Política de Privacidade — Gaia Prime
Versão: v1.2 · Última atualização: 2026-07-30 · Próxima revisão programada: Sprint 31+ pós-revenue (D-H45 review por advogado especialista)
Changelog v1.2 (2026-07-30): nova §2.8 — Dados acessados na sua conta Google (Agenda e Drive), descrevendo o que a plataforma escreve na conta Google do cliente que opta por conectá-la (compromisso com link do Google Meet via
calendar.events; PDF de proposta viadrive.file, restrito aos arquivos criados pela aplicação), os limites técnicos, a cifragem das credenciais e a revogação pelo painel; inclusão da declaração de Uso Limitado da Google API Services User Data Policy; novo operador Google LLC — Workspace APIs em §5. Nenhuma nova finalidade e nenhuma coleta adicional: é ampliação de transparência sobre tratamento que só ocorre por autorização explícita do titular.
Changelog v1.1 (2026-07-02): controladora atualizada para Softnatos Soluções Tecnológicas LTDA (CNPJ 67.269.383/0001-79, ativa desde 09/06/2026) com endereço oficial — §1; inclusão explícita do operador de IA Google Gemini API (processa o conteúdo das mensagens para gerar as respostas — §2.7 e §5); remoção de referência a provedor de WhatsApp não-oficial (uso exclusivo da Meta Cloud API).
Documento canônico ratificado por ADM1 em 2026-05-07 conforme ADR-026 D7 v2. Auto-gerado em conformidade com LGPD Lei 13.709/2018, Decreto 11.353/2023 (regulamento ANPD), Resoluções CD/ANPD Nº 1, 2, 4, 15, e GDPR (Regulamento UE 2016/679) onde a LGPD é silenciosa.
1. Quem somos (Controlador)
A Gaia Prime é um produto SaaS B2B operado pela Softnatos Soluções Tecnológicas LTDA (nome fantasia Softnatos), pessoa jurídica de direito privado inscrita no CNPJ 67.269.383/0001-79, com situação cadastral ATIVA desde 09/06/2026. A Softnatos é a controladora dos dados pessoais tratados na plataforma (Art. 5º VI LGPD), determinando as finalidades e os meios do tratamento.
| Atributo | Valor |
|---|---|
| Razão social | Softnatos Soluções Tecnológicas LTDA |
| Nome fantasia | Softnatos |
| CNPJ | 67.269.383/0001-79 |
| Natureza jurídica | 206-2 — Sociedade Empresária Limitada |
| Endereço | Rua Rio de Janeiro, 243, Sala 802, Centro, Belo Horizonte/MG, CEP 30.160-040, Brasil |
| E-mail Encarregado de Dados (DPO/EPD) | privacidade@gaiaprime.pro |
| Canal de exercício de direitos | https://www.gaiaprime.pro/privacy/exercicio-direitos (formulário web) ou e-mail |
A Softnatos Soluções Tecnológicas LTDA sucedeu o operador provisório anterior (Tiago Nonato MEI, CNPJ 64.927.115/0001-09) sem solução de continuidade no tratamento. Cláusula de sucessão expressa em contract.md §11.
2. Quais dados pessoais coletamos (DPIA — inventário factual)
A Gaia Prime coleta exclusivamente os seguintes dados pessoais, agrupados por momento de coleta. Esta lista é factual (espelha o schema real do banco — Lei 0 Anacronismo Zero) e não se estende a categorias hipotéticas.
2.1 Dados de cadastro (no momento do login Google OAuth)
| Campo | Origem | Observação |
|---|---|---|
| Nome completo | Google OAuth profile | obrigatório |
| Endereço de e-mail | Google OAuth profile | obrigatório, identificador primário |
| ID da conta Google | Google OAuth sub |
usado apenas internamente como bridge |
| Foto de perfil (URL) | Google OAuth picture |
opcional, não armazenado em mídia (apenas referência URL) |
2.2 Dados de comportamento de visita (pré-cadastro, opt-in marketing)
Apenas se o titular consentir explicitamente em "Marketing & Personalização" no banner de cookies:
| Campo | Origem | Persistência |
|---|---|---|
| Visitor ID (hash criptográfico SHA-256) | Cookie __Host-gaia_vid HttpOnly |
Redis 30 dias (sliding window) |
| Endereço IP da primeira visita | servidor | Redis 30 dias |
| User-Agent do navegador | servidor | Redis 30 dias |
Página de origem (Referer) |
servidor | Redis 30 dias |
| Parâmetros UTM da campanha | URL | Redis 30 dias |
| Comportamento de navegação | LandingTracker | events JSON max 50 últimos |
Sem consentimento "Marketing", coletamos apenas: first_seen_at + IP mascarado (último octeto IPv4 ou último hextet IPv6 substituído por zero), ao amparo do Art. 7º X LGPD (legítimo interesse — diagnóstico de segurança e operação).
Doc técnica canônica do pattern de visitor stitching (Arapuca SOTA, ADR-027): docs/features/arapuca-visitor-stitching.md — detalha hash criptográfico server-side, schema Redis arapuca:visitor:{vid} e stitching pós-OAuth via /capture-lead.
2.3 Dados operacionais (pós-cadastro, durante uso da plataforma)
| Campo | Origem | Justificativa |
|---|---|---|
| Configurações do tenant (nome do negócio, persona, prompts) | usuário | Execução de contrato (Art. 7º V) |
| Mensagens trocadas com agentes Gaia (chat e WhatsApp) | usuário/clientes do tenant | Execução de contrato + memória do agente |
| Telefones e nomes de leads do tenant | upload do usuário ou conversação | Execução de contrato |
| Logs de uso (timestamps, endpoints chamados) | servidor | Legítimo interesse (Art. 7º IX — segurança, faturamento) |
| Webhooks de canal (WhatsApp Cloud API, Messenger, Instagram, email) | provedor de canal (Meta WhatsApp Business Cloud API / Messenger / Instagram) | Execução de contrato. Estado armazenado em tenant_channel_state (Migration 041). Detalhes de mensageria Meta em §2.7. |
2.4 Dados financeiros (apenas se contratante paga)
Coletamos via Asaas (operador de pagamento — ver §5):
| Campo | Origem | Retenção |
|---|---|---|
| CPF ou CNPJ | usuário (formulário Asaas) | 5 anos pós-encerramento (Art. 195 CTN) |
| Endereço de cobrança | usuário | 5 anos |
| Histórico de pagamentos | Asaas webhook | 5 anos |
Não armazenamos: número de cartão de crédito, código CVV, ou qualquer credencial de pagamento. Esses dados são tratados exclusivamente pela Asaas (PCI-DSS compliant).
2.5 O que não coletamos
A Gaia Prime não coleta, explicitamente: dados de menores de 18 anos sem autorização parental (Resolução CD/ANPD Nº 2/2022), dados sensíveis (saúde, religião, opinião política, biometria), localização precisa (GPS), conteúdo de áudio/vídeo das chamadas WhatsApp.
2.6 Snapshots DPIA factuais (Art. 38 LGPD)
A Gaia Prime executa snapshots periódicos das categorias de tratamento + audit trail de consentimento + detecção de anomalias. Snapshots arquivados em docs/legal/dpia-snapshots-YYYY-MM-DD/:
dpia-snapshots-2026-05-09/— baseline pre-LAUNCH 20/5/2026 (10 queries DPIA executadas Day 6+ Sprint 29)dpia_inventario_2026_05_09.csv— §1 inventário PII (4 categorias: users + leads + tenant_personas + memorias_vetoriais)dpia_consent_audit_2026_05_09.csv— §2 audit trail engagement + sre_audit_log últimos 30 diasdpia_consent_breakdown_2026_05_09.csv— §4 distribuição consent_version + consent_scope completenessdpia_pii_inventory_2026_05_09.csv— §9 manifesto programmatic colunas PII em todo schema
Queries-fonte: scripts/dpia_queries_2026_05_DAY.sql (10 queries pré-formatadas LGPD Art. 5/8/18/33/38).
Próximo snapshot: trimestral Sprint 30+ via cron automation (D-H49). Retention 5 anos (LGPD Art. 16º) com backup GCS bucket Sprint 30+ via D-H52.
2.7 Mensageria Meta — Messenger, Instagram Direct e WhatsApp
Quando uma pessoa envia mensagem direta à Página de Facebook (Messenger), à conta de Instagram (Instagram Direct) ou ao número de WhatsApp Business de um cliente (tenant) conectado à plataforma, coletamos — exclusivamente para responder àquela conversa:
| Dado | Origem | Base legal |
|---|---|---|
| Conteúdo da mensagem (texto) | usuário final (Messenger/Instagram/WhatsApp) | Execução de contrato + legítimo interesse do tenant em atender |
| Identificador da conversa (PSID/IGSID — ID interno gerado pela Meta; não é seu telefone nem e-mail) | Meta Graph API | Roteamento e continuidade da conversa (Messenger/Instagram) |
| Número de telefone (WhatsApp) | usuário final (WhatsApp) | Roteamento e continuidade da conversa de WhatsApp |
| Nome de perfil público (quando disponível) | Meta Graph API | Personalização do atendimento |
O atendimento é prestado por assistente virtual de IA (ver §7.1 e a diretriz de transparência). Respondemos apenas dentro da janela de 24h iniciada pela sua mensagem (política da Meta); no WhatsApp, fora dessa janela só enviamos modelos de mensagem (templates) aprovados pela Meta, e mensagens de marketing apenas com seu opt-in comprovado. Você pode encerrar a qualquer momento enviando PARE ou STOP (e reativar com VOLTAR); o opt-out é registrado e honrado automaticamente.
Para gerar cada resposta, o conteúdo da sua mensagem é processado por um modelo de IA generativa do Google (Gemini API) — operador listado em §5 —, exclusivamente para responder àquela conversa. Esse conteúdo não é usado para treinar modelos genéricos nem para publicidade, conforme o Uso Limitado abaixo.
Uso Limitado (Meta Platform Terms — Limited Use). Os dados obtidos das plataformas da Meta (Messenger, Instagram, WhatsApp) são usados somente para prestar e melhorar o atendimento da própria conversa do cliente. Não vendemos esses dados, não os usamos para publicidade ou perfilamento de terceiros, não os transferimos a data brokers, e os armazenamos cifrados, com acesso mínimo e exclusão sob solicitação (ver §7.1). O tratamento adere à política de Uso Limitado e às demais Políticas da Plataforma da Meta.
2.8 Dados acessados na sua conta Google (Agenda e Drive)
Esta seção vale apenas para o cliente (tenant) que opta por conectar a própria conta Google na tela Integrações do painel. Nada aqui acontece sem essa autorização explícita, dada na tela de consentimento do próprio Google — e ela é revogável a qualquer momento (ver abaixo).
Quando a conexão existe, a plataforma passa a escrever na conta Google do cliente, em nome dele:
| O que a Gaia Prime faz | Escopo Google usado | Classificação Google |
|---|---|---|
| Cria, atualiza e cancela compromissos comerciais (visita técnica, reunião) na agenda do cliente, incluindo o cliente final como convidado e um link do Google Meet gerado no próprio evento | https://www.googleapis.com/auth/calendar.events |
Sensível |
| Salva no Drive do cliente o PDF da proposta comercial que a própria plataforma gerou, e obtém o link de compartilhamento que ele envia ao cliente final | https://www.googleapis.com/auth/drive.file |
Não sensível |
Limites técnicos desta conexão — e não apenas promessas:
- O escopo
drive.filealcança somente os arquivos criados pela própria aplicação. A Gaia Prime não lê, não lista e não acessa nenhum outro arquivo, pasta ou conteúdo do seu Drive. Essa restrição é imposta pelo Google, não pela nossa configuração. - O escopo
calendar.eventsé usado para os compromissos que você (ou o assistente, sob seu mandato) agenda pela plataforma. Não solicitamos escopos de Gmail (gmail.send,gmail.readonly) nem de Contatos — decisão explícita de manter a permissão mínima necessária. - As credenciais (tokens OAuth) ficam cifradas na tabela
tenant_oauth_tokens, isoladas por cliente, sem armazenamento de senha do Google em nenhuma hipótese (o login e a autorização acontecem no domínio do Google). - Do evento e do arquivo criados, guardamos apenas o identificador e o link para exibir no painel e permitir cancelamento/reenvio. O conteúdo do seu Drive e da sua agenda não é copiado para nossos bancos.
- Revogação a qualquer momento, pelo próprio painel (Integrações → Revogar acesso): o acesso é revogado junto ao Google e a credencial é apagada de imediato. Você também pode revogar diretamente em myaccount.google.com/permissions. Eventos e arquivos já criados permanecem na sua conta, sob seu controle exclusivo — inclusive para exclusão.
Uso Limitado (Google API Services User Data Policy — Limited Use). O uso, pela Gaia Prime, das informações recebidas das APIs do Google adere à Google API Services User Data Policy, incluindo os requisitos de Uso Limitado. Concretamente: usamos esses dados exclusivamente para prestar e melhorar as funcionalidades visíveis ao usuário que ele autorizou (agendar compromissos e guardar propostas na conta dele); não os vendemos; não os usamos para publicidade, perfilamento ou marketing; não os transferimos a data brokers nem a intermediários de informação; não os usamos para treinar modelos de IA generalistas; e não permitimos leitura humana desses dados, exceto (a) com o seu consentimento específico, (b) para segurança — investigar abuso ou incidente, (c) para cumprir lei aplicável, ou (d) sobre dados agregados e anonimizados usados em operações internas.
3. Para que finalidades usamos cada dado
A Gaia Prime declara finalidade específica para cada categoria de dados (Art. 6º I LGPD — proibido "uso futuro indeterminado"):
| Categoria | Finalidades específicas |
|---|---|
| Cadastro (e-mail, nome) | Autenticação, comunicação transacional, suporte |
| Comportamento de visita | Otimização de conversão, personalização de mensagens follow-up |
| Operacionais (mensagens, configurações) | Prestação do serviço SaaS contratado |
| Financeiros | Cobrança, emissão de NFS-e, cumprimento de obrigações fiscais |
| Logs de uso | Segurança (detecção de fraude, anti-spam), faturamento por uso, debugging |
Vedações expressas:
- Não vendemos, alugamos ou licenciamos dados pessoais a terceiros.
- Não usamos dados de um tenant para treinar modelos genéricos compartilhados com outros tenants.
- Não usamos dados pessoais para fins não declarados nesta política sem consentimento adicional específico.
4. Bases legais para cada tratamento (Art. 7º + 11º LGPD)
| Tratamento | Base legal | Artigo |
|---|---|---|
| Autenticação OAuth, criação de conta, prestação SaaS | Execução de contrato | Art. 7º V |
| Cookies de marketing, e-mails promocionais, retargeting | Consentimento explícito do titular | Art. 7º I |
| Cookies essenciais (sessão, segurança) | Legítimo interesse | Art. 7º IX |
| Logs de auditoria, anti-fraude, fingerprint criptográfico | Legítimo interesse + segurança da informação | Art. 7º IX + Marco Civil Lei 12.965/2014 |
| Cobrança, emissão de NFS-e, dados fiscais | Cumprimento de obrigação legal/regulatória | Art. 7º II + CTN Art. 195 |
| Comunicação de inadimplência ao titular pagante | Execução de contrato | Art. 7º V |
| Resposta a requisição judicial ou de autoridade competente | Cumprimento de obrigação legal | Art. 7º II |
Não tratamos dados pessoais sensíveis. Caso futuro requeira (ex: integração com sistema de saúde), publicaremos atualização desta política com base legal específica do Art. 11 LGPD e re-coletaremos consentimento.
5. Compartilhamento com operadores de tratamento
A Gaia Prime utiliza os seguintes operadores (Art. 5º VII LGPD), todos vinculados por contrato de tratamento de dados (contract.md) que replica as obrigações do controlador:
| Operador | Finalidade | País sede | Transferência internacional? | Base legal |
|---|---|---|---|---|
| Asaas (gateway de pagamento) | Cobrança, PIX, NFS-e | Brasil (Joinville/SC) | Não | Execução de contrato |
| Google LLC (OAuth + Cloud Storage / Secret Manager) | Autenticação + armazenamento de secrets | EUA (Mountain View, CA) | Sim — base Cláusulas-Padrão Contratuais (SCC) UE-equivalentes adotadas pela Google + Art. 33 IX LGPD (consentimento específico via aceite desta política) | Consentimento + Execução de contrato |
| Google LLC — Gemini API (IA generativa) | Geração das respostas do assistente virtual de IA: processa o conteúdo das mensagens (chat na plataforma, WhatsApp, Messenger e Instagram) exclusivamente para produzir a resposta daquela conversa. Configurado sem uso do conteúdo para treinar modelos (§3); não usado para publicidade. | EUA | Sim — SCC + DPA Google Cloud | Execução de contrato + legítimo interesse do tenant em atender |
| Google LLC — Workspace APIs (Google Agenda + Google Drive) | Somente se o cliente conectar a própria conta (§2.8): criar compromissos com link do Google Meet na agenda dele e salvar o PDF da proposta no Drive dele (escopo restrito aos arquivos criados pela aplicação). Sujeito ao Uso Limitado da Google API Services User Data Policy. | EUA | Sim — SCC + DPA Google | Consentimento específico do titular (autorização OAuth) + Execução de contrato |
| Hetzner Online GmbH (servidor VPS de produção) | Hospedagem do daemon, banco PostgreSQL e Redis | Alemanha (Falkenstein) | Sim — UE oferece nível adequado de proteção (Decisão CE 2021/914) | Execução de contrato |
| Hostinger (DNS) | Resolução gaiaprime.pro → IP servidor |
Cyprus | Sim — UE/CE adequação | Execução de contrato |
| Sentry (observabilidade de erros) | Captura de stack traces para debugging | EUA (San Francisco, CA) | Sim — SCC + PII automaticamente redatado via filtro before_send (CPF, e-mail, telefone, cartão) |
Legítimo interesse (segurança/operação) |
| Meta Platforms (WhatsApp Business, Messenger, Instagram) | Canal de mensagens inbound/outbound do atendimento (ver §2.7); sujeito ao Uso Limitado da Meta | EUA + Irlanda (UE) | Sim — SCC | Execução de contrato + Consentimento do destinatário (opt-in para marketing/WhatsApp) |
| Cloudflare (WAF/DDoS — deferido D-H11 Sprint 30+) | Proteção de borda quando ativada | EUA + Brasil (POPs) | Sim — SCC | Legítimo interesse (segurança) |
Sub-operadores: alterações futuras em qualquer dos operadores acima serão comunicadas com 30 dias de antecedência via e-mail aos titulares cadastrados, com direito de oposição (Art. 18 § 4º LGPD).
Transferência internacional — comprometimento explícito: todos os operadores fora do Brasil estão vinculados por:
- Cláusulas-Padrão Contratuais (SCC) modelo UE 2021/914, ou equivalentes;
- Adequação da Comissão Europeia (UE → Brasil) ou país sede com proteção adequada conforme Art. 33 LGPD;
- Termos de processamento de dados (DPA) específicos com garantias técnicas e organizacionais.
A lista detalhada de DPAs está disponível mediante solicitação ao DPO.
6. Por quanto tempo retemos os dados
A retenção segue o princípio da necessidade (Art. 6º III LGPD):
| Categoria | Período | Justificativa |
|---|---|---|
| Cadastro + dados operacionais | Enquanto subscription ativa + 30 dias após cancelamento | Buffer para reativação ou exportação |
| Mensagens e leads do tenant | Enquanto subscription ativa | Memória operacional do agente |
| Cookies de marketing (Redis) | 30 dias sliding window | Janela típica de funil de conversão B2B brasileiro |
| Cookies de marketing (LocalStorage do navegador) | Até revogação do consentimento ou 13 meses (default conservador) | Alinhado a Guia ANPD sobre Cookies 2024 |
| Dados financeiros (NFS-e, contratos, comprovantes) | 5 anos após encerramento da relação contratual | Art. 195 do Código Tributário Nacional |
| Logs de auditoria e segurança | 6 meses | Marco Civil Lei 12.965/2014 Art. 13 (default mínimo) |
| Logs de erro e diagnóstico (Sentry) | 90 dias | Política Sentry Free tier + minimização |
| Dados anonimizados/agregados (métricas públicas) | Indefinido | Não constituem mais dado pessoal (Art. 12 LGPD) |
Após o término do período aplicável, os dados são eliminados ou anonimizados de forma irreversível, exceto quando:
- Houver obrigação legal explícita de guarda (ex: 5 anos fiscais);
- Houver requisição judicial em curso;
- Forem necessários ao exercício regular de direitos em processos judiciais ou administrativos (Art. 16 II e IV LGPD).
7. Quais são os seus direitos como titular (Art. 18 LGPD)
Você tem 9 direitos a qualquer momento, sem custo, mediante requisição ao Encarregado:
- Confirmação de existência de tratamento (Art. 18 I)
- Acesso aos seus dados (Art. 18 II)
- Correção de dados incompletos, inexatos ou desatualizados (Art. 18 III)
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (Art. 18 IV)
- Portabilidade a outro fornecedor de serviço, mediante requisição expressa (Art. 18 V)
- Eliminação dos dados pessoais tratados com seu consentimento (Art. 18 VI)
- Informação sobre entidades públicas e privadas com as quais o controlador realizou compartilhamento (Art. 18 VII)
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências (Art. 18 VIII)
- Revogação do consentimento a qualquer momento (Art. 18 IX)
Como exercer: envie e-mail para privacidade@gaiaprime.pro com identificação (e-mail cadastrado) e descrição da requisição. Prazo de resposta: 15 dias (recomendação ANPD), prorrogável por mais 15 dias mediante justificativa.
Decisões automatizadas: alguns recursos da Gaia Prime envolvem decisões tomadas com base unicamente em tratamento automatizado (ex: pontuação de qualificação de leads pelo agente Kairos). Você tem direito a solicitar revisão humana dessas decisões (Art. 20 LGPD), o que será processado em até 30 dias por nosso time.
Recurso à ANPD: caso você considere que sua requisição não foi atendida adequadamente, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados via https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao.
7.1 Exclusão de dados de Messenger e Instagram (Meta)
Para excluir os dados associados ao seu identificador no Messenger/Instagram:
- Automático: em Configurações da sua conta Facebook/Instagram → Apps e sites, remova o app Gaia Prime. A Meta aciona automaticamente nosso Data Deletion Callback e iniciamos a exclusão; você recebe um código de confirmação e uma página de status.
- Manual: solicite por dpo@softnatos.com (ou privacidade@gaiaprime.pro), assunto "Exclusão de dados — Meta".
- Instruções completas: https://www.gaiaprime.pro/data-deletion
Excluímos o conteúdo das conversas e o vínculo do seu identificador (PSID/IGSID), ressalvadas as obrigações legais de retenção descritas em §6.
8. Cookies e tecnologias semelhantes
Detalhamento completo: cookies.md. Resumo:
- Cookies essenciais (sessão, autenticação, CSRF): sempre ativos, base legal Art. 7º IX (legítimo interesse).
- Cookies analíticos (Google Analytics 4, Hotjar): opt-in, base Art. 7º I.
- Cookies de marketing (visitor stitching first-party, retargeting): opt-in, base Art. 7º I.
O banner de consentimento aparece na primeira visita e pode ser reaberto a qualquer momento via ícone de escudo no canto inferior esquerdo da página.
9. Como protegemos seus dados (segurança da informação)
Conforme Art. 46 LGPD e ISO 27001 controls inspirados pelo CIS Controls v8:
- Encriptação em trânsito: TLS 1.3 obrigatório (HSTS habilitado).
- Encriptação em repouso: Postgres com
pgcryptopara campos sensíveis (BYTEA +pgp_sym_encrypt); chave KEK em GCP Secret Manager com rotação trimestral programada. - Row-Level Security (RLS): isolamento total entre tenants (Lei 53 do projeto —
set_config('app.current_tenant', tenant_id, true)obrigatório em 100% das queries). - Authentication & Access: Google OAuth 2.0 + MFA TOTP para administradores; session JWT com TTL curto (10min) e refresh seguro.
- Anti-fraude: behavioral jitter determinístico (ADR-025), HMAC em webhooks, rate limiting por IP/tenant.
- Observabilidade: Sentry com filtro
before_sendpara redação automática de PII (CPF, e-mail, telefone, cartão) antes de enviar à plataforma. - Backups: snapshots diários do banco com retenção 30 dias.
- Incident response: runbooks documentados em
docs/runbooks/. Comunicação à ANPD em prazo razoável (interpretação Resolução CD/ANPD Nº 15/2024).
10. Comunicação de incidente de segurança (Art. 48 LGPD)
Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, comunicaremos:
- Aos titulares afetados: por e-mail registrado, em prazo razoável a partir da ciência (no máximo 72h), com descrição do incidente, dados envolvidos, medidas tomadas e contato do DPO.
- À ANPD: via canal oficial https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento, conforme Resolução CD/ANPD Nº 15/2024.
Manteremos registro interno de todos os incidentes (mesmo aqueles sem dever de comunicação) por 5 anos para fins de auditoria.
11. Encarregado de Tratamento (DPO/EPD) — Art. 41 LGPD
| Atributo | Valor |
|---|---|
| Nome | Tiago Nonato (provisório, até contratação de terceiro especializado pós-revenue) |
| privacidade@gaiaprime.pro | |
| Canal alternativo | https://www.gaiaprime.pro/privacy/exercicio-direitos |
| Tempo de resposta médio | 15 dias úteis |
Próxima revisão da governança DPO: Sprint 31+ pós-revenue (D-H45) — contratação de DPO terceirizado especializado SaaS B2B.
12. Crianças e adolescentes (Resolução CD/ANPD Nº 2/2022)
A Gaia Prime é uma plataforma B2B destinada a empresas e profissionais maiores de 18 anos. Não direcionamos nossos serviços a crianças ou adolescentes. Caso tomemos conhecimento da coleta inadvertida de dados de menores, eliminaremos essas informações imediatamente. Se você é responsável por um menor e suspeita de tratamento indevido, contate privacidade@gaiaprime.pro.
13. Atualizações desta política
Esta política pode ser atualizada para refletir mudanças legais, regulatórias ou operacionais. Alterações materiais (escopo de coleta, novas finalidades, novos sub-operadores ou mudança de controlador) serão comunicadas com 30 dias de antecedência via e-mail aos titulares cadastrados, com possibilidade de revogação do consentimento ou cancelamento da conta sem penalidade.
A versão vigente é sempre a publicada em https://www.gaiaprime.pro/privacy. Versões anteriores ficam disponíveis mediante requisição ao DPO.
14. Foro e legislação aplicável
Esta Política é regida pela legislação brasileira (LGPD Lei 13.709/2018, Marco Civil da Internet Lei 12.965/2014, Código de Defesa do Consumidor Lei 8.078/1990 quando aplicável). Eventuais litígios serão resolvidos no foro da comarca de domicílio do titular consumidor (Art. 101 I CDC) ou, em sendo titular pessoa jurídica em relação B2B, no foro da Comarca de São Paulo/SP.
Notas de auditoria interna (não-vinculantes ao titular)
- Lei 51 RCEP: este documento é factual ao schema real (espelha campos coletados em produção via DPIA). Atualizações materiais ao schema disparam revisão obrigatória aqui.
- Casos críticos enforcement ANPD considerados: Telefônica/Vivo PA-08700.001270/2023 (multa R$ 7M — vazamento metadata); Serasa PA-08700.000466/2022 (multa R$ 6,5M — base legal incorreta); Hub Fone PA-08700.000465/2022-94 (base legal inadequada). Padrões evitados via cláusulas §3, §4 e §5.
- Jurisprudências paradigmáticas consideradas: STJ REsp 1.758.799/MG; TJSP AC 1119927-77.2022; TJDFT MS 0709127-06; TJRJ AI 0021345-52.
- Lacunas conhecidas para D-H45 review pós-revenue: (a) endereço físico Softnatos LTDA pendente de Junta Comercial; (b) DPO terceirizado a contratar; (c) DPA específicos por sub-operador a formalizar individualmente.