Política de Privacidade

1. Quem somos

O Gourmind é uma camada de inteligência artificial conectada ao sistema de gestão (ERP) da empresa cliente. Esta política vale para este site e para o sistema Gourmind, acessado com login.

O responsável pelo tratamento é A4 TECH LTDA, CNPJ 53.599.321/0001-10, e-mail [email protected]. Pedidos e dúvidas sobre privacidade podem ser enviados para esse e-mail.

2. Os papéis de cada um

• Dados das contas e do site: somos o controlador: decidimos como tratar o e-mail de quem entra no sistema e os registros de acesso.
• Dados do ERP da empresa cliente: a empresa cliente é a controladora e nós somos operadores. Tratamos esses dados só para gerar os relatórios e as análises pedidas, conforme o contrato e as instruções dela.

3. Dados que tratamos

• Visita ao site: o site não cria cookies próprios nem usa ferramentas de análise ou de publicidade. A Cloudflare e o nosso servidor registram dados técnicos da conexão (endereço IP, navegador, página e horário) para entregar as páginas e proteger o site, e a Cloudflare pode usar cookies técnicos de segurança. Ao tocar no botão do WhatsApp, a conversa segue as regras do WhatsApp.
• Conta no sistema: o e-mail liberado pelo administrador da empresa e o papel da pessoa (administrador ou membro).
• Login: ao entrar com o código enviado por e-mail, o provedor de login confirma que a pessoa recebeu o código naquele endereço. Ao entrar com a conta Google, recebemos o nome, o e-mail, a confirmação de que o e-mail é verificado e a foto do perfil.
• Cookies do sistema: só os necessários para o login: a sessão (termina após 7 dias sem uso ou 30 dias depois do login), uma tentativa de login em andamento (10 minutos) e o meio de entrada usado por último (1 ano). Nenhum deles serve para rastreamento ou publicidade.
• Dados da empresa cliente: o que está no ERP e é consultado para responder às perguntas, como vendas, caixa, compras, estoque e o ponto da equipe, que pode incluir nomes de colaboradores e de clientes. Também as perguntas feitas à assistente, os arquivos anexados a elas, as respostas e os relatórios salvos. Os extratos bancários enviados são lidos só para gerar a análise e não ficam guardados.
• Registros técnicos: registros de acesso e de erros e medições de desempenho, usados para manter o sistema seguro e funcionando.

4. Dados da conta Google

Quando a pessoa escolhe entrar com o Google, pedimos só o perfil básico e o e-mail. Usamos o e-mail verificado para identificar a pessoa e conferir se ela tem acesso liberado. Não acessamos Gmail, Drive, Agenda, contatos nem qualquer outro dado da conta Google.

Os dados recebidos do Google não são vendidos, não são compartilhados para publicidade e não são usados para treinar modelos de inteligência artificial. O uso segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de uso limitado.

5. Para que usamos os dados

• Prestar o serviço contratado: liberar o acesso, responder às perguntas, gerar relatórios e dar suporte (execução de contrato, art. 7º, V, da LGPD).
• Proteger o site e o sistema: evitar acessos indevidos, investigar falhas e manter registros de acesso (legítimo interesse, art. 7º, IX, e cumprimento de obrigação legal, art. 7º, II).
• Tratar os dados do ERP: somente conforme as instruções da empresa cliente, que é quem define a base legal desse tratamento.

6. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas com os fornecedores necessários para o serviço funcionar, cada um limitado à sua função:

• Magalu Cloud: hospedagem do servidor, no Brasil.
• Cloudflare: rede, certificado de segurança e proteção do tráfego do site e do sistema.
• Auth0 (Okta): login e sessões de autenticação.
• Google: login, quando a pessoa escolhe entrar com a conta Google.
• Resend: envio do e-mail com o código de acesso.
• OpenAI: modelo de inteligência artificial da assistente: recebe as perguntas e os dados consultados que forem necessários para respondê-las.
• TypeSafe: classificação do tipo de pergunta, quando esse recurso está ligado. Recebe o texto da pergunta e um trecho da pergunta anterior, com e-mails, links, documentos, telefones, valores, números de cartão e senhas mascarados.

7. Transferência internacional

Cloudflare, Auth0, Google, Resend, OpenAI e TypeSafe podem tratar dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências se apoiam nas cláusulas contratuais e nas garantias de proteção de dados oferecidas por esses fornecedores, como prevê o art. 33 da LGPD.

8. Por quanto tempo guardamos

• Contas: enquanto o acesso estiver liberado. Quando o administrador remove alguém, o acesso termina na hora.
• Dados da empresa cliente: durante o contrato. Ao fim, eles são devolvidos ou excluídos, conforme o contrato, salvo guarda exigida por lei.
• Anexos das conversas: 30 dias.
• Medições de desempenho: até 90 dias.
• Registros de acesso: pelo prazo exigido por lei, ou pelo tempo necessário para a segurança do serviço.

9. Como protegemos

• Conexão criptografada (HTTPS) entre o navegador e o servidor.
• Acesso ao sistema só com login, e só para quem o administrador da empresa liberou.
• Consultas ao ERP só em transações somente leitura, em que o próprio banco recusa gravações.
• Dados de cada empresa separados, e a sessão guardada no servidor só como hash.

10. Seus direitos

Você pode pedir a confirmação de que tratamos seus dados, o acesso a eles, a correção, a anonimização, o bloqueio ou a eliminação de dados desnecessários, a portabilidade, a informação sobre com quem compartilhamos e a revisão de decisões automatizadas, entre os demais direitos do art. 18 da LGPD.

Para dados de conta e do site, escreva para o e-mail da seção 1. Para dados que estão no ERP de uma empresa cliente, o pedido deve ser feito a essa empresa; se ele chegar até nós, encaminhamos a ela e ajudamos no atendimento.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

11. Mudanças nesta política

Quando esta política mudar, a nova versão é publicada nesta página com a data de atualização. Mudanças relevantes são avisadas às empresas clientes.