1. Quem somos
O Pórtico é uma plataforma da Aetos Lab, razão social a informar, CNPJ a informar, com sede em a informar.
Encarregado pelo tratamento de dados pessoais: a informar, pelo e-mail a informar.
Esta política segue a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD).
2. Dois papéis, dois conjuntos de dados
No Pórtico existem dois tipos de dado pessoal, e a Aetos Lab tem um papel diferente em cada um.
Dados da conta: são os dados das empresas clientes e das pessoas da equipe delas que usam o Pórtico, da cobrança e dos registros de acesso. Aqui a Aetos Lab é a controladora, e esta política explica tudo sobre eles.
Dados dos leads: são os dados das empresas e das pessoas que cada cliente encontra, qualifica e aborda pelo Pórtico. Aqui quem decide é a empresa cliente, que é a controladora. A Aetos Lab é a operadora e só trata esses dados em nome dela, como diz o Acordo de Tratamento de Dados. A seção 11 explica como funciona e como exercer os seus direitos.
3. Que dados da conta tratamos
Tratamos só o necessário para o Pórtico funcionar com segurança:
- Empresa cliente: razão social, CNPJ, endereço, site e as respostas da anamnese.
- Usuários: nome, e-mail de trabalho e papel na equipe. A senha é guardada só como resumo criptográfico, e o segredo do autenticador fica cifrado.
- Cobrança: plano, faturas, pagamentos e situação da assinatura. O cartão é digitado na página do Asaas, e o Pórtico não recebe o número completo.
- Registros de acesso e de segurança: endereço IP, data e hora, navegador e as ações importantes feitas na conta, guardadas numa trilha de auditoria.
- Atendimento: as mensagens trocadas com o suporte.
- Uso: contagens de buscas, leads, envios e o custo de IA de cada conta.
4. Para que usamos e com que base legal
Cada uso tem uma base legal do art. 7º da LGPD:
- Prestar o serviço, criar e manter a conta e dar suporte: execução de contrato (art. 7º, V).
- Cobrar e emitir nota fiscal: execução de contrato e cumprimento de obrigação legal (art. 7º, II e V).
- Guardar registros de acesso: obrigação legal do art. 15 da Lei nº 12.965/2014 (Marco Civil da Internet).
- Proteger contas, exigir verificação em duas etapas e prevenir fraude: legítimo interesse (art. 7º, IX, e art. 10) e proteção do próprio titular.
- Avisar sobre cobrança, mudanças de termos, manutenção e incidentes: execução de contrato e obrigação legal.
- Mandar novidades da Aetos Lab aos usuários: legítimo interesse, com descadastro em um clique em toda mensagem.
- Melhorar o produto com métricas de uso: legítimo interesse.
- Defender direitos em processo judicial, administrativo ou arbitral: exercício regular de direitos (art. 7º, VI).
5. Cookies
O Pórtico usa só cookies necessários para manter a sessão aberta e protegida. Se um dia usarmos cookies de medição ou de publicidade, pediremos o seu consentimento antes.
6. Com quem compartilhamos
Não vendemos dados. Compartilhamos só com fornecedores que nos ajudam a operar o Pórtico, presos a contrato e a dever de sigilo: hospedagem, banco de dados, e-mail, cobrança e IA. A lista completa, com o que cada um faz e onde fica, está na página Suboperadores.
Também podemos entregar dados a autoridade que os peça com base na lei, e só o que for exigido.
7. Transferência internacional
O banco de dados fica em São Paulo (Supabase, região sa-east-1) e o processamento do site também (Vercel, região gru1). Alguns fornecedores são empresas dos Estados Unidos, e o acesso que eles têm aos dados conta como transferência internacional.
Essas transferências seguem o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024: com fornecedores nos Estados Unidos, pelas cláusulas-padrão contratuais aprovadas pela ANPD; com a União Europeia, pela decisão de adequação da Resolução CD/ANPD nº 32/2026. Você pode pedir a íntegra das cláusulas pelo e-mail do encarregado.
8. Por quanto tempo guardamos
Guardamos cada dado só enquanto ele é necessário, e depois eliminamos (arts. 15 e 16 da LGPD):
- Dados da conta e dos usuários: enquanto o contrato durar e por mais 30 dias, o prazo para exportar os dados.
- Faturas, pagamentos e notas fiscais: pelo prazo das obrigações fiscais e contábeis, em regra 5 anos.
- Registros de acesso: pelo menos 6 meses, como exige o art. 15 do Marco Civil da Internet.
- Trilha de auditoria e provas de cumprimento da LGPD: 5 anos, o prazo em que a conduta ainda pode ser cobrada.
- Mensagens com o suporte: enquanto o contrato durar e por mais 12 meses.
9. Segurança
Seguimos os arts. 46 a 49 da LGPD com medidas técnicas e administrativas desde o desenho do Pórtico:
- verificação em duas etapas obrigatória para todos os usuários;
- contatos de pessoas cifrados com AES-256-GCM e busca por índice cego, sem guardar o contato em texto aberto;
- isolamento por empresa no banco, com segurança em nível de linha;
- trilha de auditoria que só aceita inclusão, com selo encadeado que denuncia qualquer alteração;
- registro de acessos, conexão sempre cifrada e acesso interno só para quem precisa;
- revisões de segurança periódicas e segredos fora do código.
10. Incidentes de segurança
Se um incidente puder trazer risco ou dano relevante aos titulares, comunicamos a ANPD e as pessoas afetadas em até 3 dias úteis, como pede a Resolução CD/ANPD nº 15/2024, em linguagem simples, dizendo o que aconteceu, que dados foram afetados e o que fazer.
Se o incidente envolver dados dos leads, avisamos a empresa cliente sem demora, porque é ela quem comunica os titulares e a ANPD. O DPA traz os detalhes.
11. Os dados dos leads: quem responde e como exercer seus direitos
Se uma empresa entrou em contato com você ou com a sua empresa usando o Pórtico, essa empresa é a controladora dos seus dados. Ela decidiu buscar, guardar e abordar. A Aetos Lab só opera a ferramenta em nome dela.
Mesmo assim, o Pórtico tem regras que valem para todas as empresas clientes:
- Empresas são encontradas em fontes públicas, como sites, mapas e cadastros de CNPJ. Um contato só é guardado se a própria empresa o publicou, com o endereço e a prova de onde estava.
- Contato de MEI e de empresário individual é tratado como dado pessoal: fica só o dado da empresa, e nunca sai e-mail automático.
- Pessoas só entram na base de três jeitos: porque pediram contato em formulário ou anúncio da empresa, porque interagiram com as contas dela, ou porque mostraram em público interesse no que ela vende.
- De quem mostrou interesse em público, fica só o que a pessoa publicou: o nome ou o @ como aparece, a rede, o link e um trecho do post, a intenção, a cidade se ela mesma disse, e a data.
- Nunca buscamos o e-mail ou o telefone dessa pessoa em outro lugar, nunca juntamos perfis de redes diferentes, não guardamos foto e não montamos dossiê.
- A abordagem é feita por uma pessoa da equipe, no mesmo lugar em que a pessoa escreveu, dizendo quem é a empresa, onde viu o post e como sair.
- Quem não responde é apagado em 90 dias. A empresa pode estender até 180 dias, e isso fica registrado.
- Dados de saúde e de crianças e adolescentes são descartados na hora.
- Um pedido de saída em qualquer canal bloqueia todos os canais daquela empresa.
12. Como pedir o que é seu, se você é um lead
O caminho mais rápido é falar com a empresa que entrou em contato. A primeira mensagem diz quem ela é e como sair. Responder com o pedido de saída já basta para parar os contatos.
Se preferir, ou se não conseguir falar com ela, escreva para o encarregado da Aetos Lab dizendo o nome da empresa e onde foi o contato. Repassamos o pedido para ela em até 2 dias úteis e ajudamos a responder. Pedido de saída é aplicado na hora, porque essa é uma instrução fixa de todas as empresas clientes.
Encarregado pelo tratamento de dados pessoais: a informar, pelo e-mail a informar.
13. Seus direitos
O art. 18 da LGPD garante a você, sem custo:
- confirmar se tratamos dados seus e acessar esses dados;
- corrigir dados incompletos, errados ou desatualizados;
- pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei;
- pedir a portabilidade dos dados;
- saber com quem compartilhamos os dados;
- se opor a um tratamento que descumpra a lei;
- revogar o consentimento, quando ele for a base;
- pedir a revisão de decisão tomada só por meio automatizado (art. 20).
14. Prazos e reclamações
A confirmação e o acesso simplificado saem na hora. A declaração completa, com origem, critérios e finalidade, sai em até 15 dias, como pede o art. 19 da LGPD.
Para proteger você, podemos pedir uma confirmação de identidade simples antes de entregar ou apagar dados.
Se não ficar satisfeito, você pode reclamar à Agência Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor.
15. Decisões automatizadas
A IA do Pórtico dá a cada lead uma nota de 0 a 100 com a explicação, para ajudar a empresa cliente a decidir quem abordar primeiro. A nota não decide sozinha nada que afete direitos de uma pessoa, e uma pessoa da equipe revê a abordagem antes de enviar. Quem quiser pode pedir a revisão humana e os critérios usados.
16. Crianças e adolescentes
O Pórtico é feito para empresas e não se destina a menores de 18 anos. O motor descarta na hora qualquer dado que indique criança ou adolescente.
17. Dados que vêm da Meta (WhatsApp e Instagram) e como pedir a exclusão
A Aetos Lab é provedora de tecnologia (Tech Provider) da Meta. A empresa cliente autoriza o app da Aetos Lab na janela oficial da Meta, e o Pórtico só acessa as contas que ela escolheu, com as permissões que ela concedeu. Nunca pedimos nem guardamos a senha de uma conta da Meta.
Quando uma empresa cliente conecta o WhatsApp ou o Instagram dela ao Pórtico pelo app da Aetos Lab na Meta, recebemos da Meta: os ids da conta do WhatsApp, do número e da conta do Instagram, o nome verificado ou o @ da conta, só o final do número, a qualidade e o limite de mensagens, as permissões concedidas e um token de acesso, guardado cifrado. Não lemos o perfil do Facebook de quem conecta.
As mensagens, os comentários e as menções de quem conversa com a empresa chegam pela Meta e são tratados em nome da empresa cliente, que é a controladora desses dados (seções 11 e 12).
Usamos o que vem da Meta só para as funções do Pórtico que a empresa cliente usa: mandar e receber mensagens, responder comentários e menções, mostrar a situação das contas e, quando ela pede, ler dados públicos de perfis comerciais. Não vendemos esses dados, não os usamos para anúncio nem para montar perfil de ninguém, e eles não treinam modelos de IA. O texto de uma mensagem só vai à IA quando a tarefa pede, como explica a página Suboperadores.
Como tirar o acesso: no Pórtico, um administrador da empresa usa Ajustes › Integrações › Desconectar. Na Meta, em Configurações do negócio › Integrações › Apps conectados, ou em Configurações e privacidade › Sua atividade › Integrações comerciais › Remover.
Como pedir a exclusão: pela própria Meta, que nos manda o pedido, ou escrevendo ao encarregado da Aetos Lab com o assunto "Exclusão de dados da Meta". O pedido feito pela Meta recebe na hora um código de confirmação e uma página de andamento em porticohub.tech/exclusao-de-dados, e termina em até 15 dias: apagamos o token, as permissões, o nome da conta, o final do número e os ids que ligam a conexão a você.
O que fica: o registro do pedido e a trilha de auditoria, sem dado que identifique você. Pedido sobre mensagens e comentários trocados com uma empresa cliente é encaminhado a ela, que responde como controladora.
Encarregado pelo tratamento de dados pessoais: a informar, pelo e-mail a informar.
18. Mudanças nesta política
Quando esta política mudar, a data no topo muda junto. Mudança importante é avisada por e-mail aos administradores das contas e dentro do Pórtico antes de valer.
19. Contato
Aetos Lab, razão social a informar, CNPJ a informar, com sede em a informar.
E-mail de contato: a informar.
Encarregado pelo tratamento de dados pessoais: a informar, pelo e-mail a informar.