Política de privacidade

Dois papéis diferentes tratam dados diferentes neste produto, e esta política separa os dois com todas as letras.

• Dado do lead (telefone, nome, mensagens trocadas): quem usa o aloa para atender esse lead é o controlador — a imobiliária ou, na conta de corretor autônomo, o próprio corretor, pessoa física —, que decide por que atender aquele lead. O aloa é o operador: trata o dado só para prestar o serviço contratado por essa imobiliária ou por esse corretor.
• Dado da conta — nome, e-mail e o IP de login registrado na trilha de segurança — de quem usa o aloa: o dono e os corretores de uma imobiliária, ou o corretor autônomo, que atende sozinho. Aqui o aloa é o controlador.

• Do lead: telefone, nome (quando informado), e o conteúdo das mensagens trocadas no atendimento. Quando o WhatsApp não mostra o telefone — a pessoa usa um nome de usuário —, o lead é identificado pelo código que a Meta atribui a ele naquela conta, e o telefone entra se a Meta voltar a mostrá-lo.
• Quando o lead edita uma mensagem no WhatsApp, a versão nova entra na conversa ao lado da original. Quando apaga, a tela deixa de mostrar o texto, e a inteligência artificial deixa de considerá-lo; o original fica guardado até a eliminação do lead.
• Também do lead, derivado dessas mensagens pela inteligência artificial: um resumo do que ele procura, se quer comprar ou alugar, o orçamento máximo que ele mesmo disse e o imóvel do estoque que ele citou. A equipe da imobiliária lê e corrige esses campos — na conta de corretor autônomo, o próprio corretor —, e a correção dela vale sobre a da IA.
• De quem usa a conta (o dono e os corretores da imobiliária, ou o corretor autônomo): nome, e-mail, senha (armazenada com hash, nunca em texto puro) e o IP de login, gravado na trilha de segurança da conta.
• Da imobiliária ou do corretor autônomo, no cadastro e nos dados da empresa: o tipo da conta, o WhatsApp de contato do responsável, o CRECI e o tamanho da equipe.
• As fotos que o lead manda pelo WhatsApp ficam guardadas na conversa, regravadas sem os dados de localização da câmera, e a inteligência artificial lê cada uma para entender o que ela mostra — de um documento ou de uma pessoa, guarda só que é um documento ou uma pessoa. A nota de voz não é guardada: a inteligência artificial a transcreve, e a conversa guarda só o texto dela. Vídeo e documento não são guardados: a conversa registra só que chegaram. A cópia que fica no provedor do WhatsApp é apagada assim que a nossa é guardada.
• Do proprietário que escreve querendo anunciar o próprio imóvel: o nome, o telefone, o que ele conta do imóvel (finalidade, tipo, bairro, área, cômodos, valor pedido, condomínio e IPTU), a rua e o número — que ficam só com a equipe e nunca vão ao anúncio — e as fotos que ele manda.
• Também do lead, a memória do atendimento: o que ele procura e a história disso (cidades e bairros que quer e que não quer, tipo, quartos, vagas e área mínimos, o que exige e o que não quer no imóvel, o prazo para mudar, a forma de pagamento e a data em que pediu para ser chamado de novo), o que aconteceu com cada imóvel que passou pela conversa (oferecido, visitado, de que gostou e o que recusou, com o motivo — nunca o texto da mensagem) e um resumo curto de cada fase da conversa. A memória nunca guarda dado sensível (saúde, religião, opinião política, vida sexual, origem racial ou étnica, dado genético ou biométrico) nem número de documento. A equipe vê, corrige e apaga cada item, e a memória some com o lead.

O dado do lead é tratado para permitir que a imobiliária, ou o corretor autônomo, atenda esse lead pelo WhatsApp, com ou sem ajuda de inteligência artificial. A base legal é a execução de contrato e de procedimentos preliminares a pedido do titular (art. 7, V, da Lei 13.709/2018): o lead que escreve pedindo atendimento iniciou o contato buscando esse serviço.

O dado do proprietário é tratado para a captação que ele mesmo pediu — procedimento preliminar ao contrato de anúncio, a pedido do titular (art. 7, V, da Lei 13.709/2018): montar o rascunho do anúncio, que uma pessoa da equipe revisa antes de publicar. Foto de documento ou de pessoa nunca vai ao anúncio. A referência de preço que a equipe vê usa só imóveis da própria conta e nunca é mostrada ao proprietário.

A memória do atendimento existe para o lead não precisar repetir o que já disse quando volta a falar, mesmo meses depois, e para não receber de novo um imóvel que já recusou. É tratada na mesma base legal do atendimento (art. 7, V, da Lei 13.709/2018) e guarda só o que um corretor anotaria para atender bem: a família vira a necessidade (“precisa de 3 quartos”), nunca o detalhe de quem mora com o lead.

O dado da conta (o dono e os corretores, ou o corretor autônomo) é tratado para operar a própria conta: autenticação, segurança e cobrança do plano contratado.

O WhatsApp de contato serve só para a nossa equipe falar com o responsável pela conta — o produto nunca manda mensagem por ele. O CRECI é conferido pela nossa equipe e nunca aparece como verificado automaticamente. O tipo da conta e o tamanho da equipe entram no aviso que a nossa equipe recebe quando uma conta nova é criada; o tipo da conta também muda o que o painel mostra e a voz da inteligência artificial ao se apresentar ao lead.

Nenhum dado é vendido. Ele é compartilhado só com os provedores que operam partes específicas do serviço:

• OpenAI — gera as respostas da inteligência artificial durante o atendimento, o resumo do que o lead procura e a memória do atendimento (o que ele procura, o que achou de cada imóvel e o resumo de cada fase da conversa), transcreve as notas de voz e lê as fotos que o lead manda, e classifica as fotos que o proprietário manda (sala, cozinha, documento…) para montar o rascunho do anúncio.
• Meta (plataforma do WhatsApp Business) — entrega e recebe as mensagens do WhatsApp pelo número que a imobiliária, ou o corretor autônomo, conecta na própria conta da Meta, ou que a equipe do aloa liga na conta da Quadra na Meta (ver a seção “WhatsApp pela Meta”).
• Asaas — processa a cobrança do plano contratado.
• Resend — envia os e-mails do produto: o código de 6 dígitos (para criar a conta, entrar num aparelho novo e trocar a senha pelo “Esqueci a senha”), o convite para a equipe, os avisos da conta (cobrança, cancelamento, agenda do Google a reconectar) e os avisos à equipe que vão por e-mail — por exemplo, quando um cliente pede um corretor —, com o nome do cliente e o link para a tela do aloa.
• Sentry — recebe relatório técnico de erro do sistema (mensagem de falha e rastro de execução), identificado pela conta e por um número de correlação, nunca por nome, e-mail, telefone ou conteúdo de conversa.
• O provedor de hospedagem onde o produto roda — guarda os dados em servidor, e as cópias de segurança cifradas do banco num segundo servidor (ver a seção “Retenção”).
• Cloudflare — fica na frente do site, do painel e da API do aloa (DNS, conexão segura e proteção contra abuso): toda requisição, inclusive as que a Meta e o Asaas mandam ao aloa, passa por ela a caminho do servidor, e é ela que abre a conexão segura com o seu navegador.
• Google — quando alguém da equipe conecta a própria agenda do Google, recebe as visitas dessa pessoa na agenda “aloa · visitas” e responde se ela está livre ou ocupada (ver a seção “Google: entrar e agenda”).

O servidor do aloa — o banco com contas, leads, conversas, mensagens e imóveis — fica nos Estados Unidos (Ashburn, Virgínia).

As fotos (dos imóveis e as que chegam pela conversa) e as cópias de segurança cifradas do banco ficam na Alemanha (Falkenstein), no mesmo provedor de hospedagem.

Os provedores da seção “Compartilhamento com operadores” tratam a parte que lhes cabe nos próprios servidores, na maior parte fora do Brasil — OpenAI, Meta, Google, Resend e Sentry, principalmente nos Estados Unidos, e a Cloudflare, na rede dela em vários países. O Asaas fica no Brasil.

Isso é uma transferência internacional de dados, que a LGPD regula no art. 33. Ela acontece só com esses provedores e só para o que está descrito em “Compartilhamento com operadores”.

O número de WhatsApp é conectado pela própria imobiliária, ou pelo corretor autônomo, numa janela da Meta: ali se escolhe o número e se autoriza o aloa a enviar e receber as mensagens dele. Essa autorização fica guardada cifrada e pode ser retirada a qualquer momento, desconectando o número em Ajustes ou na própria conta da Meta. Quando a conta do aloa é cancelada, o número é desconectado.

O número também pode ser ligado pela equipe do aloa, na conta da Quadra na Meta. Nesse caso não há autorização da imobiliária guardada: o acesso é o da própria Quadra. A imobiliária pede a desconexão à equipe, e o número é desconectado do mesmo jeito quando a conta do aloa é cancelada.

Se o número conectado é o mesmo do WhatsApp Business do celular, ele continua funcionando lá. O que a equipe responde pelo celular aparece na conversa do aloa, e a inteligência artificial para de responder naquela conversa. Os nomes dos contatos da agenda do celular são usados só para dar nome a quem escrever depois — nenhum lead é criado a partir da agenda. Eles ficam guardados enquanto o número estiver conectado e saem quando ele é desconectado, quando a conta é cancelada ou quando o contato é apagado no celular.

Nesse caso, as conversas individuais dos últimos 180 dias do celular também entram no aloa, como conversas encerradas: a inteligência artificial nunca responde a elas e só volta a atender quando o cliente escrever de novo. Fotos e outros arquivos do celular não são trazidos — a conversa registra só que foram enviados. Esse histórico segue as mesmas regras de guarda, cópia e eliminação das outras conversas, e o controlador dele é o mesmo: quem usa o aloa para atender.

Quando o serviço está ligado, dá para criar a conta, entrar e aceitar um convite com a conta Google, além de entrar com e-mail e senha. É opcional: quem não quiser usa só e-mail e senha.

O que recebemos do Google: o seu nome, o seu e-mail e o identificador da sua conta Google. O nome e o e-mail preenchem o cadastro; o identificador e o e-mail do momento em que você conecta ficam guardados para reconhecer você nas próximas entradas. Para entrar, o Google só confirma quem você é; nenhuma credencial do login é guardada.

Google Agenda (opcional, cada pessoa da equipe decide a própria): quando você conecta a sua agenda do Google, o aloa cria na sua conta a agenda “aloa · visitas” e escreve nela as visitas que você tem no aloa, com o primeiro nome do cliente, o endereço do imóvel e o link da visita no aloa — nunca telefone, CPF ou o resumo da conversa. O aloa também vê se você está livre ou ocupado na sua agenda principal: só os horários, nunca o título, o local ou quem participa. A equipe vê “ocupado”, nunca o quê.

Para fazer isso sem você presente, o aloa guarda uma credencial de acesso do Google (o token de atualização), cifrada, no servidor; o acesso de curta duração fica só na memória. Ela vale só para a agenda “aloa · visitas” e para o livre/ocupado: não dá acesso ao seu e-mail, aos seus arquivos nem às suas outras agendas.

O uso e a transferência, pelo aloa, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. aloa's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

• Para desligar a agenda: em Ajustes, na aba Integrações, “Google Agenda”, “Configurar” e “Desconectar”. O aloa revoga o acesso no Google e, se você escolher, apaga a agenda “aloa · visitas”.
• Ao sair da equipe, ou quando a conta for cancelada, o aloa revoga o acesso no Google e apaga a agenda “aloa · visitas” da sua conta.
• Você também pode tirar o acesso a qualquer momento nas permissões da sua conta Google (myaccount.google.com/permissions (abre em outra aba)).
• Para desligar o Entrar com o Google: em Conta, na parte de segurança, use “Desconectar”. A conta continua funcionando com e-mail e senha; quem só tem o Google cria a senha pelo “Esqueci a senha” antes de desconectar.

O site também conta quantas vezes cada página pública é aberta, por dia — para saber, por exemplo, se uma pessoa chega ao anúncio mas não chega ao cadastro.

Essa contagem é agregada e anônima: sem cookie, sem IP guardado, sem identificador de visitante e sem nada gravado no seu navegador. É só um número por página, por dia — nenhuma linha liga a contagem a um visitante específico.

Se o navegador tiver “Global Privacy Control” ou “Não Rastrear” (Do Not Track) ligado, a visita não entra na contagem — não é preciso configurar nada no aloa para isso.

O histórico de um lead fica guardado por 730 dias contados a partir da última mensagem trocada com o lead.

Uma conversa encerrada fica guardada por 365 dias contados a partir do fechamento da conversa.

Um registro de consumo de IA fica guardado por 400 dias contados a partir do instante em que a linha foi gravada.

Passado o prazo, o dado é eliminado de verdade — apagado do banco, não só ocultado — por um processo automático diário.

Uma vez por dia o banco ganha uma cópia de segurança, cifrada — a chave que abre a cópia não fica no servidor. Cada cópia fica 7 dias no próprio servidor e 30 dias num segundo servidor do mesmo provedor de hospedagem, e então é apagada. Por isso um dado eliminado — pelo prazo, a pedido ou no fim de uma conta cancelada — some também das cópias de segurança em até 30 dias.

Os contatos da agenda do celular (quando o número continua no WhatsApp Business do celular) ficam enquanto o número estiver conectado: saem quando ele é desconectado, quando a conta é cancelada ou quando o contato é apagado no celular, e o contato de um lead eliminado sai junto com ele.

Quando uma assinatura cancelada chega ao fim, a conta é suspensa e os dados dela ficam guardados por mais 90 dias, para o dono baixar a cópia completa. Passado esse prazo, os dados pessoais da conta — leads, conversas, mensagens, imóveis e os usuários da conta — são eliminados automaticamente, pelo mesmo caminho de eliminação dos prazos acima.

Dentro desse prazo, reativar a conta (com o pagamento de uma cobrança nova) interrompe a eliminação: os dados continuam onde estão. Uma conta cujos dados já foram eliminados não pode ser reativada.

A trilha de segurança da conta (registro de quem entrou, quando e de qual IP), o histórico de cobrança e os dados da assinatura não são eliminados por prazo nem no fim de uma conta cancelada — são registro fiscal e de segurança, com prazo próprio que não é decisão deste produto.

Quando o dono da conta remove uma pessoa da equipe, o aloa anonimiza o cadastro dela: o nome, o e-mail, as credenciais, as sessões de acesso, o perfil de corretor e os convites que a citam são apagados ou trocados por um marcador. O que era dela — leads, conversas e visitas — é redistribuído.

Ficam as mensagens que ela enviou a leads e a linha do tempo do atendimento, que são o registro da imobiliária, a controladora desse dado; elas passam a aparecer como “Ex-integrante da equipe”.

Fica também a trilha de auditoria (identificadores, IP e navegador), por segurança e por ser imutável. O prazo de guarda dessa trilha será definido.

A Lei Geral de Proteção de Dados garante direitos ao titular do dado — a página de LGPD detalha cada um e como pedir para exercê-lo.

O dono da conta pode baixar pelo painel, a qualquer momento, a cópia completa dos dados da conta, num arquivo JSON (Ajustes, “Conta e plano”) — inclusive com a conta suspensa, até os dados serem eliminados. Senhas, sessões de acesso e a trilha de segurança ficam fora do arquivo.

Dúvida ou pedido sobre dado pessoal: encarregado@quadra.ia.br.