partnersAI · Política de Privacidade

1. Visão geral

Esta política explica quais dados pessoais a partnersAI trata, para quê, com quem compartilha e quais são os seus direitos. Ela cobre o site institucional partnersai.com.br, o site educacional m20.academy e a plataforma compartilhada acessível por app.partnersai.com.br e app.m20academy.com.br. Escrevemos no detalhe porque operamos agentes que conversam com pessoas: transparência aqui é parte do produto.

2. Controladora e operadora

Controladora: a partnersAI decide como e por que tratar os dados de visitantes do site, de quem preenche o formulário de contato, manifesta interesse nos cursos da M20 ou se cadastra na plataforma (perfil, autenticação, faturamento, aprendizado na Academy e telemetria de uso).

Operadora: quando uma organização cliente configura agentes que conversam com pessoas (por exemplo, os clientes dela no WhatsApp ou no Telegram) ou conecta seus próprios sistemas, a partnersAI trata esses dados em nome da organização e conforme as instruções dela. Nesses casos, a organização é a controladora, responsável pelas bases legais do tratamento; nós tratamos os dados apenas para prestar o serviço, e celebramos acordo de tratamento de dados (DPA) com as organizações que o solicitarem.

3. Dados no site institucional

Contato da partnersAI: nome, e-mail corporativo, empresa e mensagem opcional; no assistente de contato (a janela de conversa que abre nos botões de agendar), também cargo e faixa de faturamento da empresa, que você pode pular. Quando o assistente funciona em modo conversacional, o conteúdo das mensagens é processado pela nossa plataforma e pelos provedores de IA listados na seção 7, apenas para conduzir o atendimento e registrar o pedido. Junto vão a origem da visita, os parâmetros de campanha (como utm e identificadores de clique de anúncio), a página em que o pedido foi enviado e qual botão do site levou você até o formulário, usados para responder ao pedido de contato, direcionar a conversa ao time certo e saber por qual canal você chegou. Um pedido começado e não concluído no assistente pode ser registrado com os dados já informados, para que o retorno não se perca.
Interesse em curso da M20: nome, e-mail, cargo ou área, WhatsApp, empresa atual opcional, versão do aviso de privacidade, origem da visita e parâmetros de campanha. Usamos esses dados para registrar o interesse, responder sobre o curso e operar o relacionamento solicitado.
Comunicação promocional: a autorização para receber novidades da M20 é opcional, começa desmarcada e pode ser revogada a qualquer momento. O cadastro de interesse continua disponível sem essa autorização.
Entrega e registro: os formulários e o assistente usam Resend para entrega do aviso por e-mail e Supabase (banco da partnersAI, região São Paulo) para o registro durável da submissão, da origem da visita e do aviso de privacidade exibido. O acompanhamento comercial acontece no sistema interno da partnersAI; um pedido que vira reunião pode ser registrado no ClickUp.
Navegação: usamos Google Tag Manager, Google Analytics e Mixpanel para medir audiência e conversão do site (páginas visitadas, origem do acesso, eventos como envio de formulário). Detalhes na seção de cookies.

4. Dados na plataforma

Para quem cria conta e usa a plataforma, tratamos:

Cadastro e perfil: nome completo, e-mail e senha (ou login Google/Microsoft, que nos envia nome, e-mail e foto), idioma, cargo e, se você preencher, telefone e foto de perfil.
Vínculo com organizações: papel e permissões, tipo de assento, status, data de entrada e, quando a organização usa provisionamento automático (SCIM) ou diretório corporativo, departamento e gestor informados pelo sistema de identidade da própria organização. Convites registram o e-mail do convidado.
Uso do produto: conversas no chat interno e arquivos anexados; bases de conhecimento configuradas nos agentes; execuções de agentes com registro de cada passo (o que foi feito, quem aprovou, custo em créditos); trilha de auditoria de ações administrativas com nome do autor.
AI Academy: matrículas, progresso por aula (incluindo tempo assistido), tentativas de quiz, avaliações de curso e certificados, que têm código público de verificação. Quando a organização paga o seu assento, gestores autorizados dela podem ver o seu progresso. A comunidade da Academy é um fórum entre organizações: posts e respostas ficam visíveis a outros participantes, e membros corporativos só participam se o administrador da organização habilitar.
AI Pulse: quando a sua organização aplica a avaliação de letramento em IA, tratamos as suas respostas e o seu resultado individual. Visões por time são agregadas e suprimidas quando o grupo tem menos de 5 pessoas, para não expor indivíduos; o resultado individual é acessível a você e a quem tem permissão específica na organização.
Faturamento: a organização informa razão social e CNPJ; pagamentos são processados pela Stripe e dados completos de cartão não passam pelos nossos sistemas. O consumo de créditos é registrado em um livro-razão para medição e cobrança.
Telemetria e erros: eventos de uso do produto de forma pseudonimizada (identificador interno, nunca o seu e-mail) e relatórios de erro sem dados pessoais adicionais. Não gravamos a sua tela nem fazemos replay de sessão.

5. Conversas com agentes (contatos finais)

Quando um agente de uma organização conversa com uma pessoa por um canal conectado, ficam registrados, em nome da organização:

o identificador do contato no canal (no WhatsApp, o número de telefone; no Telegram, o identificador do chat) e o nome exibido;
o conteúdo das mensagens trocadas com o agente, incluindo as respostas do agente e as ações executadas;
mensagens de voz: o áudio é transcrito por serviço de IA e somente a transcrição em texto é armazenada, marcada como áudio transcrito; o arquivo de áudio não é guardado. Respostas em voz são geradas na hora e também não são armazenadas;
imagens enviadas em canais não são processadas nem armazenadas na versão atual.

Se você conversou com um agente operado por uma empresa cliente e quer exercer direitos sobre esses dados, o caminho mais rápido é contatar a própria empresa, que é a controladora. Também pode nos escrever: encaminharemos e apoiaremos o atendimento como operadora.

6. Finalidades e bases legais

Execução de contrato: criar e manter a conta, operar agentes, canais e integrações, medir créditos, faturar, emitir certificados e prestar suporte.
Legítimo interesse: segurança da plataforma (autenticação, auditoria, prevenção a abuso), melhoria do produto com telemetria pseudonimizada e comunicação sobre o serviço, sempre com o mínimo necessário.
Consentimento: comunicações de marketing quando aplicável e cookies de medição no site, que você pode recusar no navegador.
Cumprimento de obrigação legal: guarda de registros fiscais e de faturamento.

Não vendemos dados pessoais e não usamos o conteúdo das suas conversas para treinar modelos de IA próprios.

7. Com quem compartilhamos (subprocessadores)

Esta é a lista pública de subprocessadores da partnersAI. Organizações clientes são notificadas sobre mudanças relevantes nesta lista.

Infraestrutura: Supabase (banco de dados, autenticação e arquivos, hospedados na região São Paulo), Vercel (aplicação web), Hostinger (servidores do backend), Cloudflare/GitHub (distribuição e build).
Provedores de IA: Anthropic, OpenAI (inclui transcrição e síntese de voz), Google (Gemini) e OpenRouter, conforme os modelos configurados por cada organização. Com os provedores usados pela chave da plataforma mantemos acordo de tratamento de dados e regime de não retenção de prompts e respostas. Organizações podem usar chave própria, e nesse caso a relação com o provedor é delas.
Canais de mensagem: Telegram e a infraestrutura de conexão do WhatsApp operada por nós; o tráfego dessas conversas passa pelos serviços dos próprios canais.
Pagamentos e comercial: Stripe (pagamentos e faturas), ClickUp (registro de pedidos comerciais: organização, contato e interesse, nunca conteúdo de conversas).
Comunicação e conteúdo: Resend (e-mails transacionais e avisos de lead dos formulários do site) e Bunny (streaming dos vídeos da Academy).
Observabilidade: Sentry (erros), PostHog (telemetria de produto pseudonimizada), Grafana Cloud (logs e métricas de infraestrutura, que nunca contêm conteúdo de conversas).
Medição do site: Google (Tag Manager e Analytics) e Mixpanel.
Integrações ativadas pela organização: quando um administrador conecta serviços como Google, Microsoft, Slack, Salesforce, HubSpot, Pipedrive, Notion, Linear, Asana, Monday ou ClickUp, os dados trafegam para esses serviços conforme a configuração e a conta da própria organização.

8. Integrações com o Google

A plataforma se conecta ao Google Workspace da sua empresa apenas quando um administrador autoriza expressamente a conexão, pelo fluxo de consentimento do próprio Google. A autorização pode ser revogada a qualquer momento, na plataforma ou na página de permissões da conta Google.

Com essa autorização, e sempre dentro das alçadas configuradas, os agentes podem:

Google Drive e Planilhas: ler documentos indicados como base de conhecimento e gravar arquivos e planilhas de saída, como relatórios e exportações geradas por um agente.
Gmail: ler mensagens da conta conectada para dar contexto a um atendimento e enviar mensagens em nome dessa conta, quando o processo do agente prevê resposta por e-mail.
Agenda: consultar disponibilidade e criar compromissos, em agentes de agendamento e confirmação.
Diretório do Workspace: ler a lista de usuários e grupos para provisionar acessos e manter os papéis da organização em dia.

Esses dados são usados exclusivamente para executar o que o agente foi configurado para fazer. Ações sensíveis podem exigir aprovação humana antes de acontecer, e toda execução fica registrada na trilha de auditoria da organização, com o que foi feito e por quê. Não usamos conteúdo do Google Workspace para treinar modelos de IA, próprios ou de terceiros, e não vendemos esses dados. O tratamento segue os requisitos da Política de Dados do Usuário dos Serviços de API do Google, incluindo as exigências de Uso Limitado.

9. Armazenamento e transferências internacionais

O banco de dados e os arquivos da plataforma são armazenados no Brasil (região São Paulo). Alguns subprocessadores tratam dados fora do Brasil, como provedores de IA, telemetria e monitoramento de erros; nesses casos, a transferência se apoia em salvaguardas contratuais adequadas, no padrão do artigo 33 da LGPD, e limitamos o que sai: logs de infraestrutura não carregam conteúdo de conversas, e a telemetria de produto usa identificadores internos em vez de e-mail.

10. Segurança

criptografia em trânsito (TLS com HSTS) e segredos, chaves e tokens guardados em cofre dedicado, nunca em texto claro;
isolamento entre organizações aplicado no próprio banco de dados (políticas de acesso por linha em todas as tabelas);
autenticação em dois fatores disponível para todos e exigível por política da organização; SSO e SCIM para clientes enterprise;
papéis e permissões finas por organização, com registros de auditoria imutáveis das ações administrativas e das execuções de agentes;
dados sensíveis mascarados nas telas (por exemplo, CNPJ e endereços de sistemas integrados) e limites de taxa contra abuso;
acesso de suporte ao workspace somente com consentimento de um administrador, com prazo de expiração e registro em auditoria.

11. Retenção e exclusão

Conta ativa: mantemos os dados enquanto a conta ou o contrato existirem e pelo prazo necessário às finalidades desta política.
Exclusão de conta: disponível na própria plataforma. Seus chats pessoais, matrículas e certificados são apagados; o perfil é anonimizado e o login é desativado. Registros operacionais e de auditoria das organizações das quais você participou são preservados sem os seus dados de perfil, por serem trilha de governança dessas organizações.
Trilhas de auditoria: são mantidas integralmente durante a vigência do contrato da organização, por exigência de governança dos próprios clientes.
Leads do site: mantidos pelo tempo necessário ao relacionamento comercial; você pode pedir a exclusão a qualquer momento.

12. Seus direitos (LGPD)

Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos, revisão de decisões automatizadas e eliminação dos dados tratados com base em consentimento, além de revogar consentimentos. Atendemos pedidos pelo e-mail contato@partnersai.com.br, no prazo da LGPD. Quando o pedido envolver dados operados em nome de uma organização cliente, atuaremos junto com ela, que é a controladora.

13. Cookies e tecnologias de medição

Essenciais: cookies de sessão e autenticação da plataforma, necessários para o serviço funcionar.
Medição do site: Google Tag Manager, Google Analytics e Mixpanel, para entender audiência e conversão. Essas ferramentas só armazenam cookies de medição depois de você escolher Aceitar ou Só medição no aviso de cookies exibido no site.
Publicidade: quando você escolhe Aceitar no aviso, autorizamos também os cookies de publicidade das plataformas em que anunciamos (Google Ads, Meta, LinkedIn, Microsoft, TikTok e ChatGPT Ads). Eles servem para medir quais anúncios geraram contato, evitar mostrar o mesmo anúncio repetidamente e formar públicos de remarketing. Escolher Só medição mantém esses cookies bloqueados e não muda nada no seu acesso ao conteúdo. Você pode recusar tudo no próprio aviso, bloquear cookies no navegador, e a qualquer momento.
Origem da visita: guardamos no seu navegador, por até 90 dias desde a sua última visita com parâmetros de campanha, a origem da chegada (utm, identificadores de clique de anúncio, página de entrada e referência). Ela acompanha um pedido de contato que você enviar e, se você tiver aceitado a medição, os eventos de audiência e conversão descritos acima.
Produto: telemetria PostHog pseudonimizada, sem gravação de tela e sem replay de sessão.

14. Encarregado e contato

O canal do encarregado pelo tratamento de dados pessoais (DPO) da partnersAI é o e-mail contato@partnersai.com.br, com o assunto “Privacidade”. Responderemos pedidos de titulares, organizações clientes e autoridades por esse canal.

15. Mudanças nesta política

Esta política pode ser atualizada para refletir mudanças no produto ou na legislação. A versão vigente estará sempre nesta página, com a data de atualização no topo; mudanças relevantes, incluindo na lista de subprocessadores, serão comunicadas pelo site ou pela plataforma.