Política de Privacidade
Última atualização: 12 de setembro de 2026 · Versão 1.2
Esta Política de Privacidade descreve como o Gavvio coleta, usa, armazena e compartilha dados pessoais quando você usa nossa plataforma. Foi redigida em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e com os requisitos das plataformas de integração que conectamos (Meta Platforms, Google, TikTok, Stripe, entre outras).
1. Quem somos (Controlador dos Dados)
O Gavvio é um produto da Oyio, operado por ALOYSIO CEDENO GALVAO 85778881509(Microempreendedor Individual), pessoa jurídica de direito privado inscrita no CNPJ sob o nº 26.943.862/0001-41, com sede em Salvador/BA, doravante denominada simplesmente "Gavvio", "nós" ou "nosso".
Para questões sobre privacidade, exercício de direitos ou solicitações relacionadas aos seus dados, entre em contato com nosso encarregado pelo tratamento de dados (DPO) através do e-mail privacy@gavvio.com. Esse e-mail é monitorado ativamente e respostas são enviadas em até 5 dias úteis.
2. Dados que coletamos
2.1 Diretamente de você (usuário do Gavvio)
- Identificação: nome completo, e-mail, senha (armazenada com hash bcrypt — nunca em texto plano).
- Organização: nome da organização, workspaces, função (owner, admin, analyst, viewer, agente de chat, moderador de comentários).
- Autenticação: tokens de sessão JWT, segredo TOTP (criptografado com AES-256-GCM) para 2FA.
- Pagamento: dados de assinatura (plano, cobranças) processados pela Stripe — não armazenamos dados de cartão.
- Uso da plataforma: logs de acesso, ações realizadas, recursos consumidos (cota de tokens de IA, créditos SEO).
2.2 De integrações que você conecta
Quando você conecta uma integração (via OAuth ou webhook), o Gavvio recebe e processa dados originados nessas plataformas. Esses dados pertencem à organização cliente; o Gavvio atua como operador nesse fluxo. Resumo do que pode ser coletado:
| Provedor | Categorias de dado |
|---|---|
| Google Calendar / Meet / YouTube | Eventos de calendário, metadados de reuniões, transcrições de Meet (texto), participantes, duração; comentários dos vídeos do canal do YouTube conectado e as respostas publicadas por você. |
| Meta (Páginas do Facebook, Instagram, WhatsApp Business, Ads) | Mensagens, comentários, conversas e chamadas do WhatsApp (e gravações, quando ativadas), perfil público dos contatos, métricas de campanhas, IDs de página/conta/número. |
| TikTok (TikTok for Business) | Comentários dos seus vídeos e as respostas publicadas, mensagens diretas da conta comercial, dados públicos do perfil e métricas de perfil e de vídeos, IDs de conta. |
| Stripe | Eventos de assinatura, pagamentos, recibos, dados fiscais transacionais. |
| WooCommerce / Hotmart / Mercado Pago | Pedidos, status de pagamento, dados de produto, dados básicos do cliente. |
| Mautic / Chatwoot | Eventos de e-mail (open, click, bounce), conversas de suporte, metadados de contato. |
| Cal.com / Typebot | Reservas de reuniões, respostas de formulário/bot, eventos de agenda. |
| Seu site (script de rastreamento e formulários) | Eventos de navegação e de conversão, identificadores de clique de anúncios, respostas de formulários e os dados de contato informados neles. |
2.3 Dados obtidos das APIs do Google
O uso e a transferência, pelo Gavvio, de informações recebidas das APIs do Google a qualquer outro aplicativo obedecerão àPolítica de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Em termos concretos: os dados do Google (agenda, reuniões, transcrições, comentários do YouTube) são usados apenas para oferecer as funcionalidades que você vê no seu workspace; não são vendidos, não são usados para publicidade, não são usados para treinar modelos de IA de uso geral e só são lidos por pessoas com o seu consentimento, por exigência de segurança ou de lei, ou de forma agregada e anonimizada.
2.4 Dados obtidos das APIs da Meta e do TikTok
Os dados recebidos das plataformas da Meta e do TikTok são usados exclusivamente para oferecer, dentro do workspace que conectou a conta, as funcionalidades de caixa de entrada, resposta a comentários, automações, perfil de contato e métricas. Eles ficam armazenados enquanto o canal permanece conectado, são apagados quando o canal é desconectado ou a conta é excluída, e são tratados de acordo com osTermos da Plataforma da Metae com os termos doTikTok for Business. Não usamos esses dados para construir perfis fora do workspace, para publicidade própria ou para treinar modelos de IA de uso geral.
2.5 Cookies e tecnologias semelhantes em gavvio.com
No domínio público gavvio.com não usamos cookies de marketing, remarketing ou perfilamento publicitário. O site é estático e não define cookies próprios; as estatísticas de acesso vêm do Cloudflare Web Analytics, que é agregado e não usa cookies nem identifica visitantes. A aplicação em app.gavvio.comusa apenas cookies estritamente necessários (sessão e preferências).
3. Finalidade do tratamento (Base Legal — LGPD)
| Categoria | Finalidade | Base legal |
|---|---|---|
| Identificação + Autenticação | Provisionar conta, manter sessão segura, autorizar acesso multi-tenant. | Execução de contrato (art. 7º, V) |
| Pagamento | Processar assinaturas, emitir recibos, dunning. | Execução de contrato (art. 7º, V) + obrigação legal/fiscal (art. 7º, II) |
| Dados de integrações | Unificar timeline, gerar dashboards, executar automações, responder mensagens e comentários, treinar respostas de RAG dentro do workspace. | Execução de contrato (art. 7º, V) + legítimo interesse do controlador final (art. 7º, IX) |
| Logs de acesso | Auditoria, segurança, prevenção a fraude, debugging. | Cumprimento de obrigação regulatória (art. 7º, II) + legítimo interesse (art. 7º, IX) |
4. Compartilhamento com terceiros (Subprocessadores)
Para operar a plataforma, compartilhamos quantidades mínimas de dados com os seguintes subprocessadores. Cada um deles está sujeito a contratos com cláusulas de proteção de dados (DPA) e medidas técnicas equivalentes às nossas:
| Subprocessador | Finalidade | Localização |
|---|---|---|
| Hetzner Online GmbH | Hospedagem de servidores, banco de dados e armazenamento de objetos. | Alemanha (UE) |
| Backblaze, Inc. | Armazenamento de backups. | Estados Unidos |
| BunnyWay d.o.o. (bunny.net) | Hospedagem e entrega (CDN) de vídeos enviados por você. | Eslovênia (UE), com pontos de presença globais |
| Amazon Web Services, Inc. (SES) | Envio de e-mails a partir do seu domínio. | Estados Unidos / Brasil |
| Resend, Inc. | Envio de e-mail transacional (convites, recuperação, notificações). | Estados Unidos |
| Anthropic PBC | Modelos LLM (Claude) para chat, briefing, construtor por chat e geração de conteúdo. | Estados Unidos |
| OpenAI, L.L.C. | Modelos LLM (GPT), embeddings e transcrição de áudio (Whisper). | Estados Unidos |
| Cohere Inc. | Reranking de busca semântica. | Canadá |
| DataForSEO LLC | Dados de pesquisa SEO (volumes, SERPs, keywords). | Estados Unidos / UE |
| Stripe Payments Europe Ltd. | Processamento de pagamento e gestão de assinaturas. | Irlanda (UE) |
| Cloudflare, Inc. | Proxy reverso, CDN, mitigação de DDoS, DNS, hospedagem deste site. | Global (com pontos de presença no Brasil) |
| Sentry / Functional Software, Inc. | Telemetria de erros e monitoramento de performance. | Estados Unidos |
| Meta Platforms, Inc., Google LLC e TikTok Pte. Ltd. | APIs de integração (mensagens, comentários, eventos de calendário, transcrições de Meet, métricas) — apenas quando você conecta esses serviços. | Estados Unidos / Singapura |
| Google LLC (Cloud Translation, Places) | Tradução automática dos textos que você escreve nos seus formulários, enviada só quando você pede uma tradução; e sugestões de endereço enviadas ao Places enquanto quem responde digita um campo de endereço. Nenhuma resposta armazenada é enviada ao Google para tradução. | Estados Unidos |
5. Transferência internacional de dados
Diversos subprocessadores acima estão localizados fora do Brasil (UE, EUA, Canadá, Singapura). As transferências internacionais ocorrem com base em Cláusulas Contratuais Padrão (Standard Contractual Clauses) e demais salvaguardas aceitas pela ANPD nos termos do art. 33 da LGPD. Mantemos um inventário interno dessas transferências e dos contratos correspondentes, disponível mediante solicitação por titulares de direitos.
6. Retenção de dados
| Categoria | Tempo de retenção |
|---|---|
| Conta de usuário ativa | Enquanto a conta estiver ativa. |
| Conta encerrada (exclusão solicitada) | Recuperável por 30 dias; depois, excluída de forma irreversível. Backups são purgados em até 90 dias. |
| Logs de acesso e auditoria | 12 meses (necessidade de prova em incidentes de segurança e disputas). |
| Dados financeiros (recibos, NFs) | 5 anos, conforme legislação fiscal brasileira. |
| Eventos de integração na timeline | Enquanto a organização estiver ativa, ou conforme política de retenção configurada pelo workspace. |
| Tokens OAuth de integrações | Excluídos imediatamente ao desconectar a integração, com revogação no provedor quando a API permite. |
| Gravações de chamadas | Conforme o prazo configurado pelo workspace; apagadas com o contato quando ele é excluído. |
7. Seus direitos como titular (LGPD art. 18)
Você tem direito a:
- Confirmação da existência de tratamento de seus dados.
- Acesso aos dados que mantemos sobre você.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários.
- Portabilidade dos dados a outro fornecedor.
- Eliminação dos dados tratados com seu consentimento.
- Informação sobre as entidades públicas e privadas com as quais compartilhamos dados.
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências.
- Revogação do consentimento, nos termos do § 5º do art. 8º.
- Oposição ao tratamento que viole a LGPD.
Para exercer qualquer destes direitos, envie um e-mail paraprivacy@gavvio.com ou siga o procedimento simplificado descrito em Exclusão de Dados. Responderemos em até 15 dias.
Se você é cliente final de uma organização que usa o Gavvio (por exemplo, falou com uma empresa pelo WhatsApp ou respondeu um formulário dela), a organização é a controladora dos seus dados. Você pode exercer seus direitos diretamente com ela ou escrever para nós, e encaminharemos o pedido.
8. Segurança
- Senhas são armazenadas com bcrypt; nunca em texto plano.
- Segredos de 2FA (TOTP) são criptografados com AES-256-GCM em repouso.
- Tokens OAuth de integrações são criptografados com AES-256-GCM em repouso.
- Comunicação cliente-servidor sempre via TLS (mín. 1.2).
- Isolamento multi-tenant em todas as queries via middleware obrigatório (
organization_id+workspace_id), com testes automatizados de isolamento a cada versão. - Logs de auditoria para mutações sensíveis (billing, white-label, gestão de membros, conexões OAuth, mesclagem de contatos, exclusões).
- Webhooks de provedores são validados com assinatura HMAC-SHA256 antes de processar.
- 2FA obrigatório para Organization Owner e Admin.
Mais detalhes em Segurança e privacidade.
9. Crianças
O Gavvio não é destinado a menores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Se identificarmos esse cenário, eliminaremos os dados imediatamente.
10. Alterações nesta política
Podemos atualizar esta Política periodicamente. Mudanças materiais serão comunicadas por e-mail ao Organization Owner com pelo menos 30 dias de antecedência. A versão mais atual está sempre disponível emgavvio.com/privacy.
- Versão 1.2 (12 de setembro de 2026): inclusão do Google Cloud Translation (tradução automática de textos de formulários) e do Google Places (sugestões de endereço) entre os subprocessadores.
- Versão 1.1 (3 de setembro de 2026): inclusão do TikTok e do YouTube entre as integrações, da declaração de Uso Limitado das APIs do Google, dos subprocessadores de vídeo e e-mail e do prazo de recuperação de 30 dias.
- Versão 1.0 (29 de abril de 2026): publicação inicial.
11. Autoridade de controle
Se você não estiver satisfeito com nossa resposta, pode apresentar reclamação àAutoridade Nacional de Proteção de Dados (ANPD) através do sitegov.br/anpd.