Política de Privacidade

1. Identificação do Controlador

Esta Política de Privacidade é aplicada pela empresa responsável pela plataforma agentto ("nós", "nosso" ou "agentto"), controladora dos dados pessoais tratados no âmbito deste serviço, com endereço na Rua Visconde de Pirajá, 414, Ipanema, Rio de Janeiro — RJ, CEP 22410-003, e contato pelo e-mail [email protected].

Este documento foi elaborado em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e descreve, de forma clara e acessível (conforme exige o art. 9º, § 1º da LGPD), como coletamos, usamos, armazenamos, compartilhamos e protegemos os seus dados pessoais ao utilizar o site institucional agentto.com.br e a plataforma agentto, disponível em app.agentto.com.br.

2. Dados Coletados, Finalidades e Bases Legais

Coletamos apenas os dados estritamente necessários para a prestação do serviço. A seguir, detalhamos cada categoria de dado, a finalidade do tratamento e a base legal correspondente, conforme o art. 7º da LGPD.

2.1 Dados de Cadastro e Autenticação

• Dados: nome completo e endereço de e-mail.
• Finalidade: criar e gerenciar sua conta; enviar e-mails transacionais (confirmação de cadastro, recuperação de senha); identificar o usuário na plataforma.
• Base legal: execução de contrato (art. 7º, V, LGPD) — o tratamento é indispensável para fornecer o serviço solicitado pelo usuário.

Sua senha nunca é armazenada em texto simples. O gerenciamento de senhas é feito pelo Supabase Auth, que aplica hash seguro (bcrypt) antes de qualquer armazenamento.

2.2 Dados de Perfil Profissional

• Dados: telefone, endereço completo (logradouro, número, complemento, bairro, cidade, estado, CEP) e foto de perfil.
• Finalidade: personalizar o perfil do profissional na plataforma e facilitar o preenchimento automático de formulários via ViaCEP.
• Base legal: execução de contrato (art. 7º, V) e legítimo interesse do controlador em oferecer funcionalidades úteis ao usuário (art. 7º, IX). O fornecimento desses dados é opcional — a ausência não impede o uso das funcionalidades principais.

A foto de perfil é armazenada no Supabase Storage (região São Paulo). São aceitos apenas arquivos nos formatos JPG, PNG e WEBP, com tamanho máximo de 5 MB.

2.3 Dados de Eventos e Clientes do Profissional

• Dados: nome do cliente do profissional, telefone do cliente, CPF do cliente (opcional), e-mail do cliente (quando um contrato é enviado), endereço do evento (incluindo CEP), data e horário, tipo de serviço, valor contratado, observações e registro de adiantamentos.
• Finalidade: possibilitar que o profissional gerencie sua agenda e seus compromissos de forma organizada.
• Base legal: execução de contrato (art. 7º, V) entre a agentto e o profissional usuário.

Importante: os dados dos clientes do profissional (nome, telefone, endereço do evento) são inseridos pelo próprio profissional. Nessa relação, o profissional é o controlador dos dados dos seus clientes, e a agentto atua como operador, processando esses dados exclusivamente para viabilizar o serviço contratado. O profissional é responsável por ter base legal adequada para tratar os dados dos seus próprios clientes.

2.4 Dados Financeiros

• Dados: valores de serviço, sinal pago, adiantamentos e totais recebidos por evento, conforme registrado pelo próprio profissional.
• Finalidade: fornecer controle financeiro e indicadores de desempenho no dashboard do profissional.
• Base legal: execução de contrato (art. 7º, V).

A agentto não intermedia pagamentos entre o profissional e os clientes dele e não armazena dados de cartão de crédito. Os valores registrados na plataforma são informações inseridas manualmente pelo próprio profissional. A cobrança da assinatura do plano Pro está descrita no item 2.8.

2.5 Dados de Uso e Navegação

• Dados: métricas agregadas de navegação e desempenho — visualizações de página, origem de tráfego e indicadores de performance (Core Web Vitals) — coletadas via Vercel Analytics e Vercel Speed Insights. Essas ferramentas não utilizam cookies, não criam identificador persistente do visitante e não coletam dados que permitam identificar o titular.
• Finalidade: compreender o uso da plataforma, identificar problemas de desempenho e melhorar a experiência do usuário.
• Base legal: legítimo interesse do controlador (art. 7º, IX), considerando que o tratamento é mínimo, agregado e sem identificação do titular.

Na plataforma (app.agentto.com.br), essas ferramentas são carregadas em toda visita. No site institucional (agentto.com.br), elas só são carregadas após o seu aceite no banner de cookies, conforme o item 5.2.

2.6 Dados de Log e Segurança

• Dados: endereço IP e timestamps de requisições, utilizados exclusivamente para controle de taxa de acesso (rate limiting) e monitoramento de segurança.
• Finalidade: prevenir abusos, ataques de força bruta e garantir a disponibilidade da plataforma.
• Base legal: legítimo interesse do controlador em proteger a segurança da plataforma e de seus usuários (art. 7º, IX).

Os endereços IP usados para rate limiting são processados temporariamente pelo Upstash Redis (janelas de 1 a 5 minutos) e não são armazenados de forma permanente.

2.7 Dados de Monitoramento de Erros e Gravação de Sessão

• Dados: stack traces, mensagens de erro, URL da requisição, tipo e versão do navegador e gravação mascarada da sessão de navegação, enviados ao Sentry conforme detalhado abaixo.
• Finalidade: identificar e corrigir falhas na plataforma para garantir estabilidade e qualidade do serviço.
• Base legal: legítimo interesse do controlador em manter a qualidade, a estabilidade e a segurança do serviço (art. 7º, IX), adotadas as medidas de mascaramento e filtragem abaixo para minimizar o tratamento.

Gravação de sessão. Para diagnosticar falhas, a plataforma (app.agentto.com.br) pode registrar a sequência de telas e interações da sua sessão de uso. Essa gravação:

• tem todo o texto e todos os campos de formulário mascarados na origem, no seu próprio navegador, antes de qualquer envio — o conteúdo digitado ou exibido na tela não é transmitido;
• tem imagens e mídias bloqueadas;
• na maior parte das sessões, fica retida temporariamente na memória do navegador, é descartada ao fim da sessão e só é transmitida ao Sentry quando ocorre um erro;
• em uma pequena amostra de sessões (cerca de 5%), é transmitida integralmente, com o mesmo mascaramento, para diagnóstico de problemas de uso;
• é retida por até 90 dias pelo Sentry, conforme o plano contratado, e então excluída.

Filtro de dados pessoais. Antes de qualquer envio ao Sentry, um filtro próprio remove campos com dados pessoais — CPF/CNPJ, nome, telefone, e-mail, CEP, endereço e observações sobre clientes — dos relatórios de erro e da trilha de navegação. Endereços de e-mail também são removidos quando aparecem em texto livre, como mensagens de erro e endereços de página, e credenciais são removidas dos parâmetros de URL. O envio do seu endereço IP e de cookies ao Sentry está desativado, e cabeçalhos de autenticação são removidos.

2.8 Dados de Assinatura e Pagamento do Plano Pro

• Dados: CPF ou CNPJ (solicitado no perfil e obrigatório para assinar o plano Pro), nome, e-mail e telefone de quem assina, dados do cartão de crédito, histórico de cobranças e situação da assinatura (plano, ciclo mensal ou anual e data de vencimento). Ao cancelar o plano Pro, você pode, se quiser, informar o motivo do cancelamento e escrever um comentário — responder é opcional e não muda o cancelamento.
• Finalidade: contratar, cobrar e gerenciar a assinatura do plano Pro — cobrança recorrente, faturas, troca de cartão, mudança de ciclo e cancelamento —, impedir que o mesmo CPF ou CNPJ seja usado em mais de uma conta e, com o motivo do cancelamento, entender por que assinantes deixam o plano Pro para melhorar o serviço.
• Base legal: execução de contrato (art. 7º, V) para a assinatura; legítimo interesse do controlador (art. 7º, IX) na prevenção de fraudes, para a verificação de documento único, e na melhoria do serviço, para o motivo do cancelamento.

Os dados do cartão são digitados diretamente na página de pagamento da Stripe e não passam pelos servidores da agentto nem ficam armazenados conosco. A agentto guarda apenas os identificadores da assinatura na Stripe e a situação do plano.

2.9 Contratos e Assinatura Digital (plano Pro)

• Dados: o contrato em PDF gerado a partir do modelo do profissional e preenchido com os dados do evento e do cliente (nome, CPF, telefone, e-mail, endereço e data do evento, valores e forma de pagamento do sinal) e com o nome e a empresa do profissional; nome e e-mail do cliente e do profissional como signatários; e a situação das assinaturas.
• Finalidade: coletar as assinaturas digitais do cliente e do profissional e registrar se o contrato foi assinado, recusado ou expirou.
• Base legal: execução de contrato (art. 7º, V) quanto aos dados do profissional. Quanto aos dados do cliente do profissional, a agentto atua como operador e envia o contrato por instrução do profissional, conforme o item 2.3.

O PDF do contrato é gerado pela Adobe a partir do modelo em Word do profissional, e a assinatura digital é feita pela Assinafy (item 3). Antes do envio, o profissional pode gerar uma prévia do contrato, guardada por até 24 horas e apagada no envio. O prazo de guarda dos contratos está no item 7.

2.10 Origem do Cadastro

• Dados: o canal pelo qual você chegou à agentto, registrado automaticamente quando você acessa o site ou a plataforma: os parâmetros de campanha do link (por exemplo, utm_source=instagram), o domínio do site de onde você veio (por exemplo, instagram.com ou google.com, sem o endereço da página) e a indicação de que o link veio de um clique identificado pelo Google ou pela Meta (sem guardar o identificador do clique). Também perguntamos, ao concluir o cadastro na plataforma, como você conheceu a agentto.
• Finalidade: saber quais canais trazem novos usuários e quais deles levam à assinatura do plano Pro, para decidir onde divulgar a agentto. A informação é vista de forma agregada, por canal, no painel interno da agentto, e não é compartilhada com terceiros.
• Base legal: legítimo interesse do controlador (art. 7º, IX), considerando que o tratamento é mínimo e esperado: não identifica você fora da agentto, não cria perfil da sua navegação e não é usado para publicidade.

No site, o canal de chegada fica guardado apenas durante a visita, no sessionStorage do navegador (chave agentto_origem), e é descartado ao fechar a aba. Ele não depende do aceite de cookies, porque não envolve nenhum recurso de terceiros. Se você criar uma conta, o canal passa a fazer parte do seu cadastro e é removido junto com ela.

2.11 Mensagens de Feedback

• Dados: o tipo da mensagem (relato de problema, sugestão de melhoria ou feedback) e o texto que você escrever na página de feedback da plataforma (app.agentto.com.br/feedback). Se você estiver logado, a mensagem fica ligada à sua conta e não pedimos nome nem e-mail; se não estiver, você pode informar nome e e-mail, ambos opcionais. Junto da mensagem, registramos a tela da plataforma de onde você abriu a página (sem parâmetros de busca) e a identificação do navegador e do sistema do aparelho (user-agent).
• Finalidade: responder você, investigar os problemas relatados e decidir melhorias na agentto. As mensagens são lidas apenas no painel interno da agentto e não são compartilhadas com terceiros além do armazenamento no Supabase (item 3).
• Base legal: legítimo interesse do controlador (art. 7º, IX), no atendimento a um contato que você mesmo iniciou.

Não escreva na mensagem senhas nem dados dos seus clientes: para explicar um problema, basta contar o que aconteceu.

3. Compartilhamento de Dados com Terceiros

Não vendemos nem alugamos seus dados pessoais. Os dados são compartilhados apenas com os fornecedores listados abaixo — de infraestrutura, de pagamento, de geração e assinatura digital de contratos, de monitoramento e, no caso do site institucional, de medição de campanhas e automação de marketing —, que são contratualmente obrigados a tratar os dados com segurança e apenas para as finalidades estabelecidas:

4. Transferência Internacional de Dados

Alguns de nossos fornecedores de infraestrutura têm sede nos Estados Unidos (Vercel, Sentry, Upstash, Cloudflare, Supabase, Stripe, Adobe, Meta e Google), o que implica transferência internacional de dados pessoais. Essas transferências são realizadas com as seguintes salvaguardas, conforme o art. 33 da LGPD:

• Cláusulas contratuais padrão (Standard Contractual Clauses — SCCs) reconhecidas por autoridades de proteção de dados;
• Acordos de processamento de dados (Data Processing Addenda — DPAs) firmados com cada fornecedor;
• Compromisso dos fornecedores com normas equivalentes ou superiores de proteção de dados.

Os dados de banco de dados e armazenamento de arquivos são mantidos no Brasil (região São Paulo da Supabase), minimizando as transferências internacionais de dados de conteúdo.

5. Cookies e Tecnologias de Rastreamento

5.1 Cookies Essenciais (sempre ativos na plataforma)

Utilizamos cookies de sessão gerenciados pelo Supabase Auth para manter você autenticado na plataforma (app.agentto.com.br). Esses cookies são estritamente necessários para o funcionamento do serviço e não podem ser desativados sem prejudicar a experiência de uso. Eles são gravados apenas após o login; antes da autenticação, a plataforma não grava nenhum cookie no seu navegador.

• Nome: cookies de sessão Supabase (sb-*)
• Finalidade: autenticação e manutenção de sessão
• Duração: persistentes, com validade de até 400 dias, renovados a cada acesso e removidos no logout — assim você continua conectado entre visitas sem precisar fazer login novamente
• Base legal: execução de contrato (art. 7º, V)

5.2 Cookies e Scripts Opcionais no Site Institucional (mediante consentimento)

No site institucional (agentto.com.br), exibimos um banner de cookies na primeira visita. Somente após o seu aceite, carregamos os seguintes recursos:

• Vercel Analytics e Speed Insights: métricas agregadas de navegação e desempenho, sem cookies (item 2.5).
• Meta Pixel: define os cookies _fbp e _fbc para medição de campanhas de anúncios (item 3). A plataforma não define esses cookies; ela apenas os lê, se você aceitou os cookies no site, para informar à Meta que uma conta foi criada.
• Google Ads: define cookies próprios, como _gcl_au, para medir quantas contas foram criadas a partir de cada anúncio. Ele e o Google Analytics 4 são os únicos recursos opcionais também carregados na plataforma, conforme o item 5.3.
• Google Analytics 4: define os cookies _ga e _ga_* para medir visitas e a origem do tráfego no site (item 3).
• RD Station Marketing: script de automação de marketing, que pode definir cookies próprios para identificar visitas e conversões (item 3).

Se você recusar, nenhum desses recursos é carregado e nenhum cookie é gravado no site institucional. Com ou sem aceite, o site guarda no sessionStorage apenas o canal de chegada descrito no item 2.10, descartado ao fechar a aba. Sua preferência é armazenada no localStorage do seu navegador sob a chave agentto_cookie_consent. Você pode alterá-la ou revogá-la a qualquer momento pelo link Preferências de cookies, no rodapé do site — o banner é exibido novamente e, se você recusar, os recursos opcionais deixam de ser carregados —, ou entrando em contato conosco.

5.3 Cookies na Plataforma

A plataforma (app.agentto.com.br) não exibe banner de cookies e não carrega, por iniciativa própria, nenhum recurso de analytics ou de publicidade de terceiros. Após o login, são gravados os cookies de sessão essenciais descritos no item 5.1. As ferramentas de análise de uso descritas no item 2.5 operam sem cookies, a gravação de sessão para diagnóstico de erros (item 2.7) utiliza apenas uma entrada no sessionStorage do navegador, descartada ao fechar a aba, e o canal de chegada (item 2.10) fica numa outra entrada do sessionStorage, também descartada ao fechar a aba.

Há uma única exceção, e ela depende exclusivamente da escolha que você fez no site. Se você aceitou os cookies em agentto.com.br e chegou à plataforma por um link do site, esse aceite é transportado junto com o link e a tag do Google Ads e do Google Analytics 4 (item 3) também é carregada aqui, e a plataforma lê os cookies _fbp e _fbc para que o nosso servidor informe à Meta (item 3) que uma conta foi criada, apenas para que a criação da conta possa ser medida como resultado do anúncio. Se você recusou, ou se acessou a plataforma diretamente, nada disso é carregado. A escolha fica registrada no localStorage sob a mesma chave agentto_cookie_consent e pode ser revogada pelo link Preferências de cookies, no rodapé do site.

5.4 Como gerenciar cookies

Você pode configurar seu navegador para bloquear ou alertar sobre cookies. Note que bloquear cookies essenciais impedirá o funcionamento correto da autenticação na plataforma.

6. Segurança dos Dados

Adotamos medidas técnicas e organizacionais adequadas ao risco para proteger seus dados pessoais contra acesso não autorizado, perda, alteração ou divulgação indevida, incluindo:

• Criptografia em trânsito: toda comunicação entre o seu navegador e nossos servidores usa HTTPS/TLS.
• Criptografia em repouso: dados armazenados no banco de dados e storage são criptografados pela Supabase.
• Isolamento de dados (multi-tenant): Row Level Security (RLS) ativo em todas as tabelas do Supabase — cada usuário acessa apenas seus próprios dados.
• Filtragem de dados pessoais no monitoramento: filtro próprio remove dados pessoais dos relatórios de erro antes do envio ao Sentry, e o envio de endereço IP está desativado (item 2.7).
• Rate limiting: controle de taxa de requisições para prevenir ataques de força bruta e abuso da API.
• Headers de segurança HTTP: Content Security Policy (CSP) e demais headers de segurança configurados na aplicação.
• Monitoramento de erros: via Sentry para identificação e resposta rápida a falhas.
• Controle de acesso administrativo: acesso ao painel administrativo restrito a usuários com papel ADMIN, verificado em todas as requisições.

Apesar dessas medidas, nenhum sistema é 100% seguro. Em caso de incidente de segurança que possa afetar seus dados, notificaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados conforme os prazos e procedimentos previstos na LGPD.

7. Prazo de Retenção dos Dados

Mantemos seus dados pessoais pelo período necessário para as finalidades descritas nesta política ou conforme exigido por lei:

• Dados de conta e perfil (incluindo a origem do cadastro, item 2.10): mantidos enquanto a conta estiver ativa. Após a exclusão da conta, removidos em até 30 dias dos nossos sistemas, ressalvados os casos abaixo.
• Dados de eventos e financeiros: mantidos enquanto a conta estiver ativa. Removidos junto com a conta.
• Mensagens de feedback (item 2.11): mantidas enquanto forem úteis para o atendimento e para a melhoria da agentto. As enviadas com conta são removidas junto com ela; as enviadas sem conta podem ser removidas a qualquer momento, a seu pedido, pelo canal descrito no item 8.
• Foto de perfil: removida do Supabase Storage em até 30 dias após a exclusão da conta ou da foto.
• Logs de segurança (IPs para rate limiting): retidos por no máximo 5 minutos no Upstash Redis (janelas temporárias).
• Dados de monitoramento de erros e gravações de sessão (Sentry): retidos por até 90 dias, conforme o plano contratado junto ao Sentry.
• Dados de analytics (Vercel): retidos por 30 dias conforme política da Vercel Analytics.
• Contratos (Assinafy): o documento e o registro das assinaturas ficam na Assinafy, conforme a política de retenção dela. Ao excluir um contrato ainda não assinado, a agentto solicita a remoção do documento na Assinafy; contratos já assinados e os contratos de contas excluídas permanecem lá.
• Geração do PDF dos contratos (Adobe) e prévias: os arquivos enviados à Adobe para gerar o PDF são excluídos por ela em até 24 horas. A prévia do contrato guardada pelo agentto é apagada no envio do contrato ou em até 24 horas.
• Dados de pagamento (Stripe): o cadastro de quem assinou o plano Pro, o histórico de cobranças e o motivo do cancelamento, quando informado, ficam registrados na Stripe, inclusive após a exclusão da conta na agentto, pelo prazo exigido por obrigações legais e fiscais e conforme a política de retenção da Stripe.
• Dados de marketing (RD Station) e de medição de campanhas (Meta e Google): retidos conforme as políticas de retenção desses fornecedores; você pode solicitar a eliminação a qualquer momento pelo canal descrito no item 8.
• Obrigações legais: quando a retenção por prazo maior for exigida por lei (ex.: obrigações fiscais, ordens judiciais), os dados serão mantidos pelo período legalmente exigido.

8. Seus Direitos como Titular dos Dados (LGPD, Art. 18)

A LGPD garante a você, como titular dos dados pessoais, os seguintes direitos, que podem ser exercidos a qualquer momento:

• Confirmação e acesso (art. 18, I e II): confirmar se tratamos dados seus e obter cópia dos dados que mantemos sobre você.
• Correção (art. 18, III): solicitar a correção de dados incompletos, inexatos ou desatualizados. Muitos dados podem ser corrigidos diretamente na seção "Configurações" da plataforma.
• Anonimização, bloqueio ou eliminação (art. 18, IV): solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade (art. 18, V): solicitar a transferência dos seus dados a outro fornecedor de serviço, em formato estruturado e de leitura automatizada, observados os segredos comerciais e industriais.
• Eliminação dos dados tratados com consentimento (art. 18, VI): solicitar a exclusão dos dados pessoais tratados com base no seu consentimento, como os dados coletados pelos cookies e scripts opcionais do site institucional.
• Informação sobre compartilhamento (art. 18, VII): obter informações sobre com quais entidades públicas e privadas compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir (art. 18, VIII): ser informado sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
• Revogação do consentimento (art. 18, IX): retirar o consentimento dado para tratamentos baseados nessa base legal (ex.: cookies e scripts opcionais do site institucional), sem prejuízo da licitude dos tratamentos realizados antes da revogação.
• Oposição (art. 18, § 2º): opor-se a tratamentos realizados com base em legítimo interesse, quando esses tratamentos violem seus direitos.
• Petição à ANPD: apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) se entender que seus direitos foram violados.

Como exercer seus direitos

Para exercer qualquer dos direitos acima, entre em contato pelo e-mail [email protected] com o assunto "Direitos LGPD" e descreva sua solicitação. Responderemos em até 15 dias úteis, conforme prazo razoável estabelecido pela LGPD. Podemos solicitar confirmação de identidade antes de processar a solicitação.

9. Dados de Menores de Idade

A agentto é destinado exclusivamente a profissionais maiores de 18 anos. Não coletamos intencionalmente dados pessoais de menores de idade. Caso tome conhecimento de que coletamos dados de menores sem o consentimento adequado, removeremos esses dados imediatamente. Se você acredita que isso ocorreu, entre em contato pelo e-mail [email protected].

10. Alterações a esta Política

Podemos atualizar esta Política de Privacidade periodicamente para refletir mudanças em nossas práticas, novas funcionalidades ou alterações na legislação. Quando realizarmos mudanças significativas, notificaremos você por e-mail (no endereço cadastrado) ou através de aviso destacado na plataforma, com pelo menos 15 dias de antecedência. A data da última atualização é sempre indicada no topo deste documento.

O uso continuado da plataforma após a vigência das alterações implica aceitação da versão atualizada. Se você não concordar com as mudanças, poderá encerrar sua conta conforme descrito nos Termos de Uso.

11. Encarregado de Dados (DPO)

Nos termos do art. 41 da LGPD, a agentto designa como encarregado pelo tratamento de dados pessoais o responsável pelo canal de contato abaixo, que é o ponto de comunicação entre a agentto, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

• E-mail: [email protected]
• Endereço postal: Rua Visconde de Pirajá, 414, Ipanema, Rio de Janeiro — RJ, CEP 22410-003

12. Lei Aplicável

Esta Política de Privacidade é regida pela legislação brasileira, especialmente pela Lei nº 13.709/2018 (LGPD) e pelo Código de Defesa do Consumidor (Lei nº 8.078/1990). Quaisquer disputas relacionadas ao tratamento de dados serão submetidas ao foro da Comarca do Rio de Janeiro/RJ, sem prejuízo do direito do titular de apresentar reclamação diretamente à ANPD.