Política de Privacidade

POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS OMNIAI (ENTERPRISE PRIVACY FRAMEWORK)

Última Atualização: 15 de abril de 2026. Escopo Jurisdicional: Global (Conformidade com LGPD - Brasil, GDPR - União Europeia e Leis Federais/Estaduais dos EUA).

A Omni Inbox.AI ("OmniAI", "Nós", "Nosso" ou "Empresa") atua como uma infraestrutura unificada de inteligência e comunicação corporativa ("Cloud Service" ou "Plataforma"). Este documento atua como a matriz governamental de privacidade da OmniAI e descreve de forma transparente e exaustiva como coletamos, processamos, armazenamos e protegemos os Dados Pessoais.

Esta Política de Privacidade reflete o Mapeamento de Fluxo de Dados (Data Flow Mapping) da nossa arquitetura e complementa as disposições contratuais estabelecidas no nosso Master Service Agreement (MSA) e no nosso Data Processing Addendum (DPA). O compromisso com a privacidade é um pilar não negociável do nosso serviço B2B, garantindo que os dados dos Clientes sejam tratados com o máximo rigor legal e técnico.-----1. PAPÉIS E RESPONSABILIDADES JURÍDICAS

A arquitetura da OmniAI atende primordialmente ao mercado Enterprise (B2B), estabelecendo uma distinção clara entre as responsabilidades do Cliente e da Plataforma.1.1. Definição de Papéis

Na grande maioria das operações de processamento:

• Nossos Clientes (Contratantes): Atuam como Controladores dos Dados Pessoais de seus respectivos usuários, consumidores, leads e funcionários. O Cliente é responsável por determinar as finalidades e os meios do processamento, incluindo a obtenção de bases legais adequadas (ex.: consentimento, legítimo interesse).
• A OmniAI: Atua estritamente como Operadora (Processor), processando os dados de acordo com as diretrizes do Cliente e os termos contratuais e técnicos definidos no nosso Data Processing Addendum (DPA).

1.2. Bases Legais de Processamento (Conforme Aplicável)

Como Operadora, a OmniAI processa dados estritamente em nome e sob as instruções do Cliente. As bases legais que sustentam o processamento da OmniAI em nome do Controlador incluem:

• Execução Contratual: O processamento é necessário para fornecer o "Cloud Service" e cumprir as obrigações estipuladas no MSA e DPA.
• Obrigação Legal: O processamento de trilhas de auditoria (logs) pode ser exigido por leis específicas (ex.: Marco Civil da Internet no Brasil).
• Legítimo Interesse da Operadora: Em casos estritamente limitados à melhoria da segurança da plataforma e prevenção de fraude, sem desviar-se das finalidades estabelecidas pelo Controlador.

2. ESFERAS DE COLETA E ENRIQUECIMENTO AUTOMÁTICO

Nossa coleta de informações é fragmentada em esferas operacionais que abastecem os módulos de negócios (Inbox, Sales, Recovery, Voice), sempre sob os princípios da necessidade, adequação e minimização de dados:

A. Interações de Mensageria e Comunicação (Omni Inbox e Omni Voice)

Capturamos metadados e o conteúdo de interações originadas através dos canais conectados à plataforma (WhatsApp/Meta, SMS, e-mails e arquivos de voz).

• Tipos de Dados: Conteúdo da mensagem, metadados de comunicação (data, hora, duração da interação), identificadores de rede (endereço IP, device ID, tipo de navegador) e, se aplicável, geolocalização aproximada do dispositivo (se compartilhada pelo Titular).
• Finalidade Exclusiva: Executar os serviços de triagem, roteamento e atendimento automatizado ou assistido.

B. Dados Analíticos e Transacionais (Omni Recovery e Finance)

Quando ativado o módulo financeiro, processamos dados atrelados a transações para fins de gestão de recebíveis e automação de cobranças.

• Tipos de Dados: Extratos PIX, fluxos de liquidação contábil, histórico de faturamento residual, informações de boleto bancário, e identificadores de pagamento criptografados (tokens). Não armazenamos números de cartão de crédito; utilizamos gateways certificados (como a Stripe, Inc.) que gerenciam a conformidade PCI-DSS.
• Método de Coleta: Via APIs de Open Finance e gateways de pagamento (como a Stripe, Inc.) devidamente autorizados.

C. Enriquecimento Corporativo Autônomo

Para mitigar riscos contratuais e qualificar transações B2B, nossa plataforma pode consultar autonomamente bases de dados de acesso público e privado.

• Tipos de Dados e Fontes: Registros de atividade, status legal, composição societária e dados fiscais (ex.: CNPJ/CPF via Receita Federal no Brasil, bases VIES na Europa). Podemos incluir verificações de sanções internacionais e listas de Pessoas Politicamente Expostas (PEPs) quando essenciais à conformidade de onboarding B2B.
• Finalidade: Qualificação de Dados Pessoais e comerciais vinculados a transações B2B e mitigação de riscos de fraude e lavagem de dinheiro.

3. GOVERNANÇA DE INTELIGÊNCIA ARTIFICIAL E PROFILING

A OmniAI extrai inteligência em larga escala (Triagem de Intenção, Micro-Targeting Automático) através de Large Language Models (LLMs) para otimizar os fluxos de comunicação do Cliente.3.1. O Princípio "Zero-Training"

Como compromisso pétreo e pilar da nossa política de "Zero-Trust AI":

• Cláusula "Zero-Training": Os dados processados pela OmniAI NÃO são utilizados para treinar, retreinar ou aprimorar os modelos de inteligência artificial de fundação (foundation models) próprios ou de terceiros, garantindo a integridade dos dados do Cliente.

3.2. Medidas de Isolamento e Contratuais

• Acordos Contratuais Rígidos: A OmniAI mantém acordos estritos e aditivos de processamento com seus provedores de nuvem cognitiva (ex.: OpenAI, Anthropic) garantindo que os inputs não sejam retidos para aprendizado de máquina global. O processamento de IA opera sempre em um ambiente de isolamento de dados (multi-tenant).
• Profilagem e Supervisão Humana: A criação de perfis (profiling) para Micro-Targeting é realizada por instruções do Controlador. Garantimos mecanismos técnicos para que decisões automatizadas que produzam efeitos legais ou significativos sobre o Titular possam ser submetidas a uma revisão humana significativa a pedido do Cliente (Art. 22 do GDPR e equivalente LGPD).

4. INVENTÁRIO DE SUB-PROCESSADORES (VENDOR CHAIN)

Para fornecer infraestrutura de alta performance e funcionalidade, a OmniAI interage com sub-operadores (vendors) regidos por acordos rigorosos de processamento de dados (DPAs) que replicam as obrigações de proteção da OmniAI:

A OmniAI realiza anualmente auditorias e revisões de segurança em todos os sub-processadores críticos para garantir a manutenção dos padrões de segurança.5. MOTORES DE RETENÇÃO E ELIMINAÇÃO (DATA LIFECYCLE)

Implementamos lógicas temporais de eliminação de dados (Data Lifecycle) geridas pelo nosso serviço de backend para anular falhas humanas, garantindo que os dados não sejam retidos desnecessariamente.

• Comunicações e Chats (Dados Transientes): Dados transientes, incluindo conteúdo de chats e arquivos de voz, podem ser submetidos a exclusão definitiva (hard-delete) dentro de ciclos configuráveis pelo Cliente (Controlador). O ciclo padrão da OmniAI é de 90 dias após o encerramento da interação, a menos que o Cliente especifique outro prazo. A exclusão definitiva é garantida pela criptografia de disco com destruição de chave após a exclusão lógica, tornando os dados irrecuperáveis, mesmo em backups.
• Trilhas de Auditoria (Logs de Segurança): Mantemos metadados para auditoria e rastreabilidade de segurança (conforme o Marco Civil da Internet e requisitos de segurança corporativa). Utilizamos processos de hashing criptográfico (SHA-256) em PIIs sensíveis (Phone, Email, IP) visando preservar o dado em formato não legível e anonimizado, retido por um período máximo de 12 meses.
• Registros Fiscais e Transacionais: Documentos fiscais e comprovantes transacionais necessários para conformidade legal (ex.: faturamento, impostos) são retidos pelo tempo estipulado pela legislação fiscal aplicável (geralmente entre 5 e 10 anos) no Brasil, nos EUA e na União Europeia.

6. SEGURANÇA TÉCNICA E CRIPTOGRAFIA

Protegemos todas as informações da plataforma através de Medidas Técnicas e Organizacionais (TOMs) agressivas, projetadas para atender ou exceder os padrões globais de segurança da informação.

7. AUTOMAÇÃO DE DIREITOS DO TITULAR (DSR - DATA SUBJECT REQUESTS)

Nossa plataforma possui um controlador nativo de solicitações (DSR Controller) que capacita nossos Clientes (Controladores) a cumprirem prontamente com todas as solicitações baseadas em direitos garantidos por lei (ex.: LGPD Art. 18; GDPR Art. 15-21).7.1. Direitos Atendidos Via Plataforma

Através do sistema, o Cliente (Controlador) pode acionar:

• Acesso e Confirmação: Confirmação da existência e acesso aos dados do titular.
• Retificação: Correção de dados incompletos, inexatos ou desatualizados.
• Portabilidade de Dados: Exportação consolidada de históricos e tabelas em formatos abertos e legíveis por máquina (JSON/CSV), de acordo com os requisitos regulatórios.
• Remoção em Cascata Absoluta: Exclusão automatizada propagada por todas as bases e coleções vinculadas à identificação do titular, exceto onde a retenção for legalmente obrigatória (ex.: registros fiscais).
• Oposição e Limitação: Opção de limitar ou se opor ao tratamento quando aplicável.

7.2. Fluxo de Solicitações Diretas

A OmniAI, atuando como Operadora, encaminhará qualquer solicitação direta de um Titular de Dados recebida pelo DPO para o Cliente correspondente (Controlador) dentro do prazo estipulado no DPA (geralmente em até 72 horas), cabendo ao Cliente a resposta final ao Titular.8. TRANSFERÊNCIAS INTERNACIONAIS

Dado o ecossistema global de tecnologia em nuvem, os dados podem ser processados e armazenados em data centers localizados nos Estados Unidos, Brasil ou Espaço Econômico Europeu (EEE).

A OmniAI compromete-se a assegurar que qualquer transferência além-fronteiras cumpra rigorosamente os mecanismos legais aplicáveis:

• Cláusulas Contratuais Padrão (SCCs): Para transferências de dados da União Europeia, utilizamos as Cláusulas Contratuais Padrão da UE (SCCs, adotadas pela Comissão Europeia) como principal mecanismo para garantir proteção equivalente à jurisdição de origem.
• Adequação Jurisdicional: Para transferências para o Brasil e outras jurisdições, baseamo-nos em garantias contratuais robustas e verificamos se o país receptor possui um nível adequado de proteção de dados, conforme as regras da LGPD (Art. 33).
• Medidas Suplementares: Implementamos medidas técnicas e organizacionais suplementares às SCCs (ex.: criptografia e anonimização), conforme exigido pela jurisprudência europeia (caso Schrems II), para proteger os dados contra acesso indevido por governos estrangeiros.

9. CONTATO CORPORATIVO E DPO (ENCARREGADO DE DADOS)

Para questionamentos de instâncias governamentais, auditorias externas, dúvidas relacionadas a esta Política, ou exercício de direitos do Titular (direcionados ao Controlador, conforme a Seção 7.2), o nosso Data Protection Officer (DPO) atua como o canal de comunicação exclusivo e dedicado:

Encarregado de Dados (Data Protection Officer - DPO):

• Nome: Departamento de Conformidade e Privacidade OmniAI
• Atendimento corporativo: operação digital; solicitações formais são recebidas pelo canal exclusivo indicado abaixo.
• Canal Exclusivo: security@omni-inbox.ai
• Compliance SLAs: Respondemos a consultas de agências reguladoras e Clientes de acordo com os marcos legais de cada jurisdição (ex.: em até 15 dias para o Brasil - LGPD e 30 dias para as regras da União Europeia - GDPR), condicionado à robusta verificação de identidade e legitimidade da solicitação.

10. MODIFICAÇÕES A ESTA POLÍTICA

A OmniAI reserva-se o direito de modificar esta Política periodicamente para refletir mudanças em nossas práticas, serviços ou requisitos legais.

• Notificação de Alterações: Notificaremos os Clientes sobre alterações materiais por e-mail ou através de avisos proeminentes na Plataforma, concedendo prazo razoável (mínimo de 30 dias) antes de sua entrada em vigor.
• Aceite: O uso continuado dos nossos serviços após a data de entrada em vigor das modificações constitui aceite expresso dos termos revisados da Política.