Quem responde pelos seus dados: KN TECNOLOGIA LTDA, CNPJ 60.124.713/0001-99. A empresa é a controladora desde a concepção do projeto — esta é a primeira versão da política que a nomeia, mas não é o começo da responsabilidade dela. As contas criadas antes desta versão são do próprio fundador e da família dele: não há titular de fora afetado pela mudança de nome no documento.
O que fazemos com dado: guardamos o seu e-mail, o nome que você escolher e os registros financeiros que você mesmo lança. Não vendemos dados, não exibimos anúncios para você e não conectamos na sua conta bancária. Dentro do aplicativo não há ferramenta de análise de comportamento nem pixel de publicidade; no site one-desk.app existe medição de audiência com Google Analytics e Meta Pixel, e ela só liga se você aceitar — a seção 10 explica, com os nomes e os prazos. Sem conta, os seus registros não saem do aparelho. Guardamos também, por seis meses, o registro de cada entrada na sua conta — data, hora e endereço IP. Isso a lei manda (Marco Civil, art. 15) e a seção 12 explica.
Se você chegou aqui por causa de uma conversa: no WhatsApp e no bot de atendimento do Telegram a recepção é aberta — qualquer pessoa que escrever entra no registro, sem lista de convidados —, quem responde primeiro é um sistema automatizado, que se apresenta como tal na primeira frase, e a conversa fica guardada. As seções 14 e 15 são essas, e a 11 diz como pedir para apagar.
O que sai do Brasil: o banco de dados fica em São Paulo. Mas as análises de inteligência artificial, a leitura de recibos e a transcrição de áudios acontecem nos Estados Unidos — e o seu próprio navegador busca as cotações direto nas fontes, o que mostra o seu endereço IP a cada uma delas. As seções 6 e 7 detalham as duas coisas.
| Controlador | KN TECNOLOGIA LTDA |
|---|---|
| CNPJ | 60.124.713/0001-99 |
| Endereço | Rua Afonso Pena, 1636 — Rondonópolis/MT — CEP 78.705-065 |
| Encarregado (DPO) | Nickolas Alves de Lima Klarosk, nomeado nos termos do art. 41 da LGPD |
| Canal do encarregado | klarosk@one-desk.app |
A KN TECNOLOGIA LTDA é agente de tratamento de pequeno porte, na definição da Resolução CD/ANPD nº 2/2022. Ser de pequeno porte afrouxa alguns prazos e dispensa algumas obrigações; não dispensa nenhuma das que estão escritas nesta página.
Duas palavras da lei, ditas uma vez para não precisarem de nota depois. O encarregado é a pessoa que o controlador indica como canal entre você, a empresa e a ANPD (art. 41 da LGPD) — o endereço da tabela acima é esse canal. E titular, onde a lei escrever, é você: a pessoa de quem os dados falam. Aqui preferimos escrever "você".
Os endereços suporte@, contato@ e financeiro@one-desk.app
chegam na mesma caixa do endereço acima — são apelidos dela, não caixas
diferentes. Escrever para qualquer um dos quatro dá no mesmo; a caixa é uma só, e hoje ela
encaminha para o e-mail pessoal de quem opera o produto.
Cobre a plataforma em app.one-desk.app (os módulos Alpha, de investimentos, e Clarity, de finanças pessoais), o site one-desk.app, os bots de Telegram do produto e o atendimento — o que acontece quando você escreve para o nosso WhatsApp, para o bot de atendimento do Telegram ou pelo formulário do site. Cada um trata dados diferentes; as seções abaixo dizem qual é qual.
A diferença que mais importa está logo aqui: para usar a plataforma você cria conta e entra com senha; para falar conosco, não. O atendimento tem recepção aberta, e por isso ele tem seções próprias — a 14 e a 15. Se você chegou a esta página vindo de uma conversa, comece por elas.
| Dado | Origem | Para quê (base legal) |
|---|---|---|
| E-mail, senha e nome de exibição | Você, no cadastro | Criar e autenticar sua conta (execução de contrato, art. 7º, V). Nunca guardamos a senha em texto claro |
| Registros financeiros (gastos, contas, metas, posições, transações, notas) | Você — manualmente, pelo Telegram ou por importação | Prestar o serviço: exibir, calcular e sincronizar SEUS registros (execução de contrato) |
| Identificador do seu chat no Telegram | Você, ao vincular o bot (opcional) | Receber suas mensagens de captura e enviar os avisos que você ligar (execução de contrato) |
| Fotos e áudios enviados ao bot (opcional) | Você, no Telegram | Ler o recibo ou transcrever a fala e propor o lançamento. Não guardamos o arquivo — guardamos o texto lido e, no caso da foto, o código que o Telegram usa para identificá-la. O arquivo fica nos servidores do Telegram, sob as regras deles (execução de contrato) |
| Contagem de uso da inteligência artificial (identificador da conta + número de chamadas por dia) | Gerada pelo uso | Operar o limite diário de custo e conter abuso (legítimo interesse, art. 7º, IX). Guardamos enquanto a conta existir — seção 12 |
| Registro de acesso à conta (data e hora da entrada, endereço IP, identificador da conta e navegador) | Gerado quando você entra na sua conta | Cumprir o art. 15 da Lei 12.965/2014, o Marco Civil da Internet, que obriga a guardar esse registro por seis meses (cumprimento de obrigação legal, art. 7º, II). Guardamos seis meses e apagamos — seção 12 |
| Seu número de telefone no WhatsApp — ou o identificador da sua conversa no Telegram — e o nome que aparece no seu perfil | Você, ao escrever para o nosso WhatsApp ou para o bot de atendimento | Receber e responder a sua mensagem. Quando você escreve perguntando sobre o produto, a base é o art. 7º, V (procedimentos preliminares de contrato, a seu pedido); quando escreve por outro motivo — engano, número errado, assunto alheio — a base é o legítimo interesse (art. 7º, IX), porque no instante em que a mensagem chega não temos como saber por que você escreveu. Seção 14 |
| O texto de cada mensagem, sua e nossa, e o identificador técnico dela | A conversa, na íntegra e literal | Atender, e ter histórico se você voltar a falar conosco (art. 7º, V e art. 7º, IX). CPF, CNPJ e número de cartão são trocados por uma marcação antes de a linha ser gravada; senha, código de verificação, conta e agência e valor de patrimônio não são — a seção 14 diz por quê |
| O que o sistema conclui sobre você: um resumo escrito por inteligência artificial, a intenção classificada, uma prioridade, um estágio, etiquetas e o desfecho | Gerado pelo sistema a partir do que você escreveu | Organizar o atendimento e saber a quem responder primeiro (legítimo interesse, art. 7º, IX). Isso é definição de perfil, e você pode pedir revisão — seções 11 e 15 |
| Nome, e-mail, WhatsApp (opcional), como você se organiza hoje, maior dificuldade (opcional), e a página de origem e o site que mandou a visita | Você, no formulário de interesse do site one-desk.app. Nosso servidor recebe o formulário e grava diretamente no banco Supabase. Os novos envios não criam cópia no Netlify Forms (seção 6) | Responder sobre acesso e novidades do produto (consentimento, art. 7º, I — há caixa de marcação obrigatória no formulário) |
| Dados de visita ao site one-desk.app (endereço IP, identificador aleatório do navegador, página visitada, site ou campanha que mandou a visita, e dados técnicos do aparelho) | Gerado pela sua visita ao site — só se você aceitar na faixa de consentimento | Medir a audiência do site e o resultado dos anúncios do produto (consentimento, art. 7º, I, revogável a qualquer tempo pelo art. 8º, § 5º). Não ocorre dentro do aplicativo — seção 10 |
Não coletamos: credencial bancária, dado de cartão, localização nem contatos. No atendimento essa frase precisa da outra metade: nós não pedimos nada disso, e o sistema é instruído a nunca pedir — mas a recepção é aberta, e o que você escrever numa mensagem é gravado como texto. CPF, CNPJ e número de cartão são trocados por marcação antes de gravar; senha, código de verificação, conta e agência e valor de patrimônio não são. A seção 14 explica as duas metades e o motivo de cada uma. Sobre dado de navegação, a resposta mudou em 12/08/2026: dentro do aplicativo continuamos sem coletar nenhum; no site one-desk.app, e somente se você aceitar, ferramentas de audiência e de medição de anúncio registram a sua visita — a seção 10 diz quais são, o que gravam e por quanto tempo, e a seção 6 diz para quem vão. Nada disso alcança os seus registros financeiros. Não tratamos dado sensível do art. 5º, II (origem racial, convicção religiosa, opinião política, saúde, biometria): não pedimos, não usamos e nenhuma parte do produto o trata de propósito. Aqui vale a mesma ressalva da recepção aberta — se você escrever um dado desses numa mensagem, ele fica gravado, porque ele é o texto. Não temos como impedir, e o melhor conselho que temos é: não mande. Dado financeiro não é dado sensível na LGPD, mas tratamos o seu como se merecesse o mesmo cuidado.
Menores: não oferecemos o serviço a menores de 18 anos, e não perguntamos a sua idade.
No modo Simples, sem conta, todos os registros ficam apenas no seu navegador. Seu navegador não manda esses registros para os nossos servidores e não tratamos nenhum dado financeiro seu. Duas coisas continuam saindo do seu aparelho mesmo assim: a visita à página, que passa pela nossa hospedagem e pode gerar registros técnicos de acesso (seção 12), e as consultas de cotação, que o seu navegador faz direto nas fontes (seção 7). Ao criar uma conta, os dados daquele aparelho passam a sincronizar com a nuvem, como explicam as seções 5 e 6.
Com conta, seus registros ficam no banco de dados da Supabase, no projeto
ulywvglcdgccmemutkwa, região South America (São Paulo), sa-east-1.
O banco ficava em Oregon, nos Estados Unidos; movemos para São Paulo em 20/07/2026, para guardar
o principal no Brasil. Guardamos o seu dado no Brasil; o trânsito dele nem sempre fica
por aqui — as seções 6 e 7 explicam por onde ele sai.
O site e as funções de servidor rodam numa VPS da Hostinger em Campinas (SP), Brasil, administrada pela KN Tecnologia. No banco, regras por usuário prendem cada linha ao próprio dono (RLS, ligado em 52 das 53 tabelas — a exceção está na seção 13), e todo o tráfego usa TLS.
As conversas do atendimento ficam nesse mesmo banco, em São Paulo. Existe uma exceção, e ela é uma só: o programa que recebe as mensagens do WhatsApp pode gravar uma cópia num computador pessoal quando a entrega falha. A seção 14 conta quando isso acontece e o que fica gravado.
Parte do tratamento acontece fora do Brasil. A lista abaixo traz todos os fornecedores que tratam dado seu em nosso nome, e cada um recebe só o que precisa para fazer a parte dele:
| Empresa | O que faz | O que recebe |
|---|---|---|
| Anthropic (EUA) API Claude | Análises de inteligência artificial, leitura de recibos e o relatório mensal. Também a triagem e a resposta automática do atendimento: o modelo claude-haiku-4-5 classifica a mensagem e o claude-sonnet-4-5 escreve a resposta (seção 15) | Só o trecho enviado em cada chamada: os números e textos daquela análise específica, sem o seu e-mail e sem a sua senha. Na leitura de recibo, a imagem que você mandou ao bot. As chamadas passam por um servidor nosso (proxy) — exceto duas telas de análise que só funcionam se você colar a sua própria chave da API, e que nesse caso saem do seu navegador direto (seção 7). No atendimento: o texto das suas últimas seis mensagens, o resumo que o sistema escreveu sobre você, a base de respostas e as regras de conduta. Não mandamos o seu nome, o seu e-mail, o seu telefone nem o seu identificador — mas se você escreveu qualquer um deles dentro da mensagem, ele vai junto, porque ele é o texto |
| Groq (EUA) | Transcreve os áudios que você manda ao bot | O arquivo de áudio, no momento da transcrição |
| Hostinger Servidor em Campinas (SP), Brasil | Fornece a VPS onde hospedamos o site e executamos as funções de servidor | O tráfego e o conteúdo processados pelo servidor que administramos: chamadas do aplicativo, captura pelos bots e formulários. O formulário é gravado no banco Supabase; o envio só é confirmado depois de o banco confirmar a operação |
| Netlify — histórico da hospedagem anterior | Mantém a cópia anterior durante a transição | Submissões recebidas antes da mudança podem permanecer no Netlify Forms. Não recebe os novos envios feitos pelo formulário desta edição. A retirada desse histórico é feita pelo operador, sem expurgo automático |
| Google LLC (EUA) SMTP | Envia os e-mails do produto — confirmação de cadastro, recuperação de senha e os avisos que você ligar — por SMTP | Seu e-mail e o conteúdo da mensagem |
| Google LLC (EUA) Google Analytics 4 | Mede a audiência do site one-desk.app: quantas visitas, quais páginas, de onde vieram. Só depois de você aceitar (seção 10). Não roda dentro do aplicativo | Endereço IP, identificador aleatório do navegador (cookies _ga e _ga_ZWDC8WR33Q), página visitada, site ou campanha de origem e dados técnicos do aparelho (navegador, sistema, idioma, tela). Nunca o seu e-mail, o seu nome ou registro financeiro seu |
| Meta Platforms (EUA) Meta Pixel | Mede o resultado dos anúncios do produto: quem chegou ao site vindo de um anúncio e o que fez lá. Só depois de você aceitar (seção 10). Não roda dentro do aplicativo | Endereço IP, identificador aleatório do navegador (_fbp), o código do clique no anúncio quando houver (_fbc), página visitada e dados técnicos do aparelho. Nunca o seu e-mail, o seu nome ou registro financeiro seu |
| Telegram | Canal dos bots do produto, se você vincular (seção 8), e do bot de atendimento, que é aberto (seção 14) | Nos bots do produto: as mensagens, fotos e áudios que você mandar. No bot de atendimento: a conversa inteira — o que você escreve e a resposta que mandamos de volta. O bot de aviso interno, que só cutuca quem atende, recebe quatro campos e nada mais (seção 14) |
| WhatsApp Meta Platforms | É o canal, quando você escolhe falar conosco pelo WhatsApp | A conversa inteira, como em qualquer conversa de WhatsApp. O programa que recebe as mensagens do nosso lado roda num computador no Brasil — a seção 14 diz o que isso significa |
| xAI (EUA) configurada e inativa | Radar do X. Fora de uso desde 20/07/2026, por falta de crédito: a ligação existe no código e não roda | Nada, hoje. Quando rodava, só as contas públicas do X que você escolhesse — nenhum dado seu |
| Stripe (EUA) pagamentos — desde 24/08/2026 | Cobra a assinatura dos planos Completo e Avançado e guarda o meio de pagamento. A página em que você digita o cartão é da Stripe, não nossa | Ao abrir a contratação, mandamos o seu e-mail, o identificador da sua conta e o plano e o ciclo escolhidos (medido no código em 28/08/2026: checkout-session.js, campos customer_email, client_reference_id e metadata). O número do cartão você digita na página da Stripe e ele não passa pelo nosso servidor nem pelo nosso banco. O que volta para nós é o identificador de cliente da Stripe, o plano e o estado da assinatura (ativa, em teste, cancelada), gravados na tabela de assinaturas. Nenhum registro financeiro do aplicativo vai para a Stripe |
| Supabase Supabase Pte Ltd (Singapura) | Opera o banco e a autenticação | Tudo que você sincroniza. O banco fica em São Paulo, mas a empresa que opera o serviço é estrangeira e pode acessá-lo para manutenção |
WhatsApp e Telegram não são nossos operadores, e a diferença é real. Hostinger, Netlify (no histórico), Supabase, Anthropic, Groq e Stripe tratam dado em nosso nome, dentro do que pedimos, e não podem usá-lo para finalidade própria por conta deles. WhatsApp e Telegram são as plataformas que você escolheu para nos escrever: cada uma tem política própria, e o que elas fazem com a conversa do lado delas não está sob o nosso controle. Elas aparecem na tabela porque a sua mensagem passa por elas, não porque trabalhem para nós. O que continua sendo nosso é a responsabilidade perante você: se algo der errado por culpa nossa ou de um operador nosso, quem responde somos nós.
Onde as funções de servidor rodam: na VPS da Hostinger em Campinas (SP). Essa mudança não altera o local do banco Supabase nem os fornecedores externos de IA, pagamento e mensagens descritos nesta seção. As chamadas a esses serviços continuam sujeitas aos tratamentos e às transferências descritos abaixo.
Por quanto tempo esses fornecedores guardam o que recebem. Agora temos os números, e nem todos são curtos:
Esses prazos valem para o conteúdo de cada chamada: trechos dos seus números e textos, a imagem do recibo, o áudio. Nenhum dos três recebe o seu e-mail nem a sua senha. A xAI aparece na tabela acima por transparência, não porque trate dado seu hoje.
Telegram: não confirmamos qual empresa do grupo e em que país responde pelo contrato aplicável a nós. É por isso que a linha do Telegram na tabela acima é a única sem país indicado.
Fontes de cotação: elas não aparecem nesta tabela porque não tratam dado em nosso nome — quem fala com elas é o seu navegador, não os nossos servidores. Isso não as torna inofensivas, e por isso elas têm seção própria, a 7.
A Supabase usa fornecedores próprios para operar a infraestrutura dela — entre eles Amazon Web Services, Google Cloud, Fly.io, Vercel, Upstash e OpenAI. A lista atualizada fica no contrato público de tratamento de dados da Supabase.
A base legal dessa saída. A LGPD exige uma base para mandar dado para fora do país. A ANPD reconheceu a adequação da União Europeia na Resolução CD/ANPD nº 32, de 26 de janeiro de 2026. Esse reconhecimento não alcança os fornecedores americanos: Anthropic, Groq, xAI, Netlify (quanto ao histórico), Google e Meta são empresas dos Estados Unidos. Os Estados Unidos não têm decisão de adequação da ANPD, e Singapura, sede da Supabase, também não tem.
A base que vale aqui é o art. 33, II da LGPD — cláusulas-padrão contratuais, no modelo da Resolução CD/ANPD nº 19, de 23 de agosto de 2024. É o que trazem os contratos de tratamento de dados da Netlify (quanto ao histórico) e da Supabase. Vale igualmente para o Google Analytics e para o Meta Pixel: os termos de tratamento de dados dessas duas empresas trazem cláusulas contratuais desse tipo, e é nelas que a saída se apoia. Uma distinção que importa: o consentimento que você dá na faixa do site é a base do tratamento (art. 7º, I); o art. 33, II é a base da transferência para fora do país. São duas perguntas diferentes, e cada uma tem a sua resposta. O que não conferimos: se o texto publicado por Google e Meta repete o anexo da Resolução nº 19 palavra por palavra — a mesma ressalva que já vale para Netlify e Supabase, no parágrafo abaixo.
A versão 2.1 desta política errava nas duas pontas. Ela se apoiava no reconhecimento de adequação, que nunca alcançou fornecedor americano, e chamava as cláusulas-padrão de caminho "em andamento, não concluído", quando elas já estavam nos contratos. Este parágrafo corrige as duas coisas.
O que ainda não conferimos: se o texto que a Netlify e a Supabase publicam repete o anexo da Resolução nº 19 palavra por palavra. Sabemos que os dois documentos trazem cláusulas-padrão; não comparamos a redação deles com o anexo oficial.
Para mostrar preços, cotações, indicadores e dados de mercado, o aplicativo faz as consultas a partir do seu navegador, direto para cada fonte, sem passar por servidor nosso. É uma escolha de arquitetura, e ela tem uma consequência que precisa estar escrita aqui: cada uma dessas empresas vê o endereço IP do seu aparelho, junto com o que qualquer requisição de navegador carrega (versão do navegador, sistema, idioma) e com o que você pediu para consultar.
Conferimos isso no código dos dois módulos em 02/08/2026. A coluna "pontos no código" é a contagem de vezes que o endereço de cada fonte aparece no arquivo do módulo — é a medida que temos, não o número de requisições que você faz por sessão:
| Fonte | Para que serve | O que ela vê | Pontos no código |
|---|---|---|---|
| CoinGecko | Preços e dados de criptomoedas | Seu IP e os símbolos que você acompanha | 19 |
| brapi | Cotações de ações, fundos imobiliários e câmbio | Seu IP e os tickers que você acompanha | 13 |
| DeFiLlama api / yields / stablecoins | TVL, pools, taxas e stablecoins do mercado DeFi | Seu IP e as redes e pools que você consultar | 12 |
| Binance api e fapi | Preços de reserva quando o CoinGecko falha, indicadores técnicos e funding | Seu IP e os pares consultados. Se você ligar a leitura da sua conta na Binance, a sua chave de API e a assinatura da requisição também saem do seu navegador direto para lá — nenhum servidor nosso vê essa credencial | 10 |
| Banco Central do Brasil api e olinda | Taxas e índices oficiais | Seu IP | 4 |
| AwesomeAPI | Câmbio | Seu IP | 3 |
| alternative.me | Índice de medo e ganância do mercado cripto | Seu IP | 3 |
| Nós públicos de blockchain publicnode.com — Ethereum, Base, Arbitrum, Solana | Ler a transação que criou a sua posição de liquidez, no módulo DeFi | Seu IP e o identificador da transação e o endereço de carteira que você mandar ler | 4 |
| er-api (exchangerate-api) | Câmbio de reserva | Seu IP | 2 |
| Yahoo Finance | Preço de ativo internacional | Seu IP e o ticker consultado | 1 |
| Telegram (módulo Clarity) | Enviar os seus avisos com o aplicativo aberto | Seu IP e o token — a senha do bot — que você criou | 3 |
| Anthropic | Duas telas de análise que usam a sua própria chave de API, se você tiver colado uma | Seu IP e o texto da análise. Sem chave colada, essas telas não chamam nada | 2 |
| cdnjs (Cloudflare) e Google Fonts | Carregam as fontes e duas bibliotecas do aplicativo (leitura de planilha e de PDF) | Seu IP, ao abrir o aplicativo | 4 |
O caso mais sensível é o DeFi. Quando você manda ler a transação de uma posição, o identificador dela — e, por consequência, o endereço da carteira envolvida — vai na consulta ao nó público da rede e ao DeFiLlama, carimbado com o seu IP. Endereço de carteira é público na blockchain, mas amarrá-lo ao seu endereço IP é uma ligação que você não fez com ninguém, e é a que acontece aqui.
Dessas fontes, só o Banco Central é instituição brasileira. Não confirmamos em que país ficam os servidores das demais — o que sabemos é que a consulta parte do seu navegador e chega até elas, e que a maioria é empresa estrangeira. Nenhuma delas recebe o seu nome, o seu e-mail ou os seus saldos.
A alternativa existe e não foi feita: essas chamadas poderiam passar por um servidor nosso, como já passam as da inteligência artificial e as do CoinMarketCap — aí a fonte veria o nosso servidor, não o seu aparelho. Queremos mudar isso, e não temos data. Enquanto não mudar, o que vale é o que está escrito acima. Há até uma função de servidor pronta para o brapi dentro do pacote publicado, e o aplicativo não a usa: os 13 pontos continuam saindo do seu navegador.
Não controlamos essas fontes e não respondemos pelo que cada uma faz com o próprio registro de acesso. Cada uma tem política própria.
A integração com o Telegram é opcional e existe em duas formas:
Declaração explícita: o token do bot que você informa no Clarity sobe para a nuvem quando — e só quando — você liga a opção "Resumo matinal". Não é acidente: é a única forma de o resumo diário sair com o aplicativo fechado, já que quem dispara é um serviço nosso, não o seu navegador. Esse serviço lê o token com credencial de servidor, na hora de enviar.
Ao desligar a opção, apagamos a cópia na nuvem. Com a opção desligada, o token fica só no seu aparelho. Quem tem esse token consegue mandar mensagens pelo seu bot; se isso incomodar, deixe o "Resumo matinal" desligado ou revogue o token no BotFather.
As chaves de API que você cadastrar no Clarity (cd_api_key e o endereço do proxy de
IA) nunca sobem para a nuvem.
A pessoa que opera o produto tem uma conta de administrador. Dizendo exatamente o que ela alcança:
profiles e
ad_ai_usage.ad_kv) não tem política de leitura para o administrador, e desativamos a função de
"ver dados como" em 27/07/2026 — hoje ela recusa. Os parágrafos abaixo dizem o que medimos e
onde essa recusa entra na fila. Também não vê os registros de acesso da seção 12: a tabela deles
(desk_acessos) nasceu sem política de administrador, e cada conta só enxerga as
próprias linhas.A listagem completa das políticas do banco, rodada em 02/08/2026. A varredura de
31/07/2026 procurou só pelo nome "admin_read", e nós mesmos escrevemos que a busca era estreita.
Agora rodamos a listagem inteira das três tabelas de dados. ad_kv tem quatro políticas:
leitura, alteração e exclusão, com a condição auth.uid() = user_id, e inserção com a
mesma condição na cláusula de verificação. cd_kv e desk_kv têm uma política
cada, valendo para todas as operações, com a mesma condição nas duas cláusulas. Todas valem só para
o papel authenticated. Nenhuma das três tem política de administrador.
O item acima deixou de depender de uma busca por nome.
O que essas regras não alcançam. Quem tem a chave de serviço do banco
(service_role) passa por cima delas — o banco funciona assim por desenho, e política de
tabela nenhuma muda isso. Essa chave existe, mora em variável de ambiente das funções de servidor e
fica com a pessoa que opera o produto. Ela não vai para o navegador: procuramos no pacote publicado
em 02/08/2026 e a chave não está lá; o nome dela aparece uma vez, dentro de um comentário. O limite
honesto é este: as regras do banco protegem você contra o aplicativo, não contra quem tem a chave de
serviço. Contra essa chave restam a nossa palavra e os registros de auditoria do próprio banco
(que são do fornecedor, e não se confundem com o registro de acesso da seção 12).
"Ver dados como": o que medimos no que está no ar. Em 02/08/2026 baixamos os dois
arquivos publicados — alpha.html e clarity.html — e lemos o código deles.
O módulo Clarity não tem essa função. No módulo Alpha ela existe e recusa: o portão é a função
gmx_allowAdmin(), que devolve "não" sempre, sem exceção e sem opção de ligar. O botão
que a chamava saiu da tela em 27/07/2026. Até aqui, o que dizíamos se confirma.
A recusa não é a primeira coisa que acontece, e isso muda o tamanho da promessa.
Antes de chegar ao portão, a função pede ao banco as linhas de ad_kv da outra conta e
grava no aparelho de quem administra o que vier. Só depois pergunta se pode. Quem barra esse pedido
não é o portão: é o banco, porque as políticas do parágrafo anterior não dão leitura de administrador
em ad_kv e a resposta volta vazia. Ou seja, a recusa vale em todos os caminhos da tela,
mas ela é a segunda linha de defesa, não a primeira. Vamos inverter essa ordem no código. Enquanto
não invertermos, é assim que está.
O defeito de 26/07/2026: metade corrigida. Ele era este — com a tela de visualização aberta, algumas gravações usavam o identificador da outra conta e ficavam no aparelho de quem administra, sem subir para a nuvem. Medimos hoje, no pacote publicado. As telas de conquistas, metas e perfil de risco ganharam trava: oito pontos de gravação recusam escrever no modo de visualização. A gravação comum da carteira não ganhou trava nenhuma — ela ainda monta a chave com o identificador da conta que está na tela. Duas coisas seguram o estrago hoje: a função de visualização não liga mais, então esse estado não nasce pelo aplicativo, e um estado antigo vive só na aba aberta e morre quando ela fecha. O defeito continua no código. Enquanto continuar, continua escrito aqui.
No atendimento, quem atende lê a conversa inteira. Não há como responder sem ler, e seria desonesto sugerir o contrário. O painel do atendimento abre só para uma lista fechada de endereços de e-mail autorizados — qualquer outro recebe recusa — e ele não aparece em buscador. Hoje essa lista é a mesma pessoa que opera o produto, porque a empresa é de pequeno porte e mais ninguém tem acesso. Três coisas que esse lado não alcança: os registros técnicos do atendimento não carregam o texto das mensagens e mostram o telefone só nos quatro últimos dígitos; o bot de aviso interno do Telegram recebe quatro campos e nada mais, sem nome, sem telefone e sem conteúdo (seção 14); e nada disso toca os seus registros financeiros, que continuam onde os parágrafos acima descrevem.
Fora isso, compartilhamos dados apenas com os operadores da seção 6, que tratam em nosso nome, e com autoridades quando a lei obrigar. Não vendemos dados, não cedemos a anunciante nenhum a lista de quem tem conta e não entregamos a ninguém, para fim publicitário, os seus registros financeiros. O que existe de publicidade está declarado e é outra coisa: com o seu aceite, o site — nunca o aplicativo — mede visita e resultado de anúncio pelas ferramentas do Google e da Meta, descritas nas seções 6 e 10. Essas empresas recebem os dados dessa visita e os tratam também para as finalidades delas, e é exatamente por isso que a medição só existe se você disser sim.
Comece pela fronteira, porque ela é real: o aplicativo e o site não se comportam da mesma forma aqui. Dentro do aplicativo — app.one-desk.app, os módulos Alpha e Clarity, onde moram os seus registros financeiros — não há cookie de medição, ferramenta de análise de comportamento nem pixel de publicidade. Nenhum, e a decisão do fundador em 12/08/2026 foi a de não colocar. O que existe está no site, one-desk.app — a página inicial, a de planos e a calculadora de DARF —, e só passa a existir depois que você aceita.
Nada de medição carrega antes do seu aceite. O Google Analytics e o Meta Pixel não estão no código das páginas: eles são acrescentados pelo navegador somente depois de você clicar em "Aceitar" na faixa que aparece embaixo. Na primeira visita, o site não faz uma única requisição ao Google nem à Meta. Se você clicar em "Recusar", nada é carregado e o site funciona igual — nenhuma função depende do seu aceite. As duas opções aparecem com o mesmo peso na tela: mesma caixa, mesmo tamanho de letra, mesma leitura.
Base legal: consentimento, art. 7º, I da LGPD. E consentimento se revoga —
art. 8º, § 5º —, a qualquer momento, sem justificar e sem perder nada. A sua
escolha fica no armazenamento local do seu navegador, sob o nome od_consent, com a
escolha, a versão do aviso e a data. Não a guardamos em cookie de propósito: seria preciso pôr um
cookie para registrar que você não quis cookie.
Onde se revoga: no rodapé de qualquer página do site há o botão
"Cookies e medição", que reabre a faixa. Se você recusar depois de ter aceitado,
apagamos do seu navegador os cookies de medição — os que começam com _ga, mais
_gid, _gat, _fbp e _fbc — e recarregamos a
página; do carregamento seguinte em diante, nada é ligado. Limpar os dados do site pelo próprio
navegador tem o mesmo efeito, e apaga também a sua escolha: a faixa volta a perguntar.
Os cookies que existem depois do aceite, com nome e prazo:
| Cookie | Quem grava | Para quê | Quanto dura |
|---|---|---|---|
_ga | Google Analytics 4 | Distingue um navegador do outro, para contar visitantes e não só visitas | 2 anos |
_ga_ZWDC8WR33Q | Google Analytics 4 | Guarda o estado da sessão na nossa conta de medição — o trecho final do nome é o nosso identificador | 2 anos |
_fbp | Meta Pixel | Identificador aleatório do navegador, para ligar a visita ao anúncio que a trouxe | 90 dias |
_fbc | Meta Pixel | Guarda o código do clique no anúncio (fbclid). Só nasce se você chegar ao site por um anúncio | 90 dias |
Os prazos acima são os padrões que Google e Meta publicam para essas ferramentas; quem os
define é o fornecedor, e se ele mudar, muda sem passar por nós. _gid e
_gat são de uma versão anterior do Google Analytics e não devem nascer na nossa
medição — a limpeza citada acima os cobre por precaução, não porque saibamos que existem aqui.
Para que serve isso, dito sem eufemismo: saber quantas pessoas visitam o site, quais páginas leem, de onde vieram — site que mandou a visita, campanha, anúncio — e quantas chegam a criar conta. O Google e a Meta recebem os dados dessa visita e os tratam também para as finalidades próprias deles; é justamente por isso que essa medição depende do seu sim. As duas ficam nos Estados Unidos: a seção 6 diz o que cada uma recebe e sob qual base o dado sai do país.
O que elas não recebem: o seu e-mail, o seu nome e qualquer registro financeiro seu. Nada do que você digita na calculadora de DARF sai do seu navegador — a conta roda no seu aparelho e o resultado não é enviado a lugar nenhum. Dentro do aplicativo, onde estão os seus dados financeiros, não há nenhuma dessas ferramentas.
Quem navega com o JavaScript desligado não é medido. A versão do pixel da Meta que funciona sem JavaScript é uma imagem que dispararia no instante em que o navegador lê o HTML, antes de qualquer pergunta de consentimento — não existe portão que a preceda. Por isso ela foi deixada de fora de propósito.
Como esta seção se mantém verdadeira. Até a versão 2.3, esta seção afirmava em termos absolutos que não havia cookie de rastreamento, ferramenta de análise de comportamento nem pixel, e fechava com uma contagem feita no código publicado em 02/08/2026. Era verdade naquele dia e deixou de ser em 12/08/2026, quando o Google Analytics entrou no site — frase absoluta, quando envelhece, envelhece mentindo. No lugar dela fica uma regra: ferramenta de medição nova só entra por este mesmo portão de consentimento, e a tabela acima é atualizada na mesma entrega em que a ferramenta entra. Se você encontrar no site alguma coisa que não esteja nesta lista, escreva ao encarregado: é defeito nosso, e queremos saber.
Fora os cookies acima, o que usamos é o armazenamento local do navegador (localStorage e sessionStorage). Ele fica no seu aparelho e o navegador não o manda sozinho para servidor nenhum, como faria com um cookie. Com a conta aberta, porém, o próprio aplicativo sincroniza os seus registros com a nuvem — no login, a cada 30 segundos e quando você sai da aba. É assim que você vê os mesmos dados em outro aparelho.
O armazenamento local guarda: os seus registros e preferências, o token da sua sessão, um cache de login que permite entrar sem internet na mesma máquina — e que inclui um resumo criptográfico (hash) da sua senha, nunca a senha em texto claro — e cache de preços. Limpar os dados do site no navegador apaga tudo isso.
Sobre esse cache de login, com o nome do algoritmo. Medimos no pacote publicado
em 02/08/2026. O que fica no seu aparelho é PBKDF2-HMAC-SHA-256, com 310.000 repetições,
sal de 16 bytes sorteado a cada gravação e saída de 256 bits. O arquivo guarda o sal e o número de
repetições junto com o resultado, no formato p2$310000$<sal>$<resultado>. Isso é
derivação lenta de senha: existe para custar caro a quem tenta adivinhar por força bruta.
Duas ressalvas. A versão 2.1 desta política dizia "SHA-256, sem derivação lenta" — estava desatualizada, e este parágrafo corrige. E o aplicativo ainda aceita o formato antigo uma vez: quem tiver no aparelho um registro do esquema velho (SHA-256 cru, sem sal) entra com ele, e o aplicativo o reescreve no formato novo no próximo login com internet. Enquanto esse registro velho durar, a proteção dele é a antiga. Nada disso protege a sua conta na nuvem — lá o servidor confere a senha.
O aplicativo também instala um service worker, que guarda os arquivos do próprio aplicativo para ele abrir mais rápido e funcionar offline. Ele não guarda dado pessoal seu.
Você pode, a qualquer momento: confirmar que existe tratamento; acessar seus dados; corrigir dado incompleto ou desatualizado; pedir anonimização, bloqueio ou eliminação de dado tratado fora da lei; pedir a portabilidade; saber com quem compartilhamos; saber o que acontece se você negar consentimento; revogar consentimento; e se opor a tratamento feito por legítimo interesse.
Três deles você exerce sozinho, dentro do aplicativo, sem pedir nada a ninguém:
Os três de cima valem para a sua conta na plataforma. A conversa do atendimento não está dentro do aplicativo: quem só escreveu para o nosso WhatsApp ou para o bot de atendimento não tem botão para apagar nada, porque não tem conta. Aí o caminho é pedir — pelo canal do encarregado, ou pela própria conversa, como o parágrafo abaixo explica. É o mesmo que já vale para quem só preencheu o formulário do site (seção 12).
Decisão automatizada e definição de perfil. Dentro do aplicativo não tomamos decisão automatizada sobre você: a inteligência artificial propõe lançamentos e escreve análises; aceitar, corrigir ou ignorar é sempre você. No atendimento existe definição de perfil, e a versão anterior desta política não dizia isso: o sistema escreve um resumo sobre você, classifica a intenção da sua mensagem e atribui prioridade, estágio e etiquetas (seção 15). Essas conclusões organizam a fila — elas não definem preço, não recusam atendimento, não geram nota de crédito e não produzem decisão que afete os seus direitos. Se um dia passarem a fazer qualquer uma dessas coisas, esta política muda antes de a mudança valer.
O art. 18 não é a única porta aqui. O art. 20 da LGPD te dá o direito de pedir a revisão dessas conclusões e de saber quais critérios foram usados — e o que fazemos, na prática, é uma pessoa ler o pedido, olhar o que o sistema anotou, explicar em português de onde aquilo saiu e corrigir o que estiver errado. Sendo exatos com você: o § 3º do art. 20 previa revisão obrigatória por pessoa natural e foi vetado quando a LGPD virou lei. A revisão humana aqui é escolha nossa, não obrigação legal, e você merece saber de qual das duas se trata.
Para qualquer outro pedido, escreva ao encarregado:
klarosk@one-desk.app — e lembre que
suporte@, contato@ e financeiro@one-desk.app chegam nessa
mesma caixa (seção 1). Diga o que você quer e dê um jeito de a gente te encontrar no sistema;
normalmente é o telefone que você usou para falar conosco. Se você não conseguir mostrar
que é você, não entregamos os dados: entregar a conversa de alguém para a pessoa errada
seria o pior erro possível. Respondemos em até 15 dias, o prazo
do art. 19 da LGPD. Suporte comum tem prazo próprio, de 2 dias úteis (seção 19 dos
Termos de Uso). Você também pode levar a reclamação à ANPD (art. 18,
§ 1º), em gov.br/anpd,
sem precisar falar com a gente antes — embora seja mais rápido se falar.
Se o seu pedido chegar por uma conversa, ele sai da fila automática. Quando a mensagem que você manda no WhatsApp ou no bot de atendimento é reconhecida como pedido sobre os seus próprios dados, o sistema não deixa a inteligência artificial responder: a conversa vai direto para uma pessoa, com prioridade alta. O gatilho reconhece frases como "quero apagar meus dados", "excluir meus dados", "não quero receber mais mensagens" e "quero me descadastrar", e também qualquer menção a LGPD, a privacidade ou ao encarregado. Ele reconhece o que foi ensinado a reconhecer, e não prometemos que seja infalível — se o seu pedido não for entendido, o e-mail acima resolve. Aliás, o e-mail continua sendo o caminho mais seguro: nele você explica melhor, anexa o que precisar, e fica com um registro seu do pedido.
Existem três expurgos por idade neste sistema, e só um deles é um prazo de guarda
de verdade. O primeiro é o registro de acesso, e é o parágrafo seguinte. O segundo é o
bot do Telegram, que apaga da tabela de tentativas de /start as linhas com mais de
24 horas — esse não vale como prazo. Três ressalvas explicam por quê. Ele só roda quando alguém
manda /start ao bot: com o bot parado, nada some, por tempo indeterminado. O código
ignora o erro dele, então ele falha em silêncio. E ele apaga por idade, nunca por titular: não
existe "apagar o que era do usuário X". É efeito colateral do controle anti-força-bruta, não
prazo que a gente prometa. O terceiro também não vale como prazo: a deduplicação do bot de
captura guarda apenas o número que o Telegram dá a cada mensagem (update_id), sem
nenhum dado pessoal, para não processar a mesma mensagem duas vezes — e apaga as linhas com mais
de 48 horas no caminho da própria gravação. Fora dessas três tabelas, nenhuma linha some por ser antiga.
(Varredura de 02/08/2026: 13 funções de servidor e 25 scripts de banco, um expurgo achado. O do
registro de acesso nasceu depois, em 03/08/2026; o da deduplicação, em 11/08/2026.)
Registro de acesso: seis meses. Cada vez que você entra na sua conta, guardamos a data e a hora, o endereço IP de onde veio a entrada, o identificador da sua conta e o navegador. Não é escolha nossa: o art. 15 da Lei 12.965/2014, o Marco Civil da Internet, obriga a empresa a guardar esse registro por seis meses. Passado o prazo, uma rotina agendada apaga as linhas velhas — ela roda sozinha, a cada quinze minutos, e não depende de ninguém abrir o aplicativo. Três limites, para você saber o tamanho exato disso. Guardamos o momento da entrada, não o que você faz dentro do aplicativo. Tentativa de login que dá errado não vira registro. E ninguém do nosso lado lê essas linhas na rotina: não existe tela de administrador que as mostre, e o banco só devolve a cada conta as linhas dela.
Uma consequência que você precisa saber. Se você excluir a conta antes dos seis meses, os registros de acesso vão junto com o resto. Escolhemos assim porque o seu direito de apagar os dados (art. 18 da LGPD) nos pareceu valer mais do que completar o prazo. O efeito prático, dito sem rodeio: se chegar ordem judicial pedindo o registro de acesso de uma conta já excluída, ele não vai existir.
A versão 2.0 desta política, de 02/08/2026, dizia que expurgo por idade não existia. Estava errada, e o primeiro parágrafo desta seção é a correção. Versões anteriores diziam "12 meses" para alguns dados — prazo que o sistema não cumpria, e por isso saiu. Fora do registro de acesso, que tem prazo fixado em lei, a regra é a de baixo: guardamos enquanto a sua conta existir, e quem encerra a guarda é você, pela exclusão de conta da seção 11.
O atendimento passou a ter prazo em 28/08/2026, e a rotina que o cumpre está construída — mas ela ainda não apaga. Até a versão anterior desta página, esta seção dizia que o prazo era indeterminado, e era verdade. O que mudou: os prazos agora existem escritos no sistema — 180 dias para a conversa do atendimento e para os registros de desfecho, 365 dias para os registros de custo —, e existe uma rotina que os aplica. Ela roda em modo de conferência: conta quanto sairia e não apaga nada. Ligar a exclusão automática é uma decisão que ainda não tomamos, e enquanto não tomarmos, quem apaga continua sendo uma pessoa, quando você pede.
Por que dizemos "180 dias" e, na mesma frase, "ainda não apaga". Prazo publicado é promessa, e esta página já teve de tirar uma: a versão 2.0 anunciava 12 meses que o sistema não cumpria, e a 2.1 existiu para corrigir isso. Não vamos repetir o erro ao contrário — anunciar que já apagamos quando ainda não apagamos. O que é verdade hoje: o número existe, o código existe, e o que falta é a decisão de ligar. Quando ligarmos, esta seção muda e a data fica na tabela do fim da página. E a regra da conta continua não socorrendo quem só escreveu: sem conta, não há botão — quem encerra antes do prazo é você pedindo, pela seção 11, e não é preciso esperar prazo nenhum.
| Dado | Prazo |
|---|---|
| Conta e registros financeiros sincronizados | Enquanto a conta existir. Ao excluir a conta, apagamos tudo junto |
| Registro de acesso à conta (data e hora, IP, identificador da conta, navegador) | Seis meses, por obrigação do art. 15 da Lei 12.965/2014. Depois disso, uma rotina agendada apaga. Se você excluir a conta antes, apagamos junto |
| Contagem de uso da inteligência artificial | Enquanto a conta existir. Não há rotina que apague as linhas antigas; a exclusão da conta apaga todas de uma vez |
| Token do bot do Telegram no Clarity | Enquanto o "Resumo matinal" estiver ligado. Ao desligar, apagamos a cópia na nuvem (seção 8) |
| Cópias no seu aparelho | Sob o seu controle — a exclusão da conta limpa as deste navegador; os outros aparelhos que você usou, você mesmo limpa |
| Dados do formulário de interesse do site | Guardamos no Supabase enquanto a conversa estiver aberta e apagamos quando ela termina, ou antes, se você pedir. Não há prazo automático. Os novos envios passam diretamente pelo nosso servidor para o banco, sem cópia no Netlify Forms. O histórico anterior pode permanecer na Netlify e numa exportação criptografada de acesso restrito durante a transição; não há expurgo automático desse histórico. A retirada é feita pela pessoa que opera o produto, pelo canal do encarregado |
Tentativas de /start no bot do Telegram (identificador do chat) | O bot apaga as linhas com mais de 24 horas, mas só no momento em que alguém manda /start. Sem /start, elas ficam. Não estão ligadas à sua conta, e a exclusão de conta não as alcança |
| Conversa do atendimento: mensagens, contato, nome de perfil e as conclusões que o sistema escreveu sobre você | 180 dias, com a rotina em modo de conferência. O prazo existe escrito no sistema desde 28/08/2026 e a rotina que o aplica está construída, mas ela ainda conta em vez de apagar — ligar a exclusão automática é decisão que ainda não tomamos. Não há conta para excluir, então quem encerra antes do prazo é você pedindo (seção 11). E agora fica registro: desde 28/08/2026 cada expurgo grava a data, a origem do pedido e quantas linhas saíram de cada tabela — e não grava quem pediu, por desenho. A versão anterior desta política dizia que esse registro não existia e que estávamos construindo; ele existe |
| Registro do que as pessoas perguntam, que usamos para melhorar a base de respostas | Ele aponta para a sua mensagem em vez de copiá-la, e some junto com ela quando ela é apagada. Vale para as duas metades do registro — tanto o que foi perguntado quanto onde faltou resposta — desde a alteração de 25/08/2026. Antes dessa data, metade dele guardava uma cópia do seu texto que nenhum pedido de exclusão alcançava; os trechos que existiam foram religados à mensagem de origem |
| Cópia de conversa no computador que recebe o WhatsApp | Só nasce quando a entrega ao banco falha três vezes seguidas, e some assim que a entrega volta a funcionar e o programa reprocessa o arquivo (seção 14). Não há prazo, porque não há espera programada: ela dura o tempo da falha |
| Registros técnicos (logs de servidor) | Os logs operacionais do serviço One Desk na VPS têm retenção configurada em sete dias, em armazenamento separado dos logs dos outros serviços, também limitado a 100 MB. O limite de espaço pode antecipar a remoção. Esses logs não são o registro de entrada na conta guardado por seis meses no banco. Os logs anteriores na Netlify seguem a retenção da hospedagem anterior |
Cookies de medição do site (_ga, _ga_ZWDC8WR33Q, _fbp, _fbc) | Só existem se você aceitar. No seu aparelho duram o prazo de cada um — 2 anos os do Google, 90 dias os da Meta (seção 10) —, e somem antes disso se você revogar o aceite ou limpar os dados do site. O que Google e Meta guardam nos servidores deles segue as políticas deles, não a nossa: não conferimos o prazo de retenção configurado na conta do Google Analytics, e enquanto não conferirmos, isto fica escrito como não apurado |
Prazo legal: até 24/08/2026 nenhum dos dados acima estava sujeito a prazo de guarda imposto por lei, porque não havia cobrança. Desde 24/08/2026 há cobrança (seção 6, Stripe), e com ela existem registros de cobrança e documento fiscal. Esses registros — quem contratou, qual plano, quando, quanto foi cobrado — ficam guardados pelo prazo que a legislação fiscal exigir, mesmo que você exclua a conta antes; é o único dado desta página que fica por obrigação nossa, e não por escolha sua. Ainda não escrevemos aqui o número de anos porque não o conferimos com contador: quando conferirmos, ele entra nesta tabela com a fonte. O que a exclusão da conta continua apagando de imediato é tudo o mais — os registros financeiros que você mesmo lançou no aplicativo não são documento fiscal nosso.
Duas ressalvas sobre a exclusão. O controle de repetição do bot do Telegram guarda o
identificador do seu chat numa tabela que não está ligada à sua conta: o botão de excluir não a
alcança, e o expurgo de 24 horas descrito acima só a limpa se alguém mandar /start.
O botão também não alcança os dados de quem só preencheu o formulário do site, sem nunca ter
criado conta, nem a conversa de quem só escreveu para o atendimento. Nos três casos, o pedido pelo
canal do encarregado resolve.
Nenhum sistema é inviolável, e não vamos prometer o contrário. O que fazemos, em concreto:
regras por usuário no banco (RLS) em 52 das 53 tabelas — contagem refeita em 25/08/2026, já com as tabelas do atendimento. A única sem essas regras é at_faq_bkp_20260814, uma cópia de segurança da base de perguntas tirada em 14/08 que guarda 25 perguntas e respostas nossas e nenhum dado de pessoa; o navegador não a alcança por outro caminho — ela não tem permissão nenhuma concedida a visitante nem a usuário logado. Ela sai do banco quando deixar de ser útil; TLS em todo o tráfego; senha
nunca em texto claro; chaves de servidor apenas em variável de ambiente, nunca no navegador;
chamadas de IA por proxy autenticado, com cota diária; dado vindo de fora vai para a tela como
texto, não como código, para barrar injeção de script; e a saída da conta só apaga o dado local
depois que a nuvem confirma o recebimento.
No atendimento, o que está montado hoje: o painel abre só para uma lista fechada de endereços autorizados e não aparece em buscador; os registros técnicos não carregam o texto das mensagens e mostram o telefone só nos quatro últimos dígitos; CPF, CNPJ e número de cartão são trocados por marcação antes de a mensagem ser gravada (seção 14); e o programa confere a resposta automática antes de ela sair, segurando-a e chamando uma pessoa quando ela contém e-mail ou telefone (seção 15). O ponto fraco conhecido também está escrito, e é o computador que recebe o WhatsApp — seção 14.
Isso reduz risco, não o elimina. Não temos auditoria externa de segurança nem certificação, e não afirmamos ter.
A recepção é aberta, e isso é o contrário do resto do produto. Para usar a plataforma, você cria conta e entra com senha. Para falar conosco, não: mantemos um número de WhatsApp e um bot de atendimento no Telegram, o @one_desk_bot, e qualquer pessoa que escrever para um dos dois entra no registro. Não há lista de números autorizados. Não há aprovação prévia. A mensagem chega, guardamos, e o atendimento começa.
Isso vale se você escreveu para o número errado; vale se escreveu para perguntar outra coisa, sem nenhum interesse no produto; e vale se você se arrependeu no segundo seguinte, porque a mensagem já estava guardada quando você apertou enviar. Está escrito assim porque é assim. Você pode pedir a exclusão a qualquer momento, e a seção 11 diz como.
Este bot não é o da seção 8. São dois bots de Telegram, e eles fazem coisas diferentes. O @one_desk_assistente_bot da seção 8 é a captura do módulo Alpha: você o vincula à sua conta e manda para ele os seus lançamentos. O @one_desk_bot é o atendimento, e para escrever nele você não precisa de conta nenhuma. Confundir os dois muda o que está em jogo, então vale a frase inteira: o de atendimento é canal de conversa, vê o que você escreve e responde.
O que guardamos de uma conversa:
| O que | De onde vem, e para que serve |
|---|---|
| Seu número de telefone, no WhatsApp — ou o identificador da sua conversa, no Telegram | É o que identifica a conversa no sistema, e é o endereço para onde a resposta volta |
| O nome que aparece no seu perfil | O próprio WhatsApp ou Telegram manda junto com a mensagem; não somos nós que pedimos |
| O texto de cada mensagem, sua e nossa | A conversa, na íntegra e literal — com a ressalva de redação do bloco abaixo |
| O identificador técnico de cada mensagem | Serve para não registrar a mesma mensagem duas vezes |
| O que o sistema conclui sobre você: resumo, intenção, prioridade, estágio, etiquetas e desfecho | Gerado pelo sistema a partir do que você escreveu. A seção 15 explica como, e a 11 diz como pedir revisão |
| Registros de funcionamento: marcas de tempo, contagens e custo de processamento | Gerados pelo uso. Guardam o endereço da conversa, não o texto dela |
Três coisas que o sistema não registra. Áudio, imagem, vídeo e figurinha: se você mandar mídia, o conteúdo não entra no sistema — ele fica só no aparelho de quem atende, como em qualquer conversa de WhatsApp. Mensagem de grupo, lista de transmissão e status: só registramos conversa individual. E texto acima de 4.000 caracteres, que cortamos nesse limite antes de guardar.
O que o sistema apaga antes de gravar. Desde 25/08/2026, se
você escrever um CPF, um CNPJ ou um número de
cartão dentro de uma mensagem, o sistema troca esse número por uma marcação —
[CPF REDIGIDO], [CNPJ REDIGIDO], [CARTAO REDIGIDO] —
antes de gravar a linha no banco. A marcação não guarda dígito nenhum, nem os
quatro últimos. A troca acontece na própria tabela onde as mensagens nascem, então vale para todo
canal de conversa, inclusive os que ainda não existem. Vale para o que você
escreve; não vale para o que respondemos, que é o texto que vai para você ler.
E o que ele não apaga, que é a metade que você precisa saber. Essa troca não cobre senha, código de verificação, número de conta ou agência, nem valor de patrimônio. Não é esquecimento: é decisão, e o motivo é sempre o mesmo — essas quatro coisas não têm formato reconhecível, e qualquer regra que tentasse pegá-las comeria texto legítimo. Senha não tem forma: não dá para achar uma no meio de uma frase sem destruir a frase, e o estrago seria definitivo, porque não guardamos o texto original em lugar nenhum. Código de seis dígitos é igual a um preço, a um ano e a um CEP; apagar todos comeria metade das conversas sobre dinheiro. Conta e agência não têm formato nacional nem dígito que se confira, e chute que apaga não tem volta. E valor de patrimônio é o assunto do produto: "tenho R$ 500 mil na conta" é exatamente a frase que o sistema existe para entender. Então, sem rodeio: se você escrever uma dessas quatro coisas, gravamos o texto como você escreveu. Não mande esse tipo de informação por aqui.
O segundo bot de Telegram não fala com você e não vê a sua conversa. Ele é um aviso interno: existe para cutucar quem atende quando alguém está esperando, e manda quatro campos e nada mais — o identificador interno da exceção, o motivo, a urgência e o prazo. Sem nome, sem telefone, sem conteúdo de conversa. O programa confere esse aviso antes de ele sair e recusa mandar qualquer coisa além desses quatro campos. A razão de um bot ver tudo e o outro ver quase nada é a função de cada um: o primeiro é a conversa; o segundo é um alarme, e alarme não precisa saber quem tocou a campainha.
Não fazemos disparo, campanha nem marketing — e não é só disciplina. O sistema não consegue montar um envio para quem nunca escreveu: ele descobre para onde responder a partir da sua mensagem de entrada, e de nenhum outro lugar. Sem mensagem de entrada, não existe endereço para onde mandar. Também não te procuramos de novo depois que a conversa termina. Se um dia formos fazer isso, será com o seu consentimento, pedido antes e em separado, e esta política muda primeiro. E não usamos as suas conversas para treinar modelo de inteligência artificial nosso; usamos as perguntas para melhorar a base de respostas escrita, que é um texto que uma pessoa revisa.
Onde a conversa fica, e a única cópia nossa fora do banco. As conversas ficam no mesmo banco da seção 5, em São Paulo. Mas o programa que recebe as mensagens do WhatsApp — aquele que fica ouvindo o número e entregando o que chega — roda num computador pessoal, no Brasil, e não num servidor. No caminho normal, ele pega a mensagem e a entrega direto ao banco, sem guardar nada nesse computador. Quando a entrega falha três vezes seguidas — rede caída, banco fora do ar —, ele grava a mensagem num arquivo dentro desse computador para não perdê-la, e o arquivo guarda o identificador da conversa, o nome e o texto em claro, sem embaralhar. Assim que a entrega volta a funcionar, o programa reprocessa o arquivo e ele some. Isso não é o caminho de todo dia: é o que acontece quando alguma coisa quebra. Mas é uma cópia da sua conversa fora do banco brasileiro, é a única que existe do nosso lado, e você tem o direito de saber que ela pode existir.
Se você chegou pelo formulário do site, nosso servidor valida o envio e grava diretamente no Supabase. A confirmação só aparece depois da resposta de sucesso do banco. Se não conseguirmos confirmar a gravação, mostramos erro e você pode tentar novamente; não guardamos uma fila local de formulários. CPF, CNPJ e sequências longas de números em texto livre são redigidos antes da gravação. O IP é usado em memória para limitar tentativas, sem entrar no payload do formulário nem no log do endpoint. As entradas vencem em dez minutos e são retiradas nas próximas requisições ou no reinício. Também mantemos por dez minutos o resumo criptográfico de um envio confirmado para evitar uma gravação repetida imediata. As cópias anteriores da Netlify são histórico separado, descrito na seção 12.
Menores: a seção 3 já diz que não oferecemos o serviço a menores de 18 anos e que não perguntamos a sua idade. Com recepção aberta, não temos como impedir que um adolescente escreva. Se soubermos que os dados são de criança ou adolescente, apagamos; se você é responsável e quer que apaguemos, escreva ao encarregado (seção 11).
No WhatsApp e no bot de atendimento, quem responde primeiro é um programa, não uma pessoa. No topo da primeira resposta colamos um texto nosso, que diz, com essas palavras, que você está falando com um assistente virtual.
Sendo exatos sobre o que garantimos aqui. A inteligência artificial não escreve
esse texto de apresentação e não o altera: ele é nosso, e mora à parte, num registro do banco de
dados (at_tetos.texto_apresentacao), não dentro do programa. Isso quer dizer que
conseguimos mudá-lo sem publicar programa novo — dizemos porque é verdade e porque muda o tamanho
da garantia. O que o programa garante é que ele exista: se o registro estiver
vazio, a primeira resposta automática não sai, e a conversa vai para uma
pessoa.
Uma pessoa assume a conversa quando acontece qualquer uma destas coisas:
Uma proteção que está no programa, não na nossa boa vontade. Antes de qualquer resposta automática sair, o programa lê o texto dela e segura a resposta, mandando a conversa para uma pessoa, se ela contiver um e-mail ou um telefone, se se apresentar como consultor, assessor ou analista, se prometer retorno financeiro, se prometer prazo em números ou se afirmar "conformidade com a LGPD".
Qual inteligência artificial, e o que ela recebe. É a Anthropic, nos Estados
Unidos: o modelo claude-haiku-4-5 faz a triagem da mensagem e o
claude-sonnet-4-5 escreve a resposta. O que sai daqui em cada chamada é o texto das
suas últimas seis mensagens, o resumo que o sistema escreveu sobre você, a base de respostas e as
regras de conduta. Não mandamos o seu nome, o seu e-mail, o seu telefone nem o seu identificador —
mas se você escreveu qualquer um deles dentro da mensagem, ele vai junto, porque ele é o
texto. A seção 6 diz por quanto tempo a Anthropic guarda o que recebe, e sob qual base
esse dado sai do país.
O que o sistema conclui sobre você. Além de guardar o que você escreveu, ele anota: um resumo de quem você é e do que você quer, escrito por inteligência artificial; a intenção da sua mensagem, escolhida dentro de uma lista fechada; uma prioridade; um estágio do atendimento; etiquetas; e o desfecho do contato. Serve para organizar a fila e para saber a quem responder primeiro. É o que a lei chama de definição de perfil, e a seção 11 diz o que você pode fazer a respeito.
Por que estamos te contando isso. Nenhuma lei brasileira em vigor obriga especificamente a avisar que do outro lado tem um programa — o projeto que criaria essa obrigação, o PL 2338/2023 (marco legal da inteligência artificial), foi aprovado pelo Senado em 10/12/2024 e está na Câmara dos Deputados desde 17/03/2025, sem virar lei. O que existe é o dever de informar: o Código de Defesa do Consumidor manda dar informação adequada e clara sobre o serviço (art. 6º, III) e informação correta, precisa e ostensiva (art. 31), e a LGPD manda dizer com clareza qual é a forma do tratamento (art. 9º). Saber que do outro lado tem um programa muda como você escreve. Então dizemos.
Se houver incidente com risco relevante aos titulares, avisamos a ANPD e as pessoas atingidas nos prazos da Resolução CD/ANPD nº 15/2024, dizendo o que aconteceu, quais dados o incidente alcançou e o que você deve fazer. Pessoas atingidas, e não só usuários: desde a versão 2.6 esta política cobre quem escreveu para o atendimento sem nunca ter criado conta, e o aviso alcança essa pessoa do mesmo jeito — pelo canal por onde ela falou conosco.
A lei brasileira rege esta política. Elegemos o foro da comarca de Rondonópolis/MT para as questões que surgirem dela — o que não tira do consumidor o direito de acionar a empresa no foro do próprio domicílio (CDC, art. 101, I). A seção 19 dos Termos de Uso explica essa cláusula por extenso.
Avisamos dentro do aplicativo quando mudamos algo relevante, e a data de vigência fica sempre visível no topo desta página.
| Versão | Data | O que mudou |
|---|---|---|
| 2.8 · edição VPS | Publicação desta edição | Hospedagem em Campinas (SP), recebimento direto dos novos formulários no Supabase, histórico da Netlify separado e retenção de sete dias dos logs operacionais da VPS. As versões abaixo registram como o serviço funcionava antes desta publicação |
| 2.8 | 29/08/2026 | A seção 12 parou de dizer que a retenção é indeterminada e que o expurgo não deixa rastro — porque as duas coisas deixaram de ser verdade. As migrações crm-0055 e crm-0056 entraram em produção em 29/08/2026. A primeira criou o registro de expurgo que a versão 2.6 dizia estar construindo: ele grava a data, a origem do pedido e quantas linhas saíram de cada tabela, e não grava quem pediu. A segunda criou os prazos, escritos no sistema: 180 dias para a conversa do atendimento e para os eventos de desfecho, 365 dias para os eventos de custo. O que esta versão deliberadamente NÃO afirma: que já apagamos. A rotina roda em modo de conferência — conta quanto sairia e não apaga —, e ligar a exclusão automática é decisão ainda não tomada. Anunciar exclusão que não acontece seria o erro da v2.0 (12 meses que o sistema não cumpria) invertido. A seção passou a trazer o número, a dizer que a rotina existe e a dizer, na mesma frase, que ela ainda não apaga. Nada mais mudou |
| 2.7 | 28/08/2026 | A cobrança abriu em 24/08/2026 e esta política não tinha registrado. A versão 2.6, publicada um dia depois da abertura, ainda dizia na seção 12 que "não há cobrança e, portanto, não há documento fiscal a reter" — a frase ficou falsa por quatro dias. A seção 6 ganhou a Stripe como operadora de pagamentos, com o que mandamos a ela (e-mail, identificador da conta, plano e ciclo — medido no código em 28/08/2026) e o que não passa por nós (o número do cartão, digitado na página dela). A seção 12 passou a dizer que os registros de cobrança têm prazo legal de guarda e sobrevivem à exclusão da conta, sem publicar o número de anos até conferi-lo com contador. Nada mais mudou |
| 2.6 | 25/08/2026 | O atendimento entrou nesta política. Até aqui a página cobria plataforma, site e bots do produto; o canal por onde as pessoas falam com a gente — o nosso WhatsApp e o bot @one_desk_bot do Telegram — estava em produção e fora do documento. Entraram duas seções novas, a 14 e a 15, e por causa delas as antigas 14, 15 e 16 passaram a ser 16, 17 e 18; as seções de 1 a 13 mantiveram o número que tinham, de propósito, porque o corpo do texto e esta tabela se referem a elas por número. A seção 14 diz que a recepção é aberta (qualquer pessoa que escrever entra no registro, sem lista de convidados — o contrário do resto do produto, que é conta e senha), o que guardamos de uma conversa, que CPF, CNPJ e número de cartão são trocados por marcação antes de a linha ser gravada e que senha, código de verificação, conta e agência e valor de patrimônio não são, com o motivo de cada uma; que os dois bots de Telegram são coisas diferentes (o de atendimento é canal de conversa e vê tudo; o de aviso interno manda quatro campos e nada mais); que não há disparo nem campanha, e que isso é estrutural, porque sem mensagem de entrada não existe endereço para onde mandar; e que o programa que recebe o WhatsApp roda num computador pessoal e grava a mensagem em claro num arquivo local quando a entrega falha três vezes — a única cópia nossa fora do banco. A seção 15 diz que quem responde primeiro é um sistema automatizado, que a apresentação como assistente virtual é um texto nosso guardado no banco e que, se ele faltar, a primeira resposta não sai e a conversa vai para uma pessoa; lista quando um humano assume e o que segura uma resposta automática; e nomeia os modelos da Anthropic (claude-haiku-4-5 na triagem, claude-sonnet-4-5 na resposta) e o que sai daqui em cada chamada. Correção de rumo na seção 11: a versão anterior dizia que não tomávamos decisão automatizada que definisse perfil — no atendimento, definimos: o sistema escreve resumo, intenção, prioridade, estágio e etiquetas. A seção passou a dizer isso, com o direito de revisão do art. 20 e a ressalva de que o § 3º daquele artigo foi vetado, e ganhou o gatilho que tira da fila automática um pedido de titular feito pela própria conversa. Seção 12: entrou a confissão de que não existe rotina de descarte no atendimento e o prazo real é indeterminado — sem prazo-alvo publicado, porque prazo publicado é promessa e esta página já teve de tirar uma (a v2.0 anunciava 12 meses que o sistema não cumpria) —, e entrou a linha da base de perguntas, que desde 25/08/2026 aponta para a mensagem em vez de copiá-la nas duas metades do registro. A seção 3 ganhou as linhas do atendimento e a metade que faltava em "não coletamos" e "não tratamos dado sensível": não pedimos e não usamos, mas com recepção aberta o que a pessoa escrever fica gravado como texto. A seção 6 ganhou a WhatsApp/Meta como canal, a segunda função da Anthropic, o fato de a Netlify Forms receber e guardar a submissão do formulário antes de repassar ao nosso banco, e a distinção entre operador nosso e plataforma que você escolheu. A seção 9 passou a dizer que quem atende lê a conversa inteira, com a lista fechada de endereços autorizados. A seção 13 datou a contagem de 22 tabelas com regras por usuário em 11/08/2026 e registrou que não a refizemos depois das tabelas do atendimento. A seção 16 passou a falar em pessoas atingidas, e não só em usuários. Duas contradições entre os dois documentos foram resolvidas a favor do que já estava público: o encarregado continua nomeado nos termos do art. 41 (a argumentação de dispensa do art. 11 da Res. CD/ANPD nº 2/2022, que existia no rascunho do atendimento, foi descartada — encarregado nomeado é fato declarado, não se desdeclara), e o canal continua sendo klarosk@one-desk.app, com a nota, medida em 25/08/2026, de que suporte@, contato@ e financeiro@ são apelidos da mesma caixa |
| 2.5 | 12/08/2026 | O site one-desk.app passou a medir audiência com Google Analytics 4 e o resultado dos anúncios com o Meta Pixel, e esta política passou a descrever isso. A seção 10 foi reescrita: perdeu a afirmação absoluta de que não havia cookie de rastreamento, análise de comportamento nem pixel — verdadeira em 02/08/2026 e falsa a partir de 12/08/2026 — e ganhou o funcionamento real, com a fronteira entre o site e o aplicativo (dentro do aplicativo não há nenhuma dessas ferramentas), o consentimento prévio (nada carrega antes do aceite), a base legal do art. 7º, I com a revogação do art. 8º, § 5º, o nome e o prazo de cada cookie (_ga e _ga_ZWDC8WR33Q, 2 anos; _fbp e _fbc, 90 dias) e o botão "Cookies e medição" do rodapé, que revoga. A seção 6 ganhou Google LLC como operador de análise de audiência e Meta Platforms como operador de medição de publicidade, com a transferência para os Estados Unidos apoiada no art. 33, II da LGPD e nas cláusulas-padrão da Res. CD/ANPD nº 19/2024 — nunca em adequação. A seção 3 deixou de listar "dado de navegação para publicidade" entre o que não coletamos e ganhou a linha correspondente na tabela; a seção 9 trocou "não vendemos nem cedemos dados para publicidade" pelo que continua verdade (não vendemos, não cedemos a lista de contas, não entregamos registro financeiro) mais o que passou a existir; a tabela de prazos ganhou a linha dos cookies de medição |
| 2.4 | 11/08/2026 | Terceiro expurgo por idade: o bot de captura passou a guardar o número que o Telegram dá a cada mensagem (update_id) para não processar a mesma duas vezes, apagando as linhas com mais de 48 horas no caminho da própria gravação. Nenhum dado pessoal nessa tabela. A seção 12 passou de dois expurgos para três e a seção 13, de 21 para 22 tabelas com regras por usuário. Correção de registro feita em 12/08/2026: esta linha não existia — a v2.4 mudou o corpo do documento em 11/08 e o cabeçalho da página continuou anunciando "versão 2.3", divergindo do comentário interno do arquivo, que já dizia 2.4. O texto estava certo; o rótulo é que ficou para trás |
| 2.3 | 03/08/2026 | O sistema passou a guardar registro de acesso à conta, como o art. 15 da Lei 12.965/2014 (Marco Civil da Internet) obriga: data e hora da entrada, endereço IP, identificador da conta e navegador, por seis meses, com rotina agendada que apaga depois. A seção 3 ganhou a linha correspondente e a seção 12 ganhou o prazo, o que o registro não alcança (o que você faz dentro do aplicativo, e login que falhou) e o aviso de que excluir a conta apaga esses registros antes dos seis meses. A seção 12 também deixou de dizer que existe um único expurgo por idade: agora são dois. A seção 13 passou de 21 para 22 tabelas com regras por usuário no banco |
| 2.2 | 02/08/2026 | Corrigiu a base da transferência internacional: a adequação da União Europeia (Res. CD/ANPD nº 32, de 26/01/2026) não alcança fornecedor dos Estados Unidos, e a base que vale é o art. 33, II da LGPD com as cláusulas-padrão da Res. CD/ANPD nº 19, de 23/08/2024. A seção 6 passou a trazer os prazos reais de retenção da Anthropic (30 dias, 29 em lote, até 2 anos em caso de violação da política de uso e até 7 anos das notas de confiança e segurança), da Groq (zero por padrão, com retenção zero ligada em 02/08/2026) e da xAI (30 dias, com a ligação fora de uso desde 20/07/2026). A seção 9 trocou a ressalva pela listagem completa das políticas do banco, rodada em 02/08/2026, registrou que a chave de serviço passa por cima dessas regras por desenho, e passou a descrever o que medimos no pacote publicado sobre a função "ver dados como" e sobre o defeito de 26/07/2026. A seção 10 passou a nomear o algoritmo do cache de login offline: PBKDF2-HMAC-SHA-256 com 310.000 repetições e sal, no lugar de "SHA-256 sem derivação lenta". A tabela de prazos ganhou o número da janela de logs da Netlify e a redação definitiva dos dados do formulário do site |
| 2.1 | 02/08/2026 | Corrigiu afirmação falsa da 2.0: existe, sim, um expurgo por idade — o bot do Telegram apaga as tentativas de /start com mais de 24 horas. A seção 12 passou a descrevê-lo com os três limites que ele tem (só roda no /start, falha em silêncio, apaga por idade e não por titular) e a tabela de prazos ganhou a linha correspondente |
| 2.0 | 02/08/2026 | O controlador passa a ser KN TECNOLOGIA LTDA (CNPJ 60.124.713/0001-99), com endereço, foro e encarregado nomeado pelo art. 41. Trocamos a marca para One Desk. Entrou a seção 7, declarando que as cotações são consultadas pelo seu navegador direto nas fontes, com a lista completa. Saiu o prazo de 12 meses: não existe expurgo por idade, e a seção 12 passou a dizer isso. Declaramos que o token do Telegram do Clarity sobe para a nuvem. Detalhamos o que o administrador vê, o que não vê e o limite da verificação. Descrevemos o armazenamento local no lugar da palavra "cookie". Registramos a exclusão de conta real e a exportação em JSON. Incluímos o formulário de interesse do site |
| 1.1 | 20/07/2026 | Corrigiu afirmação falsa da 1.0 sobre a base da transferência internacional e registrou a migração do banco para São Paulo |
| 1.0 | 19/07/2026, segundo o nosso registro interno — não localizamos o comprovante da publicação que fixe a data | Primeira versão publicada |