Como cuidamos dos seus dados.

1. Quem somos

A Natos é uma marca operada por Pedro Perandre Rapp, MEI, inscrito no CNPJ sob o nº 66.604.887/0001-35, sediado em Curitiba/PR.

Esta Política de Privacidade descreve como a Natos coleta, usa, armazena, compartilha e protege os dados pessoais que você nos fornece ao contratar nossos serviços ou ao interagir com bots de atendimento operados por nossos clientes.

2. A quem se aplica

Esta política se aplica a duas categorias de pessoas:

• Clientes contratantes: empresas que contratam a Natos para operar bots de atendimento.
• Clientes finais: pessoas que interagem com bots Natos operados por nossos clientes (ex: alguém que manda mensagem no WhatsApp de uma advocacia que usa Natos).

3. Quais dados coletamos

Dependendo do uso, coletamos:

• Dados de identificação: nome, telefone, e-mail, CPF, idade.
• Dados de comunicação: conteúdo de mensagens, áudios, fotos e documentos enviados ao bot.
• Dados sensíveis (quando aplicável ao nicho do cliente contratante): informações de saúde, financeiras ou outras categorias especiais previstas no Art. 11 da LGPD.
• Dados técnicos: endereço IP, identificadores de conversa, registros de log e métricas de uso.

4. Para que usamos

Usamos seus dados para:

• Operar e melhorar o serviço de atendimento contratado.
• Qualificar o atendimento, gerar briefing ao operador humano e tomar decisões automatizadas no contexto da conversa.
• Aprender com a equipe humana do cliente para melhorar respostas futuras (modo espectador).
• Cumprir obrigações legais e regulatórias.

Base legal: execução de contrato (Art. 7º, V) e, para dados sensíveis, consentimento específico da pessoa (Art. 11, I).

5. Com quem compartilhamos

A Natos utiliza serviços de terceiros para processar dados. Esses sub-operadores estão contratualmente obrigados a proteger seus dados:

• Anthropic (EUA) — processamento de texto via Claude. Opt-out de treinamento ativado.
• Google (EUA) — processamento de texto e imagem via Gemini. Opt-out de treinamento ativado.
• Groq (EUA) — transcrição de áudio via Whisper.
• Supabase (Brasil, São Paulo) — armazenamento de dados em banco PostgreSQL.
• Cloudflare (global) — entrega de conteúdo e proteção contra ataques.
• Evolution API — integração com WhatsApp Business.

Quando há transferência internacional de dados, ela ocorre com base no Art. 33 da LGPD (cláusulas contratuais de proteção, padrões internacionais de segurança equivalentes).

5.1 Dados das contas Google que você conecta

Esta seção vale quando o cliente contratante conecta uma conta Google (Agenda, Gmail ou Drive) no painel da Natos. Enquanto ele não conecta, a Natos não acessa nenhum dado da conta Google dele.

• O que acessamos: só o que você autoriza na tela do próprio Google. Na Agenda, ver, criar e alterar os eventos que você pede ao assistente. No Gmail, enviar e-mail em seu nome; não lemos a sua caixa de entrada. No Drive, só os arquivos que a Natos cria ou que você escolhe.
• Para que usamos: só para fazer o que você pede ao assistente (marcar um compromisso, enviar um e-mail, salvar um documento) e para mostrar isso a você no painel. E-mail que fala com outra pessoa sai só depois do seu "ok", a menos que você mesmo deixe aquele tipo de envio automático.
• Como guardamos: a credencial de acesso fica cifrada, no banco dedicado ao seu negócio, e só o servidor que executa o assistente consegue decifrá-la. Guardamos dos seus eventos e e-mails apenas o necessário para o pedido que você fez.
• Com quem compartilhamos: o trecho necessário para responder ao seu pedido passa pelos modelos de IA listados na seção 5, sob contrato que proíbe o uso para treinamento. Nunca vendemos esses dados, nunca os usamos para publicidade e nunca os usamos para treinar modelos de IA, nossos ou de terceiros. Ninguém da Natos lê esse conteúdo, salvo a seu pedido, por segurança ou por obrigação legal.
• Como desconectar: pelo botão "Desconectar" no painel ou em myaccount.google.com/permissions. A credencial é apagada na hora; fica só o registro de que a conexão existiu.

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Natos's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6. Quanto tempo guardamos

• Conversas e dados de qualificação: pelo tempo de duração da relação contratual entre o cliente contratante e a Natos. Após o término, anonimizamos em até 90 dias.
• Mídia (áudios, fotos, documentos): 12 meses, salvo solicitação de prazo diferente do cliente contratante.
• Logs técnicos: 90 dias.
• Auditoria de eliminação (forget-lead): 5 anos, conforme dever legal de demonstrar conformidade.

7. Seus direitos

Você tem direito a:

• Confirmar se tratamos seus dados.
• Acessar os dados que temos sobre você.
• Corrigir dados incompletos ou desatualizados.
• Eliminar seus dados (direito ao esquecimento).
• Portar seus dados a outro fornecedor.
• Revogar o consentimento a qualquer tempo.
• Reclamar à ANPD (Autoridade Nacional de Proteção de Dados).

Para exercer qualquer direito, escreva para pedrorapp04@gmail.com com o assunto "Direito LGPD". Respondemos em até 15 dias úteis.

8. Como protegemos

Aplicamos medidas técnicas e organizacionais incluindo:

• Criptografia TLS 1.3 em trânsito.
• Criptografia em repouso no Supabase (volume criptografado).
• Acesso por autenticação multifator nos painéis internos.
• Logs de acesso e auditoria de operações sensíveis.
• Redação de informações pessoais identificáveis em logs operacionais.
• Plano de resposta a incidentes documentado.

9. Encarregado de Dados (DPO)

Pedro Perandre Rapp exerce o papel de Encarregado de Tratamento de Dados Pessoais (DPO/Encarregado), responsável por:

• Receber comunicações de titulares de dados.
• Receber comunicações da ANPD.
• Orientar a empresa sobre conformidade LGPD.

Contato: pedrorapp04@gmail.com.

10. Incidentes de segurança

Caso ocorra um incidente que possa acarretar risco aos titulares, comunicaremos:

• O cliente contratante em até 24 horas.
• A ANPD em até 72 horas (Art. 48 da LGPD).
• Os titulares afetados quando exigido pela gravidade do incidente.

11. Atualizações

Esta política pode ser atualizada. Mudanças relevantes serão comunicadas com 30 dias de antecedência por e-mail aos clientes contratantes e refletidas neste mesmo endereço. A data de última atualização sempre fica no topo da página.

12. Lei aplicável

Esta política rege-se pela legislação brasileira, em especial pela Lei nº 13.709/2018 (LGPD). Eventuais disputas serão dirimidas no foro da Comarca de Curitiba/PR.