Política de Privacidade

A EXYDIA SOLUCOES LTDA, inscrita no CNPJ sob o nº 63.545.322/0001-36, com sede na Rua 1 de Janeiro, 170, Andar 2, Sala 04, Itoupava Norte, Blumenau/SC, CEP 89053-580 ("Exydia", "nós"), criou esta Política de Privacidade ("Política") para explicar como tratamos dados pessoais quando você, cliente (concessionária/loja de veículos) ou lead (consumidor final), interage com nossa plataforma.

A Exydia é uma plataforma que oferece um agente de inteligência artificial para qualificação de leads e atendimento ao cliente via WhatsApp, voltado ao setor automotivo, incluindo CRM em formato Kanban, distribuição automática de leads e monitoramento de grupos de WhatsApp com resumos automáticos de veículos anunciados.

Papel da Exydia (operadora) e do Cliente (controlador). A Exydia é contratada por concessionárias e lojas de veículos ("Cliente") para operar a comunicação com os leads desses Clientes. Nessa relação, o Cliente é o controlador dos dados dos seus leads — é ele quem decide iniciar o contato e define a finalidade comercial daquele tratamento — e a Exydia atua como operadora, processando os dados em nome do Cliente, conforme instruções e finalidades por ele definidas, e nos termos do contrato firmado entre as partes. Cabe ao Cliente garantir que possui base legal (consentimento ou outra base da LGPD) para iniciar contato com cada lead.

Em caso de dúvida ou para exercer seus direitos como Titular de dados, entre em contato pelo canal informado na seção 10. Se você é lead de uma concessionária específica, recomendamos também contatar diretamente essa concessionária, controladora dos seus dados.

Encarregado de Dados (DPO). Eduardo (Edu) é o encarregado pelo tratamento de dados pessoais na Exydia, responsável por atender solicitações de titulares e supervisionar a conformidade com a LGPD. Contato na seção 10.

A Exydia conecta-se ao WhatsApp por meio de provedores de infraestrutura de mensageria e conectividade. Independentemente do provedor, a Exydia atua como operadora, tratando o conteúdo das conversas exclusivamente para prestar o serviço contratado (qualificação de leads, respostas automáticas, distribuição a vendedores, resumos etc.), conforme as instruções e finalidades definidas pelo Cliente controlador. A disponibilidade de cada modalidade pode variar conforme a fase de implantação da plataforma.

2.1. Conexão via API oficial do WhatsApp (Meta). Quando ativada, as mensagens trafegam pela infraestrutura da Meta Platforms, Inc., sob as regras, termos e política de privacidade da Meta. O número do Cliente pode ser suspenso ou restringido pela Meta em caso de descumprimento das políticas do WhatsApp Business (disparo em massa, uso de listas sem consentimento, denúncias) — responsabilidade do Cliente, conforme a seção 4.1.

2.2. Outros provedores de conectividade. Conforme a modalidade contratada, a conexão pode ocorrer por meio de provedores de infraestrutura de conectividade com o WhatsApp — que podem atuar como suboperadores nessa cadeia — ou por infraestrutura mantida pela própria Exydia. As características, responsabilidades e eventuais riscos específicos de cada modalidade são detalhados no Termo de Responsabilidade assinado pelo Cliente no momento da contratação. A relação de suboperadores envolvidos pode ser solicitada a qualquer momento pelo canal da seção 10.

2.3. Processamento por Inteligência Artificial (Lovable AI Gateway, OpenAI e Google Gemini). Independentemente da modalidade de conexão escolhida (2.1 ou 2.2), o conteúdo das conversas processado pelo agente de IA da Exydia passa pelo Lovable AI Gateway (Lovable Labs AB, com sede em Estocolmo, Suécia), que atua como um proxy técnico conectando a Exydia aos modelos de linguagem de terceiros — atualmente OpenAI (GPT) e, em parte, Google Gemini. Nessa relação, o Lovable AI Gateway, a OpenAI e o Google atuam como suboperadores, contratados pela Exydia para viabilizar o processamento pelo agente de IA, tratando o conteúdo estritamente para gerar respostas do agente e resumos automáticos, conforme as instruções e finalidades definidas pelo Cliente controlador. A Exydia permanece na condição de operadora em toda a cadeia de tratamento do conteúdo das conversas dos Leads e não utiliza esse conteúdo para finalidade própria distinta da prestação do serviço contratado. Essa transmissão pode envolver processamento de dados fora do território nacional (ver seção 6.1).

Dependendo do uso da plataforma, podemos tratar:

Dados de identificação: nome, número de telefone (WhatsApp) do lead e do vendedor/atendente.

Conteúdo das conversas: mensagens de texto, áudios e imagens trocados entre o lead e o agente de IA ou o vendedor humano.

Dados de qualificação do lead: respostas a perguntas configuradas pelo Cliente (ex: interesse em troca de veículo, orçamento, modelo desejado, respostas a perguntas personalizadas).

Dados de uso da plataforma: interações no CRM Kanban, status do lead, histórico de atribuição a vendedores.

Dados de grupos monitorados: quando o Cliente ativa essa funcionalidade, o número de WhatsApp conectado à Exydia é adicionado, por indicação do Cliente (via ID do grupo), a grupos dos quais participam terceiros (por exemplo, outros anunciantes de veículos). Essa adição é tecnicamente necessária para que a plataforma receba e processe as mensagens do grupo. O processamento automatizado pela IA limita-se ao conteúdo dos anúncios de veículos, para gerar resumos, não se destinando à coleta ou ao uso dos dados pessoais dos demais participantes do grupo para qualquer outra finalidade. Cabe ao Cliente, na qualidade de controlador, assegurar que possui base legal e que os participantes do grupo estão cientes do monitoramento.

3.1. Acesso humano ao conteúdo das conversas. Colaboradores da Exydia não acessam nem monitoram manualmente o conteúdo das conversas (de grupos ou individuais) por padrão. O acesso humano direto ao conteúdo ocorre apenas: (i) mediante solicitação ou autorização do Cliente, notadamente para suporte técnico, investigação de incidente ou atendimento a requisições de titulares; (ii) quando estritamente necessário para operação, manutenção, segurança da Plataforma ou investigação de uso indevido; ou (iii) para cumprimento de obrigação legal, regulatória ou ordem de autoridade competente. Todo acesso humano ao conteúdo das conversas é registrado em log de auditoria contendo, no mínimo, identificação do responsável, data, hora e motivo do acesso. O processamento automatizado realizado pelos agentes de inteligência artificial da própria Plataforma é inerente à prestação dos serviços e não constitui acesso humano para os fins desta seção.

Não coletamos dados sensíveis (saúde, origem racial, orientação sexual etc.) de forma intencional, e não os utilizamos para finalidade distinta caso apareçam incidentalmente em conversas.

Tratamos os dados acima para:

Qualificar leads automaticamente via agente de IA;

Distribuir leads entre vendedores da concessionária;

Permitir o atendimento humano quando o agente é pausado/transferido;

Gerar relatórios e dashboards de atribuição de leads para o Cliente;

Enviar e receber imagens e áudios como parte do atendimento;

Gerar resumos de veículos anunciados em grupos monitorados;

Cumprir obrigações legais e regulatórias.

4.1. Consentimento prévio (opt-in) e uso aceitável. O Cliente se compromete a iniciar contato via WhatsApp apenas com leads que tenham fornecido consentimento prévio (opt-in) para recebimento de mensagens, em conformidade com as políticas de mensageria do WhatsApp Business e com a LGPD, e a não realizar disparo em massa, uso de listas adquiridas sem consentimento ou qualquer prática que viole as políticas do WhatsApp/Meta. A Exydia não é responsável pela obtenção desse consentimento nem por eventuais suspensões, restrições ou banimentos aplicados pela Meta/WhatsApp em decorrência de conduta do Cliente — em qualquer das modalidades descritas na seção 2, inclusive na API oficial —, cabendo essa responsabilidade exclusivamente ao Cliente controlador da relação com o lead.

A base legal do tratamento muda conforme a relação:

5.1. Base legal da Exydia em relação ao Cliente. A Exydia trata os dados cadastrais, contratuais e de cobrança do próprio Cliente (concessionária) com base na execução de contrato firmado entre as partes. Nesse tratamento específico dos dados do próprio Cliente (concessionária), a Exydia atua como controladora; a condição de operadora descrita nesta Política refere-se ao tratamento dos dados dos Leads.

5.2. Base legal do Cliente em relação ao Lead. A definição da base legal para o contato do Cliente com seus leads é de responsabilidade exclusiva do Cliente, na qualidade de controlador dessa relação, e pode incluir, conforme o caso, consentimento do Lead (especialmente para comunicações que exijam opt-in conforme as políticas do WhatsApp Business) ou legítimo interesse para fins de atendimento comercial, respeitando direitos e liberdades do Titular. A Exydia não define, não avalia e não se responsabiliza pela base legal adotada pelo Cliente nessa relação — atuando apenas como operadora, conforme instruções do Cliente.

Podemos compartilhar dados pessoais com:

Meta Platforms, Inc. — quando o Cliente utiliza a API oficial;

Provedores de infraestrutura de conectividade com o WhatsApp — quando aplicável à modalidade contratada, conforme a seção 2.2;

Lovable AI Gateway, OpenAI e Google Gemini — para processamento do conteúdo pelo agente de IA, conforme seção 2.3;

O Cliente (concessionária) — que é o controlador da relação com o lead e acessa os dados via CRM da Exydia;

Prestadores de infraestrutura (hospedagem, banco de dados) necessários à operação da plataforma;

Autoridades públicas, mediante ordem judicial ou solicitação legal válida.

Não vendemos dados pessoais a terceiros.

6.1. Transferência internacional de dados. Alguns dos terceiros listados acima podem processar dados em servidores localizados fora do Brasil — notadamente o Lovable AI Gateway, a OpenAI e o Google, na qualidade de suboperadores, e a Meta, quando o Cliente utiliza a API oficial, hipótese em que a Meta trata os dados sob seus próprios termos e política de privacidade. Essas transferências observam os mecanismos previstos nos arts. 33 a 36 da LGPD e no Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19/2024), notadamente: (i) transferência para países ou organismos com nível de proteção reconhecido como adequado pela ANPD; ou (ii) adoção das cláusulas-padrão contratuais aprovadas pela ANPD, ou de outro mecanismo por ela reconhecido, que assegure nível de proteção equivalente ao da legislação brasileira. A Exydia busca contratar operadores que adotem esses mecanismos e padrões reconhecidos de proteção de dados.

Os dados pessoais tratados no âmbito da plataforma são mantidos durante a vigência do contrato entre a Exydia e o Cliente, e por até 12 (doze) meses após o seu encerramento, prazo utilizado para fins de auditoria, resolução de disputas e cumprimento de obrigações legais. Findo esse prazo, os dados são eliminados ou anonimizados, salvo quando a lei exigir prazo diverso ou houver solicitação de exclusão antecipada pelo Cliente ou pelo Titular, observadas as hipóteses legais de retenção da LGPD.

Adotamos medidas técnicas e administrativas para proteger os dados, incluindo controle de acesso e boas práticas de segurança compatíveis com cada modalidade de conexão descrita na seção 2. Contudo, nas modalidades de conexão não homologadas oficialmente pela Meta/WhatsApp, o Cliente reconhece os riscos específicos formalizados no Termo de Responsabilidade correspondente.

É responsabilidade do Cliente configurar e manter controles de acesso adequados para seus próprios usuários (vendedores, atendentes e demais colaboradores) dentro da plataforma, incluindo autenticação individual, gestão de senhas e revogação de acesso de usuários desligados. A Exydia disponibiliza os recursos técnicos para esse controle, mas não se responsabiliza por uso indevido decorrente de falha do Cliente em administrar corretamente os acessos de sua equipe.

No caso de período de teste encerrado sem conversão em plano pago, os dados tratados durante o teste seguem o prazo específico previsto nos Termos de Uso.

7.1. Resposta a incidentes de segurança. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, a Exydia se compromete a: (i) adotar medidas para conter e remediar o incidente; (ii) comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os Titulares afetados no prazo de 3 (três) dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, quando este puder acarretar risco ou dano relevante aos Titulares, nos termos da Resolução CD/ANPD nº 15/2024; e (iii) informar ao Cliente envolvido, para que este também possa cumprir suas próprias obrigações perante os leads afetados.

Nos termos da LGPD, você pode solicitar, a qualquer momento:

Confirmação da existência de tratamento;

Acesso, correção ou atualização de dados;

Anonimização, bloqueio ou eliminação de dados desnecessários;

Portabilidade de dados;

Informação sobre compartilhamento com terceiros;

Revogação de consentimento, quando aplicável;

Eliminação de dados tratados com base no consentimento.

Revisão de decisões automatizadas: solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo a qualificação e a distribuição de leads pelo agente de IA, nos termos do art. 20 da LGPD. Por atuar como operadora, a Exydia encaminhará solicitações dessa natureza ao Cliente controlador responsável pela relação com o Titular.

Solicitações devem ser feitas pelo canal de contato abaixo. Poderemos solicitar informações adicionais para confirmar sua identidade antes de atender ao pedido.

Esta seção trata de dados de visitantes do site exydia.com.br, antes de se tornarem Cliente contratante — uma relação distinta da tratada nas seções anteriores.

9.1. Cookies e ferramentas de analytics. O site institucional da Exydia pode utilizar cookies e ferramentas de analytics (como Google Analytics e Meta Pixel) para entender o tráfego do site, medir a performance de campanhas publicitárias e viabilizar remarketing. Cookies essenciais ao funcionamento do site são utilizados com base no legítimo interesse da Exydia; cookies não essenciais (analytics, publicidade) dependem de consentimento do visitante, coletado por meio de banner de cookies, conforme orientação da ANPD.

9.2. Formulário de contato e cadastro. Ao preencher o formulário de contato ou clicar em "Crie sua conta", o visitante fornece dados como nome, e-mail, telefone e nome da empresa. Esses dados são tratados com base no legítimo interesse da Exydia em responder à solicitação e, quando aplicável, no consentimento do visitante, para viabilizar o primeiro contato comercial. Esses dados são mantidos por até 6 (seis) meses caso não haja conversão em contrato, findo os quais são eliminados, salvo solicitação de retenção por parte do visitante interessado em contato futuro. Caso o visitante se torne Cliente contratante, os dados passam a ser tratados nos termos da seção 5.1 e das demais seções desta Política.

Para dúvidas sobre esta Política ou para exercer seus direitos como Titular:

Encarregado (DPO): Eduardo. E-mail: exydia.ia@gmail.com. Endereço: Rua 1 de Janeiro, 170, Andar 2, Sala 04, Itoupava Norte, Blumenau/SC, CEP 89053-580.

Esta Política pode ser atualizada periodicamente para refletir mudanças na plataforma, novas modalidades de conexão ou exigências legais. A versão vigente estará sempre disponível em https://exydia.com.br/politica-de-privacidade, com a data da última atualização indicada no topo do documento.

Este Aviso não substitui os Termos de Uso da plataforma Exydia, documento à parte que rege as condições contratuais de uso do serviço. Em caso de conflito quanto a questões de proteção de dados, prevalece esta Política.