Política de Privacidade

Esta Política explica quais dados pessoais o CobrAI trata, para quê, com quais fornecedores eles são compartilhados e onde ficam guardados, nos termos da Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).

1. Dados que tratamos

• Do escritório que contrata o CobrAI (Usuário): nome, e-mail, telefone, CPF/CNPJ, endereço de faturamento e dados de uso da plataforma. O CobrAI não recebe dados de cartão de crédito.
• Dos clientes cobrados pelo escritório (devedores): nome, telefone (WhatsApp), e-mail, CPF/CNPJ, valores e vencimentos das cobranças, o histórico das conversas (textos, áudios e a transcrição deles, imagens e documentos enviados, como comprovantes de pagamento), o perfil de pagamento estimado pela inteligência artificial e o registro de quando o link de pagamento foi aberto (data e hora). Nesse registro o CobrAI não grava endereço IP nem dados do aparelho; a hospedagem do site e o serviço de fontes, porém, recebem o IP de quem abre a página (seção 4).
• De quem visita o site: quem faz o diagnóstico Raio-X informa nome, e-mail e telefone; quem assina a newsletter do blog informa o e-mail, e guardamos o registro do consentimento (com um código derivado do IP, usado só para limitar tentativas). Quando o navegador relata um problema de segurança numa página, o CobrAI guarda o relatório (o navegador usado e o endereço da página) por 30 dias.

Nos dados dos devedores, o CobrAI atua como Operador: trata os dados sob as instruções do escritório, que é o Controlador.

2. Para que usamos

Exclusivamente para prestar o serviço de cobrança: enviar lembretes e conversar com os devedores pelo WhatsApp, negociar dentro das regras que o escritório configurou, gerar boletos e Pix quando o escritório usa um meio de pagamento integrado, avisar o escritório sobre os casos que precisam dele e mostrar os resultados no painel.

3. Base legal (LGPD)

Tratamos dados pessoais com base no artigo 7º da LGPD, para:

• Execução de contrato (art. 7º, V): prestar a plataforma e as automações contratadas pelo escritório.
• Proteção do crédito (art. 7º, X): a cobrança e a recuperação de crédito feitas pelo escritório, que é o Controlador dos dados dos devedores.
• Legítimo interesse (art. 7º, IX): segurança da informação e prevenção a fraude.

4. Fornecedores que recebem dados

Para o serviço funcionar, estes fornecedores recebem os dados descritos ao lado de cada um:

• Supabase: banco de dados, login, armazenamento de arquivos e funções do servidor. Guarda todos os dados da seção 1, em servidores nos Estados Unidos (região us-west-2, Oregon).
• Vercel: hospedagem do site, do painel e das páginas que o devedor abre (como a de pagamento). Recebe o endereço IP e os dados do navegador de quem acessa.
• Meta Platforms (WhatsApp Business Platform): o canal oficial de WhatsApp. Recebe o telefone do devedor, o conteúdo das mensagens, os dados dos modelos de mensagem (nome do devedor, nome do escritório, valor, vencimento e o link de pagamento) e os arquivos que o devedor envia. Do escritório, recebe o número de WhatsApp conectado e os dados da conta comercial; na tela de conexão do WhatsApp, o painel carrega o SDK do Facebook no navegador do escritório.
• Anthropic (Claude): a inteligência artificial principal. Recebe os dados da cobrança (nome, valor, vencimento, descrição), o histórico recente da conversa (inclusive a transcrição de áudios) e as imagens e PDFs de comprovantes para leitura. Do escritório, recebe o resultado das consultas do «Perguntar ao CobrAI» (nomes, valores e datas dos casos; o texto digitado não é enviado) e os números do relatório semanal. Quando o escritório envia um boleto em PDF que é só imagem (escaneado), o PDF inteiro pode ir ao Claude, só para ler as linhas digitáveis e o CPF/CNPJ do devedor.
• OpenAI: transcreve os áudios enviados pelo devedor e é a reserva automática da inteligência artificial quando o Claude falha. Nesse caso, recebe o mesmo que o Claude, inclusive a imagem do comprovante. O boleto em PDF lido pelo Claude não vai à OpenAI.
• Asaas: quando o escritório gera boleto e Pix pelo Asaas, recebe nome, CPF/CNPJ, e-mail e celular do devedor, além do valor, do vencimento e da descrição da cobrança.
• Cora (banco, só se o escritório a conectar): quando o escritório gera boleto e Pix pela Cora, a Cora recebe nome, CPF/CNPJ e e-mail do devedor, além do valor, do vencimento e da descrição da cobrança. Quando o CobrAI passar a ler os boletos que o escritório emite no próprio app da Cora, também vai receber da Cora os dados desses boletos, como o nome, o CPF/CNPJ e o e-mail do devedor, além do valor e do vencimento.
• Brevo: envio de e-mails ao escritório, como o aviso de um caso que precisa de atenção (com o nome do devedor e o motivo) e os resumos.
• Google Fonts: fontes do site. Recebe o endereço IP e os dados do navegador de quem abre qualquer página, inclusive a de pagamento.
• Stripe: a assinatura do escritório no CobrAI. Recebe o nome (razão social) e o e-mail do escritório quando ele salva os dados de faturamento ou abre o portal da assinatura. Não recebe dado de devedor.
• Conta Azul (o sistema de gestão do escritório, só se ele a conectar): é de onde vêm as cobranças importadas, e para onde vai a baixa do pagamento (valor e data). Se o escritório usar a Conta Azul para gerar a cobrança, ela recebe também nome, CPF/CNPJ, e-mail e celular do devedor, o valor, o vencimento e a descrição.
• Outros: o ViaCEP, que recebe o CEP digitado na tela de dados de faturamento do escritório, e o YouTube (Google), que recebe o IP de quem abre um artigo do blog com vídeo.

As inteligências artificiais são usadas pelas APIs comerciais da Anthropic e da OpenAI. Pelos termos dessas APIs, os dados enviados não são usados para treinar os modelos delas. Não vendemos dados pessoais.

5. Direitos do titular

Pela LGPD, o titular dos dados pode pedir:

• Confirmação de que tratamos seus dados e acesso a eles.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários.
• Portabilidade dos dados.
• Informação sobre com quem compartilhamos os dados (a lista está na seção 4).
• Revogação do consentimento, quando ele for a base do tratamento.
• Oposição a tratamento que descumpra a LGPD.
• Revisão de decisões tomadas só por tratamento automatizado, como o perfil de pagamento (art. 20).

Quem recebeu uma cobrança deve dirigir o pedido ao escritório que cobrou, que é o Controlador. Pedidos que chegam ao CobrAI são encaminhados a ele. Como pedir a exclusão, em quanto tempo e o que é apagado está na página Exclusão de dados.

6. Por quanto tempo guardamos

Dados do escritório e dos seus devedores: ficam guardados enquanto a conta do escritório existir. Cancelar a assinatura ou deixar o período de teste acabar não apaga os dados da conta. Quando o escritório exclui a conta, os envios param na hora e, 30 dias depois, o texto das mensagens guardadas nas conversas é apagado e parte dos dados de identificação, nas cobranças e na conta do escritório, é apagada ou trocada por um código. Muitos registros continuam guardados depois disso, e hoje não há prazo automático para eliminá-los; a lista está em Exclusão de dados.

Registros técnicos de auditoria: são apagados automaticamente 90 dias depois de criados. Hoje alguns deles guardam o texto de mensagens das conversas; está previsto até 30 de novembro de 2026 que deixem de guardar esse texto.

7. Encarregado (DPO)

Para exercer seus direitos ou tirar dúvidas sobre o tratamento dos seus dados, escreva para o nosso Encarregado pelo Tratamento de Dados Pessoais, Marcus Santos, em privacidade@cobrai.com.br.

8. Transferência internacional

Os dados ficam armazenados nos Estados Unidos (Supabase, região us-west-2) e passam por fornecedores com sede nos Estados Unidos (Meta, Anthropic, OpenAI, Vercel, Google e Stripe) e na França (Brevo). Para os dados do escritório, a transferência é necessária para executar o contrato (art. 33, IX, com o art. 7º, V, da LGPD). Para os dados dos devedores, ela acontece por instrução do escritório, que é o Controlador.

9. Pedidos de autoridades

Só entregamos dados pessoais a uma autoridade pública (como juiz, polícia, Ministério Público ou órgão de fiscalização) quando a lei obriga. Em cada pedido:

• conferimos se ele é legal: se quem pede tem competência para isso e se há base na lei, como uma ordem judicial;
• contestamos o pedido sem base legal, ou que peça mais do que a lei permite, inclusive na Justiça, quando for o caso;
• entregamos só o mínimo necessário para cumprir o pedido;
• registramos o pedido: quem pediu, quando, com qual base legal, o que foi entregue e por quê.

Quando o pedido for sobre dados de devedores, avisamos o escritório que fez a cobrança, que é o Controlador, salvo quando a lei ou a própria ordem proibir.