Política de Privacidade

A EXYDIA SOLUCOES LTDA, inscrita no CNPJ sob o nº 63.545.322/0001-36, com sede na Rua 1 de Janeiro, 170, Andar 2, Sala 04, Itoupava Norte, Blumenau/SC, CEP 89053-580 ("Exydia", "nós"), criou esta Política de Privacidade ("Política") para explicar como tratamos dados pessoais quando você, cliente (concessionária/loja de veículos) ou lead (consumidor final), interage com nossa plataforma.

A Exydia é uma plataforma que oferece um agente de inteligência artificial para qualificação de leads e atendimento ao cliente via WhatsApp, voltado ao setor automotivo, incluindo CRM em formato Kanban, distribuição automática de leads e monitoramento de grupos de WhatsApp com resumos automáticos de veículos anunciados.

Papel da Exydia (operadora) e do Cliente (controlador). A Exydia é contratada por concessionárias e lojas de veículos ("Cliente") para operar a comunicação com os leads desses Clientes. Nessa relação, o Cliente é o controlador dos dados dos seus leads — é ele quem decide iniciar o contato e define a finalidade comercial daquele tratamento — e a Exydia atua como operadora, processando os dados em nome do Cliente, conforme instruções e finalidades por ele definidas, e nos termos do contrato firmado entre as partes. Cabe ao Cliente garantir que possui base legal (consentimento ou outra base da LGPD) para iniciar contato com cada lead.

Em caso de dúvida ou para exercer seus direitos como Titular de dados, entre em contato pelo canal informado na seção 10. Se você é lead de uma concessionária específica, recomendamos também contatar diretamente essa concessionária, controladora dos seus dados.

Encarregado de Dados (DPO). Eduardo (Edu) é o encarregado pelo tratamento de dados pessoais na Exydia, responsável por atender solicitações de titulares e supervisionar a conformidade com a LGPD. Contato na seção 10.

Diferente de uma plataforma que usa um único método de conexão, a Exydia opera com três arquiteturas possíveis, escolhidas pelo Cliente (a concessionária) no momento da contratação. O caminho que seus dados percorrem muda dependendo de qual modalidade está ativa na conta do Cliente. Por isso, detalhamos cada uma separadamente abaixo.

2.1. API Oficial do WhatsApp (Meta). Quando o Cliente opta pela API oficial, as mensagens trafegam diretamente pela infraestrutura da Meta Platforms, Inc., sob as regras, termos e política de privacidade da própria Meta. A Exydia atua como desenvolvedora de uma solução conectada à API oficial, processando o conteúdo das conversas apenas para prestar o serviço contratado (qualificação de leads, respostas automáticas, distribuição a vendedores etc.).

Ainda que a API oficial não apresente o risco de conexão não homologada descrito nas seções 2.2 e 2.3, o número do Cliente pode igualmente ser suspenso, restringido ou banido pela própria Meta em caso de descumprimento das políticas do WhatsApp Business (ex: disparo em massa, uso da lista de contatos sem consentimento, denúncias de usuários). Essa responsabilidade é do Cliente, conforme detalhado na seção 4.1.

Nota sobre grupos de WhatsApp: na versão atual, o envio automatizado de resumos para grupos de WhatsApp está disponível apenas nas modalidades Z-API e Evolution (seções 2.2 e 2.3), devido a custos de mensageria cobrados pela Meta para esse tipo de envio na API oficial. Essa disponibilidade pode mudar em versões futuras da plataforma.

2.2. Z-API (parceira — API não oficial). Quando o Cliente opta pela Z-API, os dados das conversas passam pela infraestrutura da Z-API TECNOLOGIA DA INFORMAÇÃO LTDA., CNPJ 29.249.718/0001-06, sediada em Maringá/PR, que atua como operadora de dados nessa cadeia — ou seja, um terceiro que processa dados em nosso nome e do Cliente para viabilizar a conexão com o WhatsApp. Diversos clientes da Exydia podem estar conectados à mesma infraestrutura da Z-API. Recomendamos a leitura da política de privacidade própria da Z-API, disponível em seu site oficial, para mais detalhes sobre o tratamento realizado por ela.

Esta modalidade utiliza um método de conexão não homologado oficialmente pela Meta/WhatsApp, o que implica um risco adicional de suspensão ou banimento do número — somado ao risco de mau uso já descrito na seção 4.1, presente em qualquer modalidade —, fora do controle da Exydia ou da Z-API. Esse risco e as responsabilidades de cada parte são formalizados em Termo de Responsabilidade específico, assinado pelo Cliente no momento da contratação desta modalidade.

2.3. Evolution API (self-hosted — infraestrutura própria da Exydia). Quando o Cliente opta pela conexão via Evolution API, a conexão é mantida em infraestrutura própria da Exydia (VPS controlada por nós), e não por um operador terceiro. Nessa modalidade, a Exydia é responsável direta pela segurança, armazenamento e integridade dos dados durante todo o fluxo de mensagens, imagens e áudios recebidos e enviados.

Assim como na Z-API, trata-se de um método de conexão não homologado oficialmente pela Meta/WhatsApp, sujeito ao mesmo risco adicional de suspensão do número pela plataforma — somado ao risco de mau uso da seção 4.1, presente em qualquer modalidade. Este risco e a alocação de responsabilidades também constam do Termo de Responsabilidade assinado pelo Cliente.

2.4. Processamento por Inteligência Artificial (Lovable AI Gateway, OpenAI e Google Gemini). Independentemente da modalidade de conexão escolhida (2.1, 2.2 ou 2.3), o conteúdo das conversas processado pelo agente de IA da Exydia passa pelo Lovable AI Gateway (Lovable Labs AB, com sede em Estocolmo, Suécia), que atua como um proxy técnico conectando a Exydia aos modelos de linguagem de terceiros — atualmente OpenAI (GPT) e, em parte, Google Gemini. Nessa relação, o Lovable AI Gateway, a OpenAI e o Google atuam como suboperadores, contratados pela Exydia para viabilizar o processamento pelo agente de IA, tratando o conteúdo estritamente para gerar respostas do agente e resumos automáticos, conforme as instruções e finalidades definidas pelo Cliente controlador. A Exydia permanece na condição de operadora em toda a cadeia de tratamento e não utiliza o conteúdo das conversas para finalidade própria distinta da prestação do serviço contratado. Essa transmissão pode envolver processamento de dados fora do território nacional (ver seção 6.1).

Dependendo do uso da plataforma, podemos tratar:

Dados de identificação: nome, número de telefone (WhatsApp) do lead e do vendedor/atendente.

Conteúdo das conversas: mensagens de texto, áudios e imagens trocados entre o lead e o agente de IA ou o vendedor humano.

Dados de qualificação do lead: respostas a perguntas configuradas pelo Cliente (ex: interesse em troca de veículo, orçamento, modelo desejado, respostas a perguntas personalizadas).

Dados de uso da plataforma: interações no CRM Kanban, status do lead, histórico de atribuição a vendedores.

Dados de grupos monitorados: quando o Cliente ativa essa funcionalidade, o número de WhatsApp conectado à Exydia é adicionado, por indicação do Cliente (via ID do grupo), a grupos dos quais participam terceiros (por exemplo, outros anunciantes de veículos). Essa adição é tecnicamente necessária para que a plataforma receba e processe as mensagens do grupo. O processamento automatizado pela IA limita-se ao conteúdo dos anúncios de veículos, para gerar resumos, não se destinando à coleta ou ao uso dos dados pessoais dos demais participantes do grupo para qualquer outra finalidade. Cabe ao Cliente, na qualidade de controlador, assegurar que possui base legal e que os participantes do grupo estão cientes do monitoramento. Colaboradores da Exydia não acessam nem monitoram manualmente o conteúdo das conversas por padrão; o acesso humano direto ao conteúdo (de grupos ou individuais) só ocorre mediante solicitação e autorização expressa do Cliente, por exemplo para fins de suporte ou configuração.

Não coletamos dados sensíveis (saúde, origem racial, orientação sexual etc.) de forma intencional, e não os utilizamos para finalidade distinta caso apareçam incidentalmente em conversas.

Tratamos os dados acima para:

Qualificar leads automaticamente via agente de IA;

Distribuir leads entre vendedores da concessionária;

Permitir o atendimento humano quando o agente é pausado/transferido;

Gerar relatórios e dashboards de atribuição de leads para o Cliente;

Enviar e receber imagens e áudios como parte do atendimento;

Gerar resumos de veículos anunciados em grupos monitorados;

Cumprir obrigações legais e regulatórias.

4.1. Consentimento prévio (opt-in) e uso aceitável. O Cliente se compromete a iniciar contato via WhatsApp apenas com leads que tenham fornecido consentimento prévio (opt-in) para recebimento de mensagens, em conformidade com as políticas de mensageria do WhatsApp Business e com a LGPD, e a não realizar disparo em massa, uso de listas adquiridas sem consentimento ou qualquer prática que viole as políticas do WhatsApp/Meta. A Exydia não é responsável pela obtenção desse consentimento nem por eventuais suspensões, restrições ou banimentos aplicados pela Meta/WhatsApp em decorrência de conduta do Cliente — em qualquer das modalidades descritas na seção 2, inclusive na API oficial —, cabendo essa responsabilidade exclusivamente ao Cliente controlador da relação com o lead.

A base legal do tratamento muda conforme a relação:

5.1. Base legal da Exydia em relação ao Cliente. A Exydia trata os dados cadastrais, contratuais e de cobrança do próprio Cliente (concessionária) com base na execução de contrato firmado entre as partes.

5.2. Base legal do Cliente em relação ao Lead. A definição da base legal para o contato do Cliente com seus leads é de responsabilidade exclusiva do Cliente, na qualidade de controlador dessa relação, e pode incluir, conforme o caso, consentimento do Lead (especialmente para comunicações que exijam opt-in conforme as políticas do WhatsApp Business) ou legítimo interesse para fins de atendimento comercial, respeitando direitos e liberdades do Titular. A Exydia não define, não avalia e não se responsabiliza pela base legal adotada pelo Cliente nessa relação — atuando apenas como operadora, conforme instruções do Cliente.

Podemos compartilhar dados pessoais com:

Meta Platforms, Inc. — quando o Cliente utiliza a API oficial;

Z-API Tecnologia da Informação Ltda. — quando o Cliente utiliza essa modalidade, na qualidade de operadora;

Lovable AI Gateway, OpenAI e Google Gemini — para processamento do conteúdo pelo agente de IA, conforme seção 2.4;

O Cliente (concessionária) — que é o controlador da relação com o lead e acessa os dados via CRM da Exydia;

Prestadores de infraestrutura (hospedagem, banco de dados) necessários à operação da plataforma;

Autoridades públicas, mediante ordem judicial ou solicitação legal válida.

Não vendemos dados pessoais a terceiros.

6.1. Transferência internacional de dados. Alguns dos operadores acima (notadamente Meta, Lovable AI Gateway, OpenAI e Google) podem processar dados em servidores localizados fora do Brasil. Essas transferências observam os mecanismos previstos nos arts. 33 a 36 da LGPD e no Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024), notadamente: (i) transferência para países ou organismos com nível de proteção reconhecido como adequado pela ANPD; ou (ii) adoção das cláusulas-padrão contratuais aprovadas pela ANPD, ou de outro mecanismo por ela reconhecido, que assegure nível de proteção equivalente ao da legislação brasileira. A Exydia busca contratar operadores que adotem esses mecanismos e padrões reconhecidos de proteção de dados.

Os dados pessoais tratados no âmbito da plataforma são mantidos durante a vigência do contrato entre a Exydia e o Cliente, e por até 12 (doze) meses após o seu encerramento, prazo utilizado para fins de auditoria, resolução de disputas e cumprimento de obrigações legais. Findo esse prazo, os dados são eliminados ou anonimizados, salvo quando a lei exigir prazo diverso ou houver solicitação de exclusão antecipada pelo Cliente ou pelo Titular, observadas as hipóteses legais de retenção da LGPD.

Adotamos medidas técnicas e administrativas para proteger os dados, incluindo controle de acesso e boas práticas de segurança compatíveis com cada modalidade de conexão descrita na seção 2. Contudo, nas modalidades não oficiais (Z-API e Evolution), o Cliente reconhece os riscos específicos formalizados no Termo de Responsabilidade correspondente.

É responsabilidade do Cliente configurar e manter controles de acesso adequados para seus próprios usuários (vendedores, atendentes e demais colaboradores) dentro da plataforma, incluindo autenticação individual, gestão de senhas e revogação de acesso de usuários desligados. A Exydia disponibiliza os recursos técnicos para esse controle, mas não se responsabiliza por uso indevido decorrente de falha do Cliente em administrar corretamente os acessos de sua equipe.

7.1. Resposta a incidentes de segurança. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, a Exydia se compromete a: (i) adotar medidas para conter e remediar o incidente; (ii) comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os Titulares afetados no prazo de 3 (três) dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, quando este puder acarretar risco ou dano relevante aos Titulares, nos termos da Resolução CD/ANPD nº 15/2024; e (iii) informar ao Cliente envolvido, para que este também possa cumprir suas próprias obrigações perante os leads afetados.

Nos termos da LGPD, você pode solicitar, a qualquer momento:

Confirmação da existência de tratamento;

Acesso, correção ou atualização de dados;

Anonimização, bloqueio ou eliminação de dados desnecessários;

Portabilidade de dados;

Informação sobre compartilhamento com terceiros;

Revogação de consentimento, quando aplicável;

Eliminação de dados tratados com base no consentimento.

Revisão de decisões automatizadas: solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo a qualificação e a distribuição de leads pelo agente de IA, nos termos do art. 20 da LGPD. Por atuar como operadora, a Exydia encaminhará solicitações dessa natureza ao Cliente controlador responsável pela relação com o Titular.

Solicitações devem ser feitas pelo canal de contato abaixo. Poderemos solicitar informações adicionais para confirmar sua identidade antes de atender ao pedido.

Esta seção trata de dados de visitantes do site exydia.com.br, antes de se tornarem Cliente contratante — uma relação distinta da tratada nas seções anteriores.

9.1. Cookies e ferramentas de analytics. O site institucional da Exydia pode utilizar cookies e ferramentas de analytics (como Google Analytics e Meta Pixel) para entender o tráfego do site, medir a performance de campanhas publicitárias e viabilizar remarketing. Cookies essenciais ao funcionamento do site são utilizados com base no legítimo interesse da Exydia; cookies não essenciais (analytics, publicidade) dependem de consentimento do visitante, coletado por meio de banner de cookies, conforme orientação da ANPD.

9.2. Formulário de contato e cadastro. Ao preencher o formulário de contato ou clicar em "Crie sua conta", o visitante fornece dados como nome, e-mail, telefone e nome da empresa. Esses dados são tratados com base no legítimo interesse da Exydia em responder à solicitação e, quando aplicável, no consentimento do visitante, para viabilizar o primeiro contato comercial. Esses dados são mantidos por até 6 (seis) meses caso não haja conversão em contrato, findo os quais são eliminados, salvo solicitação de retenção por parte do visitante interessado em contato futuro. Caso o visitante se torne Cliente contratante, os dados passam a ser tratados nos termos da seção 5.1 e das demais seções desta Política.

Para dúvidas sobre esta Política ou para exercer seus direitos como Titular:

Encarregado (DPO): Eduardo. E-mail: exydia.ia@gmail.com. Endereço: Rua 1 de Janeiro, 170, Andar 2, Sala 04, Itoupava Norte, Blumenau/SC, CEP 89053-580.

Esta Política pode ser atualizada periodicamente para refletir mudanças na plataforma, novas modalidades de conexão ou exigências legais. A versão vigente estará sempre disponível em https://exydia.com.br/politica-de-privacidade, com a data da última atualização indicada no topo do documento.

Este Aviso não substitui os Termos de Uso da plataforma Exydia, documento à parte que rege as condições contratuais de uso do serviço. Em caso de conflito quanto a questões de proteção de dados, prevalece esta Política.