Política de Privacidade

II. De quem são os dados abrangidos e qual é o nosso papel

A Giov lida com diversos grupos de pessoas. O papel jurídico é diferente para cada um deles.

• Operadores e administradores do workspace: você cria uma conta conosco. Somos o controlador dessa conta, da identidade de cobrança e dos dados de uso do produto.
• Pessoas que visitam nosso site institucional ou nos enviam e-mail: somos o controlador dos dados dessa consulta e do site.
• Seus clientes e os visitantes do seu site ou aplicativo (“Usuários Finais”): quando conversam por meio de um widget, de um SDK ou de um canal que você conecta, você é o controlador. Tratamos esses dados conforme as suas instruções, na qualidade de operador.
• Pessoas cujas mensagens chegam por e-mail, WhatsApp, Messenger, Instagram ou Telegram conectados: em regra, você é o controlador; o provedor conectado é um controlador ou operador distinto, nos termos dos seus próprios termos. Tratamos as mensagens que chegam à sua caixa de entrada da Giov como seu operador.

III. As superfícies do produto que este aviso descreve

Dependendo do seu plano e da sua configuração, a Giov pode tratar dados em relação a:

• Páginas institucionais, preços, checkout e criação de conta.
• O painel do operador: caixa de entrada, atribuição, notas, busca, filtros, horário de atendimento, avaliações e assentos de equipe.
• O widget do site e sua aparência, domínios e campos de pré-chat (nome, e-mail, telefone).
• O SDK React Native / móvel nos aplicativos que você publica.
• Caixas de e-mail conectadas nos planos Pro, Business e Advanced, e integrações com WhatsApp, Messenger, Instagram e Telegram nos planos Business e Advanced.
• O aplicativo móvel do operador da Giov, o registro de dispositivos e as notificações push, separadamente do SDK que você incorpora no seu próprio aplicativo.
• Perfis de visitantes, hub de contatos, atributos personalizados, segmentação, rastreamento de páginas e linhas do tempo.
• Histórico de conversas, anexos de arquivos, exportações e logs de auditoria.
• Análises e diagnósticos do workspace.
• GiovBot: conhecimento, procedimentos, salvaguardas, testes, chamadas a modelos hospedados e chamadas com chave própria (bring-your-own-key).
• Cobrança, períodos de teste, direitos do plano e créditos de IA hospedada.

IV. Categorias de dados pessoais

V. Finalidades e bases legais (GDPR do Reino Unido / da UE)

Quando o GDPR for aplicável, nos baseamos nas bases abaixo. Existem conceitos semelhantes em outros regimes (contrato, legítimo interesse, consentimento, obrigação legal).

• Artigo 6(1)(b), contrato: criação de conta, prestação dos Serviços, aplicação dos limites do plano e dos créditos, envio de e-mails de verificação e de segurança.
• Artigo 6(1)(c), obrigação legal: obrigações fiscais e contábeis e resposta a solicitações legais.
• Artigo 6(1)(f), legítimo interesse: proteger o serviço, prevenir abusos, compreender o uso do produto de forma limitada, melhorar a confiabilidade e responder a consultas. Você pode se opor; veja Direitos.
• Artigo 6(1)(a), consentimento: cookies opcionais de estatísticas ou de marketing por meio do Cloudflare Zaraz e e-mails de marketing opcionais. Você pode retirar o consentimento sem afetar o serviço essencial.
• Para os dados de Usuários Finais no seu widget ou nos seus canais, você determina a base (normalmente o seu contrato com essa pessoa, o legítimo interesse em prestar suporte ou o consentimento para cookies / mensagens de marketing).

VI. Pagamentos

Os planos pagos são vendidos no checkout por nossa revendedora online, a Paddle.com, que atua como Merchant of Record (comerciante registrada) da compra. Os dados do cartão são coletados pela Paddle, não pela Giov.

Recebemos o e-mail usado no checkout, o status da assinatura e os identificadores necessários para ativar os recursos pagos no seu workspace. O tratamento dos dados do comprador pela Paddle é descrito em seu aviso de privacidade em https://www.paddle.com/legal/privacy.

VII. Destinatários

Compartilhamos dados com fornecedores somente na medida necessária para operar a Giov. Destinatários típicos:

• Cloudflare, por meio da qual operamos a plataforma Giov, incluindo DNS, entrega de conteúdo, Workers, armazenamento e gerenciamento de consentimento / tags do Zaraz. O tratamento utiliza a rede global da Cloudflare; o tratamento da conta e do plano de controle ocorre normalmente nos Estados Unidos e no Espaço Econômico Europeu.
• Resend, para e-mails de verificação, conta, cobrança, resumo e notificação de conversas offline, incluindo endereços de destinatários e conteúdo das mensagens. O tratamento ocorre normalmente nos Estados Unidos.
• Expo, para a entrega de push no aplicativo móvel do operador, incluindo tokens de push do dispositivo e conteúdo das notificações. A entrega também usa o serviço de notificações da plataforma do dispositivo. O tratamento ocorre normalmente nos Estados Unidos.
• Paddle.com, para o checkout pago, faturas e estado da assinatura. O tratamento ocorre normalmente no Reino Unido, no Espaço Econômico Europeu e nos Estados Unidos.
• Cloudflare Workers AI, para inferência e embeddings hospedados, e Cloudflare AI Gateway, quando usado para rotear solicitações a modelos. Com a sua própria chave, o provedor configurado também recebe o prompt e o contexto relevantes. A disponibilidade dos modelos e os locais desse provedor dependem da sua configuração.
• Seu provedor de e-mail conectado e a infraestrutura que executa o transporte de e-mail da Giov, para acesso à caixa de e-mail, sincronização e envio de respostas. Os locais seguem o provedor e a região em que o transporte é executado.
• Nos planos Business e Advanced, o provedor de identidade OIDC ou SAML 2.0 que você configurar, como Microsoft Entra ID, Google Workspace, Okta, Auth0 ou OneLogin, recebe a solicitação de login e devolve as declarações de identidade necessárias para corresponder a um operador existente. Se você configurar o SCIM, o provedor envia à Giov alterações de perfil e de ativação de operadores para que o workspace possa provisionar ou desativar o acesso. Aplicam-se os termos e os locais desse provedor.
• Destinatários por trás das ferramentas externas que você configurar para o GiovBot, para executar as ações ativadas usando os argumentos enviados a essas ferramentas. Os locais seguem essas ferramentas.
• Assessores profissionais (jurídicos, contábeis), sob confidencialidade.
• Autoridades, quando exigido por lei, ou partes de uma transferência empresarial genuína com proteções equivalentes.

VIII. Transferências internacionais

Operamos a plataforma Giov por meio da Cloudflare, e a Giov pode ser acessada a partir de mais de um país. Os fornecedores podem tratar dados no Reino Unido, no Espaço Econômico Europeu, nos Estados Unidos ou em outras regiões. Vendemos a clientes em todo o mundo, de modo que os seus Operadores e Usuários Finais podem estar em qualquer lugar que você permitir.

Quando a lei aplicável exigir uma salvaguarda para uma transferência internacional, um mecanismo de transferência adequado deve abranger essa transferência. Dependendo da lei e do destino, isso pode envolver uma decisão de adequação, salvaguardas contratuais e medidas adicionais. Este aviso, por si só, não formaliza as cláusulas contratuais padrão da UE nem o UK International Data Transfer Addendum (Adendo de Transferência Internacional de Dados do Reino Unido), e a menção a um mecanismo neste documento não significa que ele abranja todos os fornecedores ou destinos. Entre em contato com legal@giovchat.app para obter os locais de tratamento, as salvaguardas aplicáveis e as informações sobre provedores relevantes para o seu workspace, incluindo as transferências abrangidas pela lei nigeriana, queniana ou sul-africana.

IX. Retenção

• Os registros da conta e do workspace são retidos para prestar o workspace, manter sua segurança e cumprir as obrigações de guarda de registros aplicáveis. O cancelamento de um plano pago ou a remoção de um Operador não exclui, por si só, o workspace.
• Prazos de retenção de conversas, uma vez ativada a exclusão por idade: Starter, 90 dias após a última atividade; Pro, 12 meses-calendário UTC após a última atividade; Business e Advanced, sem limite de idade por plano. A exclusão por idade só começa em uma data de início publicada, após aviso aos clientes. Até essa data, as conversas não são excluídas automaticamente por idade. Os fios marcados para eliminação são retirados da caixa de entrada, da busca e da exportação enquanto a exclusão é concluída. Contatos, fontes de conhecimento, índices vetoriais, caches e backups não são removidos por essa rotina de conversas.
• Um limite de exibição do histórico não equivale a exclusão. Os registros podem permanecer em armazenamento, logs ou backups depois de deixarem de aparecer no produto, até que o ciclo de exclusão ou de backup aplicável termine.
• Identificadores de cobrança e faturas: conforme exigido pelos prazos fiscais e de disputas (frequentemente até seis anos no Reino Unido).
• Correspondência de suporte e jurídica: pelo tempo necessário para resolver o assunto e manter um registro limitado.
• Registros de consentimento do Zaraz: de acordo com a duração do cookie de consentimento da Cloudflare, para que possamos demonstrar que uma escolha foi registrada.
• Exclusão de uma conta da empresa: o proprietário do workspace pode excluir toda a conta da empresa no painel, em Configurações, Empresa, Excluir conta da empresa, após confirmar sua senha e o nome da empresa. Uma assinatura paga ativa deve ser cancelada antes. A exclusão é agendada para 30 dias após a confirmação. Bloqueios de cobrança ou de retenção podem pausar a eliminação. O workspace continua funcionando durante o período de cancelamento e o proprietário pode cancelar antes de a eliminação começar, inclusive enquanto a exclusão estiver pausada. Enviamos e-mail ao proprietário quando a exclusão é agendada, cancelada e concluída.
• O que uma exclusão de conta da empresa elimina: após o período de cancelamento de 30 dias, começamos a eliminar as conversas e mensagens do workspace, os anexos e demais arquivos armazenados, os registros de clientes e contatos, as fontes de conhecimento e suas entradas no índice de busca, as exportações, as conexões de canais, os membros da equipe, as configurações, o histórico de auditoria e o próprio registro do workspace. A conclusão segue a limpeza do banco de dados, do índice de busca e dos arquivos armazenados. Workspaces maiores ou interrupções do serviço podem levar mais tempo, e a limpeza que falhar é repetida. As contas de login que não pertencem a nenhum outro workspace são excluídas junto, incluindo sua senha e suas configurações de autenticação de dois fatores. Os dados eliminados não podem ser recuperados.
• Exclusão da conta de um Operador: qualquer Operador que não seja o proprietário do workspace pode solicitar a exclusão da própria conta em Configurações, Perfil, Excluir minha conta, e pode retirar a solicitação enquanto ela estiver pendente. Um administrador do workspace vê a solicitação no painel e a aprova ou recusa. Com a aprovação, o Operador é removido desse workspace e perde o acesso imediatamente; seu login, senha e configurações de autenticação de dois fatores são excluídos, a menos que outro workspace ainda use o mesmo login. As conversas, notas e demais trabalhos que ele tratou permanecem com o workspace como parte de seu histórico de suporte, porque esse histórico pertence ao Cliente.
• O que permanece após a exclusão: um registro mínimo de que a exclusão de uma conta da empresa foi solicitada e concluída (identificador do workspace e datas, sem nomes ou endereços de e-mail); identificadores de cobrança e faturas mantidos por nós ou por nosso provedor de pagamentos pelos períodos descritos acima; cópias em backups criptografados, que são protegidas contra uso ordinário e removidas pelo ciclo de vida dos backups; caches e estados operacionais de curta duração, que expiram por conta própria; e mensagens já entregues a canais de terceiros, como e-mail ou aplicativos de mensagens, que esses provedores controlam.
• Você pode solicitar a exclusão sem fazer login em account deletion request form. Informe seu e-mail, o nome da empresa ou do negócio e o escopo da solicitação, e depois confirme o e-mail de verificação em até 24 horas. A verificação envia uma solicitação para análise; ela não exclui os dados imediatamente. As solicitações da empresa exigem o proprietário verificado do workspace e entram no mesmo cronograma de 30 dias depois que nossa equipe verifica a autoridade e a cobrança. As solicitações de membros são enviadas aos administradores da empresa. As solicitações de clientes e de canais conectados podem exigir verificações de identidade adicionais e instruções da empresa que controla os registros. Um link de recibo privado mostra o andamento e permite a retirada antes da aprovação ou da eliminação, conforme o caso.
• Os registros públicos de solicitação incluem o e-mail informado, a empresa, o tipo de solicitação, detalhes opcionais, os registros de data e hora de verificação e de análise e links para qualquer fluxo de exclusão resultante. As submissões não verificadas expiram após 24 horas. Após a resolução, removemos os dados de contato informados e as notas de texto livre. Metadados mínimos de recibo e de decisão são retidos para demonstrar como a solicitação foi tratada e atender a obrigações legais ou de disputa. O acesso ao recibo privado expira após 180 dias; essa expiração não elimina, por si só, o registro mínimo da solicitação. Usamos limites de taxa para evitar o abuso do serviço de e-mail de verificação.
• Você também pode solicitar exportação, encerramento do workspace ou exclusão por legal@giovchat.app, por exemplo se não puder acessar o seu e-mail, se o administrador do seu workspace não tiver respondido a uma solicitação de exclusão ou se você for um Usuário Final de um dos nossos Clientes. Verificamos a sua identidade e autoridade, identificamos os dados e sistemas afetados e explicamos o prazo aplicável e qualquer exceção legal. O Adendo de Tratamento de Dados em https://giovchat.app/dpa abrange o Conteúdo do Cliente que tratamos em seu nome.

X. Segurança

Usamos TLS em trânsito, senhas com hash, 2FA por e-mail e MFA por autenticador opcionais em todos os planos, login único (SSO) OIDC e SAML 2.0 e provisionamento de operadores por SCIM nos planos Business e Advanced, controles de acesso nos sistemas de produção, logs de auditoria estruturados e credenciais de API com escopo definido. Os códigos por e-mail, os códigos de recuperação e os tokens de provisionamento SCIM são armazenados como hashes. Os segredos de autenticador e os segredos de cliente OIDC são armazenados criptografados. Nenhum método de transmissão ou armazenamento é perfeitamente seguro. Você deve manter sob o seu controle as contas de operador, os domínios do widget, os tokens de canal, as credenciais de SSO, os tokens SCIM e as chaves de IA.

XI. GiovBot e tratamento automatizado

O GiovBot usa aprendizado de máquina para gerar e enviar respostas a partir do seu conhecimento e do contexto da conversa. Dependendo da configuração, ele pode capturar dados do visitante, atualizar variáveis, transferir ou encerrar uma conversa e chamar ferramentas externas que executam ações em sistemas conectados. Os argumentos e resultados das ferramentas podem conter dados pessoais. Você controla quais ferramentas e permissões estão ativadas e deve analisar sua finalidade, seus destinatários e seus efeitos. O GiovBot não se destina a decisões exclusivamente automatizadas que produzam efeitos jurídicos ou igualmente significativos sobre uma pessoa, como decisões de crédito ou de emprego. Você continua responsável pela supervisão humana adequada e por informar aos Usuários Finais que podem estar interagindo com uma IA.

Se você acreditar que um resultado automatizado sobre você, como Operador (por exemplo, sinalizações de direito ou de abuso), está errado, envie e-mail para legal@giovchat.app e analisaremos o caso com revisão humana.

XII. Seus direitos e reclamações

Dependendo de onde você mora, você pode ter o direito de acessar, corrigir, excluir ou exportar seus dados pessoais; de restringir certo tratamento ou de se opor a ele; de retirar o consentimento; e de apresentar reclamação a uma autoridade de supervisão (no Reino Unido, o ICO; na UE, a autoridade de proteção de dados local).

Envie e-mail para legal@giovchat.app. Podemos precisar verificar a sua identidade e a sua autoridade para fazer a solicitação. Respondemos sem demora injustificada e dentro do prazo exigido pela lei aplicável à sua solicitação. Quando o UK GDPR for aplicável, o prazo normal é de um mês-calendário, sujeito às suas regras de verificação de identidade e às prorrogações permitidas. Se uma prorrogação for permitida e necessária, a explicaremos dentro do prazo inicial de resposta. Quando não pudermos atender a uma solicitação, explicamos o motivo e os direitos de reclamação aplicáveis. O cronograma de 30 dias para o encerramento da empresa não substitui os seus direitos aplicáveis sobre dados pessoais nem os respectivos prazos de resposta. Os administradores do workspace controlam os assentos de operadores e os dados de Usuários Finais no painel. Os Usuários Finais podem entrar em contato com a empresa cujo widget utilizaram; ajudaremos essa empresa com uma solicitação válida.

Quanto aos registros de pagamento mantidos pela revendedora, você também pode usar os dados de contato do seu recibo ou https://paddle.net.

XIII. Califórnia (CCPA / CPRA)

Se você é residente da Califórnia, esta seção se aplica às informações pessoais que coletamos como empresa. Nos doze meses anteriores, coletamos as categorias descritas acima (identificadores, informações comerciais, atividade na internet, geolocalização derivada do IP e conteúdo do cliente que você envia). Nós as usamos para as finalidades comerciais previstas nesta política.

Não vendemos suas informações pessoais por dinheiro. Não as compartilhamos para publicidade comportamental entre contextos como prática central da Giov. Se isso mudar, ofereceremos um controle “Do Not Sell or Share” (“Não Vender ou Compartilhar”). Não usamos nem divulgamos informações pessoais sensíveis para inferir características, e pedimos que você não nos envie dados sensíveis de que não precisamos.

Você pode solicitar saber, acessar, corrigir ou excluir informações pessoais e não sofrer discriminação por exercer os direitos do CCPA. Envie as solicitações para legal@giovchat.app com o assunto “CCPA Request”. Verificaremos a sua identidade (por exemplo, confrontando o e-mail da conta). Um agente autorizado pode apresentar uma solicitação com prova de autoridade.

Atualmente não respondemos aos sinais Do Not Track dos navegadores porque não há um padrão consistente no setor; as configurações de cookies / o consentimento do Zaraz são o controle para cookies opcionais em nosso site.

XIV. Outros estados dos EUA, Brasil, Canadá, Austrália

Nevada: não vendemos “covered information” (informações cobertas), conforme definido na lei de Nevada. Envie e-mail para legal@giovchat.app se quiser ser avisado caso essa prática mude.

Outras leis estaduais de privacidade dos EUA (por exemplo, Virgínia, Colorado, Connecticut, Texas) podem lhe dar direitos de acessar, excluir, optar por não receber publicidade direcionada ou perfilamento e recorrer de uma recusa. Use o mesmo e-mail. Se o seu estado exigir um processo de recurso, descreveremos o próximo passo em nossa resposta.

Brasil (LGPD): você pode solicitar a confirmação do tratamento, o acesso, a correção, a anonimização, a portabilidade, informações sobre o compartilhamento e a revogação do consentimento, e reclamar à ANPD.

Canadá (PIPEDA) e Austrália (Privacy Act / APPs): você pode solicitar acesso e correção e reclamar ao OPC ou ao OAIC se não conseguirmos resolver a questão. Tratamos os dados dos Operadores para prestar o contrato e para operar um serviço SaaS global seguro.

XV. Crianças

A Giov é criada para uso empresarial. Não coletamos conscientemente dados pessoais de crianças com menos de 16 anos (ou menos de 13 anos, quando o COPPA dos EUA for o critério relevante). Se você acreditar que o fizemos, entre em contato com legal@giovchat.app e os excluiremos. Você não deve direcionar o widget a crianças nem usar a Giov para coletar dados de crianças, a menos que tenha uma base legal e o consentimento dos pais, quando exigido.

XVI. Cookies

Os cookies e armazenamentos semelhantes no site da própria Giov são descritos em https://giovchat.app/cookies. Quando ferramentas opcionais são ativadas por meio do Cloudflare Zaraz, o painel de consentimento apresenta as opções disponíveis. O armazenamento que o widget ou o SDK define nas suas propriedades é de sua responsabilidade. O armazenamento móvel do operador e as preferências de notificação são separados das escolhas de cookies do navegador.

XVII. Alterações

Podemos atualizar esta política conforme a Giov evolui. Revisaremos a data acima e, em caso de alterações relevantes, notificaremos os proprietários das contas por e-mail ou no painel.