Política de Privacidade

Última atualização: 8 de junho de 2026

A strateg.ia ("nós", "nosso") opera o site strategia-serv.com e serviços digitais associados. Esta política descreve como coletamos, utilizamos e protegemos suas informações pessoais.

1. Dados que Coletamos

Podemos coletar os seguintes dados:

• Dados de identificação: nome, e-mail profissional e cargo, fornecidos voluntariamente ao preencher formulários ou iniciar o AI Governance Rating.
• Dados de perfil do LinkedIn: quando você interage com nosso conteúdo via LinkedIn, podemos acessar informações públicas do seu perfil (nome, headline, foto) conforme as permissões da plataforma.
• Dados de uso: páginas visitadas, tempo de sessão e interações com o AI Governance Rating, coletados via parâmetros UTM e cookies essenciais.
• Dados de pagamento: processados diretamente pelo Stripe. Não armazenamos dados de cartão de crédito em nossos servidores.
• Dados processados pela AI Agent Factory (quando aplicável): quando um cliente contrata um agente pessoal (ex.: Lunia), o agente pode processar temporariamente mensagens de texto, transcrições de áudio, metadados de chamadas (número, duração), e traços de conversa entre o cliente-contratante e seus contatos que iniciem interação com o agente. Detalhes específicos na seção 9.

2. Como Utilizamos seus Dados

• Fornecer e personalizar nossos serviços (AI Governance Rating, relatórios)
• Enviar comunicações sobre seu AI Governance Rating e resultados
• Publicar conteúdo educacional em nossas redes sociais (LinkedIn)
• Melhorar nossos serviços com base em dados agregados e anonimizados
• Cumprir obrigações legais e regulatórias

3. Compartilhamento de Dados e Processadores

Seus dados podem ser compartilhados com os seguintes processadores (operadores), todos selecionados por compatíbilidade com LGPD/GDPR e contratualizados via Cláusulas Contratuais Padrão (SCCs) quando aplicável para transferência internacional:

• Stripe (EUA) — processamento de pagamentos. PCI-DSS certificado.
• Netlify (EUA) — hospedagem do site institucional. SOC 2.
• Google Workspace (EUA) — operação interna (planilhas, e-mail administrativo).
• Anthropic (EUA) — processamento de linguagem natural (modelo Claude) pelos agentes da AI Agent Factory. Dados não são usados para treino de modelos.
• Microsoft Corporation (EUA) — integração Microsoft 365 / Microsoft Graph (Outlook, Calendar, OneDrive, Contatos) pelos agentes, quando o cliente utiliza Microsoft 365. Dados acessados apenas para operação do agente; não usados para treino.
• Twilio (EUA) — entrega de mensagens WhatsApp/SMS/voz pelos agentes. DPA público disponível em twilio.com/legal/dpa.
• Groq (EUA) — transcrição de áudio (Whisper) pelos agentes. Dados de API não são retidos além do processamento imediato.
• Supabase (hospedagem na região sa-east-1, São Paulo) — banco de dados operacional dos agentes. Dados permanecem em território brasileiro.
• Autoridades legais: quando exigido por lei, ordem judicial ou requisição da ANPD.

4. Proteção dos Dados

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

• Comunicação criptografada via HTTPS
• Acesso restrito a dados pessoais (princípio do menor privilégio)
• Processamento de pagamentos via Stripe (certificação PCI DSS)

5. Seus Direitos (LGPD)

Conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018), você tem direito a:

• Acessar seus dados pessoais que mantemos
• Corrigir dados incompletos ou inexatos
• Solicitar a exclusão de seus dados
• Revogar o consentimento a qualquer momento
• Solicitar a portabilidade dos seus dados

6. Cookies

Utilizamos apenas cookies essenciais para o funcionamento do site (preferência de idioma, sessão do AI Governance Rating). Não utilizamos cookies de rastreamento de terceiros para publicidade.

7. Retenção de Dados

Aplicamos o princípio da minimização: dados pessoais são mantidos apenas pelo tempo estritamente necessário. Política por categoria:

• Leads do AI Governance Rating: 14 dias após última interação, então arquivados/anonimizados.
• Mensagens de terceiros processadas por agentes (Lunia): 30 dias após recebimento, então excluídas automaticamente.
• Mensagens do cliente-contratante com o próprio agente: 90 dias, propósito operacional de continuidade conversacional.
• Memória episódica (resumos gerados pelo agente): 180 dias.
• Histórico de briefings diários: 90 dias.
• Logs operacionais (Pino): 30 dias, metadados técnicos apenas.
• Registros contábeis e fiscais: 5 anos, conforme legislação brasileira.

Titulares de dados podem solicitar a exclusão antecipada a qualquer momento via e-mail ao encarregado (ver seção 13).

8. Integrações com Terceiros

Nosso serviço pode interagir com as seguintes plataformas:

• LinkedIn: publicação de conteúdo educacional na Company Page da strateg.ia
• Stripe: processamento seguro de pagamentos
• Google Workspace: armazenamento operacional de dados (planilhas, e-mails)

Cada serviço possui sua própria política de privacidade, e recomendamos sua leitura.

9. Serviço AI Agent Factory (Lunia e similares)

Quando um cliente contrata um agente pessoal de IA da strateg.ia, a seguinte relação de tratamento se estabelece:

• Controlador: o cliente-contratante (pessoa física/jurídica) que contratou o agente.
• Operador: a strateg.ia, que opera a infraestrutura do agente por conta e ordem do controlador.
• Sub-operadores: os processadores listados na seção 3 (Anthropic, Microsoft, Twilio, Groq, Supabase, etc.).

Modos de operação do canal: o agente pode operar (i) em canal dedicado, com número/identidade próprios do agente (ex.: WhatsApp Business em número dedicado, bot de Telegram), no qual o terceiro contata um canal identificável como assistente digital; ou (ii) em modo Phantom, no qual o agente opera sobre o número/conta pessoal do próprio contratante, lendo e auxiliando na gestão das comunicações a ele dirigidas e respondendo como o próprio contratante. As bases legais abaixo distinguem os dois modos.

Dados tratados pelo agente:

• Conteúdo de mensagens de texto e transcrições de áudio recebidas pelo canal do agente (WhatsApp, Telegram).
• Metadados de chamadas (número de origem, duração, timestamp).
• Nomes de exibição (WhatsApp profile name) quando transmitidos pelo protocolo.
• Histórico de conversa, limitado pela política de retenção (seção 7).

Bases legais (Art. 7 LGPD):

• Interações com o próprio contratante: execução de contrato (Art. 7, V).
• Mensagens de terceiros — modo canal dedicado (WhatsApp Business em número próprio do agente, bot de Telegram, ou canal análogo identificável como assistente): legítimo interesse do contratante (Art. 7, IX). O terceiro iniciou voluntariamente a comunicação com um canal identificável como assistente digital.
• Mensagens de terceiros — modo Phantom (o agente opera sobre o número/conta pessoal do contratante): legítimo interesse do contratante (Art. 7, IX), consistente no interesse legítimo do contratante em ler, organizar, triar e responder às próprias comunicações com apoio de ferramenta tecnológica — de forma análoga ao auxílio prestado por um assistente humano que lê e encaminha mensagens dirigidas ao titular da conta. O tratamento limita-se a viabilizar que o contratante gerencie mensagens a ele dirigidas; tais mensagens não são espelhadas à strateg.ia, não são usadas para treino de modelos e seguem a retenção da seção 7. Neste modo, o terceiro pode não ter ciência de que uma ferramenta de IA auxilia o contratante; cabe ao contratante, na qualidade de Controlador, observar seus deveres de transparência (Art. 9 da LGPD) perante seus contatos quando aplicável.
• Em ambos os modos, há Avaliação de Legítimo Interesse (LIA) documentada, com teste de proporcionalidade e salvaguardas, disponível mediante solicitação ao encarregado.

Dados que o agente NÃO retransmite a terceiros:

10. Uso de APIs de Produtividade (Google Workspace e Microsoft 365)

Os agentes da AI Agent Factory (Lunia, AnnIA e similares) podem acessar dados do Google Workspace ou conta Gmail pessoal do cliente-contratante mediante consentimento explícito via fluxo OAuth 2.0 padrão Google. As APIs acessadas são:

• Gmail API — leitura de e-mails do cliente para triagem assistida e composição de rascunhos (drafts). O agente NÃO envia e-mails de forma autônoma — todas as mensagens são apresentadas como rascunho para revisão e aprovação manual do cliente.
• Google Calendar API — leitura da agenda e proposição de novos eventos. Operações de escrita (criação/edição de evento) exigem confirmação humana via canal de comunicação do agente (Telegram).
• Google People API (Contatos) — leitura e atualização de contatos do cliente, incluindo o campo "Aniversário" usado para lembretes proativos. Operações de escrita são sempre confirmadas pelo cliente antes da execução.
• Google Drive API — (a) leitura de arquivos do cliente (scope drive.readonly) para localização, busca e organização assistida; (b) criação e edição apenas dos arquivos gerados pelo próprio agente, como atas de reunião, resumos e transcrições (scope drive.file). O agente NÃO move, renomeia nem deleta arquivos preexistentes do cliente — quando uma reorganização é sugerida, o cliente executa manualmente.

Tratamento dos dados Google:

• Isolamento por cliente: cada agente roda em container Docker isolado. Dados de um cliente nunca são misturados com os de outro.
• Sem treino de IA: dados acessados via Google APIs não são utilizados para treinar, aprimorar ou avaliar modelos de IA. Servem exclusivamente à operação do agente para o respectivo cliente.
• Sem compartilhamento: dados Google não são compartilhados com terceiros não autorizados, vendidos, alugados ou usados para fins publicitários.
• Tokens OAuth: armazenados criptografados no servidor do agente. Refresh tokens são utilizados apenas para renovação automática da sessão. Revogados imediatamente quando o cliente solicita.
• Retenção: dados Google em cache local do agente seguem a mesma política da seção 7. Tokens são deletados em até 24h após revogação ou término do contrato.

Como revogar o acesso:

O cliente pode revogar o acesso do agente Strategia aos dados Google a qualquer momento via:

• Painel Google: myaccount.google.com/permissions → encontrar "Strategia Smart Agents" → "Remover acesso".
• Solicitação ao DPO: e-mail ao encarregado (seção 14) — exclusão dos tokens e dados em até 48h úteis.

Microsoft 365 / Microsoft Graph (Outlook, Calendar, OneDrive, Contatos):

Quando o cliente-contratante utiliza Microsoft 365, os agentes da AI Agent Factory podem acessar dados do tenant corporativo ou conta Microsoft do cliente mediante consentimento explícito via fluxo OAuth 2.0 / Microsoft Entra ID. As APIs (Microsoft Graph) acessadas são:

• Outlook Mail — leitura de e-mails para triagem assistida e composição de rascunhos. O agente NÃO envia e-mails de forma autônoma — todas as mensagens são apresentadas como rascunho para revisão e aprovação manual do cliente.
• Outlook Calendar — leitura da agenda e proposição de eventos. Operações de escrita (criação/edição/cancelamento) exigem confirmação humana via canal de comunicação do agente.
• Contatos (Graph Contacts) — leitura e atualização de contatos, incluindo datas comemorativas usadas para lembretes proativos. Operações de escrita são sempre confirmadas pelo cliente antes da execução.
• OneDrive / SharePoint — (a) leitura de arquivos do cliente para localização, busca e organização assistida; (b) criação e edição apenas dos arquivos gerados pelo próprio agente (atas, resumos, transcrições). O agente NÃO move, renomeia nem deleta arquivos preexistentes do cliente — quando uma reorganização é sugerida, o cliente executa manualmente.

Tratamento dos dados Microsoft: aplicam-se as mesmas garantias da subseção Google acima — isolamento por cliente em container Docker dedicado; ausência de uso para treino de modelos de IA; ausência de compartilhamento com terceiros não autorizados; tokens OAuth/refresh armazenados de forma cifrada e revogáveis; retenção conforme a seção 7. O uso de dados recebidos via Microsoft Graph observa os Microsoft APIs Terms of Use, restringindo-se à operação do agente para o respectivo cliente.

Como revogar o acesso Microsoft:

• Conta pessoal: account.microsoft.com/privacy ou myapps.microsoft.com → remover o acesso de "Strategia Smart Agents".
• Tenant corporativo: o administrador remove a aplicação em Microsoft Entra ID (Azure AD) → Enterprise Applications.
• Solicitação ao DPO: e-mail ao encarregado (seção 14) — exclusão dos tokens e dados em até 48h úteis.

11. Transferência Internacional de Dados

Alguns dos nossos operadores (Anthropic, Twilio, Groq, Stripe) estão sediados nos Estados Unidos. Esta transferência internacional segue a Resolução CD/ANPD nº 19/2024 via Cláusulas Contratuais Padrão (SCCs) aprovadas pela ANPD, incorporadas aos contratos com esses fornecedores.

A decisão de adequação mútua Brasil-União Europeia (janeiro de 2026) facilita fluxo com operadores europeus, mas não cobre EUA — por isso a necessidade de SCCs específicas.

Dados arquivados em território brasileiro (Supabase sa-east-1) não são transferidos internacionalmente.

12. Cookies

Seção consolidada com a seção 6 — apenas cookies essenciais.

13. Alterações nesta Política

Podemos atualizar esta política periodicamente. Alterações significativas serão comunicadas por e-mail ou aviso no site.

14. Encarregado (DPO) e Contato

Para exercer seus direitos ou esclarecer dúvidas sobre privacidade, entre em contato com o encarregado pelo tratamento de dados pessoais da strateg.ia:

Tempo de resposta: até 15 dias corridos para solicitações de acesso, exclusão ou portabilidade (Art. 19 LGPD).