Política de Privacidade

1. Quem somos e o papel de cada um

A Consciência é uma plataforma de autoconhecimento apoiada por inteligência artificial. Nesta política, "nós" se refere à empresa responsável pela plataforma, na condição de controladora dos seus dados pessoais, nos termos da Lei nº 13.709/2018 (LGPD). Os fornecedores listados na seção 7 atuam como operadores, tratando dados em nosso nome e sob nossas instruções.

A preencher antes da publicação: razão social, CNPJ e endereço da controladora.

2. Dados que coletamos, e de onde eles vêm

2.1 Dados de cadastro

Nome, e-mail e um identificador único de conta, obtidos no login. A autenticação é feita pelo Microsoft Entra ID — não temos acesso à sua senha em momento algum e não a armazenamos.

2.2 Conteúdo das suas conversas

Tudo o que você escreve para o Henri é armazenado, junto com as respostas dele, para que você possa retomar conversas e acompanhar sua jornada. Esse conteúdo frequentemente revela informações sobre sua saúde mental e emocional, sua vida afetiva e sua história pessoal — trate a seção 3 como a mais importante desta política.

2.3 Dados derivados por IA (perfilamento)

A partir das suas conversas, sistemas automatizados geram e associam à sua conta: insights, padrões de comportamento, feridas emocionais identificadas, distorções cognitivas, aspectos de sombra, nível de consciência estimado, técnicas de respiração e práticas de mindfulness detectadas, tags e práticas sugeridas. Esses registros alimentam o seu dashboard. A seção 5 explica seus direitos sobre esse perfilamento.

2.4 Respostas de onboarding e jornada

As respostas que você dá ao questionário inicial e os marcos da sua jornada (etapas, práticas concluídas, ferramentas ativadas) são armazenados para personalizar recomendações.

2.5 Dados de pagamento

Para assinaturas pagas coletamos nome, e-mail, CPF e telefone. Os dados do cartão são enviados diretamente do seu navegador ao Mercado Pago e convertidos em um token — número e código de segurança do cartão nunca passam pelos nossos servidores nem são armazenados por nós. Guardamos o histórico de transações (valor, plano, status, método).

2.6 Lista de espera

Se você entra na lista de espera, coletamos nome e e-mail para avisar sobre o lançamento e a liberação do seu acesso. Você pode pedir a remoção a qualquer momento pelo canal da seção 12.

2.7 Convites

Quando alguém da nossa equipe convida você para a plataforma, tratamos o nome e o e-mail informados no convite com a única finalidade de enviá-lo e liberar o acesso. Se você não quiser o convite, basta ignorar o e-mail — e pode pedir a exclusão do registro.

2.8 Registros técnicos

Registros de acesso (data, hora, IP, aplicação acessada), métricas de uso e registros de funcionamento (logs) necessários à segurança e à operação.

3. Dados sensíveis e bases legais

O conteúdo das suas conversas e os registros derivados dele podem constituir dado pessoal sensível referente à saúde (art. 5º, II, LGPD). O tratamento desses dados se dá exclusivamente mediante o seu consentimento específico e destacado (art. 11, II, "a"), colhido antes do primeiro uso do chat.

Você pode revogar esse consentimento a qualquer momento. A revogação interrompe o tratamento, implica a exclusão do conteúdo das conversas e dos dados derivados e encerra as funcionalidades que dependem deles.

Para as demais finalidades utilizamos:

• Execução de contrato (art. 7º, V) — cadastro, autenticação, cobrança e entrega do serviço;
• Obrigação legal (art. 7º, II) — guarda de registros fiscais e de acesso;
• Legítimo interesse (art. 7º, IX) — segurança da plataforma, prevenção a fraudes e métricas agregadas de uso;
• Consentimento (art. 7º, I) — lista de espera e comunicações não essenciais.

4. Inteligência artificial: o que acontece com o que você escreve

Para que o Henri responda, o conteúdo da conversa é processado pelo Serviço Azure OpenAI, operado pela Microsoft, na infraestrutura de nuvem da Microsoft. Pelos termos desse serviço, o conteúdo enviado não é utilizado para treinar os modelos da Microsoft nem da OpenAI, e não é disponibilizado a outros clientes.

O provedor pode reter temporariamente trechos de conteúdo para fins de monitoramento de abuso da própria plataforma de IA, conforme a política do serviço. O processamento pode ocorrer em datacenters localizados fora do Brasil — ver a seção 8.

A confirmar antes da publicação: região exata de processamento do serviço de IA, status do opt-out de monitoramento de abuso e referência ao acordo de tratamento de dados (DPA) da Microsoft.

O Henri não é profissional de saúde. Ele não emite diagnóstico, não prescreve tratamento e não substitui psicoterapia ou acompanhamento médico. As respostas são geradas automaticamente e podem conter imprecisões.

5. Decisões automatizadas e perfilamento

Os insights, padrões e indicadores do seu dashboard (seção 2.3) são gerados de forma totalmente automatizada e constituem um perfil pessoal. Eles existem para devolver a você uma leitura da sua própria jornada — não são usados para negar acesso, alterar preços ou limitar o serviço.

Nos termos do art. 20 da LGPD, você pode solicitar revisão de qualquer classificação gerada automaticamente, além de contestá-la ou pedir sua exclusão pelo canal da seção 12.

6. Quem, dentro da nossa equipe, vê os seus dados

O acesso interno é restrito e registrado. Operadores autorizados do nosso console administrativo podem visualizar seus dados cadastrais (nome, e-mail, status da conta, plano, última atividade) e, para fins de suporte e operação, os indicadores derivados que compõem o seu dashboard. O conteúdo literal das conversas não é exibido no console administrativo; o acesso técnico a ele é limitado ao estritamente necessário para operar a plataforma e investigar incidentes.

7. Operadores e serviços de terceiros

Compartilhamos dados apenas com operadores necessários ao funcionamento do serviço:

Além disso, as páginas da plataforma carregam recursos de CDNs públicas (Google Fonts, jsDelivr, unpkg, CDN do Tailwind). Ao carregar uma página, o seu navegador solicita esses arquivos diretamente a esses serviços, que recebem seu endereço IP e dados do navegador. Nenhum conteúdo seu é enviado a eles. Estamos avaliando servir esses recursos da nossa própria infraestrutura.

Não vendemos os seus dados, não os usamos para publicidade e não os compartilhamos com anunciantes ou corretores de dados. Não usamos ferramentas de analytics de terceiros nem pixels de rastreamento. Podemos divulgar dados mediante ordem judicial ou requisição de autoridade competente, no limite do que for exigido.

8. Transferência internacional

Parte da infraestrutura (incluindo o processamento de IA e o banco de dados) opera em datacenters fora do Brasil, principalmente nos Estados Unidos. Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, com garantias contratuais de proteção firmadas com cada operador (cláusulas contratuais e adendos de proteção de dados dos próprios fornecedores).

9. Cookies e armazenamento local

• Autenticação — a sessão de login (tokens do Microsoft Entra ID) fica no armazenamento local do seu navegador, no seu dispositivo. Sair da conta remove esses tokens.
• Proteção de tráfego — a Cloudflare pode definir cookies estritamente técnicos de segurança e balanceamento.
• Não usamos cookies de publicidade, de rastreamento entre sites ou de analytics de terceiros.

10. Por quanto tempo guardamos

11. Segurança

• Todo o tráfego é criptografado em trânsito (TLS).
• Cada requisição autenticada é validada por token; os dados de cada usuário são segregados por identificador de conta, e uma conta não consegue ler dados de outra.
• Credenciais e chaves de serviço ficam em cofres de segredos, fora do código-fonte, e são rotacionadas.
• O acesso administrativo é individual, autenticado e restrito à equipe autorizada.
• E-mails enviados pela plataforma são autenticados (SPF, DKIM e DMARC) para dificultar falsificação do nosso remetente.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos você e a Autoridade Nacional de Proteção de Dados (ANPD) nos prazos da regulamentação.

12. Seus direitos e como exercê-los

Nos termos do art. 18 da LGPD, você pode a qualquer momento solicitar:

• confirmação da existência de tratamento e acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade dos seus dados (a plataforma oferece exportação em PDF e JSON);
• eliminação dos dados tratados com base no consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e as consequências;
• revogação do consentimento e revisão de decisões automatizadas (seção 5).

Para exercer qualquer um deles, escreva para o nosso Encarregado (DPO) — contato na seção 15. Responderemos em até 15 dias.

13. Menores de idade

A plataforma é destinada a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos um cadastro nessas condições, a conta será encerrada e os dados eliminados.

14. Alterações desta política

Podemos atualizar esta política para refletir mudanças na plataforma ou na legislação. Mudanças relevantes — especialmente as que ampliem o uso dos seus dados — serão comunicadas por e-mail ou dentro da plataforma com antecedência razoável e, quando a lei exigir, dependerão de novo consentimento.

15. Contato

Encarregado pelo Tratamento de Dados Pessoais (DPO):

A preencher antes da publicação: nome do encarregado, e-mail de contato dedicado e endereço para correspondência.