Esta Política descreve como o CoS ("nós"), um assistente executivo de inteligência artificial operado por Castellabate Tech, coleta, usa, armazena e protege seus dados. O acesso ao CoS é feito por convite.
Esta Política explica como o CoS trata dados pessoais. Dependendo da finalidade, o tratamento poderá ocorrer com fundamento em diferentes bases legais previstas na LGPD, incluindo execução de contrato, cumprimento de obrigação legal ou regulatória, legítimo interesse, exercício regular de direitos e, quando aplicável, consentimento.
Papéis no tratamento
O CoS trata dois tipos de dados, e em cada um a Castellabate Tech tem um papel diferente na LGPD:
Conteúdo da sua empresa (e-mails, documentos, agenda, reuniões, transcrições, pendências e o que o CoS gera a partir deles): quem decide colocar esse conteúdo no CoS é a empresa cliente, que é a controladora. A Castellabate Tech é operadora: trata esse conteúdo apenas em nome da empresa, para prestar o serviço, conforme as instruções dela e o acordo de tratamento de dados (DPA) firmado entre as partes. Esse conteúdo pode incluir dados de terceiros (por exemplo, quem enviou um e-mail ou participou de uma reunião); cabe à empresa cliente a base legal e o atendimento a essas pessoas, e nós a apoiamos no que for necessário.
Dados que o próprio CoS trata para operar o serviço (sua conta e perfil, registros de acesso, comunicações que enviamos a você, métricas de uso e dados de cobrança): aqui a Castellabate Tech é a controladora.
Quando o usuário do CoS é o próprio titular da empresa (por exemplo, um empresário individual), ele é o controlador do seu conteúdo.
1. Dados que coletamos
Cadastro e perfil: nome, e-mail (seu login), cargo, a forma como prefere ser tratado, nome da empresa e, se você informar, celular. Guardamos também o registro de quando você autorizou contato por WhatsApp. A senha é guardada apenas como hash.
Google (mediante seu consentimento OAuth): eventos do Google Agenda; mensagens do Gmail (para contexto e para enviar e-mails em seu nome, quando você pede); documentos do Google Drive.
Microsoft 365 (mediante consentimento OAuth): Agenda e E-mail do Outlook e documentos do OneDrive/SharePoint.
Transcrições de reunião: dos serviços que você conectar (Fireflies, tl;dv, Granola, Tactiq, Google Meet via Drive) ou dos arquivos que você enviar.
Mensagens que você troca com o CoS no app e nos canais que conectar (WhatsApp, Telegram, Slack, Microsoft Teams).
Conteúdo gerado pelo CoS para você: resumos, pendências, reports, briefings e as memórias e preferências que você pede para guardar.
Registros de acesso (data, hora e endereço IP de cada uso), exigidos pelo Marco Civil da Internet, e dados técnicos de operação, para segurança e funcionamento do serviço.
2. Como e por que usamos seus dados
Usamos os dados exclusivamente para fornecer as funcionalidades do CoS: gerar briefings pré-reunião, resumos de reunião e reports de contexto; organizar suas pendências; responder às suas perguntas; e executar ações que você pede ou aprova (por exemplo, criar ou remarcar reuniões na sua agenda ou enviar um e-mail em seu nome). Para isso, seu conteúdo é processado por modelos de linguagem (IA). Seus dados não são usados para treinar modelos de IA.
Só enviamos mensagens pelo WhatsApp se você autorizar (no seu cadastro ou ao vincular o número). Você pode desligar esse canal a qualquer momento em Configurações → Integrações.
Uso Limitado de dados do Google. O uso e a transferência, pelo CoS, de informações recebidas das APIs do Google obedecem à
Política de Dados de Usuário dos Serviços de API do Google,
incluindo os requisitos de Uso Limitado (Limited Use). Em particular: (a) não usamos os dados do Gmail, Drive ou Agenda para publicidade;
(b) não vendemos esses dados; (c) só os usamos para fornecer e aprimorar funcionalidades visíveis a você no CoS; e (d) humanos não leem esses dados,
exceto com o seu consentimento explícito, quando necessário por segurança, para cumprir a lei, ou de forma agregada e anonimizada.
3. Dados pessoais sensíveis
O CoS não tem como finalidade coletar dados pessoais sensíveis. Entretanto, considerando a natureza das fontes que podem ser conectadas ao serviço (como e-mails, reuniões, transcrições, documentos, mensagens, WhatsApp e agenda), dados pessoais sensíveis de terceiros ou do próprio usuário poderão eventualmente aparecer no conteúdo processado. Nesses casos, o tratamento será realizado apenas na medida necessária às funcionalidades contratadas e de acordo com as instruções da empresa cliente e a legislação aplicável.
4. Compartilhamento e suboperadores
Nós não vendemos seus dados e não os compartilhamos para fins de marketing. Compartilhamos dados apenas com os prestadores que nos ajudam a operar o serviço, na medida do necessário:
OpenAI (EUA): modelos de IA que processam o conteúdo necessário a cada pedido. Pela política da API, os dados não são usados para treinamento e podem ficar retidos por até 30 dias para monitoramento de abuso.
Oracle Cloud (OCI) (Brasil, São Paulo): hospedagem da aplicação, do banco de dados, dos arquivos e dos backups.
Cloudflare: DNS, proteção e criptografia do tráfego entre o seu navegador e o CoS.
Grafana Cloud (Brasil): métricas de operação, sem dados pessoais.
Meta (WhatsApp), Telegram, Slack e Microsoft Teams: apenas os canais que você conectar, para entregar e receber as mensagens.
Google (Gmail): envio dos e-mails do próprio CoS, como convites e confirmações.
Os serviços que você conecta como fonte (Google, Microsoft, Fireflies, tl;dv, Granola, Tactiq) seguem os próprios termos e são controlados por você. Parte do processamento ocorre fora do Brasil (por exemplo, pela OpenAI, nos EUA), com as salvaguardas previstas no art. 33 da LGPD. Também podemos divulgar dados se exigido por lei ou para proteger direitos e a segurança do serviço.
5. Retenção e exclusão
Enquanto sua conta existir, guardamos os dados necessários ao serviço. E-mails e documentos indexados ficam pelo prazo do seu plano (de 60 a 180 dias) e depois saem automaticamente.
Cópia dos seus dados: em Configurações → Privacidade você baixa uma cópia integral (arquivo ZIP em formato aberto). O arquivo fica disponível por 7 dias e depois é apagado.
Apagar sua conta: em Configurações → Privacidade, com a sua senha. A exclusão da conta inicia imediatamente o processo de exclusão dos dados dos ambientes de produção, e os acessos às suas contas Google, Microsoft e Slack são desligados. Cópias eventualmente existentes em backups serão eliminadas conforme o ciclo de retenção de segurança descrito abaixo.
Backups: cópias de segurança cifradas são guardadas por até cerca de 6 meses e depois descartadas. Durante o período de retenção dos backups, esses dados permanecem protegidos, não sendo utilizados para operação ordinária do serviço e não sendo restaurados para reativação de uma conta excluída, salvo quando necessário para cumprimento de obrigação legal ou recuperação de desastre.
O que guardamos mesmo após o apagamento, por obrigação legal: os registros de acesso (data, hora e IP), por 6 meses (Marco Civil da Internet, art. 15), e o registro de que o apagamento foi feito, sem dados pessoais.
Você pode desconectar qualquer integração a qualquer momento em Configurações → Integrações (removemos os tokens de acesso correspondentes). Também pode revogar o acesso do CoS em myaccount.google.com/permissions (Google) ou nas configurações da sua conta Microsoft.
6. Segurança
Protegemos seus dados com criptografia em repouso das credenciais (tokens OAuth cifrados com AES-256-GCM), backups cifrados, isolamento por empresa (multi-tenant) e criptografia em trânsito (TLS). Os registros técnicos não guardam o conteúdo dos seus dados. Nenhum método é 100% infalível, mas adotamos medidas técnicas e organizacionais adequadas.
7. Seus direitos (LGPD)
Nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), você pode pedir confirmação e acesso, correção, portabilidade, anonimização ou exclusão dos seus dados, bem como revogar consentimentos. A maior parte está no próprio app:
Correção: Configurações → Perfil (nome, e-mail com confirmação, celular, empresa).
Acesso e portabilidade: Configurações → Privacidade → Exportar meus dados.
Revogação: Configurações → Integrações (desconectar qualquer serviço ou canal).
Se você é um terceiro cujos dados aparecem no conteúdo de uma empresa cliente (por exemplo, alguém que trocou e-mails com ela), o pedido deve ser feito à própria empresa, que é a controladora desse conteúdo. Se nos procurar, encaminharemos o pedido à empresa e a apoiaremos no atendimento.
Para os demais pedidos, ou se preferir, fale com o nosso encarregado pelo tratamento de dados pessoais (LGPD, art. 41): Nicola Zagari, pelo e-mail [email protected].
8. Cookies
Usamos um cookie de sessão estritamente necessário para manter você autenticado. Não usamos cookies de publicidade.
9. Alterações desta Política
Podemos atualizar esta Política periodicamente. Publicaremos a versão vigente nesta página, com a data de "última atualização" acima. Quando a alteração for relevante, poderemos pedir um novo aceite. As versões anteriores ficam guardadas e disponíveis para consulta (por exemplo, a versão de 30/09/2026).
10. Contato
Dúvidas sobre privacidade ou sobre o tratamento dos seus dados: [email protected].
Esta é uma versão anterior, guardada para consulta. A versão vigente está em /privacy.