Política de Privacidade
LGPD · Set 2026.

A consultor.app é a controladora dos dados pessoais dos Usuários da plataforma, nos termos do Art. 5º, VI da LGPD (Lei nº 13.709/2018).

Em relação aos dados pessoais dos clientes dos Usuários processados dentro da plataforma: o Usuário atua como controlador e a consultor.app atua como operadora, nos termos do Art. 5º, VII e Art. 39 da LGPD. O Usuário é responsável por definir as finalidades e bases legais para esse tratamento.

Fornecidos pelo titular:

• Nome completo e endereço de email
• Senha — armazenada exclusivamente como hash bcrypt; nunca em texto claro, nunca acessível por nenhum funcionário da Operadora
• Perfil profissional (área de atuação, bio, foto)
• Conteúdo criado na plataforma: metodologias, histórico de conversas com o agente, base de conhecimento, documentos e dados de clientes
• Dados de pagamento — processados diretamente pelo Stripe; a consultor.app não armazena números de cartão, CVV ou dados bancários

Coletados automaticamente:

• Endereço IP e geolocalização aproximada (nível de cidade)
• Identificadores de dispositivo e navegador (user-agent, resolução)
• Logs de acesso e uso da plataforma (páginas, ações, timestamps)
• Cookies essenciais e analíticos (detalhados na Seção 9)

De integrações autorizadas pelo Usuário:

• Google Workspace: eventos do Calendar, arquivos do Drive e links do Meet compartilhados pelo Usuário
• Slack: mensagens e canais autorizados pelo Usuário
• Notion: páginas e bases de dados autorizadas pelo Usuário

Quando o Usuário conecta a conta Google, a consultor.app solicita acesso somente aos escopos abaixo, e somente depois de o Usuário autorizar na tela de consentimento do Google. Sem essa autorização, nenhum dado do Google é lido.

Dados acessados e finalidade:

• Endereço de email da conta Google — identificar o Usuário e permitir o login
• Google Calendar (calendar.events, calendar.events.freebusy) — consultar horários livres e ler eventos, e criar, atualizar ou cancelar eventos e links do Meet para reuniões e agendamentos que o próprio Usuário pede na plataforma
• Google Drive (drive.file, drive.readonly, drive.metadata.readonly e, na integração de reuniões e fluxos de trabalho, drive) — listar e ler arquivos e pastas que o Usuário escolhe vincular a um projeto, e criar ou compartilhar arquivos em pastas que o Usuário indica, para que ele os consulte, organize e use como contexto do agente dentro da plataforma

Como usamos e protegemos:

• Usamos os dados do Google apenas para fornecer e melhorar as funcionalidades voltadas ao Usuário descritas acima
• Não vendemos dados do Google, não os usamos para publicidade e não os transferimos a terceiros, exceto quando necessário para prestar a funcionalidade solicitada, cumprir a lei ou com o consentimento do Usuário
• Não usamos dados do Google para desenvolver, melhorar ou treinar modelos de inteligência artificial ou aprendizado de máquina de uso geral
• Nenhuma pessoa da consultor.app lê dados do Google do Usuário, salvo com consentimento expresso, por segurança, para cumprir obrigação legal ou por exigência de suporte solicitado pelo próprio Usuário
• Os tokens de acesso ficam armazenados de forma criptografada e só são usados no servidor

Retenção, revogação e exclusão:

• O Usuário pode desconectar a conta Google a qualquer momento em Configurações → Integrações. Ao desconectar, revogamos o token junto ao Google e apagamos a conexão e os vínculos associados
• O acesso também pode ser removido em myaccount.google.com/permissions
• Para pedir a exclusão dos dados obtidos do Google, escreva para o contato indicado na Seção 1

O uso e a transferência, pela consultor.app, de informações recebidas das APIs do Google para qualquer outro app seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use). The use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Bases legais LGPD Art. 7º

Os dados são compartilhados apenas com os fornecedores necessários para operar a plataforma, listados abaixo. Fornecedores marcados como "quando configurado" só recebem dados se o próprio Usuário ativar essa integração no workspace.

Fornecedores autorizados

Nenhum dado pessoal é vendido, alugado ou compartilhado com terceiros para fins de marketing, publicidade ou qualquer finalidade não descrita nesta Política.

Parte dos fornecedores listados na Seção 4 processa dados fora do Brasil: a maioria nos Estados Unidos (por exemplo, Vercel, OpenAI, Google, Meta e Stripe) e os modelos de IA DeepSeek e Alibaba (Qwen) na China. Essas transferências internacionais buscam se apoiar em mecanismos reconhecidos pela LGPD, como Cláusulas Contratuais Padrão, quando oferecidas pelo fornecedor.

Não há hoje opção de residência de dados restrita a uma única região geográfica. Dúvidas sobre um fornecedor específico podem ser enviadas ao DPO.

O titular dos dados pessoais tem os seguintes direitos, exercíveis a qualquer momento e sem custo:

Seus direitos como titular

Para exercer qualquer desses direitos, envie solicitação para privacidade@consultor.app. O prazo de resposta é de até 15 dias corridos; a maioria das solicitações é atendida em até 72 horas.

• Conta ativa: dados mantidos enquanto o contrato estiver vigente
• Após cancelamento: 30 dias para exportação pelo Usuário; destruição segura em até 30 dias adicionais, incluindo backups
• Logs de segurança: retidos por 90 dias para fins de auditoria e resposta a incidentes
• Obrigações legais: dados fiscais, contratuais e registros exigidos por lei são retidos pelo prazo legal aplicável, no mínimo 5 anos (Código Civil, Art. 206)

Medidas técnicas e organizacionais implementadas:

• Criptografia em trânsito (TLS) em todas as conexões
• Criptografia em repouso oferecida pelo provedor de banco de dados
• Row Level Security (RLS) no Postgres — isolamento por workspace
• RBAC com papéis de acesso e princípio do menor privilégio
• Aprovação humana obrigatória (human-in-the-loop) antes de qualquer ação irreversível do agente de IA
• Trilha de auditoria das ações executadas pelo agente de IA

Para relatar vulnerabilidades de segurança: security@consultor.app (programa de divulgação responsável).

Essenciais: necessários para autenticação, segurança de sessão e funcionamento básico da plataforma. Não podem ser desativados sem comprometer o serviço.

Analíticos: coletam dados agregados e anônimos sobre uso da plataforma para melhoria do produto. Opt-out disponível nas configurações da conta.

A consultor.app não utiliza cookies de rastreamento para fins publicitários nem compartilha dados de navegação com redes de anúncios.

O serviço não é direcionado a pessoas menores de 18 anos e não coleta intencionalmente dados pessoais de menores. Caso a Operadora identifique que dados de um menor foram coletados sem o consentimento do responsável legal, esses dados serão eliminados imediatamente. Para reportar essa situação: privacidade@consultor.app.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a consultor.app notificará a ANPD e os titulares afetados em até 72 horas da confirmação do incidente, conforme Art. 48 da LGPD.

A notificação incluirá:

• Natureza e categoria dos dados pessoais afetados
• Número estimado de titulares envolvidos
• Medidas técnicas e organizacionais adotadas para mitigar os efeitos
• Dados de contato do DPO: dpo@consultor.app

Alterações significativas nesta Política serão notificadas por email com no mínimo 15 dias de antecedência em relação à data de vigência. A versão anterior ficará disponível mediante solicitação ao DPO.

O uso continuado da plataforma após a data de vigência das alterações constitui aceitação da nova Política. Caso o Usuário não concorde, poderá cancelar a conta sem penalidade antes da data de vigência.