risco específicas | EUA |
6. Armazenamento e segurança
Adotamos as seguintes medidas técnicas e organizacionais:
- Conexões protegidas por TLS em trânsito
- Senhas armazenadas com BCrypt cost 12
- Tokens de integração criptografados com AES-256-GCM
- Conteúdo da base operacional de mensagens cifrado em repouso; a recifragem do acervo histórico ainda está em implantação
- Trilha de auditoria para ações críticas
- Servidores hospedados na Hetzner, Alemanha — o data center é certificado ISO 27001. A certificação ISO 27001 própria da GestIA está planejada para 2026 Q4 (acompanhe em /certificacoes).
- Rotina do banco com backup completo semanal, incrementais de segunda a sábado e retenção de quatro backups completos
- Acesso isolado por conta e vertical, com papéis de acesso por função em expansão para todos os módulos
7. Retenção de dados
Arquivamento não equivale a exclusão. A tabela distingue as rotinas executadas hoje das políticas de guarda; para os grupos indicados, não há exclusão automática por prazo fixo.
| Tipo de dado | Período de retenção |
|---|---|
| Dados da conta | Não há exclusão automática por prazo fixo; obrigações contratuais, fiscais e legais são avaliadas antes de cada medida. |
| Mensagens de conversas | Saem da base operacional e são arquivadas após 90 dias. O arquivamento não as elimina e o prazo não é configurável pelo cliente. |
| Contatos com opt-out | Identidade anonimizada após 90 dias sem interação. |
| Convites e sessões | Convites usados ou expirados: 7 dias. Sessões revogadas: próximo ciclo mensal. Sessões ativas sem atividade: 30 dias. |
| Publicações jurídicas | Triagens descartadas: 90 dias. Publicações vinculadas: encerramento do caso + 5 anos. |
| Prontuários clínicos | A identidade pode ser pseudonimizada; o prontuário é preservado por no mínimo 20 anos e não há expurgo primário automático. |
| Acervo jurídico | A política declarada prevê guarda de 10 anos; não há executor automático de expurgo para esse prazo. |
| Logs de auditoria | Não há exclusão automática por prazo fixo. |
8. Direitos do titular
Nos termos da LGPD, todo titular de dados pessoais tem os seguintes direitos:
- Acesso: solicitar confirmação e cópia dos dados pessoais tratados.
- Retificação: corrigir dados incompletos, inexatos ou desatualizados.
- Exclusão: solicitar a eliminação dos dados pessoais tratados com consentimento.
- Portabilidade: receber os dados em formato estruturado e interoperável.
- Oposição: opor-se ao tratamento realizado com base em legítimo interesse.
- Revogação do consentimento: revogar consentimento previamente dado, a qualquer momento.
- Informação: saber com quais entidades seus dados são compartilhados.
9. Como exercer seus direitos
Você pode exercer seus direitos de duas formas:
- Pelo painel: acesse Configurações > LGPD e dados no dashboard para exportar ou anonimizar dados.
- Por e-mail: envie sua solicitação para [email protected] com o assunto "Exercício de Direitos LGPD".
A declaração completa de confirmação e acesso observa o prazo legal aplicável. Para pedidos de eliminação, adotamos o prazo operacional da GestIA de até 15 dias corridos.
11. Transferência internacional de dados
Nossos servidores principais estão na Hetzner, Alemanha, país que possui nível adequado de proteção de dados conforme a ANPD. Dados também podem ser processados nos países/regiões indicados na tabela acima, sob cláusulas contratuais padrão (SCCs) e certificações de conformidade com normas europeias e brasileiras de proteção de dados.
12. Encarregado de dados (DPO)
Nosso Encarregado pelo Tratamento de Dados Pessoais (DPO) é:
Klistenes de Lima Leite
E-mail: [email protected]
13. Alterações nesta política
Revisões materiais geram uma nova versão desta Política de Privacidade, serão comunicadas pelos canais contratuais aplicáveis e podem exigir reaceite explícito. A versão e a data de "Última atualização" são publicadas no topo desta página.
14. Contato
Para dúvidas, sugestões ou reclamações sobre esta Política de Privacidade ou sobre o tratamento dos seus dados pessoais, entre em contato:
E-mail geral: [email protected]
Privacidade e direitos do titular: [email protected]
DPO: [email protected]