Política de Privacidade

1. Introdução

1.1. Esta Política de Privacidade descreve como a Gera Tecnologia LTDA, inscrita no CNPJ 36.703.132/0001-27, que opera a Quitou (referida como "Quitou" ou "nós"), coleta, utiliza, armazena, compartilha e protege os dados pessoais tratados por meio da plataforma Quitou ("Plataforma"), composta pelo site quitouai.com.br e pelo produto app.quitouai.com.br.

1.2. A Quitou é uma ferramenta contratada pelo credor: um agente de inteligência artificial que conversa por WhatsApp com quem deve, em nome do credor, dentro das regras que o credor define. A Quitou não é assessoria de cobrança, não compra dívida e não intermedia pagamento. O pagamento (Pix, boleto) é do credor e o dinheiro nunca passa pela Quitou.

1.3. Esta Política foi elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e demais normas aplicáveis.

1.4. Ao utilizar a Plataforma, o usuário ("Usuário" ou "credor") declara que leu e compreendeu esta Política de Privacidade.

2. Definições importantes

2.1. Para fins desta Política, consideram-se:

• Dados Pessoais: qualquer informação relacionada a pessoa natural identificada ou identificável (Art. 5, I, LGPD);
• Titular: pessoa natural a quem se referem os dados pessoais (Art. 5, V, LGPD);
• Controlador: pessoa natural ou jurídica que toma as decisões sobre o tratamento de dados pessoais (Art. 5, VI, LGPD);
• Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador (Art. 5, VII, LGPD);
• Tratamento: toda operação realizada com dados pessoais (Art. 5, X, LGPD);
• Devedor: a pessoa cobrada pelo credor por meio da Plataforma;
• Carteira: o conjunto de dívidas que o credor cobra junto, com as mesmas regras (desconto máximo, parcelas, horário, palavras proibidas).

3. Papéis no tratamento de dados

3.1. Em relação aos dados do Usuário (credor): a Quitou atua como CONTROLADORA, pois decide sobre as finalidades e os meios de tratamento dos dados fornecidos pelo credor para criar a conta e usar a Plataforma.

3.2. Em relação aos dados dos devedores e ao conteúdo das conversas: a Quitou atua como OPERADORA, tratando esses dados em nome e por conta do credor, que é o controlador. Nesta qualidade:

• A Quitou trata os dados dos devedores exclusivamente para executar a cobrança que o credor configurou: enviar e receber as mensagens de WhatsApp, propor acordos dentro das regras da carteira, registrar o que foi combinado e avisar o credor;
• A Quitou não utiliza os dados dos devedores para finalidades próprias, como marketing, perfilamento ou venda de informação, e não os usa para cobrar em nome de outro credor;
• O credor é responsável pela legitimidade da dívida, por ter a base legal adequada para contatar o devedor e por informá-lo sobre o tratamento de seus dados;
• A Quitou seguirá as instruções documentadas do credor quanto ao tratamento desses dados, nos limites desta Política e dos Termos de Uso.

3.3. As conversas ficam com a Quitou. O conteúdo das conversas de WhatsApp fica guardado pela Quitou, para consulta, e não é repassado ao credor por padrão. O credor recebe o resultado da negociação, como a condição de pagamento combinada, para poder emitir e devolver a cobrança. Quando o conteúdo de uma conversa for necessário para atender um pedido do titular, uma exigência legal ou a defesa de direitos, a Quitou o disponibilizará ao credor na medida do necessário.

3.4. Caso um devedor exerça seus direitos de titular diretamente perante a Quitou, encaminharemos a solicitação ao credor (controlador) para atendimento, e auxiliaremos no que for tecnicamente possível.

4. Dados coletados

4.1. Dados de conta do Usuário

• Nome completo;
• Endereço de e-mail;
• Número de WhatsApp;
• Senha (armazenada apenas como hash, nunca em texto legível);
• Nome da empresa e CPF ou CNPJ do credor;
• Segmento em que o credor cobra;
• Como o Usuário conheceu a Quitou.

4.2. Login com Google

Quando o Usuário escolhe entrar com a conta Google, a Quitou recebe do Google apenas o nome, o endereço de e-mail e a foto do perfil, e nada mais (escopos básicos openid, email e profile). O login não dá à Quitou acesso a contatos, agenda, e-mails ou arquivos da conta Google.

4.3. Origem da visita

Para saber qual canal trouxe cada cadastro, a Plataforma registra parâmetros de campanha (UTM), identificadores de clique de anúncio, a página de entrada e o endereço de onde a pessoa veio (referrer). Se a pessoa criar uma conta, esses dados são gravados na conta no momento do cadastro.

4.4. Lista de interesse do site

Quem preenche o formulário do site para entrar na lista informa nome, nome da empresa, e-mail, WhatsApp (opcional) e a faixa de valor em atraso. Esses dados servem só para a Quitou entrar em contato sobre o produto, ficam guardados na lista de contatos mantida no Resend e não são vendidos nem cedidos a terceiros.

4.5. Dados dos devedores (inseridos pelo credor)

• Nome completo;
• Número de telefone (WhatsApp);
• CPF ou CNPJ;
• Valores, vencimentos e descrição da dívida;
• Histórico de pagamento e de acordos.

Esses dados são tratados pela Quitou como operadora, nos termos da seção 3.2.

4.6. Conversas de WhatsApp

O conteúdo das mensagens trocadas entre o agente e o devedor, com data, hora e situação de entrega, e os acordos propostos e aceitos. São tratados como operadora (seção 3.2) e guardados conforme a seção 3.3.

4.7. Pedidos para parar

Quando uma pessoa pede para não ser mais contatada, o agente para na hora e a Quitou guarda o número de telefone numa lista de bloqueio, com o motivo informado. Essa lista vale para todos os credores que usam a Quitou: quem pediu para parar não recebe contato por meio da Plataforma de nenhum deles. Para esse fim específico, a Quitou é controladora do número guardado.

4.8. Dados de uso e técnicos

• Endereço IP;
• Tipo de dispositivo e navegador;
• Data e hora de acesso;
• Páginas visitadas e ações realizadas na Plataforma;
• Dados de sessão e autenticação.

4.9. Dados de pagamento

Hoje a Quitou está em acesso antecipado e não cobra pelo uso, por isso não coleta dados de pagamento do credor. O pagamento da dívida é feito diretamente ao credor, pelos meios dele, e a Quitou não recebe nem guarda dados de cartão ou de conta bancária do devedor. Quando houver cobrança pelo uso da Plataforma, esta Política será atualizada antes, dizendo quem processa o pagamento e quais dados são tratados.

5. Inteligência artificial

5.1. A Quitou usa um modelo de linguagem para escrever as mensagens da conversa com o devedor. Hoje o modelo é fornecido pela OpenAI.

5.2. Para gerar cada resposta, a Quitou envia ao provedor do modelo o conteúdo da conversa e os dados do caso necessários para responder, como o nome do devedor, o valor, o vencimento e as condições que a carteira permite. Não são enviados dados que a resposta não usa.

5.3. O modelo escreve, mas não decide as condições. As regras que o credor define na carteira (desconto máximo, número de parcelas, horário de contato e palavras proibidas) são checadas em código antes de a mensagem sair, e uma proposta fora delas não é enviada. A checagem fica registrada junto do acordo.

5.4. O agente se identifica como assistente virtual. Quando o devedor contesta a dívida, o caso é pausado à espera de uma pessoa do credor; quando pede para parar, o contato cessa (seção 4.7).

5.5. O devedor pode pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, nos termos do Art. 20 da LGPD. O pedido é encaminhado ao credor, que responde pela cobrança.

5.6. A Quitou não usa o conteúdo das conversas para treinar modelos de inteligência artificial. Se o provedor do modelo mudar, esta Política será atualizada antes.

6. Bases legais para o tratamento

6.1. Os dados pessoais são tratados com base nas seguintes hipóteses legais previstas no Art. 7 da LGPD:

• Execução de contrato (Art. 7, V): tratamento necessário para prestar o serviço ao credor (criação de conta, login, configuração das carteiras, envio das mensagens e registro dos acordos);
• Consentimento (Art. 7, I): quando o Usuário consente expressamente com o tratamento para finalidades específicas (ex.: envio de comunicações comerciais);
• Cumprimento de obrigação legal (Art. 7, II): quando necessário para atender exigências legais, fiscais ou regulatórias;
• Exercício regular de direitos (Art. 7, VI): para defesa em processos judiciais, administrativos ou arbitrais;
• Legítimo interesse (Art. 7, IX): para melhoria da Plataforma, medição da origem das visitas, contato com quem entrou na lista de interesse, manutenção da lista de pedidos para parar, prevenção de fraudes e segurança da informação.

6.2. Quanto aos dados dos devedores, a base legal é definida pelo credor, que é o controlador (seção 3.2).

6.3. Quando o tratamento se basear no consentimento, este poderá ser revogado a qualquer momento, sem prejuízo dos tratamentos realizados anteriormente.

7. Finalidades do tratamento

7.1. Os dados pessoais são tratados para as seguintes finalidades:

• Criação e manutenção da conta do Usuário, inclusive o login com Google;
• Prestação do serviço (conversas de cobrança por WhatsApp, propostas dentro das regras da carteira, registro dos acordos e aviso ao credor);
• Respeito aos pedidos para parar, em todos os credores;
• Envio de e-mails operacionais (acesso à conta, redefinição de senha, avisos do serviço, acordos fechados);
• Comunicação sobre o serviço (atualizações, manutenções, mudanças nestes documentos);
• Contato com quem entrou na lista de interesse do site;
• Comunicações comerciais (mediante consentimento);
• Medição de quais canais trazem visitas e cadastros;
• Melhoria e desenvolvimento de novas funcionalidades;
• Prevenção de fraudes e segurança da Plataforma;
• Cumprimento de obrigações legais e regulatórias.

8. Compartilhamento de dados

8.1. A Quitou poderá compartilhar dados pessoais com os seguintes terceiros, exclusivamente para as finalidades descritas nesta Política e somente quando o serviço correspondente estiver em uso:

• Vercel: hospedagem do site e do produto;
• Supabase: banco de dados onde ficam a conta, as carteiras, os dados dos devedores e as conversas;
• Resend: envio dos e-mails da Plataforma e guarda da lista de interesse do site. Dados compartilhados: nome e e-mail do destinatário e o conteúdo da mensagem;
• Meta (WhatsApp Business Platform): envio e recebimento das mensagens de WhatsApp. Dados compartilhados: o número do devedor e o conteúdo das mensagens;
• OpenAI: o modelo de linguagem que escreve as mensagens, com os dados descritos na seção 5.2;
• Google: login com Google (seção 4.2);
• Google Analytics 4 e Amplitude: medição de uso do produto, apenas em app.quitouai.com.br e nunca nas páginas abertas por link de acesso enviado por e-mail;
• O próprio credor: recebe o resultado da negociação, nos termos da seção 3.3;
• Autoridades competentes: quando houver obrigação legal, determinação judicial ou requisição de autoridade regulatória.

8.2. Quando o credor escolhe enviar as mensagens pelo próprio número de WhatsApp, por meio de uma conexão que ele mesmo ativa, as mensagens passam por essa conexão, que é do credor e fica sob a responsabilidade dele.

8.3. A Quitou não vende, aluga ou comercializa dados pessoais a terceiros para fins de marketing, publicidade ou qualquer outra finalidade comercial.

8.4. O uso e a transferência, pela Quitou, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Esses dados não são usados para publicidade, não são vendidos e não são usados para treinar modelos de inteligência artificial.

9. Transferência internacional de dados

9.1. Alguns dos provedores utilizados pela Plataforma, como o provedor do modelo de linguagem e a Meta, podem armazenar ou processar dados fora do Brasil.

9.2. Nessas hipóteses, a transferência internacional de dados é realizada com base nas garantias previstas no Art. 33 da LGPD, mediante utilização de provedores que adotem padrões adequados de proteção de dados.

9.3. A Quitou assegura que os dados transferidos internacionalmente recebam nível de proteção equivalente ao exigido pela legislação brasileira.

10. Retenção de dados

10.1. Os dados pessoais serão armazenados pelo tempo necessário para cumprir as finalidades descritas nesta Política, observados os seguintes prazos:

• Dados de conta: durante a vigência da conta e por até 5 (cinco) anos após o encerramento, para cumprimento de obrigações legais e exercício regular de direitos;
• Dados dos devedores e conversas: durante a vigência da conta e por até 90 (noventa) dias após o encerramento;
• Pedidos para parar: enquanto forem necessários para que o pedido continue sendo respeitado;
• Lista de interesse: até a pessoa pedir para sair da lista;
• Origem da visita: quando gravada no cadastro, pelo mesmo prazo dos dados de conta;
• Registros de acesso (logs): por 6 (seis) meses, conforme o Art. 15 do Marco Civil da Internet.

10.2. Findo o prazo de retenção, os dados serão excluídos ou anonimizados, salvo quando a retenção for necessária para cumprimento de obrigação legal, exercício regular de direitos ou nas demais hipóteses previstas no Art. 16 da LGPD.

11. Segurança da informação

11.1. A Quitou adota medidas técnicas e organizacionais razoáveis para proteger os dados pessoais contra acessos não autorizados, perda, destruição, alteração ou divulgação indevida, incluindo:

• Criptografia de dados em trânsito (TLS/HTTPS) e armazenamento de senhas apenas como hash;
• Credenciais de conexão de WhatsApp do credor guardadas cifradas;
• Separação dos dados de cada credor, que só enxerga as próprias carteiras;
• Controle de acesso e autenticação segura;
• Monitoramento de acessos e logs de auditoria;
• Hospedagem em provedores com certificações de segurança reconhecidas;
• Revisão periódica de vulnerabilidades e boas práticas de desenvolvimento seguro.

11.2. Apesar dos esforços empregados, nenhum sistema de informação é absolutamente seguro. O Usuário reconhece que existem riscos inerentes à transmissão e ao armazenamento de dados na internet.

12. Direitos do titular dos dados

12.1. Em conformidade com o Art. 18 da LGPD, o titular dos dados pessoais tem direito a:

• Confirmação e acesso: solicitar a confirmação da existência de tratamento e acesso aos seus dados;
• Correção: solicitar a correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação: solicitar a anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade: solicitar a portabilidade dos dados a outro fornecedor de serviço;
• Eliminação: solicitar a eliminação dos dados pessoais tratados com base em consentimento;
• Informação sobre compartilhamento: solicitar informação sobre com quais entidades seus dados foram compartilhados;
• Revogação do consentimento: revogar o consentimento a qualquer momento, quando o tratamento for baseado nessa base legal.

12.2. Em relação aos dados dos devedores e às conversas (Quitou como operadora), o titular deverá direcionar suas solicitações ao credor (controlador). A Quitou cooperará com o credor para viabilizar o atendimento, inclusive disponibilizando o conteúdo da conversa quando o pedido exigir.

12.3. Para não ser mais contatado pelo agente, basta o devedor pedir na própria conversa. O pedido é atendido na hora, conforme a seção 4.7.

12.4. O Usuário que entrou com Google pode, além disso, revogar a qualquer momento o acesso da Quitou nas configurações de segurança da própria conta Google.

12.5. Solicitações podem ser feitas por e-mail para contato@quitouai.com.br. A Quitou responderá em até 15 (quinze) dias úteis, conforme Art. 18, § 5º, da LGPD.

12.6. O titular de dados tem o direito de peticionar perante a Autoridade Nacional de Proteção de Dados (ANPD) em caso de descumprimento da LGPD.

13. Cookies e tecnologias de rastreamento

13.1. A Plataforma utiliza cookies e tecnologias similares para:

• Cookies essenciais: necessários para o funcionamento do produto, incluindo autenticação, segurança e manutenção de sessão. Não podem ser desativados;
• Origem da visita: o registro descrito na seção 4.3;
• Cookies de medição: do Google Analytics 4 e do Amplitude, usados apenas no produto app.quitouai.com.br para entender como as pessoas usam as telas.

13.2. A Quitou não exibe anúncios de terceiros nas suas páginas. Os identificadores de clique de anúncio servem apenas para saber qual campanha trouxe a visita.

13.3. O Usuário pode gerenciar as configurações de cookies por meio do seu navegador. A desativação de cookies essenciais pode impactar o funcionamento da Plataforma.

14. Dados de menores

14.1. A Plataforma não é destinada a menores de 18 (dezoito) anos. A Quitou não coleta intencionalmente dados pessoais de crianças ou adolescentes como Usuários.

14.2. Caso a Quitou identifique uma conta de menor, procederá à sua eliminação, salvo quando houver obrigação legal em contrário. Dados de menores que constem de carteiras inseridas pelo credor seguem a seção 3.2, sob a responsabilidade do credor como controlador.

15. Incidentes de segurança

15.1. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares dos dados, a Quitou:

• Comunicará a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, conforme o Art. 48 da LGPD;
• Comunicará os titulares afetados, descrevendo a natureza dos dados envolvidos, os riscos relacionados e as medidas tomadas para mitigar os efeitos do incidente;
• Adotará as providências necessárias para conter o incidente e minimizar seus impactos.

15.2. Quando a Quitou atuar como operadora (dados dos devedores e conversas), comunicará o credor (controlador) sobre o incidente em até 48 (quarenta e oito) horas, para que este adote as medidas cabíveis.

16. Encarregado de Proteção de Dados (DPO)

16.1. Para questões relacionadas ao tratamento de dados pessoais, o Usuário e os titulares podem entrar em contato com o Encarregado de Proteção de Dados da Quitou pelo e-mail contato@quitouai.com.br.

16.2. O Encarregado é responsável por aceitar reclamações e comunicações dos titulares e da ANPD, prestar esclarecimentos e adotar providências, conforme o Art. 41, § 2º, da LGPD.

17. Alterações nesta Política

17.1. Esta Política de Privacidade poderá ser atualizada periodicamente para refletir mudanças nas práticas de tratamento de dados, nos serviços oferecidos ou na legislação aplicável.

17.2. Alterações substanciais serão comunicadas ao Usuário com antecedência mínima de 15 (quinze) dias, por e-mail ou notificação na Plataforma. A troca do provedor do modelo de linguagem (seção 5.6) só entra em vigor depois de publicada aqui.

17.3. A versão mais recente desta Política estará sempre disponível nesta página.

17.4. A utilização continuada da Plataforma após a publicação de alterações constitui ciência e concordância com a Política atualizada.

18. Disposições finais

18.1. Esta Política de Privacidade é regida pelas leis da República Federativa do Brasil.

18.2. Fica eleito o foro da comarca do domicílio do titular dos dados para dirimir quaisquer controvérsias relativas a esta Política, conforme o Art. 101, I, do Código de Defesa do Consumidor.