Política de Privacidade

SupaSec ("nós" ou "nosso(a)") tem o compromisso de proteger a sua privacidade. Esta Política de Privacidade explica como coletamos, utilizamos, armazenamos e compartilhamos seus dados pessoais quando você utiliza a plataforma SupaSec ("Serviço").

O SupaSec atua como controlador dos dados pessoais tratados por meio do Serviço. Esta política aplica-se a todos os usuários, independentemente de sua localização, com disposições adicionais para usuários na União Europeia / Espaço Econômico Europeu (GDPR) e no Brasil (LGPD).

Coletamos as seguintes categorias de dados:

Informações da Conta

• Nome, endereço de e-mail e número de telefone fornecidos durante o cadastro
• Credenciais de autenticação (gerenciadas via Supabase Auth)
• Plano de assinatura e informações de cobrança (processadas pelo Stripe)

Mensagens e Mídia do WhatsApp

• Mensagens de texto de grupos e conversas diretas acessíveis por meio do seu dispositivo vinculado
• Arquivos de mídia (imagens, áudio, vídeo, documentos) compartilhados nas conversas
• Metadados de mensagens (carimbos de data/hora, identificadores de remetente, identificadores de grupo)

Dados de Conectores OAuth

• Tokens de acesso e de atualização para serviços Google e Microsoft, armazenados de forma criptografada
• Mensagens de e-mail (conteúdo e metadados) do Gmail e do Outlook
• Eventos de calendário do Google Agenda (Google Calendar) e do Microsoft Calendar
• Metadados e conteúdo de arquivos do Google Drive e do OneDrive
• Tarefas do Google Tasks e do Microsoft To Do
• Informações básicas de perfil (nome e endereço de e-mail) da conta conectada

Dados de Uso e Análise

• Padrões de uso do painel e interações com funcionalidades
• Registros de erros e métricas de desempenho
• Endereço IP e geolocalização aproximada (nível de país, para detecção de localidade)

Cookies

• locale — Cookie funcional próprio que armazena sua preferência de idioma (1 ano)
• ip-country — Cookie funcional próprio que armazena o código do país detectado para localização e detecção de GDPR (30 dias)
• ph_* — Identificador de análise próprio definido pelo PostHog para medir o uso agregado das funcionalidades (1 ano)

Tratamos seus dados para as seguintes finalidades:

• Prestação do serviço: Processamento de mensagens do WhatsApp para fornecer assistência com inteligência artificial, agendamento e acompanhamento de compromissos
• Construção de memória: Criação de episódios semânticos, entidades e relacionamentos a partir de suas conversas para fornecer assistência contextual
• Execução de habilidades: Execução de habilidades como agendamento de reuniões, análise de imagens e acompanhamento de compromissos em seu nome
• Processamento de IA: Geração de respostas e sugestões de IA utilizando o contexto necessário para responder à sua solicitação, enviado a provedores de modelos de linguagem (anonimizado para mensagens do WhatsApp; os dados de usuário do Google são tratados conforme a seção "Dados de Usuário do Google")
• Comunicação: Envio de notificações relacionadas à conta, alertas de segurança e atualizações do serviço
• Melhoria do serviço: Análise de padrões de uso para aprimorar funcionalidades e corrigir problemas

Esta seção explica como o SupaSec acessa, utiliza, armazena e compartilha os dados recebidos das APIs do Google ("dados de usuário do Google"). O SupaSec só acessa dados de usuário do Google depois que você conecta sua conta Google, seja pelo painel, seja por meio de um link de conexão enviado pelo assistente, e apenas para os serviços Google que você autorizar.

O que Acessamos e Por Quê

• Gmail (gmail.readonly, gmail.send, gmail.compose): Lemos suas mensagens de e-mail para que o assistente possa pesquisar, resumir e responder a perguntas sobre seus e-mails. Enviamos e-mails e criamos rascunhos somente quando você pede ao assistente
• Google Calendar (Google Agenda — calendar): Lemos seus eventos para responder a perguntas sobre sua agenda e preparar resumos de reuniões. Criamos e atualizamos eventos somente quando você pede ao assistente para agendar uma reunião
• Google Drive (drive.readonly): Lemos os metadados e o conteúdo dos seus arquivos para responder a perguntas sobre seus documentos. O acesso é somente leitura — nunca modificamos nem excluímos arquivos do seu Drive
• Google Tasks (tasks): Criamos e atualizamos tarefas para os compromissos que o assistente acompanha para você
• Perfil básico (openid, email, profile): Identificamos qual conta Google está conectada

Não criamos conjuntos de dados agregados ou anonimizados a partir de dados de usuário do Google para publicidade, análise ou qualquer outra finalidade além de fornecer as funcionalidades acima. Métricas agregadas que não permitem identificar você podem ser usadas apenas para operações internas e confiabilidade do serviço.

Como Utilizamos os Dados de Usuário do Google

Utilizamos os dados de usuário do Google apenas para fornecer e aprimorar funcionalidades do SupaSec voltadas ao usuário e visíveis para você. Não vendemos dados de usuário do Google. Não os utilizamos para publicidade, incluindo publicidade personalizada, de redirecionamento (retargeting) ou baseada em interesses, e não os utilizamos para avaliar capacidade de crédito nem para fins de concessão de empréstimos.

Modelos de IA

Não utilizamos dados das APIs do Google Workspace para desenvolver, aprimorar ou treinar modelos generalizados ou não personalizados de IA e/ou aprendizado de máquina (ML), e não os utilizamos para treinar modelos compartilhados com outros usuários. Não transferimos dados de usuário do Google a serviços de IA/ML de terceiros que utilizem esses dados para treinar seus modelos. Os dados de usuário do Google são enviados a provedores de modelos de IA apenas para gerar respostas para você no momento em que você as solicita, sob termos que proíbem o treinamento com dados de API.

Acesso Humano

Ninguém no SupaSec lê seus dados de usuário do Google, exceto quando:

• Você nos dá consentimento explícito para visualizar mensagens, arquivos ou outros dados específicos (por exemplo, ao solicitar suporte)
• For necessário por motivos de segurança, como a investigação de abusos
• For necessário para cumprir a legislação aplicável
• Os dados tiverem sido agregados e anonimizados e forem utilizados em operações internas

Compartilhamento e Transferências

Transferimos dados de usuário do Google apenas aos operadores necessários para fornecer as funcionalidades descritas acima, todos listados em "Operadores de Dados Terceirizados":

• OpenRouter: Geração de respostas de IA
• OpenAI: Embeddings para busca semântica
• Nanonets DocStrange: Extração de texto de documentos e imagens
• Cloudflare: Computação
• Supabase: Armazenamento criptografado

Os dados de usuário do Google nunca são vendidos nem transferidos para qualquer outra finalidade, exceto quando necessário para cumprir a legislação aplicável ou no contexto de fusão, aquisição ou venda de ativos, caso em que você será notificado. Não transferimos dados de usuário do Google a corretores de dados, anunciantes ou qualquer outra parte para publicidade, concessão de empréstimos ou treinamento de modelos.

Armazenamento e Proteção

• Os tokens OAuth de acesso e de atualização do Google são criptografados com AES-256-GCM antes de serem armazenados
• O conteúdo sincronizado dos seus serviços Google é armazenado de forma criptografada com suas chaves de criptografia individuais
• Todos os dados de usuário do Google são transmitidos via TLS

Retenção, Revogação e Exclusão

• Você pode desconectar o Google a qualquer momento em Painel → Conectores. A desconexão exclui permanentemente os tokens de acesso e de atualização do Google que armazenamos e revoga o acesso do SupaSec no Google, de modo que o SupaSec não consegue mais acessar sua conta Google
• Você também pode revogar o acesso do SupaSec diretamente no Google a qualquer momento em https://myaccount.google.com/permissions
• Para excluir dados de usuário do Google já sincronizados na sua memória do SupaSec, exclua sua conta ou entre em contato conosco pelo e-mail Click to reveal email. Os dados serão excluídos em até 30 dias após a sua solicitação

Uso Limitado (Limited Use)

SupaSec's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

O uso e a transferência, pelo SupaSec, de informações recebidas das APIs do Google para qualquer outro aplicativo seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

O SupaSec também cumpre a Política de Dados do Usuário e do Desenvolvedor das APIs do Google Workspace.

Para usuários na UE/EEE, tratamos seus dados pessoais com base nas seguintes bases legais (Artigo 6 do GDPR):

• Execução contratual (Art. 6(1)(b)): Tratamento necessário para a prestação do Serviço ao qual você aderiu, incluindo o tratamento de mensagens, construção de memória e execução de habilidades
• Interesses legítimos (Art. 6(1)(f)): Segurança do serviço, prevenção de fraudes, análise de uso para melhoria do serviço e aplicação de nossos termos. Ponderamos esses interesses em relação aos seus direitos e liberdades
• Consentimento (Art. 6(1)(a)): Quando necessário, como para funcionalidades opcionais, comunicações de marketing ou tratamento de categorias específicas de dados. Você pode revogar o consentimento a qualquer momento

Para usuários no Brasil, tratamos seus dados pessoais com base nas seguintes hipóteses legais (Artigo 7 da LGPD):

• Execução contratual (Art. 7, V): Tratamento necessário para o cumprimento do contrato de prestação de serviços
• Legítimo interesse (Art. 7, IX): Segurança, melhoria e análise do serviço, conduzidos com respeito aos seus direitos fundamentais
• Consentimento (Art. 7, I): Para atividades de tratamento opcionais. O consentimento pode ser revogado a qualquer momento, sem afetar a licitude do tratamento realizado com base no consentimento antes de sua revogação

Ao vincular sua conta do WhatsApp, o SupaSec escuta passivamente todas as conversas acessíveis por meio do dispositivo vinculado. Veja como tratamos suas mensagens:

• Criptografia na ingestão: As mensagens são criptografadas com sua chave pessoal AES-256-GCM imediatamente após o recebimento, antes do armazenamento. O conteúdo das mensagens em texto simples nunca é armazenado no banco de dados
• Isolamento por usuário: Os dados de cada usuário são processados em um sandbox isolado. Suas chaves de criptografia são exclusivas da sua conta
• Anonimização antes do processamento de IA: Antes de qualquer conteúdo de mensagem ser enviado a provedores externos de IA, identificadores pessoais (nomes, números de telefone, localizações) são substituídos por marcadores anônimos. Os resultados são desanonimizados apenas dentro do seu sandbox criptografado
• Sem acesso humano: A equipe do SupaSec não tem acesso ao conteúdo descriptografado de suas mensagens. Todo o processamento é automatizado
• Mensagens de grupo: As mensagens de grupo são armazenadas passivamente apenas para construção de contexto. O SupaSec não responde em grupos, a menos que seja explicitamente invocado

Implementamos uma arquitetura de segurança zero-trust para proteger seus dados:

• Chaves de criptografia por usuário: Cada usuário possui uma chave mestra única derivada via HKDF, com sub-chaves separadas para mensagens, episódios, entidades e tokens OAuth
• Criptografia AES-256-GCM: Todo conteúdo sensível é criptografado com AES-256-GCM, um algoritmo de criptografia autenticada que garante tanto a confidencialidade quanto a integridade dos dados
• Funções de banco de dados com escopo definido: Diferentes serviços acessam apenas as tabelas do banco de dados de que necessitam. Nenhum serviço individual possui acesso total ao banco de dados
• Armazenamento de mídia criptografada: Arquivos de mídia são criptografados com sua chave pessoal antes do armazenamento no Cloudflare R2
• Autenticação serviço-a-serviço: Comunicações internas utilizam tokens assinados com HMAC-SHA256 e validade curta
• Registro de auditoria: Eventos relevantes de segurança (falhas de autenticação, acessos de serviços) são registrados para monitoramento

Utilizamos os seguintes operadores terceirizados para a prestação do Serviço. Todos os operadores estão vinculados a acordos de tratamento de dados:

O conteúdo das mensagens do WhatsApp é anonimizado antes de ser enviado aos provedores de IA. Os dados de usuário do Google, como conteúdo de e-mail e de documentos, são enviados apenas quando necessário para responder à sua solicitação e não são anonimizados. Em ambos os casos, os dados são processados exclusivamente para gerar a resposta para você, e nossos provedores de IA estão sujeitos a termos que proíbem o uso de dados de API para treinar seus modelos.

Seus dados podem ser transferidos e processados em países fora do seu país de residência. Quando transferimos dados pessoais da UE/EEE ou do Brasil para terceiros países, utilizamos os seguintes mecanismos:

• Cláusulas Contratuais Padrão (SCCs): Termos contratuais aprovados pela UE que garantem proteção adequada de dados
• Decisões de adequação: Transferências para países reconhecidos pela Comissão Europeia como detentores de nível adequado de proteção de dados
• Medidas suplementares: Salvaguardas técnicas incluindo criptografia em repouso e em trânsito, pseudonimização e controles de acesso

Nosso banco de dados principal e o conteúdo armazenado ficam na região de São Paulo (Brasil) do Supabase. Alguns processamentos (por exemplo, inferência de modelos de IA e cache de CDN) podem ocorrer em outras regiões, conforme listado em "Operadores de Dados Terceirizados", protegidos pelas salvaguardas descritas em "Transferências Internacionais de Dados".

• Contas ativas: Seus dados são retidos enquanto sua conta permanecer ativa e forem necessários para a prestação do Serviço
• Após o cancelamento: Após o cancelamento da conta, seus dados são retidos por 30 dias para permitir a recuperação da conta. Após 30 dias, todos os dados pessoais são permanentemente excluídos
• Registros de cobrança: Registros de pagamento e notas fiscais podem ser retidos pelo período exigido pela legislação fiscal e contábil aplicável
• Registros de auditoria de segurança: Retidos por 90 dias, sendo automaticamente eliminados em seguida

Se você está localizado na UE/EEE, você possui os seguintes direitos nos termos dos Artigos 15–22 do GDPR:

• Direito de acesso (Art. 15): Solicitar uma cópia dos dados pessoais que mantemos sobre você
• Direito de retificação (Art. 16): Solicitar a correção de dados pessoais imprecisos ou incompletos
• Direito ao apagamento (Art. 17): Solicitar a exclusão de seus dados pessoais ("direito ao esquecimento")
• Direito à restrição (Art. 18): Solicitar que limitemos o tratamento de seus dados pessoais
• Direito à portabilidade dos dados (Art. 20): Receber seus dados pessoais em formato estruturado, de uso comum e legível por máquina
• Direito de oposição (Art. 21): Opor-se ao tratamento baseado em interesses legítimos
• Direito relativo a decisões automatizadas (Art. 22): Não ser submetido a decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos
• Direito de revogar o consentimento: Revogar o consentimento a qualquer momento quando o tratamento for baseado em consentimento
• Direito de apresentar reclamação: Apresentar reclamação junto à sua autoridade supervisora local

Para exercer qualquer um desses direitos, entre em contato com nosso Encarregado de Proteção de Dados (consulte a Seção 17).

Se você está localizado no Brasil, você possui os seguintes direitos nos termos dos Artigos 18–19 da LGPD:

• Confirmação de tratamento (Art. 18, I): Confirmar se realizamos o tratamento de seus dados pessoais
• Acesso (Art. 18, II): Acessar seus dados pessoais mantidos por nós
• Correção (Art. 18, III): Solicitar a correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação (Art. 18, IV): Solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos
• Portabilidade dos dados (Art. 18, V): Solicitar a portabilidade de seus dados a outro prestador de serviços
• Informação sobre compartilhamento (Art. 18, VII): Saber com quais entidades públicas e privadas seus dados foram compartilhados
• Revogação do consentimento (Art. 18, IX): Revogar o consentimento a qualquer momento
• Contato com a ANPD: Apresentar reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD)

Para exercer qualquer um desses direitos, entre em contato com nosso Encarregado de Dados (consulte a Seção 17).

O SupaSec utiliza cookies funcionais próprios e análise de produto própria (PostHog) em nosso site e painel para entender o uso das funcionalidades. O PostHog pode armazenar um identificador próprio em um cookie ou no armazenamento local. Não utilizamos cookies de publicidade, pixels de rastreamento entre sites ou vendemos dados de análise, e não enviamos intencionalmente dados de usuário do Google ao PostHog.

Os cookies funcionais acima são estritamente necessários e não exigem consentimento. Os dados de análise são usados apenas de forma agregada para aprimorar o Serviço e nunca para publicidade.

O Serviço não é destinado a menores de 18 anos. Não coletamos intencionalmente dados pessoais de crianças ou adolescentes. Caso tomemos conhecimento de que um menor de 18 anos nos forneceu dados pessoais, tomaremos medidas para excluir esses dados prontamente. Se você acredita que um menor nos forneceu dados pessoais, entre em contato conosco imediatamente.

Nosso Encarregado de Proteção de Dados (DPO) / Encarregado de Dados pode ser contactado em:

• E-mail: Click to reveal email

Responderemos a todas as consultas sobre proteção de dados em até 30 dias após o recebimento. Para solicitações relativas ao GDPR, responderemos em até 1 mês, conforme exigido pelo Artigo 12(3).

Podemos atualizar esta Política de Privacidade periodicamente. Quando realizarmos alterações substanciais, forneceremos aviso prévio de pelo menos 30 dias por e-mail ou por meio de aviso destacado no painel antes que as alterações entrem em vigor.

Recomendamos que você revise esta política periodicamente. O uso continuado do Serviço após a entrada em vigor da política atualizada constitui sua aceitação das alterações.

Se você tiver dúvidas sobre esta Política de Privacidade, entre em contato conosco:

• Dúvidas gerais: hello@supasec.bot
• Dúvidas sobre privacidade: Click to reveal email
• Website: https://supasec.bot