Política de Privacidade

A Devra Group, CNPJ nº 62.344.871/0001-80, com sede na Av. Gilberto Carvalho, 271 – Inoã, Maricá – RJ, CEP 24942-395 ("Devra", "nós"), explica aqui como trata dados pessoais no site devra.group, no painel administrativo, no portal do cliente, nos canais de WhatsApp e nas integrações com serviços de terceiros, inclusive o Google Agenda, conforme a Lei nº 13.709/2018 (LGPD).

Este documento complementa os Termos de Uso.

1. Conceitos

• Dado pessoal: informação sobre pessoa natural identificada ou identificável.
• Titular: a pessoa a quem os dados se referem.
• Controlador: quem decide sobre o tratamento. A Devra é controladora dos dados do site, do painel e dos seus próprios clientes.
• Operador: quem trata dados em nome do controlador. Quando a Devra presta serviços a uma empresa cliente (por exemplo, o atendimento por WhatsApp ou a agenda dos clientes dela), a Devra atua como operadora, e a empresa cliente é a controladora.

2. A quem se aplica

Aplica-se a visitantes do site, a quem preenche formulários, a clientes e usuários do painel e do portal, a pessoas que conversam com a Devra ou com os clientes da Devra por WhatsApp e a usuários que conectam a própria conta Google.

3. Dados que coletamos e finalidades

Não coletamos dados sensíveis (art. 5º, II) de propósito. Pedimos que eles não sejam enviados pelos nossos canais.

4. Dados de usuário do Google (Google Agenda)

Quando você ou sua empresa conecta uma conta Google à Devra, pedimos somente estas permissões:

• https://www.googleapis.com/auth/calendar.events: criar, consultar e cancelar eventos na agenda conectada.
• https://www.googleapis.com/auth/userinfo.email: identificar o endereço de e-mail da conta conectada.

O que acessamos: o e-mail da conta e os eventos da agenda conectada: título, data e horário, participantes, link do Google Meet e status. Acessamos só o necessário para a agenda funcionar dentro da plataforma.

Como usamos:

• para criar eventos de agendamentos feitos pelo painel ou pelo atendimento de WhatsApp, inclusive com convite aos participantes e link do Meet, quando solicitado;
• para mostrar a agenda e a disponibilidade dentro do painel e assim evitar conflitos de horário;
• para cancelar eventos quando o agendamento é cancelado.

O que NÃO fazemos com dados do Google:

• não vendemos nem alugamos esses dados;
• não usamos para publicidade, nem para publicidade personalizada ou redirecionada;
• não usamos para treinar, desenvolver ou melhorar modelos de inteligência artificial ou aprendizado de máquina, sejam nossos ou de terceiros;
• não deixamos pessoas lerem esses dados, salvo com seu consentimento explícito, quando necessário por segurança (por exemplo, investigar abuso), para cumprir a lei ou quando os dados estão agregados e anonimizados para operações internas;
• não transferimos esses dados a terceiros, exceto quando necessário para prestar ou melhorar o recurso de agenda, por exigência legal ou em fusão ou aquisição, com aviso prévio.

Armazenamento e proteção: os tokens de acesso do Google ficam armazenados de forma criptografada nos nossos servidores, e o acesso é restrito. Dos eventos, guardamos apenas um registro mínimo (identificador, título e horário) dos agendamentos criados pela plataforma. A comunicação com o Google usa HTTPS/TLS.

Retenção e exclusão: mantemos os dados enquanto a conta estiver conectada. Ao desconectar, apagamos os tokens. Os registros de eventos são apagados em até 30 dias após a desconexão da agenda, ressalvadas obrigações legais.

Como revogar o acesso:

1. no painel da Devra ou no portal do cliente, em Agenda, use a opção Desconectar; ou
2. acesse myaccount.google.com/permissions e remova o acesso da Devra; e/ou
3. peça a exclusão pelo e-mail delguerso@devra.group ou pela página Exclusão de dados.

Uso Limitado. O uso e a transferência, pela Devra, de informações recebidas das APIs do Google para qualquer outro aplicativo cumprirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

5. Inteligência artificial

Alguns recursos, como o atendimento automatizado por WhatsApp e as consultas no painel, usam modelos de IA para interpretar mensagens e gerar respostas. Nesses casos, o conteúdo necessário para responder é processado por um gateway próprio e por um provedor de modelos de linguagem contratado, a Nous Research, Inc. (Nous Portal), com sede em Austin, Texas, Estados Unidos. Também mantemos um índice interno de busca (RAG) com conteúdo operacional, que exclui dados pessoais de clientes finais, senhas e chaves. Dados recebidos das APIs do Google não são usados para treinar modelos de IA. Você pode pedir atendimento humano a qualquer momento.

6. Cookies

Usamos cookies essenciais (sessão e login) e, com o seu consentimento, cookies de análise do Google Analytics. Você pode recusar ou apagar os cookies pelo navegador ou pelo nosso aviso de cookies, exibido na primeira visita. O Google Analytics só é carregado depois que você aceita, e você pode mudar sua escolha a qualquer momento.

7. Compartilhamento

Compartilhamos dados apenas com operadores que nos ajudam a prestar os serviços, sob obrigação de confidencialidade:

• Hostinger: hospedagem dos servidores (VPS), em datacenter localizado no Brasil (região de São Paulo);
• Meta Platforms (WhatsApp Cloud API): envio e recebimento de mensagens;
• Google: Agenda, Meet e Analytics;
• Mercado Pago: processamento de pagamentos e cobranças;
• provedor de e-mail (SMTP): Google (Gmail / Google Workspace): e-mails transacionais;
• provedor de modelos de IA: Nous Research, Inc. (Nous Portal), Austin, Texas, Estados Unidos (transferência internacional nos termos da LGPD);
• autoridades públicas, quando a lei ou uma ordem judicial exigir.

8. Transferência internacional

Alguns provedores (Google, Meta e o provedor de IA, por exemplo) podem tratar dados fora do Brasil. Nesses casos adotamos as garantias do art. 33 da LGPD, como cláusulas contratuais padrão e a adesão a programas de conformidade dos próprios provedores.

9. Segurança

Usamos HTTPS, controle de acesso por perfil, senhas com hash, criptografia de tokens de integração, backups diários com acesso restrito e monitoramento. Se houver um incidente relevante, comunicaremos a ANPD e os titulares afetados, conforme o art. 48 da LGPD.

10. Retenção

• Leads: até 24 meses sem contratação.
• Dados contratuais e financeiros: pelo prazo legal, fiscal ou de prescrição (em geral, até 5 anos após o fim do contrato).
• Registros de acesso: no mínimo 6 meses (Marco Civil da Internet).
• Mensagens de WhatsApp: até 24 meses.
• Backups: mantidos por até 14 dias e depois sobrescritos.
• Dados do Google: ver a seção 4.

11. Direitos do titular

Pelo art. 18 da LGPD, você pode pedir: confirmação do tratamento; acesso; correção; anonimização, bloqueio ou eliminação; portabilidade; informação sobre compartilhamentos; informação sobre a possibilidade de não consentir; revogação do consentimento; oposição; e revisão de decisões automatizadas (art. 20). Respondemos em até 15 dias. Se a Devra atuar como operadora, encaminharemos o seu pedido à empresa controladora. Você também pode reclamar à ANPD (gov.br/anpd).

12. Crianças e adolescentes

Nossos serviços não se destinam a menores de 18 anos.

13. Alterações

Mudanças relevantes serão avisadas no site ou por e-mail. Se mudarmos o uso de dados do Google, pediremos um novo consentimento.

14. Contato e Encarregado (DPO)

• Encarregado: Renato Del Guerso
• E-mail: delguerso@devra.group
• Endereço: Av. Gilberto Carvalho, 271 – Inoã, Maricá – RJ, 24942-395
• Exclusão de dados: https://devra.group/exclusao-dados