Política de Privacidade

1. Quem somos

KryAI ("nós", "nosso", "plataforma") é um serviço de atendimento e gestão comercial via WhatsApp operado por RL Digital ("controlador"), CNPJ a ser informado, com sede no Brasil. Esta política descreve como tratamos dados pessoais coletados através do site kryai.com.br e da aplicação em app.kryai.com.br.

Estamos em compliance com a Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 (LGPD), com o GDPR (Regulamento Geral de Proteção de Dados da União Europeia), e com as políticas das APIs do Google e Meta que utilizamos.

2. Dados que coletamos

2.1. Dados de cadastro

Quando você cria uma conta na KryAI, coletamos: nome completo, e-mail, telefone, nome da empresa, CNPJ (opcional), e dados de pagamento (processados via gateway terceiro — não armazenamos números de cartão).

2.2. Dados de operação

Para que a plataforma funcione, processamos: conversas do WhatsApp e outros canais conectados, contatos do seu CRM, leads, clientes, compromissos da agenda, registros financeiros, configurações de agentes IA e arquivos da base de conhecimento que você sobe.

2.3. Dados de uso

Coletamos automaticamente: endereço IP, tipo de navegador, sistema operacional, páginas visitadas, ações realizadas na plataforma, timestamps e identificador de sessão. Usamos para segurança, analytics interno e melhoria do produto.

2.4. Dados de integrações de terceiros

Quando você conecta serviços externos, coletamos os dados expostos por cada API:

• WhatsApp Business (Meta Cloud API): mensagens trocadas, números de telefone dos contatos, mídias enviadas/recebidas, status de templates.
• Google Calendar: eventos, calendários acessíveis, presença (escopo limitado a calendários que você autoriza).
• Google Ads / Local Services API: leads gerados em suas campanhas LSA, dados de cobrança de leads, nome e telefone do consumidor que solicitou contato.
• OpenAI / Anthropic: conteúdo das conversas é enviado pra esses provedores conforme você configura seu agente IA. Não treinamos modelos com seus dados; os provedores podem reter por até 30 dias para auditoria de abuso (conforme política deles).

3. Como usamos os dados do Google

O uso e a transferência pela KryAI de informações recebidas de APIs do Google aderem à Google API Services User Data Policy, incluindo os requisitos de Limited Use.

Especificamente:

• Dados do Google Calendar são usados apenas para sincronizar eventos da sua agenda com a plataforma.
• Dados do Google Local Services API são usados apenas para importar leads que vieram das suas campanhas e organizá-los no CRM da KryAI.
• Não vendemos nem compartilhamos dados obtidos de APIs do Google com terceiros para fins de marketing ou análise.
• Não usamos dados do Google para treinar modelos de IA, próprios ou de terceiros.
• Tokens OAuth do Google ficam criptografados em vault gerenciado (Supabase Vault) e nunca aparecem em logs ou interfaces.
• Acesso humano aos dados do Google só ocorre: (a) com seu consentimento explícito para suporte técnico; (b) por requisito legal; ou (c) para fins agregados/anônimos de segurança.

4. Base legal para tratamento (LGPD)

Tratamos dados pessoais com base nas seguintes hipóteses do Art. 7º da LGPD:

• Execução de contrato (II): para fornecer a plataforma a você como assinante.
• Consentimento (I): quando você autoriza integrações específicas (WhatsApp, Google, etc).
• Legítimo interesse (IX): para segurança, analytics interno e melhoria do produto.
• Cumprimento de obrigação legal (II): emissão de notas fiscais, retenção de registros tributários.

5. Onde armazenamos os dados

Seus dados ficam em servidores na União Europeia (Supabase, AWS Frankfurt) e podem ser replicados em São Paulo, Brasil (AWS sa-east-1). Transferências internacionais são feitas com salvaguardas adequadas (Cláusulas Contratuais Padrão da Comissão Europeia).

Tokens, senhas e segredos são criptografados em repouso (AES-256) e em trânsito (TLS 1.2+). Acesso aos servidores é restrito por chaves SSH e revisado periodicamente.

6. Retenção de dados

• Conta ativa: mantemos todos os dados enquanto sua assinatura estiver ativa.
• Após cancelamento: dados ficam disponíveis para export por 30 dias, depois são deletados permanentemente.
• Registros tributários: notas fiscais, faturas e logs financeiros são mantidos por 5 anos (Art. 195 do CTN).
• Logs de segurança: retidos por 6 meses (Marco Civil da Internet, Art. 15).
• Backups: snapshots diários por 30 dias, depois descartados.

7. Seus direitos (LGPD Art. 18)

Você tem direito a, a qualquer momento:

• Confirmação e acesso: saber quais dados temos sobre você.
• Correção: atualizar dados incompletos ou incorretos.
• Anonimização ou eliminação: pedir que removamos seus dados.
• Portabilidade: receber seus dados em formato estruturado (JSON / CSV).
• Revogação de consentimento: desconectar integrações a qualquer momento.
• Informação sobre compartilhamento: saber com quem compartilhamos seus dados.
• Oposição: a tratamento baseado em legítimo interesse, justificando o pedido.

Para exercer qualquer direito, envie e-mail para privacidade@kryai.com.br. Respondemos em até 15 dias úteis.

8. Compartilhamento com terceiros

Compartilhamos dados somente com:

• Provedores de infra: Supabase (banco e auth), AWS (hospedagem), Cloudflare (CDN/proteção). Operam sob contratos com cláusulas de proteção de dados.
• Provedores de IA: OpenAI, Anthropic — apenas o conteúdo de mensagens que você configura pra processar via IA.
• Provedores de mensageria: Meta (WhatsApp), Evolution API — apenas o que é necessário pra enviar/receber mensagens.
• Processadores de pagamento: Stripe, MercadoPago — apenas dados de cobrança.
• Autoridades legais: quando exigido por ordem judicial ou requisição válida.

Nunca vendemos seus dados para terceiros para fins de marketing.

9. Cookies e tecnologias similares

Usamos cookies de sessão (essenciais pra login), cookies de preferência (lembrar tema escuro/claro) e analytics interno baseado em logs do servidor. Não usamos cookies de rastreamento publicitário de terceiros.

10. Segurança

• Criptografia em repouso (AES-256) e em trânsito (TLS 1.2+)
• Autenticação obrigatória via Supabase Auth com bcrypt
• Tokens OAuth e API keys de terceiros em vault gerenciado
• RLS (Row-Level Security) no banco para isolamento por organização
• Backups diários criptografados
• Monitoramento contínuo de tentativas de acesso suspeitas
• Em caso de incidente que afete dados pessoais, notificamos a ANPD e os titulares afetados em até 72h (Art. 48 LGPD)

11. Crianças e adolescentes

A KryAI é uma plataforma B2B/B2C voltada a profissionais e empresas. Não coletamos conscientemente dados de menores de 18 anos. Se você suspeita que coletamos dados de um menor, entre em contato em privacidade@kryai.com.br e removeremos.

12. Alterações nesta política

Podemos atualizar esta política periodicamente. Mudanças materiais serão comunicadas por e-mail e/ou aviso destacado dentro da plataforma com pelo menos 7 dias de antecedência. A data da última atualização sempre aparecerá no topo deste documento.

13. Encarregado de Dados (DPO) e contato

Nosso Encarregado de Dados está disponível pelo e-mail dpo@kryai.com.br.

Para outros assuntos de privacidade: privacidade@kryai.com.br.

Você também pode registrar reclamações junto à Autoridade Nacional de Proteção de Dados (ANPD).