Rascunho — revisão jurídica pendente.
Política de Privacidade do X$even Advisor
RASCUNHO — revisão jurídica pendente. Versão 2026-10-30.
1. Quem controla os dados
- Dados dos profissionais (cadastro, login, registros de acesso) e contatos comerciais: a Voolgotech Tecnologia Ltda, CNPJ 67.510.984/0001-21, Rua Guararapes, 136, Limeira/SP, CEP 13480-405, é a controladora.
- Dados dos clientes e dos leads dos escritórios: o escritório é o controlador e a Voolgotech é operadora, tratando os dados só para prestar o serviço, conforme o Acordo de Tratamento de Dados. Se você é cliente de um escritório, fale primeiro com ele para exercer seus direitos.
O X$even Advisor é independente e não tem vínculo com corretoras, bancos ou outras instituições financeiras.
2. Encarregado (DPO)
Thiago Valencia — contato@voolgotech.com.
3. Dados tratados
- Profissionais: nome, e-mail, senha (guardada pelo provedor de autenticação, nunca em texto), fatores de 2FA, papel no escritório, código de assessor, registros de acesso (IP, data e hora).
- Clientes dos escritórios: cadastro (nome, CPF/CNPJ, contatos, data de nascimento), perfil de investidor, carteira e posições, documentos e PDFs enviados, mensagens de WhatsApp enviadas e recebidas, anotações e tarefas da equipe.
- Leads da prospecção: dados de empresas e sócios de fontes públicas ou de fornecedores de dados contratados pelo escritório, planilhas importadas (com a origem declarada), e-mails trocados.
- Quem comenta nos posts do Instagram do profissional: @ e identificador do Instagram, o comentário e, se o post tiver um gatilho por palavra-chave, a mensagem privada enviada e a conversa no Direct.
- Compras de créditos: pacote, valor, situação do pagamento e o identificador da cobrança no provedor de pagamento (Asaas). CPF/CNPJ e dados de cartão vão direto ao Asaas e não ficam conosco.
- Logs técnicos do servidor e da aplicação.
4. Finalidades e bases legais
| Tratamento | Base legal |
|---|---|
| Cadastro, carteira, perfil, relatórios dos clientes | execução de contrato e cumprimento de obrigação legal/regulatória (art. 7º, II e V) — decisão do escritório |
| Guarda de 5 anos de comunicações, perfis e auditoria | obrigação legal/regulatória (art. 7º, II; art. 16, I) |
| Listas de transmissão no WhatsApp | consentimento do contato (art. 7º, I) |
| Relatórios pelo WhatsApp | execução de contrato, com opt-in registrado do cliente (regra da Meta) |
| Leitura de PDF por IA | execução de contrato, com transferência internacional (seção 6) |
| Prospecção de empresas e sócios | legítimo interesse do escritório (art. 7º, IX), com teste de legítimo interesse |
| Mensagem privada a quem comentou a palavra-chave e contato no funil | a pessoa pediu o contato ao comentar (procedimentos preliminares a pedido do titular, art. 7º, V); pode sair a qualquer momento respondendo SAIR |
| Geração de imagens e vídeos por IA para posts | execução de contrato (o profissional descreve o post; não enviamos dados de clientes) |
| Cobrança dos créditos | execução de contrato e obrigação fiscal (art. 7º, II e V) |
| Registros de acesso por 6 meses | obrigação legal (Marco Civil da Internet, art. 15) |
| Segurança da conta (2FA, auditoria) | legítimo interesse e obrigação de segurança (art. 46) |
5. Compartilhamento
Usamos os fornecedores listados na página Suboperadores (Supabase, Anthropic, Google, Meta, Microsoft, Casa dos Dados, Lemit, Asaas, Postmark, Locaweb). Quando um profissional conecta um assistente externo (Claude, ChatGPT), os dados que ele consultar vão ao fornecedor desse assistente, conforme os termos que o profissional aceitou com ele.
Integrações escolhidas pelo escritório. Se o escritório (controlador) conectar um CRM (HubSpot, Pipedrive, RD Station CRM) ou cadastrar um webhook (por exemplo Zapier ou Make), o sistema transmite a esse destino, por ordem do escritório, só os dados necessários: nome, e-mail, telefone, cidade/UF, empresa, status ou etapa do funil, origem, responsável e o registro de eventos (por exemplo "resposta recebida no WhatsApp em 30/10", "tarefa concluída", "reunião marcada"). Não enviamos CPF, observações internas, remuneração, objetivos, carteira nem o texto das mensagens. O destino é escolhido e contratado pelo escritório e segue os termos dele; a Voolgotech só transmite. Exportações em planilha (CSV/XLSX) são feitas pelo próprio profissional e ficam registradas na trilha de auditoria. Autoridades recebem dados só mediante obrigação legal ou ordem judicial.
6. Transferência internacional
Parte dos fornecedores fica nos EUA (Anthropic, Google, Meta, Microsoft, Postmark; suporte do Supabase). Os dados do banco ficam no Brasil (região São Paulo). As transferências seguem o art. 33 da LGPD, com as cláusulas-padrão da ANPD (em formalização com os fornecedores).
7. Inteligência artificial
O leitor de PDF envia o documento inteiro (que pode conter nome, número da conta, posições e valores) à Anthropic para extrair os dados. O resumo do comparador recebe só números; o mapeamento de planilhas recebe os nomes das colunas e uma amostra mascarada. No Instagram com IA, a descrição do post vai à Anthropic (legenda e hashtags) e a descrição de cada imagem ou vídeo vai ao Google (Gemini API) para gerar a mídia; não enviamos dados de clientes, e o painel pede para não incluí-los. Imagens e vídeos gerados levam marca d'água invisível do Google (SynthID). Os dados enviados pela API não são usados para treinar modelos, conforme os termos comerciais do fornecedor, que os retém pelo prazo previsto nesses termos. Todo resultado da IA é revisado por uma pessoa antes de chegar ao cliente. O perfil de investidor é calculado por regra fixa a partir das respostas; o profissional explica o critério e pode revisá-lo (art. 20).
8. Retenção
| Dado | Prazo |
|---|---|
| PDFs enviados para leitura (caixa de entrada) | 7 a 365 dias, padrão 30, escolhido pelo escritório |
| Cadastro e carteira dos clientes | enquanto o escritório mantiver o cliente |
| Arquivo de comunicações, PDFs enviados, perfis de investidor, trilha de auditoria | 5 anos, inclusive após exclusão |
| Leads descartados | 30 a 730 dias, padrão 180 |
| Lista "não contatar" (só o hash) | enquanto necessário para respeitar a oposição |
| Registros de acesso (IP, data e hora) | 6 meses, depois apagados automaticamente |
| Fila e registro de envios a CRMs/webhooks (eventos e entregas) | 30 dias, depois apagados automaticamente |
| Registro dos envios dos gatilhos do Instagram (quem, palavra, situação) | 180 dias; a mensagem em si fica no arquivo de comunicações (5 anos) |
| Avisos do painel já lidos | 90 dias |
| Compras de créditos e lançamentos (ledger) | 5 anos (obrigação fiscal e contábil) |
| Conta excluída | apagada em até 30 dias após o pedido |
9. Seus direitos
Você pode pedir confirmação, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, revogação do consentimento, oposição e revisão de decisões automatizadas (arts. 18 e 20). Profissionais: pelo painel ou pelo encarregado. Clientes e leads: pelo escritório (controlador); a Voolgotech ajuda o escritório a responder. Prazo de resposta: até 15 dias.
10. Segurança
Dados no Brasil, criptografia em trânsito e em repouso, isolamento por escritório no banco, 2FA obrigatório para os profissionais, confirmação do código em ações sensíveis, segredos em cofre, trilha de auditoria e registros de acesso. Resumo em Segurança.
11. Cookies
Usamos só armazenamento estritamente necessário. Veja a Política de Cookies.
12. Crianças e adolescentes
O painel não é destinado a menores. Dados de menores só entram como clientes de escritórios, com o responsável legal.
13. Incidentes
Se houver incidente de segurança com risco relevante, a Voolgotech avisa o escritório em até 24 horas do conhecimento e o apoia nas comunicações à ANPD e aos titulares (prazo de 3 dias úteis).
14. Alterações
Mudanças serão publicadas aqui com nova versão e data; alterações relevantes pedem novo aceite.
Voolgotech Tecnologia Ltda · CNPJ 67.510.984/0001-21 · Rua Guararapes, 136, Limeira/SP, CEP 13480-405