Política de Privacidade

Esta Política de Privacidade explica como a Castilho IA coleta, utiliza, compartilha, armazena e protege dados pessoais quando você acessa nosso site, contrata nossos serviços ou interage com soluções que desenvolvemos e operamos — incluindo agentes de atendimento e automações executadas sobre a WhatsApp Business Platform e demais plataformas da Meta.

1. Quem é o responsável pelos dados

A Castilho IA atua como controladora dos dados de visitantes do site, leads e clientes. Quando operamos agentes de IA, integrações ou automações em nome de um cliente contratante, a Castilho IA atua como operadora dos dados dos usuários finais desse cliente, tratando-os exclusivamente conforme as instruções do cliente e o contrato firmado. Nesses casos, o cliente é o controlador e a política de privacidade dele também se aplica.

2. A quem esta política se aplica

• Visitantes do site castilhoia.com e das suas páginas de conteúdo, formulários e materiais.
• Clientes e representantes de clientes que contratam nossos serviços e usam nossos painéis e sistemas.
• Pessoas que conversam com agentes de atendimento, chatbots ou automações operados pela Castilho IA em canais como WhatsApp, Instagram Direct e Messenger.
• Administradores de páginas e contas comerciais que conectam ativos da Meta (WhatsApp Business Account, Página do Facebook, conta do Instagram, conta de anúncios) às nossas aplicações.

3. Dados que coletamos

3.1. Dados que você nos fornece

• Identificação e contato: nome, e-mail, telefone/WhatsApp, cargo, nome da empresa.
• Dados cadastrais e contratuais: CPF ou CNPJ, razão social, endereço e dados de faturamento, quando necessários para emissão de contrato e nota fiscal.
• Conteúdo de comunicações: mensagens, áudios, imagens, documentos e demais arquivos que você envia em nossos canais de atendimento, formulários, diagnósticos e suporte.
• Credenciais de integração: tokens, chaves de API e identificadores de sistemas de terceiros que você opta por conectar às nossas soluções.

3.2. Dados coletados automaticamente

• Endereço IP, tipo e versão de navegador, sistema operacional, idioma e tipo de dispositivo.
• Páginas visitadas, origem do acesso (referrer), parâmetros de campanha (UTM), tempo de permanência e interações com a página.
• Registros de acesso a aplicações (logs), mantidos conforme o Marco Civil da Internet.

3.3. Dados recebidos de terceiros

• Dados de contato e de interação vindos de plataformas de anúncios, formulários de geração de leads e parceiros comerciais, quando você autorizou o envio.
• Dados fornecidos por clientes contratantes para operação dos serviços (por exemplo, uma base de contatos a ser atendida).
• Dados das plataformas da Meta, descritos no item 4.

Não coletamos dados sensíveis (origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, dados genéticos ou biométricos) de forma intencional. Pedimos que você não envie esse tipo de informação em nossos canais. Se um dado sensível for enviado espontaneamente em uma conversa, ele será tratado apenas na medida necessária para responder à sua solicitação e eliminado quando não for mais necessário.

4. Dados obtidos das plataformas da Meta

Operamos aplicações integradas à WhatsApp Business Platform (API Oficial) e, quando contratado, às APIs de Messenger, Instagram e Marketing da Meta. Nesse contexto, podemos tratar:

• Identificadores de ativos: WhatsApp Business Account ID (WABA ID), Phone Number ID, ID da Página do Facebook, ID da conta do Instagram, ID da conta de anúncios e ID do Portfólio Empresarial.
• Tokens de acesso emitidos pela Meta para que a aplicação opere em nome do seu negócio.
• Dados do administrador que autoriza a conexão: nome, ID de usuário na plataforma e e-mail, quando disponibilizados pela Meta.
• Mensagens e metadados de conversa: número de telefone do remetente, nome de exibição no WhatsApp, conteúdo das mensagens trocadas, anexos, horários, status de entrega e leitura.
• Modelos de mensagem (templates) e seus status de aprovação, além de métricas agregadas de qualidade e de envio.

4.1. Compromissos sobre esses dados

• Usamos os dados obtidos das plataformas da Meta exclusivamente para prestar e melhorar as funcionalidades contratadas.
• Não vendemos, alugamos nem licenciamos dados da Plataforma Meta a terceiros.
• Não usamos esses dados para segmentação publicitária de terceiros, para venda a corretores de dados (data brokers), para análise de crédito, seguros ou emprego, nem para vigilância.
• Não combinamos dados da Plataforma Meta com dados de outras fontes para criar perfis além do necessário à execução do serviço contratado.
• Tokens de acesso e credenciais são armazenados de forma criptografada e revogados quando a integração é encerrada.
• Ao desconectar a aplicação (no Facebook, em Configurações → Aplicativos e sites, ou removendo a permissão no Gerenciador de Negócios), os tokens são revogados e os dados associados são eliminados conforme o item 9.

O tratamento de dados pela própria Meta é regido pela política de privacidade dela, disponível em facebook.com/privacy/policy.

5. Para que usamos os dados e com que base legal

6. Uso de inteligência artificial

Parte dos nossos serviços usa modelos de linguagem e outras tecnologias de IA para interpretar mensagens, gerar respostas, classificar atendimentos e produzir resumos. Sobre isso:

• O conteúdo das mensagens pode ser enviado a provedores de modelos de IA contratados (item 7) apenas para gerar a resposta ou a análise solicitada.
• Contratamos esses provedores em modalidades que não permitem o uso dos seus dados para treinamento dos modelos deles.
• Respostas geradas por IA podem conter imprecisões. Sempre que uma decisão relevante depender do atendimento, há a possibilidade de encaminhamento a um atendente humano.
• Você pode solicitar revisão humana de decisões automatizadas que afetem seus interesses, conforme o art. 20 da LGPD, pelo canal do item 16.

7. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos dados apenas com quem é necessário para operar o serviço, sempre sob contrato e obrigação de confidencialidade:

• Meta Platforms, Inc. — WhatsApp Business Platform, Messenger, Instagram e serviços de anúncios.
• Provedores de infraestrutura e hospedagem — por exemplo, Vercel (hospedagem do site) e Supabase (banco de dados e autenticação).
• Provedores de modelos de IA — por exemplo, Anthropic, OpenAI e Google, para processamento das requisições descritas no item 6.
• Plataformas de automação e integração — por exemplo, n8n e provedores de API de mensageria contratados pelo cliente.
• Ferramentas de CRM, analytics, e-mail e gestão de projetos usadas na operação.
• Contabilidade, escritórios jurídicos e meios de pagamento, para obrigações fiscais, contratuais e financeiras.
• Autoridades públicas, quando houver requisição legal, ordem judicial ou obrigação regulatória.
• Sucessores, em caso de fusão, aquisição ou reorganização societária, mantidas as obrigações desta política.

8. Transferência internacional

Alguns dos provedores acima estão sediados fora do Brasil, notadamente nos Estados Unidos e na União Europeia. Nesses casos, a transferência internacional ocorre com base no art. 33 da LGPD, apoiada em cláusulas contratuais padrão e em compromissos contratuais de segurança e confidencialidade firmados com cada fornecedor.

9. Por quanto tempo guardamos

Encerrado o prazo, os dados são eliminados ou anonimizados de forma irreversível.

10. Exclusão de dados

Você pode solicitar a exclusão dos seus dados a qualquer momento. O procedimento completo, com os canais, os prazos e o que exatamente é apagado, está na página dedicada:

11. Segurança da informação

• Tráfego cifrado em trânsito (TLS/HTTPS) e criptografia em repouso nos bancos de dados.
• Tokens, chaves e segredos armazenados em cofres de variáveis de ambiente, nunca em código-fonte.
• Controle de acesso por perfil, com princípio do menor privilégio e autenticação multifator nas ferramentas críticas.
• Registro de auditoria de acessos administrativos e rotinas de backup.
• Acordos de confidencialidade com colaboradores e fornecedores.

Nenhum sistema é totalmente imune. Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos legais.

12. Seus direitos

Conforme os arts. 17 a 22 da LGPD, você pode solicitar:

• Confirmação da existência de tratamento dos seus dados.
• Acesso aos dados que mantemos sobre você.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade dos dados a outro fornecedor.
• Eliminação dos dados tratados com base no seu consentimento.
• Informação sobre com quem compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir e as consequências da negativa.
• Revogação do consentimento, a qualquer momento.
• Revisão de decisões tomadas exclusivamente com base em tratamento automatizado.
• Oposição a tratamento realizado com base em legítimo interesse.

Para exercer qualquer desses direitos, escreva para contato@castilhoia.com.br. Respondemos em até 15 dias. Podemos pedir informações adicionais para confirmar sua identidade antes de atender ao pedido — é uma medida de segurança contra solicitações fraudulentas.

Se você estiver sujeito ao GDPR (Espaço Econômico Europeu ou Reino Unido) ou à CCPA/CPRA (Califórnia), os direitos equivalentes previstos nessas leis — incluindo acesso, retificação, apagamento, limitação, portabilidade, oposição e o direito de não ter dados pessoais vendidos ou compartilhados — também são atendidos pelo mesmo canal. A Castilho IA não vende dados pessoais.

Você também pode apresentar reclamação à ANPD em gov.br/anpd.

13. Cookies e tecnologias de rastreamento

Usamos cookies e tecnologias similares para:

• Cookies essenciais: manter sua sessão, preferências e segurança. Não podem ser desativados sem quebrar o funcionamento do site.
• Cookies de desempenho e analytics: entender quais páginas são acessadas e como melhorar a experiência.
• Cookies de marketing: medir a eficácia de campanhas e, quando aplicável, exibir anúncios em plataformas como Meta e Google.

Você pode bloquear ou apagar cookies nas configurações do seu navegador, e gerenciar a publicidade personalizada da Meta em facebook.com/adpreferences.

14. Crianças e adolescentes

Nossos serviços são destinados a empresas e a pessoas maiores de 18 anos. Não coletamos intencionalmente dados de menores de 18 anos. Se identificarmos que um dado de criança ou adolescente foi coletado sem o consentimento específico e em destaque de ao menos um dos pais ou responsável legal, ele será eliminado. Se você é responsável e acredita que isso ocorreu, escreva para contato@castilhoia.com.br.

15. Alterações desta política

Podemos atualizar esta política para refletir mudanças legais, técnicas ou de negócio. A data de "Última atualização" no topo sempre indica a versão vigente. Mudanças materiais serão comunicadas por e-mail aos clientes ativos ou por aviso no site com antecedência razoável. O uso continuado dos serviços após a entrada em vigor representa concordância com a versão atualizada.

16. Contato