Política de Privacidade

Última atualização: 26 de outubro de 2026

Esta política explica quais dados pessoais a gente trata, para que usa, com quem compartilha, por quanto tempo guarda e como você exerce os direitos que a Lei 13.709/2018, a LGPD, garante.

Quem trata os dados

O Vexor é operado por Kahue Moraes de Morais, CNPJ 60.987.970/0001-54, responsável pelo serviço e controlador dos dados citados abaixo. Contato: +1 711 766 8394 (abre em nova aba).

O encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é Kahue Moraes de Morais. O canal do encarregado é o WhatsApp da Sabrina, +1 711 766 8394 (abre em nova aba). Quem responde é a Sabrina, assistente virtual do Vexor: uma assistente automatizada, com inteligência artificial, que tira dúvidas. Pedidos para exercer um direito vão para o encarregado, que decide e responde.

O papel de cada parte depende do dado. Para os dados que você informa no formulário de contato deste site, o controlador é o Vexor. Para os dados dos contatos e das conversas do atendimento de um negócio contratante, o controlador é o negócio, e o Vexor atua como operador: trata esses dados só por instrução do negócio e para entregar o serviço, e ajuda o negócio a atender os pedidos dos titulares. Quando você é cliente de um negócio atendido pelo Vexor, os seus dados de atendimento são tratados por esse negócio, e é a ele que você dirige os pedidos sobre esses dados.

O canal para falar sobre privacidade, pedir informação ou exercer um direito é +1 711 766 8394 (abre em nova aba).

Quais dados a gente trata

Depende de onde você aparece na operação. No site de venda que você está lendo não pedimos cadastro nem senha. Quem contrata o serviço entra no painel do cliente, e ali criamos uma conta com e-mail e senha e, se a pessoa quiser, um segundo fator por aplicativo.

dados que você informa no formulário de contato do site: nome, WhatsApp e e-mail, guardados em banco de dados na nossa conta de nuvem;
os dados da conta no painel do cliente: nome, e-mail, login, segundo fator e registros de acesso;
os dados da assinatura e dos pagamentos: plano, valor, estado e identificadores da cobrança. O cartão é digitado direto no Stripe e não passa por nós;
os chamados de suporte que você abre: assunto, texto e autor;
quando você indica clientes como parceiro: nome, e-mail, percentuais e valores repassados;
o conteúdo das conversas de atendimento no WhatsApp, incluindo áudio, imagem e documento que você enviar;
informações de agendamento, como serviço, profissional, data e hora;
o que o assistente guarda para personalizar o trabalho, como preferências, rotinas, vocabulário e os documentos que você enviar para ele consultar;
quando o assistente é contratado com acesso a arquivos, apenas os arquivos das pastas que você autorizou por escrito, e o registro do comando executado.
registros técnicos de acesso ao site, em forma agregada e sem perfil de comportamento.

Para que a gente usa, e com que base legal

atender, responder e agendar, na execução do contrato, art. 7, V da LGPD;
responder o contato que você pediu no formulário, em procedimentos preliminares ao contrato, art. 7, V da LGPD;
operar, medir e melhorar o atendimento, no legítimo interesse, art. 7, IX;
cumprir obrigação legal ou regulatória, como guarda fiscal, art. 7, II;
enviar aviso ou oferta quando houver, com consentimento, art. 7, I, que você revoga quando quiser.

Com quem a gente compartilha

Compartilhamos apenas o necessário para o atendimento funcionar:

a Meta, dona do WhatsApp, porque é por ali que a conversa acontece;
provedores de infraestrutura em nuvem e de modelo de linguagem, que processam a mensagem para gerar a resposta;
o ElevenLabs, que transforma o áudio recebido em texto;
a TypeSafe, pela OpenCode, que recebe o texto das últimas mensagens da conversa, sem telefone e sem nome, só para sugerir a etapa do contato no quadro; ela não responde ao cliente e não usa esse texto para treinar o modelo;
o Stripe, que cobra a assinatura e a montagem no cartão, e a NOWPayments, para quem pagar em cripto quando essa opção estiver disponível;
a Cloudflare, que protege a conexão do servidor onde o assistente roda;
autoridade pública, quando houver ordem legal ou obrigação regulatória.

Transferência para fora do Brasil

Parte desses provedores processa dados fora do país, inclusive nos EUA e na UE. Por categoria: mensageria, que é o canal do WhatsApp; modelo de linguagem; transcrição de áudio; banco de dados; hospedagem do site; e o servidor onde a operação roda. O áudio enviado ao ElevenLabs para virar texto também é processado fora do país. A transferência fica limitada ao que a finalidade exige.

O destino é EUA e UE, e a finalidade é só entregar o atendimento. Os dados ficam fora do país enquanto o serviço durar e pelos prazos da seção sobre quanto tempo guardamos. A base é o art. 33 da LGPD: a execução do contrato com o negócio contratante e, quando couber, as cláusulas-padrão da ANPD (Resolução CD/ANPD 19/2024) ou outro mecanismo previsto nesse artigo. Você pode pedir a íntegra das cláusulas usadas pelo canal do encarregado, resguardados os segredos comercial e industrial. Os direitos descritos nesta política valem também para esses dados.

Por quanto tempo a gente guarda

Dados da conta do cliente: enquanto o contrato durar e mais 5 anos, por obrigação legal e defesa. Registros de acesso: 6 meses (Marco Civil da Internet). Mensagens de conversa: pelo prazo de retenção que o cliente escolhe (seção Retenção de conversas) e, se ele não escolher, enquanto a conta existir. Critérios do dono: enquanto o perfil existir. Texto original de feedback: 90 dias. Depois desses prazos, os dados são eliminados ou anonimizados.

Ao fim do contrato, o negócio contratante pode pedir pelo WhatsApp uma cópia dos dados dele, como conversas, contatos e agenda, e pode pedir a eliminação do restante. Fazemos o que ele escolher e avisamos quando terminar.

Retenção de conversas

O prazo de retenção das conversas é escolhido pelo cliente na conta, entre 1 e 36 meses. Enquanto o cliente não escolher, nada é apagado. Ao vencer o prazo, as mensagens mais antigas são apagadas automaticamente. Avisamos no painel e por e-mail 30 dias e 7 dias antes, com a opção de exportar as conversas em CSV. Quem reduz o prazo tem a mudança aplicada só no próximo ciclo de cobrança, e nada é apagado antes disso.

O cliente também pode pedir a exclusão das conversas, de todas ou de um contato, pelo painel. Apagamos em até 7 dias, enviamos um recibo com a data e a quantidade apagada, e guardamos só um registro sem o conteúdo das mensagens. As cópias de segurança expiram em até 30 dias. No cancelamento, os dados ficam pelo prazo contratado mais 30 dias e depois são apagados por inteiro.

A base legal é a execução do contrato e o legítimo interesse de melhorar o atendimento. O Vexor atua como operador dos dados de conversa do negócio.

Dados sensíveis

Negócios como clínicas podem receber, nas conversas, dados de saúde, que a LGPD trata como dados pessoais sensíveis (art. 11). Esses dados são do negócio contratante, que define para que servem. Nós os tratamos como operador, só por instrução dele e só para entregar o atendimento e o agendamento, sem uso próprio e sem venda. Não usamos esses dados para treinar modelo.

Se você está na Califórnia (CCPA e CPRA)

Para residentes da Califórnia, não vendemos informação pessoal e não a compartilhamos para publicidade comportamental entre contextos. Nos dados de conversa de um negócio contratante, o Vexor atua como prestador de serviço e usa os dados só para entregar o atendimento. Você pode pedir para saber, corrigir ou apagar a sua informação pessoal, e não tratamos você de forma diferente por isso. Para isso, use o contato no fim desta página.

Seus direitos

A LGPD garante a você, entre outros, confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo, portabilidade, informação sobre compartilhamento e revogação de consentimento. Para exercer qualquer um deles, fale no WhatsApp: +1 711 766 8394 (abre em nova aba). A gente responde no prazo legal e pede só o necessário para confirmar quem você é.

Segurança

O acesso aos dados é restrito por credencial individual, o atendimento automático roda com teto de consumo e registro de uso, e o ambiente é monitorado. Se acontecer incidente com risco relevante, avisamos a ANPD e as pessoas afetadas, como o art. 48 determina.

Quando o assistente é contratado com acesso a arquivos, ele lê e altera apenas as pastas autorizadas por escrito, cada comando sensível passa pela sua aprovação antes de rodar, e fica o registro do que foi executado. Você pode revogar esse acesso a qualquer momento, e a operação é ajustada no mesmo dia.

Cookies e medição

Este site usa o Google Analytics para medir o uso do site: quais páginas são visitadas, de onde vem o acesso e onde as pessoas saem. O Google Analytics grava cookies no seu navegador e só é carregado depois que você clica em Aceitar no aviso de cookies. Antes disso, e se você recusar, o site não faz nenhuma requisição ao Google Analytics. A base legal e o seu consentimento (LGPD, art. 7º, I).

Não usamos esses dados para anúncio personalizado, não ativamos os recursos de publicidade do Google e não montamos perfil individual de comportamento: olhamos números do conjunto de visitas. Os dados são tratados pelo Google, em servidores que podem ficar fora do Brasil.

Para recusar, clique em Recusar no aviso. Para mudar de ideia, clique em Preferências de cookies no rodapé de qualquer página e escolha de novo, quando quiser. Recusar não tira nenhuma função do site. A escolha fica guardada só no seu navegador; se você limpar os dados do site, o aviso volta. Você também pode apagar os cookies pelo navegador.

O site grava ainda o cookie lang, só para lembrar o idioma escolhido. No painel do cliente, depois do login, gravamos cookies estritamente necessários: o de sessão, que mantém você conectado e não pode ser lido por scripts da página, e o de idioma. Sem eles o painel não funciona, por isso não dependem do aviso de cookies. A única medição de visitas do site é a do Google Analytics, descrita acima, que só entra depois do seu Aceitar.

Quando os dados são de uma pessoa na União Europeia ou no Espaço Econômico Europeu, vale também o Regulamento Geral de Proteção de Dados (GDPR). As bases legais são: a execução do contrato, para prestar o serviço contratado (art. 6.1.b); o seu consentimento, para o Google Analytics (art. 6.1.a), que você pode retirar quando quiser; as obrigações legais, para registros fiscais e contábeis (art. 6.1.c); e o interesse legítimo, para segurança e prevenção de fraude (art. 6.1.f).

A gente guarda os dados pelos prazos da seção Por quanto tempo a gente guarda. Pelo GDPR você tem direito de acesso, correção e apagamento, de limitar ou se opor ao tratamento, à portabilidade, e de reclamar à autoridade de proteção de dados do seu país. Para exercer esses direitos, use o contato no fim desta página.

Os dados são tratados no Brasil e pelos fornecedores listados acima, que podem estar fora da União Europeia. Quando o país de destino não tem decisão de adequação da Comissão Europeia, a transferência se apoia nas garantias do art. 46 do GDPR, como as cláusulas contratuais padrão.

Crianças e adolescentes

O serviço é destinado a negócios e a pessoas maiores de 18 anos. Quando um atendimento envolver dado de menor de idade, ele depende de consentimento do responsável.

Mudanças nesta política

Se a política mudar, a data no topo muda junto. Mudança que afete direito passa a valer com aviso no site ou na conversa.

Contato

Dúvida sobre esta política: +1 711 766 8394 (abre em nova aba).