Política de Privacidade e Proteção de Dados — Ideia Arsenal e Órbita Ideia

Versão 2026-09-28-1 · Vigente desde 28/09/2026

Esta Política explica, de forma honesta e concreta, quais dados pessoais tratamos quando você usa o Ideia Arsenal e a área de membros Órbita Ideia, por que tratamos, com quem compartilhamos, por quanto tempo guardamos e como você exerce os seus direitos. Ela foi escrita a partir do que o nosso sistema realmente faz. Aplica-se em conjunto com os Termos de Uso.

Em poucas palavras

• Quem trata: a Ideia Business (Ideia Business Soluções Tecnológicas LTDA, CNPJ 30.082.914/0001-00) é a controladora. Encarregado: Victor Lopes Paiva, dpo@ideiabusiness.com.br.
• O que guardamos de você: nome, e-mail e telefone (vindos da compra), a situação do seu plano, o registro das suas entradas na Órbita, o seu progresso na trilha e, se você ativar, um perfil público. Não guardamos dados de cartão.
• Instalador: o IP, a senha root (ou chave SSH), o token do bot e o código de autorização do Provedor de IA que você informa são usados só para a instalação que você pediu e não ficam gravados em banco, disco permanente ou log.
• Seus clientes e a sua Iara: os dados que passam pela sua Iara instalada ficam no seu ambiente. Não os recebemos. Ali, o controlador é você.
• Entrevista de entrada na Órbita: se você fizer a entrevista com a Iara, guardamos as suas respostas em texto e o dossiê do seu negócio que sai delas, para personalizar a sua Iara. Não gravamos áudio. Quando o seu acesso termina, você tem 90 dias para ler e exportar; avisamos por e-mail pelo menos 15 dias antes de apagar. Você pode pedir cópia ou apagamento quando quiser (seção 5-A).
• Com quem compartilhamos: só com quem precisamos para o serviço funcionar (Kiwify, Vercel, Neon, Resend, Telegram, provedor da VPS do instalador e, só se a voz ao vivo da entrevista for ligada, o provedor de voz contratado). Alguns têm servidores fora do Brasil; explicamos o fundamento.
• Cookies: só os estritamente necessários (sessão). Não usamos cookies de rastreamento nem analytics.
• Seus direitos: acesso, correção, eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento e outros do art. 18 da LGPD. Pedidos pelo e-mail do encarregado; resposta em até 15 dias.
• Menores: o produto é para maiores de 18 anos.

Sumário

1. Quem somos e quem é o encarregado
2. A quem esta Política se aplica e o que ela não cobre
3. Quais dados tratamos e de onde vêm
4. Para que usamos e com qual base legal
5. O instalador da Iara: credenciais da sua VPS e do Provedor de IA

5-A. A entrevista de entrada na Órbita: suas respostas e o dossiê

6. Com quem compartilhamos (operadores e terceiros)
7. Transferência internacional de dados
8. Por quanto tempo guardamos
9. Como protegemos os dados
10. Seus direitos e como exercê-los
11. Cookies e armazenamento no navegador
12. Menores de 18 anos
13. Decisões automatizadas
14. Incidentes de segurança
15. Alterações desta Política
16. Contato

1. Quem somos e quem é o encarregado

Controladora: Ideia Business Soluções Tecnológicas LTDA ("Ideia Business"), CNPJ 30.082.914/0001-00, sede em Rua Siqueira Campos, 940, 1º andar, Centro Histórico, Porto Alegre/RS, CEP 90010-000. Produto: Ideia Arsenal e Órbita Ideia, em arsenal.ideiabusiness.com.br. Idealizador: Gustavo Lopes Paiva.

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): Victor Lopes Paiva — dpo@ideiabusiness.com.br. É o canal para dúvidas, pedidos de titulares e comunicação com a ANPD.

2. A quem esta Política se aplica e o que ela não cobre

2.1. Aplica-se a: pessoas que compram um plano ou comunidade; Membros da Órbita; quem pede um link de acesso; quem usa o instalador; quem faz a entrevista de entrada na Órbita; quem participa da Tempestade Solar; e quem nos contata pelos canais de atendimento.

2.2. Não cobre os dados que você trata usando a sua Iara e os agentes no seu ambiente (VPS, contas, CRM, WhatsApp, Provedor de IA). Nesse caso, você é o controlador e nós não somos nem controladores nem operadores: não recebemos, não acessamos e não armazenamos esses dados. A responsabilidade pela LGPD ali é sua, como explicam os Termos de Uso (cap. 14). A entrevista de entrada com a Iara é diferente: ela acontece dentro da Órbita, não no seu ambiente, e quem trata os dados dela somos nós (seção 5-A).

2.3. Também não cobre o tratamento feito por plataformas de terceiros que você usa por conta própria ou com as quais contrata diretamente: a Kiwify (no checkout, ela é controladora dos dados de pagamento), o Telegram, a OpenAI, a Anthropic, o seu provedor de hospedagem, o seu navegador (inclusive o serviço de reconhecimento de voz e as vozes online que ele oferece). Cada um tem política própria.

2.4. Até 27/09/2026, o Arsenal também vendia o "Poder" (funcionalidade avulsa comprável à parte), sem nenhum comprador registrado. A descontinuação foi decidida em 27/09/2026; a desativação dos checkouts na Kiwify e a remoção do mapa de ofertas (arsenal_offer_map) são execução pelo dono e dependem de confirmação — a última medição pela API (28/09/2026, 15h) ainda encontrou os 3 checkouts de Poder active. Por isso esta Política já não trata o Poder como categoria vigente de dados ou de direito de acesso, mas a venda só se encerra de fato quando os checkouts forem desativados.

3. Quais dados tratamos e de onde vêm

O que não coletamos: dados de cartão ou conta bancária (ficam na Kiwify); senha de Membro (não existe); dados sensíveis (art. 5º, II, da LGPD), que nem a entrevista pede; geolocalização; dados de navegação para publicidade; áudio da sua voz; conteúdo das conversas da sua Iara instalada com você ou com seus clientes. A única conversa com a Iara que guardamos é a entrevista de entrada na Órbita, e só em texto (seção 5-A).

4. Para que usamos e com qual base legal

Quando a base for legítimo interesse, tratamos só o necessário, com expectativa razoável sua e sem sobrepor os seus direitos; você pode se opor pelo canal da seção 10.

5. O instalador da Iara: credenciais da sua VPS e do Provedor de IA

Esta seção descreve o que o nosso código faz. Assumimos o compromisso de manter estas práticas e de atualizar esta Política se elas mudarem.

5.1. O que você informa. IP da VPS; a senha do usuário root ou uma chave SSH privada (uma das duas); opcionalmente a chave pública de host da VPS; o token do bot do Telegram; o seu ID numérico do Telegram; o Provedor de IA (ChatGPT/OpenAI ou Claude/Anthropic). No fluxo Claude, também o código de autorização que a Anthropic mostra depois que você autoriza na sua conta.

5.2. Finalidade única. Usamos esses dados exclusivamente para executar a instalação que você pediu, na sua VPS, naquele momento. Não usamos para nenhum outro fim, não acessamos a sua VPS fora da instalação e não guardamos meio de voltar a ela.

5.3. Não retenção.

• As credenciais ficam apenas na memória do serviço de instalação enquanto a instalação roda.
• A senha é escrita em um arquivo temporário com permissão restrita (0600, em pasta 0700) só para autenticar o SSH, e esse arquivo é apagado quando a sessão SSH termina. A chave SSH segue a mesma regra.
• Assim que o SSH autentica, senha e chave são descartadas da memória. O token do bot é descartado depois de gravado no arquivo de configuração da sua VPS. O código de autorização do Provedor é repassado à sua VPS uma única vez e descartado.
• Nada disso vai para banco de dados, disco permanente, resposta da API ou log. Os registros do serviço passam por um filtro que substitui qualquer segredo por "[redigido]" antes de serem escritos.
• O estado da instalação existe só na memória: se o serviço reiniciar, a instalação em curso é perdida e nada dela permanece. O serviço atende no máximo 8 instalações simultâneas.
• Não recebemos nem guardamos chaves de API nem tokens de acesso do Provedor de IA. A autenticação acontece entre a sua VPS e o Provedor, na sua conta; as credenciais resultantes ficam na sua VPS.

5.4. Cadastro na tela inicial do instalador. A tela pede nome, e-mail e telefone. Hoje esses dados ficam apenas na memória do serviço de instalação, não são gravados em banco, não são lidos pela equipe e desaparecem quando o serviço reinicia. O seu navegador guarda apenas uma marcação local de que o cadastro foi feito (seção 11). Se passarmos a usar esse cadastro para outra finalidade (por exemplo, suporte à instalação), atualizaremos esta Política antes.

5.5. Onde roda e quem pode alcançar. O serviço de instalação roda em um servidor da Ideia Business, hospedado em provedor de nuvem de terceiro (Hetzner Online GmbH, em datacenter em Ashburn, Virgínia, Estados Unidos; por isso há transferência internacional, seção 7), com HTTPS, firewall, usuário de sistema próprio sem privilégios, isolamento de diretórios e escuta só na rede local. Ele só é acessível depois do seu login na Órbita, por meio de um segredo compartilhado entre a Órbita e o serviço. Transparência: esse servidor é compartilhado com outros serviços da Ideia Business, e o administrador do servidor (root) tem, por natureza, capacidade técnica de alcançar a memória de qualquer processo. Mitigamos com as medidas acima e com o descarte imediato das credenciais; a migração para um servidor dedicado está planejada. Por isso, e por boa prática, recomendamos trocar a senha root da sua VPS logo após a instalação e passar a usar acesso por chave.

5.6. Identidade da VPS. Se você não informar a chave de host, a identidade da sua VPS é aceita no primeiro contato ("aceitar no primeiro uso"). Informar a chave de host reduz o risco de a instalação se conectar a um servidor impostor.

5.7. O que fica na sua VPS. O agente de código aberto que executa a Iara, o serviço que o mantém no ar, o arquivo de configuração com o token do bot e o seu ID do Telegram (para que só você fale com a sua Iara) e, no fluxo Claude, a ferramenta de linha de comando do Provedor. Tudo isso está sob o seu controle, e nós não temos acesso remanescente.

5-A. A entrevista de entrada na Órbita: suas respostas e o dossiê

Esta seção descreve o que o nosso sistema faz na entrevista. Assumimos o compromisso de manter estas práticas e de atualizar esta Política se elas mudarem.

5-A.1. O que é. A entrevista é a primeira conversa com a Iara dentro da Órbita, por voz ou por texto: cerca de doze perguntas sobre você, o seu negócio, o que a Iara pode fazer sozinha e as suas prioridades dos próximos 90 dias. É o passo "Descreva" do método, e só começa quando você escolhe começar. Você pode pular qualquer pergunta, pausar, trocar entre voz e texto a qualquer momento e parar para voltar depois. Antes da primeira pergunta, a Iara diz que é uma inteligência artificial e o que é guardado.

5-A.2. O que guardamos e para quê. Cada resposta fica salva em texto na sua conta assim que você responde, para você poder parar e continuar de onde parou. Junto com ela guardamos a releitura (o que a Iara entendeu), se a resposta veio por voz ou por texto e se a pergunta foi pulada. A finalidade é uma só: conhecer o seu negócio para personalizar a sua Iara e montar o dossiê. Não usamos as respostas para publicidade, não as vendemos, não as mostramos a outros Membros e não as usamos para treinar modelos de IA. Concluir a entrevista soma pontos na sua trilha (seção 13.2).

5-A.3. O dossiê. No fim, você vê todas as respostas num resumo que pode corrigir. O dossiê só é gravado quando você confirma esse resumo, e o que estiver nele é o que fica. Ele organiza as respostas no formato que a sua Iara usa (quem você é, o negócio, o que ela pode e não pode fazer sem perguntar, as prioridades de 90 dias e as pendências) e fica na Órbita para você copiar e colar na sua Iara instalada. Nós não enviamos o dossiê à sua VPS nem a um Provedor de IA: quem o leva é você. Se você refizer a entrevista, a anterior fica guardada como histórico na sua conta até você pedir o apagamento.

5-A.4. Áudio e o modo de voz pelo navegador. Não gravamos áudio: nem no banco de dados, nem em arquivo. A sua voz vira texto antes de chegar a nós, e nós recebemos só o texto. No modo de voz pelo navegador, que é o padrão, nós não enviamos o seu áudio a nenhum terceiro e não o recebemos: quem transforma a sua fala em texto é o reconhecimento de voz do seu próprio navegador. Saiba, porém, que o navegador pode mandar o áudio ao serviço do fabricante para transcrever (no Chrome, ao Google), pelas regras dele, sem contrato conosco. Do mesmo modo, a fala da Iara usa uma voz do seu navegador ou do seu sistema, e algumas dessas vozes funcionam pela internet: nesse caso, o fabricante recebe o texto que a Iara fala, inclusive a releitura das suas respostas. Se não quiser nada disso, faça a entrevista por texto (ela não liga o microfone) ou desligue a voz da Iara.

5-A.5. O provedor de voz contratado. Existe um segundo modo, de conversa contínua, que usa um provedor de voz contratado por nós. Hoje ele está desligado. Só será ligado por decisão expressa nossa, e antes disso publicaremos nova versão desta Política com o nome do provedor contratado e o país onde ele trata os dados. Quando estiver ligado e você escolher falar:

• o seu áudio, a transcrição, o texto que você digitar durante a conversa, as falas da Iara e o seu primeiro nome passam pelo provedor enquanto a conversa dura, para ele conduzir a entrevista em tempo real;
• as respostas continuam gravadas por nós, só em texto, pela nossa própria API, com as mesmas regras desta seção;
• o provedor atua como operador: trata esses dados só para prestar o serviço, sob contrato de tratamento de dados que o proíbe de usá-los para outro fim, inclusive para treinar modelos;
• o provedor tem servidores fora do Brasil, então há transferência internacional (seção 7). Só ligaremos esse modo com as salvaguardas do art. 33 da LGPD, em especial cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) no contrato com o provedor;
• a escolha é sua: a tela mostra qual modo está ativo, e o texto faz a mesma entrevista sem passar a sua voz por ninguém.

5-A.6. O que evitar nas respostas. Não cole chave, senha ou token. A tela pede isso, e o sistema recusa e não grava respostas com formato de chave ou frases como "a senha é...", mas o filtro não pega tudo. Evite também dados dos seus clientes e dados sensíveis (saúde, religião, opinião política e os demais do art. 5º, II, da LGPD): a entrevista pede o nome dos sistemas e a descrição do negócio, não dados de terceiros. Se algo assim entrar numa resposta, você pode corrigir no resumo antes de confirmar ou pedir o apagamento.

5-A.7. Por quanto tempo guardamos, e como apagar ou levar.

• Prazo: respostas, releituras e dossiês ficam guardados enquanto você tiver acesso a eles, porque são a base da sua Iara. Quando o seu acesso termina, eles ficam guardados por mais 90 (noventa) dias, contados do fim do acesso — e não do fim da voz ou do suporte, que sozinho não conta (Termos, cap. 6.5, c): - na Primeira Iara, o acesso termina 12 meses depois da confirmação do pagamento (Termos, cap. 3.4); - na Iara Completa, termina no fim do período já pago, depois do cancelamento por você ou pela plataforma de cobrança por não pagamento (um boleto ou cartão simplesmente atrasado, ainda em cobrança, é suspensão, não fim: o prazo não corre enquanto durar); - no arrependimento, reembolso ou chargeback (e no encerramento por violação dos Termos), o acesso termina na hora e a Órbita não mostra mais nada; o prazo de 90 dias corre dessa data, e a cópia é pedida pelo e-mail do encarregado.
• Aviso antes de apagar: pelo menos 15 (quinze) dias antes da exclusão, mandamos um e-mail ao endereço da sua conta dizendo a data. A exclusão só acontece depois de cumpridos os dois prazos (os 90 dias e os 15 dias do aviso); se o aviso sair atrasado, a exclusão atrasa junto, nunca o contrário.
• Se não conseguirmos avisar: se o e-mail não puder ser enviado (provedor de e-mail fora do ar ou não configurado, endereço recusado), nada é apagado. Tentamos de novo a cada hora, os dados ficam guardados com acesso restrito, e a rotina de exclusão registra quantas ficaram retidas por falta de aviso, para a nossa equipe resolver. Apagar sem avisar não acontece; guardar um pouco além do prazo, até o aviso sair, é o que fazemos nesse caso.
• Se o acesso voltar (renovação ou nova compra antes da exclusão), a contagem para: nada é apagado enquanto houver plano vivo.
• Encerramento da conta: se a conta for encerrada, as entrevistas são apagadas antes do cadastro.
• Apagar a qualquer momento: peça pelo e-mail do encarregado (seção 10). Apagamos de uma vez todas as suas entrevistas, respostas e dossiês, e os pontos da entrevista saem junto, em até 15 dias. Fica só o registro, na trilha de auditoria, de que houve um apagamento e de quantas entrevistas foram apagadas, sem o conteúdo.
• Levar uma cópia: o dossiê fica visível na Órbita, pronto para copiar. A cópia completa, com todas as respostas e a situação dos seus direitos, sai em arquivo estruturado (JSON) no endereço https://arsenal.ideiabusiness.com.br/api/arsenal/orbita/exportar, com a sua sessão aberta, enquanto você tiver acesso e durante os 90 dias depois do fim dele. Fora disso, ou se preferir, peça pelo mesmo e-mail; enviamos em formato estruturado em até 15 dias.

6. Com quem compartilhamos (operadores e terceiros)

Não vendemos dados pessoais. Compartilhamos só com quem é necessário para o serviço funcionar, nos limites abaixo.

Com nossos operadores, mantemos contratos que exigem sigilo, segurança e uso só para a finalidade contratada.

7. Transferência internacional de dados

Alguns dos nossos operadores mantêm servidores fora do Brasil. A transferência se dá com fundamento no art. 33 da LGPD e nas regras da ANPD sobre cláusulas-padrão contratuais (Resolução CD/ANPD nº 19/2024), conforme o quadro:

Você pode pedir mais informações sobre essas transferências pelo canal da seção 10.

8. Por quanto tempo guardamos

Guardamos cada dado só pelo tempo necessário à sua finalidade ou pelo prazo que a lei exige. Prazos:

Passados os prazos, os dados são eliminados ou anonimizados de forma segura. Dados que precisem continuar por obrigação legal (art. 16, I, da LGPD) ou para defesa em processo (art. 16, II) são mantidos com acesso restrito até o fim dessa necessidade.

9. Como protegemos os dados

Medidas em vigor no nosso sistema (art. 46 da LGPD):

• Criptografia em trânsito: todo o acesso à Órbita, às APIs, ao banco de dados e ao serviço do instalador é feito por HTTPS/TLS; conexões SSH com a sua VPS são criptografadas.
• Sem senha de Membro: o acesso é por link mágico de uso único, válido por 15 minutos. O token é gerado com 32 bytes aleatórios e guardado apenas como hash SHA-256; o link não pode ser reconstruído a partir do banco.
• Sessões: cookie de sessão com os atributos HttpOnly, Secure, SameSite e prefixo __Host- (só é enviado ao nosso domínio, por HTTPS, sem acesso por scripts), validade de 8 horas, token guardado só como hash, com revogação no logout.
• Senha da equipe (administração): mínimo de 16 caracteres, guardada como hash scrypt (custo 32768, salt aleatório), comparação em tempo constante, bloqueio por 15 minutos após 5 tentativas erradas, cookie com SameSite=Strict. Áreas administrativas são inacessíveis a Membros.
• Limites de pedido: no máximo 5 pedidos de link a cada 15 minutos por e-mail e por origem; a chave do limite é um HMAC do e-mail e do IP, não o dado em claro.
• Webhook de pagamento: só aceitamos eventos assinados pela Kiwify (HMAC verificado em tempo constante); eventos com assinatura inválida são rejeitados e registrados sem o segredo.
• Portão de acesso: todo caminho da Órbita é bloqueado por padrão; só entra quem tem sessão válida e plano ativo, decidido no servidor a cada requisição ("falha fechada").
• Cabeçalhos de segurança: proteção contra incorporação em outros sites (X-Frame-Options: DENY), contra interpretação errada de conteúdo (nosniff), sem envio de referência a terceiros (Referrer-Policy: no-referrer), câmera e geolocalização desligadas; o microfone só pode ser usado na página da entrevista, e só é pedido quando você escolhe a voz.
• Trilha de auditoria imutável: os eventos de auditoria não podem ser alterados nem apagados pelo sistema.
• Instalador: ver seção 5 (segredos só em memória, arquivos temporários 0600 apagados, filtro de segredos em logs, serviço com usuário próprio e diretórios isolados, firewall, HTTPS).
• Entrevista: as respostas só são gravadas pela nossa API, para o próprio Membro, com sessão válida, plano ativo, aceite em dia e verificação de origem; o tamanho de cada resposta é limitado e respostas com formato de chave ou senha são recusadas. A chave do provedor de voz, quando houver, fica só no servidor: o navegador recebe apenas uma credencial de curta duração.
• Mínimo privilégio e segredos: chaves e tokens de serviço ficam em variáveis de ambiente da hospedagem, fora do código; tokens de webhook são rotacionados quando necessário.
• Backup: cópias do banco de dados conforme as práticas do provedor, com acesso restrito.
• Acesso da equipe: restrito a quem precisa, por senha forte e sessão curta, com registro em auditoria.

Nenhuma medida garante segurança absoluta. Você contribui protegendo a sua caixa de e-mail (a sua chave de acesso), a sua VPS e as suas contas de terceiros.

10. Seus direitos e como exercê-los

Nos termos do art. 18 da LGPD, você pode, a qualquer momento e gratuitamente, pedir:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade dos seus dados a outro fornecedor, em formato estruturado;
• eliminação dos dados tratados com base no consentimento;
• informação sobre com quem compartilhamos e sobre a possibilidade de não dar consentimento e as consequências;
• revogação do consentimento (por exemplo, desligar o perfil público);
• oposição a tratamento baseado em legítimo interesse;
• revisão de decisões automatizadas (seção 13);
• reclamação à ANPD (gov.br/anpd) ou aos órgãos de defesa do consumidor.

Como pedir: e-mail para dpo@ideiabusiness.com.br, a partir do e-mail cadastrado na Órbita (é assim que confirmamos que é você). Se o pedido vier de outro e-mail, pediremos uma confirmação pelo e-mail cadastrado. Procuradores devem enviar procuração. Pedidos sobre a entrevista (cópia ou apagamento das respostas e do dossiê) seguem este mesmo canal (seção 5-A.7).

Prazo: respondemos em até 15 dias. Pedidos simples (confirmação de tratamento, acesso resumido) são atendidos de imediato quando possível. Se precisarmos de mais tempo por complexidade, avisaremos o motivo e o novo prazo.

Limites: alguns dados não podem ser eliminados enquanto durar uma obrigação legal (fiscal, Marco Civil) ou a necessidade de defesa de direitos (seção 8). Nesses casos, informamos quais e por quê, e restringimos o acesso a eles. Na trilha de auditoria, que é imutável, a eliminação se dá pela anonimização do seu cadastro: o identificador interno permanece, mas nome, e-mail e telefone deixam de existir.

11. Cookies e armazenamento no navegador

Usamos apenas cookies estritamente necessários. Não usamos cookies de rastreamento, de publicidade, de redes sociais nem ferramentas de analytics. Por isso, não há banner de cookies: cookies necessários não dependem de consentimento.

Armazenamento local do navegador (localStorage), só na página do instalador: identificador da instalação em curso e seu token de acompanhamento, chave de idempotência (para não iniciar duas instalações ao recarregar a página) e uma marcação de que o cadastro inicial foi feito. Esses itens ficam só no seu navegador, não são enviados a terceiros e são apagados pelo próprio instalador ao concluir ou falhar; você também pode apagá-los limpando os dados do site no navegador. Nenhuma senha, chave ou token do bot é guardado no navegador.

Sites de terceiros para os quais a Órbita leva você (Kiwify, Telegram, Provedores de IA) usam cookies próprios, sob as políticas deles.

12. Menores de 18 anos

O Ideia Arsenal e a Órbita Ideia destinam-se a maiores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se soubermos que um cadastro pertence a menor de 18 anos, encerraremos a conta e eliminaremos os dados, salvo obrigação legal de guarda. Se você é responsável por um menor e acredita que ele se cadastrou, fale com o encarregado (seção 16).

13. Decisões automatizadas

13.1. Acesso conforme o pagamento. A liberação, a suspensão e a revogação do seu acesso são feitas automaticamente, a partir dos eventos que a Kiwify nos envia (pagamento aprovado, renovado, atrasado, reembolsado, chargeback, cancelado), segundo uma tabela de mapeamento entre produtos e direitos. Não há perfilamento nem avaliação de características suas: é uma regra objetiva ligada ao pagamento. Se você entender que houve erro, pode pedir revisão por uma pessoa pelo canal da seção 16 (art. 20 da LGPD); a equipe pode conceder ou corrigir direitos manualmente, com registro em auditoria.

13.2. Gamificação. Pontos e patentes são calculados automaticamente a partir de eventos objetivos (aula concluída, skill instalada, presença, caso publicado, entrevista concluída), com regras fixas e sem efeito sobre o seu acesso ao produto. A exibição pública depende do seu consentimento (perfil público).

13.3. Dossiê da entrevista. O dossiê é montado automaticamente a partir das suas respostas, por regras fixas, e só é gravado depois que você confere e confirma o resumo. Ele não afeta o seu acesso ao produto nem é usado para avaliar você.

13.4. Não tomamos outras decisões automatizadas que afetem os seus interesses, nem usamos os seus dados para treinar modelos de IA.

14. Incidentes de segurança

Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante a você (por exemplo, acesso não autorizado ao banco de dados), comunicaremos a ANPD e os titulares afetados em prazo razoável, nos termos do art. 48 da LGPD e da regulamentação da ANPD sobre comunicação de incidentes (Resolução CD/ANPD nº 15/2024), com a descrição do ocorrido, dos dados envolvidos, dos riscos, das medidas adotadas e das recomendações a você. Mantemos registro interno de incidentes, inclusive dos que não exijam comunicação.

Suspeita de incidente pode ser reportada a dpo@ideiabusiness.com.br. Se você recebeu um link de acesso que não pediu, ignore-o: ele só funciona uma vez e expira em 15 minutos; avise-nos se isso se repetir.

15. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no produto, nos provedores ou na lei. Cada versão tem número (data) e vigência. Mudanças que alterem finalidades, bases legais, compartilhamentos, transferências internacionais ou prazos de retenção são materiais: avisaremos por e-mail e na Órbita com antecedência e pediremos novo aceite no seu próximo acesso; quando a base for consentimento, pediremos consentimento novo. Mudanças de redação ou de contato entram em vigor na publicação, com aviso na Órbita. Versões anteriores ficam disponíveis a pedido.

16. Contato

• Encarregado (DPO): Victor Lopes Paiva — dpo@ideiabusiness.com.br
• Atendimento geral: contato@ideiabusiness.com.br
• Controladora: Ideia Business Soluções Tecnológicas LTDA · CNPJ 30.082.914/0001-00 · Rua Siqueira Campos, 940, 1º andar, Centro Histórico, Porto Alegre/RS, CEP 90010-000
• Autoridade Nacional de Proteção de Dados: gov.br/anpd

Versão 2026-09-28-1 · Vigente desde 28/09/2026