Política de privacidade

Versão 2026-10-26 · publicada em 26/10/2026

Sobre este rascunho

Esta é a versão de trabalho da política de privacidade da Phoebe, ainda não publicada. A revisão do advogado, as escolhas de provedores e a data real de publicação estão pendentes com o fundador.

Dados e finalidades

A Phoebe usa mensagens, transcrições, contas, lembretes e fatos que você fornece para atender seus pedidos. Agenda e Gmail só são acessados quando você conecta o Google. O corpo dos e-mails do Gmail não é persistido; ficam os campos extraídos com a origem. O corpo do e-mail encaminhado fica no payload apenas até o processamento, quando é substituído por um esqueleto sem conteúdo. Dados derivados do Google são apagados na desconexão.

Não treinamos modelos com dados do usuário. O uso de transcrições para melhoria do produto depende de opt-in separado, específico e desligado por padrão. Não vendemos dados nem criamos perfis inferidos de comportamento ou dossiês de terceiros. A localização enviada serve apenas para a busca em andamento e não é guardada como fato ou histórico.

Bases legais e consentimentos

O serviço usa a execução de contrato (LGPD, art. 7, V). Segurança e antifraude usam legítimo interesse (art. 7, IX), com teste de balanceamento documentado. Open Finance depende de consentimento. Dados sensíveis incidentais da agenda e do e-mail dependem de consentimento específico e destacado (art. 11, I), separado na conexão do Google. Você pode revogar cada consentimento pela web em https://app.phoebeai.com.br/privacidade.

Google

O uso de dados recebidos das APIs do Google segue a Google API Services User Data Policy, incluindo os requisitos de Limited Use; não usamos esses dados para treinar modelos de IA.

Subprocessadores

• Anthropic: modelos; EUA; mecanismo de transferência pendente de validação pelo advogado: cláusula-padrão da ANPD no contrato ou art. 33, IX.
• Meta (WhatsApp Cloud API): canal; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Google: agenda e Gmail, a seu pedido; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Supabase: banco, Auth e Storage; Brasil, sa-east-1; sem transferência internacional nesta contratação prevista.
• Railway: hospedagem do web, worker e watchdog; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• ITP: iniciação de Pix; Brasil; escolha nominal pendente com o fundador; sem contrato e sem provedor real configurado.
• Provedor de transcrição: OpenRouter (EUA), encaminhando ao modelo Whisper (OpenAI) em provedor sem retenção; áudio para texto; só rotas sem retenção de dados e sem uso para treino; o áudio vai sem identificador do usuário; DPA a confirmar; mecanismo de transferência pendente com o advogado.
• Postmark Inbound: endereço de encaminhamento; EUA, a confirmar no DPA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Serper (resultados do Google): busca web e de preços; só o texto da consulta, sem identificador do usuário; EUA, a confirmar nos termos da API; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Mercado Livre: busca pública de preços, sem parâmetro de afiliado; só o texto da consulta, sem identificador do usuário; país e mecanismo de transferência, se fora do Brasil, pendentes com o fundador e o advogado.
• Google Places: busca de estabelecimentos, com a consulta e, se enviada, a localização da busca; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Resend (e-mail) e ntfy (push): alertas ao operador sem conteúdo de usuário; EUA para Resend e país da instância ntfy pendente com o fundador; mecanismo de transferência pendente de validação pelo advogado.

O fundador fecha cada escolha e confirmação antes da versão revisada pelo advogado. A troca de provedor exige atualizar esta lista antes de o novo provedor receber dados do usuário.

Retenção

• Mensagens: texto e transcrição por 90 dias; as derivadas de e-mail são apagadas na desconexão do Google.
• Mídia: imagens e PDFs por 30 dias; documento de identidade é apagado após extrair tipo e validade; áudio é apagado após a transcrição, salvo orientação contrária do advogado.
• Payload: texto do WhatsApp, corpo do e-mail encaminhado e eventos do ITP até o estado terminal; em dead_letter, até 7 dias; o esqueleto sem conteúdo fica 30 dias.
• Extrações: 24 h, com expurgo diário; permanecem apenas os campos copiados para contas ou fatos.
• Turnos: 90 dias, só metadados e referências por ID.
• Confirmações pendentes: 24 h, com expurgo diário.
• Desfazer: validade de 24 h e expurgo diário 1 dia depois; o snapshot de agenda só serve para desfazer.
• Links web: até a expiração, de 10 min a 24 h; links de aprovação até a validade dela; expurgo diário 1 dia depois. Só o hash do token é guardado.
• Jobs encerrados: 30 dias, com payload só de IDs.
• Respostas anônimas: 30 dias, só respostas fixas para quem não é usuário.
• Aprovações: Pix por 5 anos; e-mail e agenda por 1 ano.
• Vínculos Google e Pix: metadados enquanto a conta existir, sem segredo depois da revogação ou expiração. Segredos do Google são destruídos na revogação. O segredo do vínculo Pix é destruído 2 dias depois de revogado, expirado ou falho, com confirmação desse estado pelo ITP; nunca enquanto o banco o informar ativo ou pendente. Na exclusão da conta, o segredo é destruído pelo fluxo de exclusão.
• Logins dos sites no navegador da Phoebe: cookies e dados de sessão dos sites em que o navegador entrou a seu pedido ficam guardados cifrados pela Phoebe, sem prazo, até você pedir para apagar (pelo WhatsApp ou pela web, todos ou por site) ou excluir a conta; o provedor do navegador (Steel, EUA) não grava a sessão nem guarda os logins entre sessões; dele ficam só dados técnicos de uso (duração da sessão e volume de dados), por até 7 dias.
• Chamados: 1 ano.
• Notas sobre a Phoebe: de tempos em tempos a Phoebe pergunta como está sendo; a nota (Boa, Média ou Ruim) e o comentário opcional vão à equipe identificados só por um apelido, sem seu telefone (o comentário vai como você escreveu); o texto do comentário é apagado em 90 dias; a nota fica enquanto a conta existir, sai na exclusão da conta e entra na exportação.
• Lista de espera: até o aceite do convite ou 6 meses; apagada a pedido pelo contato desta política.
• Registros de acesso: 6 meses, segregados e com acesso restrito; na web, IP, porta, data e hora; no WhatsApp, identificador do número, data, hora e ID da mensagem.
• Trilha de pagamentos: 5 anos, incluindo aprovações de Pix, mantida após a exclusão para exercício regular de direitos, bloqueada e segregada até o expurgo; referência CDC, art. 27 e LGPD, art. 7, VI e art. 16, a validar com o advogado.
• Consentimentos: 5 anos, como prova do consentimento.
• Demais auditorias: 1 ano.
• Eventos de uso: 1 ano; na exclusão da conta, são somados sem identificador do usuário e os registros individuais são apagados.

Apagar a conta elimina os dados, exceto os registros sob guarda legal, que ficam bloqueados e segregados até o fim do prazo e são expurgados depois. Os prazos e fundamentos finais dependem de revisão pelo advogado.

Segurança e acesso da equipe

Segredos são cifrados, os arquivos ficam em armazenamento privado e a equipe só acessa conversas quando há chamado aberto ou incidente do usuário. Todo acesso fica registrado e visível na atividade. Não envie senha, cartão ou código no chat; o filtro mascara esses dados antes do modelo e da gravação.

Encarregado

Renan Oliveira, fundador.

Contato: suporte@phoebeai.com.br.

Pedidos do titular são respondidos em até 15 dias, pelo e-mail do encarregado ou pela web em https://app.phoebeai.com.br/privacidade. Você pode ver, corrigir e apagar fatos, exportar dados, apagar a conta e revogar cada consentimento.