Quem responde pelos seus dados: KN TECNOLOGIA LTDA, CNPJ 60.124.713/0001-99. A empresa é a controladora desde a concepção do projeto — esta é a primeira versão da política que a nomeia, mas não é o começo da responsabilidade dela. As contas criadas antes desta versão são do próprio fundador e da família dele: não há titular de fora afetado pela mudança de nome no documento.
O que fazemos com dado: guardamos o seu e-mail, o nome que você escolher e os registros financeiros que você mesmo lança. Não vendemos dados, não exibimos anúncios para você e não conectamos na sua conta bancária. Dentro do aplicativo não há ferramenta de análise de comportamento nem pixel de publicidade; no site one-desk.app existe medição de audiência com Google Analytics e Meta Pixel, e ela só liga se você aceitar — a seção 10 explica, com os nomes e os prazos. Sem conta, os seus registros não saem do aparelho. Guardamos também, por seis meses, o registro de cada entrada na sua conta — data, hora e endereço IP. Isso a lei manda (Marco Civil, art. 15) e a seção 12 explica.
Se você chegou aqui por causa de uma conversa: no WhatsApp e no bot de atendimento do Telegram a recepção é aberta — qualquer pessoa que escrever entra no registro, sem lista de convidados —, quem responde primeiro é um sistema automatizado, que se apresenta como tal na primeira frase, e a conversa fica guardada. As seções 14 e 15 são essas, e a 11 diz como pedir para apagar.
O que sai do Brasil: o banco de dados fica em São Paulo. Mas as análises de inteligência artificial, a leitura de recibos e a transcrição de áudios acontecem nos Estados Unidos — e o seu próprio navegador busca as cotações direto nas fontes, o que mostra o seu endereço IP a cada uma delas. As seções 6 e 7 detalham as duas coisas.
| Controlador | KN TECNOLOGIA LTDA |
|---|---|
| CNPJ | 60.124.713/0001-99 |
| Endereço | Rua Afonso Pena, 1636 — Rondonópolis/MT — CEP 78.705-065 |
| Encarregado (DPO) | Nickolas Alves de Lima Klarosk, nomeado nos termos do art. 41 da LGPD |
| Canal do encarregado | klarosk@one-desk.app |
A KN TECNOLOGIA LTDA é agente de tratamento de pequeno porte, na definição da Resolução CD/ANPD nº 2/2022. Ser de pequeno porte afrouxa alguns prazos e dispensa algumas obrigações; não dispensa nenhuma das que estão escritas nesta página.
Duas palavras da lei, ditas uma vez para não precisarem de nota depois. O encarregado é a pessoa que o controlador indica como canal entre você, a empresa e a ANPD (art. 41 da LGPD) — o endereço da tabela acima é esse canal. E titular, onde a lei escrever, é você: a pessoa de quem os dados falam. Aqui preferimos escrever "você".
Os endereços suporte@, contato@ e financeiro@one-desk.app
chegam na mesma caixa do endereço acima — são apelidos dela, não caixas
diferentes. Escrever para qualquer um dos quatro dá no mesmo; a caixa é uma só, e hoje ela
encaminha para o e-mail pessoal de quem opera o produto.
Cobre a plataforma em app.one-desk.app (os módulos Alpha, de investimentos, e Clarity, de finanças pessoais), o site one-desk.app, os bots de Telegram do produto e o atendimento — o que acontece quando você escreve para o nosso WhatsApp, para o bot de atendimento do Telegram ou pelo formulário do site. Cada um trata dados diferentes; as seções abaixo dizem qual é qual.
A diferença que mais importa está logo aqui: para usar a plataforma você cria conta e entra com senha; para falar conosco, não. O atendimento tem recepção aberta, e por isso ele tem seções próprias — a 14 e a 15. Se você chegou a esta página vindo de uma conversa, comece por elas.
| Dado | Origem | Para quê (base legal) |
|---|---|---|
| E-mail, senha e nome de exibição | Você, no cadastro | Criar e autenticar sua conta (execução de contrato, art. 7º, V). Nunca guardamos a senha em texto claro |
| Registros financeiros (gastos, contas, metas, posições, transações, notas) | Você — manualmente, pelo Telegram ou por importação | Prestar o serviço: exibir, calcular e sincronizar SEUS registros (execução de contrato) |
| Identificador do seu chat no Telegram | Você, ao vincular o bot (opcional) | Receber suas mensagens de captura e enviar os avisos que você ligar (execução de contrato) |
| Fotos e áudios enviados ao bot (opcional) | Você, no Telegram | Ler o recibo ou transcrever a fala e propor o lançamento. Não guardamos o arquivo — guardamos o texto lido e, no caso da foto, o código que o Telegram usa para identificá-la. O arquivo fica nos servidores do Telegram, sob as regras deles (execução de contrato) |
| Contagem de uso da inteligência artificial (identificador da conta + número de chamadas por dia) | Gerada pelo uso | Operar o limite diário de custo e conter abuso (legítimo interesse, art. 7º, IX). Guardamos enquanto a conta existir — seção 12 |
| Registro de acesso à conta (data e hora da entrada, endereço IP, identificador da conta e navegador) | Gerado quando você entra na sua conta | Cumprir o art. 15 da Lei 12.965/2014, o Marco Civil da Internet, que obriga a guardar esse registro por seis meses (cumprimento de obrigação legal, art. 7º, II). Guardamos seis meses e apagamos — seção 12 |
| Seu número de telefone no WhatsApp — ou o identificador da sua conversa no Telegram — e o nome que aparece no seu perfil | Você, ao escrever para o nosso WhatsApp ou para o bot de atendimento | Receber e responder a sua mensagem. Quando você escreve perguntando sobre o produto, a base é o art. 7º, V (procedimentos preliminares de contrato, a seu pedido); quando escreve por outro motivo — engano, número errado, assunto alheio — a base é o legítimo interesse (art. 7º, IX), porque no instante em que a mensagem chega não temos como saber por que você escreveu. Seção 14 |
| O texto de cada mensagem, sua e nossa, e o identificador técnico dela | A conversa, na íntegra e literal | Atender, e ter histórico se você voltar a falar conosco (art. 7º, V e art. 7º, IX). CPF, CNPJ e número de cartão são trocados por uma marcação antes de a linha ser gravada; senha, código de verificação, conta e agência e valor de patrimônio não são — a seção 14 diz por quê |
| O que o sistema conclui sobre você: um resumo escrito por inteligência artificial, a intenção classificada, uma prioridade, um estágio, etiquetas e o desfecho | Gerado pelo sistema a partir do que você escreveu | Organizar o atendimento e saber a quem responder primeiro (legítimo interesse, art. 7º, IX). Isso é definição de perfil, e você pode pedir revisão — seções 11 e 15 |
| Nome, e-mail, WhatsApp (opcional), como você se organiza hoje, maior dificuldade (opcional), e a página de origem e o site que mandou a visita | Você, no formulário de interesse do site one-desk.app. A Netlify Forms recebe e guarda o que você enviou antes de repassar ao nosso banco (seção 6) | Responder sobre acesso e novidades do produto (consentimento, art. 7º, I — há caixa de marcação obrigatória no formulário) |
| Dados de visita ao site one-desk.app (endereço IP, identificador aleatório do navegador, página visitada, site ou campanha que mandou a visita, e dados técnicos do aparelho) | Gerado pela sua visita ao site — só se você aceitar na faixa de consentimento | Medir a audiência do site e o resultado dos anúncios do produto (consentimento, art. 7º, I, revogável a qualquer tempo pelo art. 8º, § 5º). Não ocorre dentro do aplicativo — seção 10 |
Não coletamos: credencial bancária, dado de cartão, localização nem contatos. No atendimento essa frase precisa da outra metade: nós não pedimos nada disso, e o sistema é instruído a nunca pedir — mas a recepção é aberta, e o que você escrever numa mensagem é gravado como texto. CPF, CNPJ e número de cartão são trocados por marcação antes de gravar; senha, código de verificação, conta e agência e valor de patrimônio não são. A seção 14 explica as duas metades e o motivo de cada uma. Sobre dado de navegação, a resposta mudou em 12/08/2026: dentro do aplicativo continuamos sem coletar nenhum; no site one-desk.app, e somente se você aceitar, ferramentas de audiência e de medição de anúncio registram a sua visita — a seção 10 diz quais são, o que gravam e por quanto tempo, e a seção 6 diz para quem vão. Nada disso alcança os seus registros financeiros. Não tratamos dado sensível do art. 5º, II (origem racial, convicção religiosa, opinião política, saúde, biometria): não pedimos, não usamos e nenhuma parte do produto o trata de propósito. Aqui vale a mesma ressalva da recepção aberta — se você escrever um dado desses numa mensagem, ele fica gravado, porque ele é o texto. Não temos como impedir, e o melhor conselho que temos é: não mande. Dado financeiro não é dado sensível na LGPD, mas tratamos o seu como se merecesse o mesmo cuidado.
Menores: não oferecemos o serviço a menores de 18 anos, e não perguntamos a sua idade.
No modo Simples, sem conta, todos os registros ficam apenas no seu navegador. Seu navegador não manda esses registros para os nossos servidores e não tratamos nenhum dado financeiro seu. Duas coisas continuam saindo do seu aparelho mesmo assim: a visita à página, que passa pela nossa hospedagem e pode gerar registros técnicos de acesso (seção 12), e as consultas de cotação, que o seu navegador faz direto nas fontes (seção 7). Ao criar uma conta, os dados daquele aparelho passam a sincronizar com a nuvem, como explicam as seções 5 e 6.
Com conta, seus registros ficam no banco de dados da Supabase, no projeto
ulywvglcdgccmemutkwa, região South America (São Paulo), sa-east-1.
O banco ficava em Oregon, nos Estados Unidos; movemos para São Paulo em 20/07/2026, para guardar
o principal no Brasil. Guardamos o seu dado no Brasil; o trânsito dele nem sempre fica
por aqui — as seções 6 e 7 explicam por onde ele sai.
O site e as funções de servidor rodam na Netlify. No banco, regras por usuário prendem cada linha ao próprio dono (RLS, ligado em 52 das 53 tabelas — a exceção está na seção 13), e todo o tráfego usa TLS.
As conversas do atendimento ficam nesse mesmo banco, em São Paulo. Existe uma exceção, e ela é uma só: o programa que recebe as mensagens do WhatsApp pode gravar uma cópia num computador pessoal quando a entrega falha. A seção 14 conta quando isso acontece e o que fica gravado.
Parte do tratamento acontece fora do Brasil. A lista abaixo traz todos os fornecedores que tratam dado seu em nosso nome, e cada um recebe só o que precisa para fazer a parte dele:
| Empresa | O que faz | O que recebe |
|---|---|---|
| Anthropic (EUA) API Claude | Análises de inteligência artificial, leitura de recibos e o relatório mensal. Também a triagem e a resposta automática do atendimento: o modelo claude-haiku-4-5 classifica a mensagem e o claude-sonnet-4-5 escreve a resposta (seção 15) | Só o trecho enviado em cada chamada: os números e textos daquela análise específica, sem o seu e-mail e sem a sua senha. Na leitura de recibo, a imagem que você mandou ao bot. As chamadas passam por um servidor nosso (proxy) — exceto duas telas de análise que só funcionam se você colar a sua própria chave da API, e que nesse caso saem do seu navegador direto (seção 7). No atendimento: o texto das suas últimas seis mensagens, o resumo que o sistema escreveu sobre você, a base de respostas e as regras de conduta. Não mandamos o seu nome, o seu e-mail, o seu telefone nem o seu identificador — mas se você escreveu qualquer um deles dentro da mensagem, ele vai junto, porque ele é o texto |
| Groq (EUA) | Transcreve os áudios que você manda ao bot | O arquivo de áudio, no momento da transcrição |
| Netlify (EUA / contrato regido pela Irlanda) | Hospeda o site e roda as funções de servidor | O que passa pelas funções: análises de IA, notificações, captura pelo bot, exclusão de conta, e os programas do atendimento. Também os dados do formulário de interesse do site — e aqui a palavra exata é guarda: quando você aperta enviar, a Netlify Forms recebe e guarda o que você digitou, e só depois um gatilho dela repassa para o nosso banco. O que você escreveu no formulário existe também do lado dela, nos Estados Unidos |
| Google LLC (EUA) SMTP | Envia os e-mails do produto — confirmação de cadastro, recuperação de senha e os avisos que você ligar — por SMTP | Seu e-mail e o conteúdo da mensagem |
| Google LLC (EUA) Google Analytics 4 | Mede a audiência do site one-desk.app: quantas visitas, quais páginas, de onde vieram. Só depois de você aceitar (seção 10). Não roda dentro do aplicativo | Endereço IP, identificador aleatório do navegador (cookies _ga e _ga_ZWDC8WR33Q), página visitada, site ou campanha de origem e dados técnicos do aparelho (navegador, sistema, idioma, tela). Nunca o seu e-mail, o seu nome ou registro financeiro seu |
| Meta Platforms (EUA) Meta Pixel | Mede o resultado dos anúncios do produto: quem chegou ao site vindo de um anúncio e o que fez lá. Só depois de você aceitar (seção 10). Não roda dentro do aplicativo | Endereço IP, identificador aleatório do navegador (_fbp), o código do clique no anúncio quando houver (_fbc), página visitada e dados técnicos do aparelho. Nunca o seu e-mail, o seu nome ou registro financeiro seu |
| Telegram | Canal dos bots do produto, se você vincular (seção 8), e do bot de atendimento, que é aberto (seção 14) | Nos bots do produto: as mensagens, fotos e áudios que você mandar. No bot de atendimento: a conversa inteira — o que você escreve e a resposta que mandamos de volta. O bot de aviso interno, que só cutuca quem atende, recebe quatro campos e nada mais (seção 14) |
| WhatsApp Meta Platforms | É o canal, quando você escolhe falar conosco pelo WhatsApp | A conversa inteira, como em qualquer conversa de WhatsApp. O programa que recebe as mensagens do nosso lado roda num computador no Brasil — a seção 14 diz o que isso significa |
| xAI (EUA) configurada e inativa | Radar do X. Fora de uso desde 20/07/2026, por falta de crédito: a ligação existe no código e não roda | Nada, hoje. Quando rodava, só as contas públicas do X que você escolhesse — nenhum dado seu |
| Stripe (EUA) pagamentos — desde 24/08/2026 | Cobra a assinatura dos planos Completo e Avançado e guarda o meio de pagamento. A página em que você digita o cartão é da Stripe, não nossa | Ao abrir a contratação, mandamos o seu e-mail, o identificador da sua conta e o plano e o ciclo escolhidos (medido no código em 28/08/2026: checkout-session.js, campos customer_email, client_reference_id e metadata). O número do cartão você digita na página da Stripe e ele não passa pelo nosso servidor nem pelo nosso banco. O que volta para nós é o identificador de cliente da Stripe, o plano e o estado da assinatura (ativa, em teste, cancelada), gravados na tabela de assinaturas. Nenhum registro financeiro do aplicativo vai para a Stripe |
| Supabase Supabase Pte Ltd (Singapura) | Opera o banco e a autenticação | Tudo que você sincroniza. O banco fica em São Paulo, mas a empresa que opera o serviço é estrangeira e pode acessá-lo para manutenção |
WhatsApp e Telegram não são nossos operadores, e a diferença é real. Netlify, Supabase, Anthropic, Groq e Stripe tratam dado em nosso nome, dentro do que pedimos, e não podem usá-lo para finalidade própria por conta deles. WhatsApp e Telegram são as plataformas que você escolheu para nos escrever: cada uma tem política própria, e o que elas fazem com a conversa do lado delas não está sob o nosso controle. Elas aparecem na tabela porque a sua mensagem passa por elas, não porque trabalhem para nós. O que continua sendo nosso é a responsabilidade perante você: se algo der errado por culpa nossa ou de um operador nosso, quem responde somos nós.
Onde as funções de servidor rodam: fora do Brasil. O nosso registro interno de
20/07/2026 aponta a região us-east-2 (Ohio), porque São Paulo só existe nos planos
pagos da Netlify — não conferimos essa região no painel do plano que temos hoje, e por isso a
escrevemos como indicação, não como fato apurado.
Por quanto tempo esses fornecedores guardam o que recebem. Agora temos os números, e nem todos são curtos:
Esses prazos valem para o conteúdo de cada chamada: trechos dos seus números e textos, a imagem do recibo, o áudio. Nenhum dos três recebe o seu e-mail nem a sua senha. A xAI aparece na tabela acima por transparência, não porque trate dado seu hoje.
Telegram: não confirmamos qual empresa do grupo e em que país responde pelo contrato aplicável a nós. É por isso que a linha do Telegram na tabela acima é a única sem país indicado.
Fontes de cotação: elas não aparecem nesta tabela porque não tratam dado em nosso nome — quem fala com elas é o seu navegador, não os nossos servidores. Isso não as torna inofensivas, e por isso elas têm seção própria, a 7.
A Supabase usa fornecedores próprios para operar a infraestrutura dela — entre eles Amazon Web Services, Google Cloud, Fly.io, Vercel, Upstash e OpenAI. A lista atualizada fica no contrato público de tratamento de dados da Supabase.
A base legal dessa saída. A LGPD exige uma base para mandar dado para fora do país. A ANPD reconheceu a adequação da União Europeia na Resolução CD/ANPD nº 32, de 26 de janeiro de 2026. Esse reconhecimento não nos serve: Anthropic, Groq, xAI, Netlify, Google e Meta são empresas dos Estados Unidos. Os Estados Unidos não têm decisão de adequação da ANPD, e Singapura, sede da Supabase, também não tem.
A base que vale aqui é o art. 33, II da LGPD — cláusulas-padrão contratuais, no modelo da Resolução CD/ANPD nº 19, de 23 de agosto de 2024. É o que trazem os contratos de tratamento de dados da Netlify e da Supabase. Vale igualmente para o Google Analytics e para o Meta Pixel: os termos de tratamento de dados dessas duas empresas trazem cláusulas contratuais desse tipo, e é nelas que a saída se apoia. Uma distinção que importa: o consentimento que você dá na faixa do site é a base do tratamento (art. 7º, I); o art. 33, II é a base da transferência para fora do país. São duas perguntas diferentes, e cada uma tem a sua resposta. O que não conferimos: se o texto publicado por Google e Meta repete o anexo da Resolução nº 19 palavra por palavra — a mesma ressalva que já vale para Netlify e Supabase, no parágrafo abaixo.
A versão 2.1 desta política errava nas duas pontas. Ela se apoiava no reconhecimento de adequação, que nunca alcançou fornecedor americano, e chamava as cláusulas-padrão de caminho "em andamento, não concluído", quando elas já estavam nos contratos. Este parágrafo corrige as duas coisas.
O que ainda não conferimos: se o texto que a Netlify e a Supabase publicam repete o anexo da Resolução nº 19 palavra por palavra. Sabemos que os dois documentos trazem cláusulas-padrão; não comparamos a redação deles com o anexo oficial.
Para mostrar preços, cotações, indicadores e dados de mercado, o aplicativo faz as consultas a partir do seu navegador, direto para cada fonte, sem passar por servidor nosso. É uma escolha de arquitetura, e ela tem uma consequência que precisa estar escrita aqui: cada uma dessas empresas vê o endereço IP do seu aparelho, junto com o que qualquer requisição de navegador carrega (versão do navegador, sistema, idioma) e com o que você pediu para consultar.
Conferimos isso no código dos dois módulos em 02/08/2026. A coluna "pontos no código" é a contagem de vezes que o endereço de cada fonte aparece no arquivo do módulo — é a medida que temos, não o número de requisições que você faz por sessão:
| Fonte | Para que serve | O que ela vê | Pontos no código |
|---|---|---|---|
| CoinGecko | Preços e dados de criptomoedas | Seu IP e os símbolos que você acompanha | 19 |
| brapi | Cotações de ações, fundos imobiliários e câmbio | Seu IP e os tickers que você acompanha | 13 |
| DeFiLlama api / yields / stablecoins | TVL, pools, taxas e stablecoins do mercado DeFi | Seu IP e as redes e pools que você consultar | 12 |
| Binance api e fapi | Preços de reserva quando o CoinGecko falha, indicadores técnicos e funding | Seu IP e os pares consultados. Se você ligar a leitura da sua conta na Binance, a sua chave de API e a assinatura da requisição também saem do seu navegador direto para lá — nenhum servidor nosso vê essa credencial | 10 |
| Banco Central do Brasil api e olinda | Taxas e índices oficiais | Seu IP | 4 |
| AwesomeAPI | Câmbio | Seu IP | 3 |
| alternative.me | Índice de medo e ganância do mercado cripto | Seu IP | 3 |
| Nós públicos de blockchain publicnode.com — Ethereum, Base, Arbitrum, Solana | Ler a transação que criou a sua posição de liquidez, no módulo DeFi | Seu IP e o identificador da transação e o endereço de carteira que você mandar ler | 4 |
| er-api (exchangerate-api) | Câmbio de reserva | Seu IP | 2 |
| Yahoo Finance | Preço de ativo internacional | Seu IP e o ticker consultado | 1 |
| Telegram (módulo Clarity) | Enviar os seus avisos com o aplicativo aberto | Seu IP e o token — a senha do bot — que você criou | 3 |
| Anthropic | Duas telas de análise que usam a sua própria chave de API, se você tiver colado uma | Seu IP e o texto da análise. Sem chave colada, essas telas não chamam nada | 2 |
| cdnjs (Cloudflare) e Google Fonts | Carregam as fontes e duas bibliotecas do aplicativo (leitura de planilha e de PDF) | Seu IP, ao abrir o aplicativo | 4 |
O caso mais sensível é o DeFi. Quando você manda ler a transação de uma posição, o identificador dela — e, por consequência, o endereço da carteira envolvida — vai na consulta ao nó público da rede e ao DeFiLlama, carimbado com o seu IP. Endereço de carteira é público na blockchain, mas amarrá-lo ao seu endereço IP é uma ligação que você não fez com ninguém, e é a que acontece aqui.
Dessas fontes, só o Banco Central é instituição brasileira. Não confirmamos em que país ficam os servidores das demais — o que sabemos é que a consulta parte do seu navegador e chega até elas, e que a maioria é empresa estrangeira. Nenhuma delas recebe o seu nome, o seu e-mail ou os seus saldos.
A alternativa existe e não foi feita: essas chamadas poderiam passar por um servidor nosso, como já passam as da inteligência artificial e as do CoinMarketCap — aí a fonte veria o nosso servidor, não o seu aparelho. Queremos mudar isso, e não temos data. Enquanto não mudar, o que vale é o que está escrito acima. Há até uma função de servidor pronta para o brapi dentro do pacote publicado, e o aplicativo não a usa: os 13 pontos continuam saindo do seu navegador.
Não controlamos essas fontes e não respondemos pelo que cada uma faz com o próprio registro de acesso. Cada uma tem política própria.
A integração com o Telegram é opcional e existe em duas formas:
Declaração explícita: o token do bot que você informa no Clarity sobe para a nuvem quando — e só quando — você liga a opção "Resumo matinal". Não é acidente: é a única forma de o resumo diário sair com o aplicativo fechado, já que quem dispara é um serviço nosso, não o seu navegador. Esse serviço lê o token com credencial de servidor, na hora de enviar.
Ao desligar a opção, apagamos a cópia na nuvem. Com a opção desligada, o token fica só no seu aparelho. Quem tem esse token consegue mandar mensagens pelo seu bot; se isso incomodar, deixe o "Resumo matinal" desligado ou revogue o token no BotFather.
As chaves de API que você cadastrar no Clarity (cd_api_key e o endereço do proxy de
IA) nunca sobem para a nuvem.
A pessoa que opera o produto tem uma conta de administrador. Dizendo exatamente o que ela alcança:
profiles e
ad_ai_usage.ad_kv) não tem política de leitura para o administrador, e desativamos a função de
"ver dados como" em 27/07/2026 — hoje ela recusa. Os parágrafos abaixo dizem o que medimos e
onde essa recusa entra na fila. Também não vê os registros de acesso da seção 12: a tabela deles
(desk_acessos) nasceu sem política de administrador, e cada conta só enxerga as
próprias linhas.A listagem completa das políticas do banco, rodada em 02/08/2026. A varredura de
31/07/2026 procurou só pelo nome "admin_read", e nós mesmos escrevemos que a busca era estreita.
Agora rodamos a listagem inteira das três tabelas de dados. ad_kv tem quatro políticas:
leitura, alteração e exclusão, com a condição auth.uid() = user_id, e inserção com a
mesma condição na cláusula de verificação. cd_kv e desk_kv têm uma política
cada, valendo para todas as operações, com a mesma condição nas duas cláusulas. Todas valem só para
o papel authenticated. Nenhuma das três tem política de administrador.
O item acima deixou de depender de uma busca por nome.
O que essas regras não alcançam. Quem tem a chave de serviço do banco
(service_role) passa por cima delas — o banco funciona assim por desenho, e política de
tabela nenhuma muda isso. Essa chave existe, mora em variável de ambiente das funções de servidor e
fica com a pessoa que opera o produto. Ela não vai para o navegador: procuramos no pacote publicado
em 02/08/2026 e a chave não está lá; o nome dela aparece uma vez, dentro de um comentário. O limite
honesto é este: as regras do banco protegem você contra o aplicativo, não contra quem tem a chave de
serviço. Contra essa chave restam a nossa palavra e os registros de auditoria do próprio banco
(que são do fornecedor, e não se confundem com o registro de acesso da seção 12).
"Ver dados como": o que medimos no que está no ar. Em 02/08/2026 baixamos os dois
arquivos publicados — alpha.html e clarity.html — e lemos o código deles.
O módulo Clarity não tem essa função. No módulo Alpha ela existe e recusa: o portão é a função
gmx_allowAdmin(), que devolve "não" sempre, sem exceção e sem opção de ligar. O botão
que a chamava saiu da tela em 27/07/2026. Até aqui, o que dizíamos se confirma.
A recusa não é a primeira coisa que acontece, e isso muda o tamanho da promessa.
Antes de chegar ao portão, a função pede ao banco as linhas de ad_kv da outra conta e
grava no aparelho de quem administra o que vier. Só depois pergunta se pode. Quem barra esse pedido
não é o portão: é o banco, porque as políticas do parágrafo anterior não dão leitura de administrador
em ad_kv e a resposta volta vazia. Ou seja, a recusa vale em todos os caminhos da tela,
mas ela é a segunda linha de defesa, não a primeira. Vamos inverter essa ordem no código. Enquanto
não invertermos, é assim que está.
O defeito de 26/07/2026: metade corrigida. Ele era este — com a tela de visualização aberta, algumas gravações usavam o identificador da outra conta e ficavam no aparelho de quem administra, sem subir para a nuvem. Medimos hoje, no pacote publicado. As telas de conquistas, metas e perfil de risco ganharam trava: oito pontos de gravação recusam escrever no modo de visualização. A gravação comum da carteira não ganhou trava nenhuma — ela ainda monta a chave com o identificador da conta que está na tela. Duas coisas seguram o estrago hoje: a função de visualização não liga mais, então esse estado não nasce pelo aplicativo, e um estado antigo vive só na aba aberta e morre quando ela fecha. O defeito continua no código. Enquanto continuar, continua escrito aqui.
No atendimento, quem atende lê a conversa inteira. Não há como responder sem ler, e seria desonesto sugerir o contrário. O painel do atendimento abre só para uma lista fechada de endereços de e-mail autorizados — qualquer outro recebe recusa — e ele não aparece em buscador. Hoje essa lista é a mesma pessoa que opera o produto, porque a empresa é de pequeno porte e mais ninguém tem acesso. Três coisas que esse lado não alcança: os registros técnicos do atendimento não carregam o texto das mensagens e mostram o telefone só nos quatro últimos dígitos; o bot de aviso interno do Telegram recebe quatro campos e nada mais, sem nome, sem telefone e sem conteúdo (seção 14); e nada disso toca os seus registros financeiros, que continuam onde os parágrafos acima descrevem.
Fora isso, compartilhamos dados apenas com os operadores da seção 6, que tratam em nosso nome, e com autoridades quando a lei obrigar. Não vendemos dados, não cedemos a anunciante nenhum a lista de quem tem conta e não entregamos a ninguém, para fim publicitário, os seus registros financeiros. O que existe de publicidade está declarado e é outra coisa: com o seu aceite, o site — nunca o aplicativo — mede visita e resultado de anúncio pelas ferramentas do Google e da Meta, descritas nas seções 6 e 10. Essas empresas recebem os dados dessa visita e os tratam também para as finalidades delas, e é exatamente por isso que a medição só existe se você disser sim.
Comece pela fronteira, porque ela é real: o aplicativo e o site não se comportam da mesma forma aqui. Dentro do aplicativo — app.one-desk.app, os módulos Alpha e Clarity, onde moram os seus registros financeiros — não há cookie de medição, ferramenta de análise de comportamento nem pixel de publicidade. Nenhum, e a decisão do fundador em 12/08/2026 foi a de não colocar. O que existe está no site, one-desk.app — a página inicial, a de planos e a calculadora de DARF —, e só passa a existir depois que você aceita.
Nada de medição carrega antes do seu aceite. O Google Analytics e o Meta Pixel não estão no código das páginas: eles são acrescentados pelo navegador somente depois de você clicar em "Aceitar" na faixa que aparece embaixo. Na primeira visita, o site não faz uma única requisição ao Google nem à Meta. Se você clicar em "Recusar", nada é carregado e o site funciona igual — nenhuma função depende do seu aceite. As duas opções aparecem com o mesmo peso na tela: mesma caixa, mesmo tamanho de letra, mesma leitura.
Base legal: consentimento, art. 7º, I da LGPD. E consentimento se revoga —
art. 8º, § 5º —, a qualquer momento, sem justificar e sem perder nada. A sua
escolha fica no armazenamento local do seu navegador, sob o nome od_consent, com a
escolha, a versão do aviso e a data. Não a guardamos em cookie de propósito: seria preciso pôr um
cookie para registrar que você não quis cookie.
Onde se revoga: no rodapé de qualquer página do site há o botão
"Cookies e medição", que reabre a faixa. Se você recusar depois de ter aceitado,
apagamos do seu navegador os cookies de medição — os que começam com _ga, mais
_gid, _gat, _fbp e _fbc — e recarregamos a
página; do carregamento seguinte em diante, nada é ligado. Limpar os dados do site pelo próprio
navegador tem o mesmo efeito, e apaga também a sua escolha: a faixa volta a perguntar.
Os cookies que existem depois do aceite, com nome e prazo:
| Cookie | Quem grava | Para quê | Quanto dura |
|---|---|---|---|
_ga | Google Analytics 4 | Distingue um navegador do outro, para contar visitantes e não só visitas | 2 anos |
_ga_ZWDC8WR33Q | Google Analytics 4 | Guarda o estado da sessão na nossa conta de medição — o trecho final do nome é o nosso identificador | 2 anos |
_fbp | Meta Pixel | Identificador aleatório do navegador, para ligar a visita ao anúncio que a trouxe | 90 dias |
_fbc | Meta Pixel | Guarda o código do clique no anúncio (fbclid). Só nasce se você chegar ao site por um anúncio | 90 dias |
Os prazos acima são os padrões que Google e Meta publicam para essas ferramentas; quem os
define é o fornecedor, e se ele mudar, muda sem passar por nós. _gid e
_gat são de uma versão anterior do Google Analytics e não devem nascer na nossa
medição — a limpeza citada acima os cobre por precaução, não porque saibamos que existem aqui.
Para que serve isso, dito sem eufemismo: saber quantas pessoas visitam o site, quais páginas leem, de onde vieram — site que mandou a visita, campanha, anúncio — e quantas chegam a criar conta. O Google e a Meta recebem os dados dessa visita e os tratam também para as finalidades próprias deles; é justamente por isso que essa medição depende do seu sim. As duas ficam nos Estados Unidos: a seção 6 diz o que cada uma recebe e sob qual base o dado sai do país.
O que elas não recebem: o seu e-mail, o seu nome e qualquer registro financeiro seu. Nada do que você digita na calculadora de DARF sai do seu navegador — a conta roda no seu aparelho e o resultado não é enviado a lugar nenhum. Dentro do aplicativo, onde estão os seus dados financeiros, não há nenhuma dessas ferramentas.
Quem navega com o JavaScript desligado não é medido. A versão do pixel da Meta que funciona sem JavaScript é uma imagem que dispararia no instante em que o navegador lê o HTML, antes de qualquer pergunta de consentimento — não existe portão que a preceda. Por isso ela foi deixada de fora de propósito.
Como esta seção se mantém verdadeira. Até a versão 2.3, esta seção afirmava em termos absolutos que não havia cookie de rastreamento, ferramenta de análise de comportamento nem pixel, e fechava com uma contagem feita no código publicado em 02/08/2026. Era verdade naquele dia e deixou de ser em 12/08/2026, quando o Google Analytics entrou no site — frase absoluta, quando envelhece, envelhece mentindo. No lugar dela fica uma regra: ferramenta de medição nova só entra por este mesmo portão de consentimento, e a tabela acima é atualizada na mesma entrega em que a ferramenta entra. Se você encontrar no site alguma coisa que não esteja nesta lista, escreva ao encarregado: é defeito nosso, e queremos saber.
Fora os cookies acima, o que usamos é o armazenamento local do navegador (localStorage e sessionStorage). Ele fica no seu aparelho e o navegador não o manda sozinho para servidor nenhum, como faria com um cookie. Com a conta aberta, porém, o próprio aplicativo sincroniza os seus registros com a nuvem — no login, a cada 30 segundos e quando você sai da aba. É assim que você vê os mesmos dados em outro aparelho.
O armazenamento local guarda: os seus registros e preferências, o token da sua sessão, um cache de login que permite entrar sem internet na mesma máquina — e que inclui um resumo criptográfico (hash) da sua senha, nunca a senha em texto claro — e cache de preços. Limpar os dados do site no navegador apaga tudo isso.
Sobre esse cache de login, com o nome do algoritmo. Medimos no pacote publicado
em 02/08/2026. O que fica no seu aparelho é PBKDF2-HMAC-SHA-256, com 310.000 repetições,
sal de 16 bytes sorteado a cada gravação e saída de 256 bits. O arquivo guarda o sal e o número de
repetições junto com o resultado, no formato p2$310000$<sal>$<resultado>. Isso é
derivação lenta de senha: existe para custar caro a quem tenta adivinhar por força bruta.
Duas ressalvas. A versão 2.1 desta política dizia "SHA-256, sem derivação lenta" — estava desatualizada, e este parágrafo corrige. E o aplicativo ainda aceita o formato antigo uma vez: quem tiver no aparelho um registro do esquema velho (SHA-256 cru, sem sal) entra com ele, e o aplicativo o reescreve no formato novo no próximo login com internet. Enquanto esse registro velho durar, a proteção dele é a antiga. Nada disso protege a sua conta na nuvem — lá o servidor confere a senha.
O aplicativo também instala um service worker, que guarda os arquivos do próprio aplicativo para ele abrir mais rápido e funcionar offline. Ele não guarda dado pessoal seu.
Você pode, a qualquer momento: confirmar que existe tratamento; acessar seus dados; corrigir dado incompleto ou desatualizado; pedir anonimização, bloqueio ou eliminação de dado tratado fora da lei; pedir a portabilidade; saber com quem compartilhamos; saber o que acontece se você negar consentimento; revogar consentimento; e se opor a tratamento feito por legítimo interesse.
Três deles você exerce sozinho, dentro do aplicativo, sem pedir nada a ninguém:
Os três de cima valem para a sua conta na plataforma. A conversa do atendimento não está dentro do aplicativo: quem só escreveu para o nosso WhatsApp ou para o bot de atendimento não tem botão para apagar nada, porque não tem conta. Aí o caminho é pedir — pelo canal do encarregado, ou pela própria conversa, como o parágrafo abaixo explica. É o mesmo que já vale para quem só preencheu o formulário do site (seção 12).
Decisão automatizada e definição de perfil. Dentro do aplicativo não tomamos decisão automatizada sobre você: a inteligência artificial propõe lançamentos e escreve análises; aceitar, corrigir ou ignorar é sempre você. No atendimento existe definição de perfil, e a versão anterior desta política não dizia isso: o sistema escreve um resumo sobre você, classifica a intenção da sua mensagem e atribui prioridade, estágio e etiquetas (seção 15). Essas conclusões organizam a fila — elas não definem preço, não recusam atendimento, não geram nota de crédito e não produzem decisão que afete os seus direitos. Se um dia passarem a fazer qualquer uma dessas coisas, esta política muda antes de a mudança valer.
O art. 18 não é a única porta aqui. O art. 20 da LGPD te dá o direito de pedir a revisão dessas conclusões e de saber quais critérios foram usados — e o que fazemos, na prática, é uma pessoa ler o pedido, olhar o que o sistema anotou, explicar em português de onde aquilo saiu e corrigir o que estiver errado. Sendo exatos com você: o § 3º do art. 20 previa revisão obrigatória por pessoa natural e foi vetado quando a LGPD virou lei. A revisão humana aqui é escolha nossa, não obrigação legal, e você merece saber de qual das duas se trata.
Para qualquer outro pedido, escreva ao encarregado:
klarosk@one-desk.app — e lembre que
suporte@, contato@ e financeiro@one-desk.app chegam nessa
mesma caixa (seção 1). Diga o que você quer e dê um jeito de a gente te encontrar no sistema;
normalmente é o telefone que você usou para falar conosco. Se você não conseguir mostrar
que é você, não entregamos os dados: entregar a conversa de alguém para a pessoa errada
seria o pior erro possível. Respondemos em até 15 dias, o prazo
do art. 19 da LGPD. Suporte comum tem prazo próprio, de 2 dias úteis (seção 19 dos
Termos de Uso). Você também pode levar a reclamação à ANPD (art. 18,
§ 1º), em gov.br/anpd,
sem precisar falar com a gente antes — embora seja mais rápido se falar.
Se o seu pedido chegar por uma conversa, ele sai da fila automática. Quando a mensagem que você manda no WhatsApp ou no bot de atendimento é reconhecida como pedido sobre os seus próprios dados, o sistema não deixa a inteligência artificial responder: a conversa vai direto para uma pessoa, com prioridade alta. O gatilho reconhece frases como "quero apagar meus dados", "excluir meus dados", "não quero receber mais mensagens" e "quero me descadastrar", e também qualquer menção a LGPD, a privacidade ou ao encarregado. Ele reconhece o que foi ensinado a reconhecer, e não prometemos que seja infalível — se o seu pedido não for entendido, o e-mail acima resolve. Aliás, o e-mail continua sendo o caminho mais seguro: nele você explica melhor, anexa o que precisar, e fica com um registro seu do pedido.
Existem três expurgos por idade neste sistema, e só um deles é um prazo de guarda
de verdade. O primeiro é o registro de acesso, e é o parágrafo seguinte. O segundo é o
bot do Telegram, que apaga da tabela de tentativas de /start as linhas com mais de
24 horas — esse não vale como prazo. Três ressalvas explicam por quê. Ele só roda quando alguém
manda /start ao bot: com o bot parado, nada some, por tempo indeterminado. O código
ignora o erro dele, então ele falha em silêncio. E ele apaga por idade, nunca por titular: não
existe "apagar o que era do usuário X". É efeito colateral do controle anti-força-bruta, não
prazo que a gente prometa. O terceiro também não vale como prazo: a deduplicação do bot de
captura guarda apenas o número que o Telegram dá a cada mensagem (update_id), sem
nenhum dado pessoal, para não processar a mesma mensagem duas vezes — e apaga as linhas com mais
de 48 horas no caminho da própria gravação. Fora dessas três tabelas, nenhuma linha some por ser antiga.
(Varredura de 02/08/2026: 13 funções de servidor e 25 scripts de banco, um expurgo achado. O do
registro de acesso nasceu depois, em 03/08/2026; o da deduplicação, em 11/08/2026.)
Registro de acesso: seis meses. Cada vez que você entra na sua conta, guardamos a data e a hora, o endereço IP de onde veio a entrada, o identificador da sua conta e o navegador. Não é escolha nossa: o art. 15 da Lei 12.965/2014, o Marco Civil da Internet, obriga a empresa a guardar esse registro por seis meses. Passado o prazo, uma rotina agendada apaga as linhas velhas — ela roda sozinha, a cada quinze minutos, e não depende de ninguém abrir o aplicativo. Três limites, para você saber o tamanho exato disso. Guardamos o momento da entrada, não o que você faz dentro do aplicativo. Tentativa de login que dá errado não vira registro. E ninguém do nosso lado lê essas linhas na rotina: não existe tela de administrador que as mostre, e o banco só devolve a cada conta as linhas dela.
Uma consequência que você precisa saber. Se você excluir a conta antes dos seis meses, os registros de acesso vão junto com o resto. Escolhemos assim porque o seu direito de apagar os dados (art. 18 da LGPD) nos pareceu valer mais do que completar o prazo. O efeito prático, dito sem rodeio: se chegar ordem judicial pedindo o registro de acesso de uma conta já excluída, ele não vai existir.
A versão 2.0 desta política, de 02/08/2026, dizia que expurgo por idade não existia. Estava errada, e o primeiro parágrafo desta seção é a correção. Versões anteriores diziam "12 meses" para alguns dados — prazo que o sistema não cumpria, e por isso saiu. Fora do registro de acesso, que tem prazo fixado em lei, a regra é a de baixo: guardamos enquanto a sua conta existir, e quem encerra a guarda é você, pela exclusão de conta da seção 11.
O atendimento passou a ter prazo em 28/08/2026, e a rotina que o cumpre está construída — mas ela ainda não apaga. Até a versão anterior desta página, esta seção dizia que o prazo era indeterminado, e era verdade. O que mudou: os prazos agora existem escritos no sistema — 180 dias para a conversa do atendimento e para os registros de desfecho, 365 dias para os registros de custo —, e existe uma rotina que os aplica. Ela roda em modo de conferência: conta quanto sairia e não apaga nada. Ligar a exclusão automática é uma decisão que ainda não tomamos, e enquanto não tomarmos, quem apaga continua sendo uma pessoa, quando você pede.
Por que dizemos "180 dias" e, na mesma frase, "ainda não apaga". Prazo publicado é promessa, e esta página já teve de tirar uma: a versão 2.0 anunciava 12 meses que o sistema não cumpria, e a 2.1 existiu para corrigir isso. Não vamos repetir o erro ao contrário — anunciar que já apagamos quando ainda não apagamos. O que é verdade hoje: o número existe, o código existe, e o que falta é a decisão de ligar. Quando ligarmos, esta seção muda e a data fica na tabela do fim da página. E a regra da conta continua não socorrendo quem só escreveu: sem conta, não há botão — quem encerra antes do prazo é você pedindo, pela seção 11, e não é preciso esperar prazo nenhum.
| Dado | Prazo |
|---|---|
| Conta e registros financeiros sincronizados | Enquanto a conta existir. Ao excluir a conta, apagamos tudo junto |
| Registro de acesso à conta (data e hora, IP, identificador da conta, navegador) | Seis meses, por obrigação do art. 15 da Lei 12.965/2014. Depois disso, uma rotina agendada apaga. Se você excluir a conta antes, apagamos junto |
| Contagem de uso da inteligência artificial | Enquanto a conta existir. Não há rotina que apague as linhas antigas; a exclusão da conta apaga todas de uma vez |
| Token do bot do Telegram no Clarity | Enquanto o "Resumo matinal" estiver ligado. Ao desligar, apagamos a cópia na nuvem (seção 8) |
| Cópias no seu aparelho | Sob o seu controle — a exclusão da conta limpa as deste navegador; os outros aparelhos que você usou, você mesmo limpa |
| Dados do formulário de interesse do site | Guardamos enquanto a conversa estiver aberta e apagamos quando ela termina, ou antes, se você pedir. Não há prazo automático. A Netlify Forms guarda cada envio até alguém apagar à mão: ela não expurga por idade e não oferece campo para configurar prazo. Quem apaga é a pessoa que opera o produto, pelo canal do encarregado |
Tentativas de /start no bot do Telegram (identificador do chat) | O bot apaga as linhas com mais de 24 horas, mas só no momento em que alguém manda /start. Sem /start, elas ficam. Não estão ligadas à sua conta, e a exclusão de conta não as alcança |
| Conversa do atendimento: mensagens, contato, nome de perfil e as conclusões que o sistema escreveu sobre você | 180 dias, com a rotina em modo de conferência. O prazo existe escrito no sistema desde 28/08/2026 e a rotina que o aplica está construída, mas ela ainda conta em vez de apagar — ligar a exclusão automática é decisão que ainda não tomamos. Não há conta para excluir, então quem encerra antes do prazo é você pedindo (seção 11). E agora fica registro: desde 28/08/2026 cada expurgo grava a data, a origem do pedido e quantas linhas saíram de cada tabela — e não grava quem pediu, por desenho. A versão anterior desta política dizia que esse registro não existia e que estávamos construindo; ele existe |
| Registro do que as pessoas perguntam, que usamos para melhorar a base de respostas | Ele aponta para a sua mensagem em vez de copiá-la, e some junto com ela quando ela é apagada. Vale para as duas metades do registro — tanto o que foi perguntado quanto onde faltou resposta — desde a alteração de 25/08/2026. Antes dessa data, metade dele guardava uma cópia do seu texto que nenhum pedido de exclusão alcançava; os trechos que existiam foram religados à mensagem de origem |
| Cópia de conversa no computador que recebe o WhatsApp | Só nasce quando a entrega ao banco falha três vezes seguidas, e some assim que a entrega volta a funcionar e o programa reprocessa o arquivo (seção 14). Não há prazo, porque não há espera programada: ela dura o tempo da falha |
| Registros técnicos (logs de servidor) | Quem gera e apaga é a Netlify; não configuramos nada e não temos rotina própria. No plano Personal, que é o nosso, a janela é de 24 horas e não dá para mudar — o encaminhamento de logs para fora só existe no plano Enterprise. Ressalva sobre a fonte: esse número vem da tabela por plano do filtro de Observabilidade da Netlify; a página de logs de função diz "pelo menos 24 horas" e não separa por plano. Então 24 horas é o piso que ela publica, não um teto que ela prometa |
Cookies de medição do site (_ga, _ga_ZWDC8WR33Q, _fbp, _fbc) | Só existem se você aceitar. No seu aparelho duram o prazo de cada um — 2 anos os do Google, 90 dias os da Meta (seção 10) —, e somem antes disso se você revogar o aceite ou limpar os dados do site. O que Google e Meta guardam nos servidores deles segue as políticas deles, não a nossa: não conferimos o prazo de retenção configurado na conta do Google Analytics, e enquanto não conferirmos, isto fica escrito como não apurado |
Prazo legal: até 24/08/2026 nenhum dos dados acima estava sujeito a prazo de guarda imposto por lei, porque não havia cobrança. Desde 24/08/2026 há cobrança (seção 6, Stripe), e com ela existem registros de cobrança e documento fiscal. Esses registros — quem contratou, qual plano, quando, quanto foi cobrado — ficam guardados pelo prazo que a legislação fiscal exigir, mesmo que você exclua a conta antes; é o único dado desta página que fica por obrigação nossa, e não por escolha sua. Ainda não escrevemos aqui o número de anos porque não o conferimos com contador: quando conferirmos, ele entra nesta tabela com a fonte. O que a exclusão da conta continua apagando de imediato é tudo o mais — os registros financeiros que você mesmo lançou no aplicativo não são documento fiscal nosso.
Duas ressalvas sobre a exclusão. O controle de repetição do bot do Telegram guarda o
identificador do seu chat numa tabela que não está ligada à sua conta: o botão de excluir não a
alcança, e o expurgo de 24 horas descrito acima só a limpa se alguém mandar /start.
O botão também não alcança os dados de quem só preencheu o formulário do site, sem nunca ter
criado conta, nem a conversa de quem só escreveu para o atendimento. Nos três casos, o pedido pelo
canal do encarregado resolve.
Nenhum sistema é inviolável, e não vamos prometer o contrário. O que fazemos, em concreto:
regras por usuário no banco (RLS) em 52 das 53 tabelas — contagem refeita em 25/08/2026, já com as tabelas do atendimento. A única sem essas regras é at_faq_bkp_20260814, uma cópia de segurança da base de perguntas tirada em 14/08 que guarda 25 perguntas e respostas nossas e nenhum dado de pessoa; o navegador não a alcança por outro caminho — ela não tem permissão nenhuma concedida a visitante nem a usuário logado. Ela sai do banco quando deixar de ser útil; TLS em todo o tráfego; senha
nunca em texto claro; chaves de servidor apenas em variável de ambiente, nunca no navegador;
chamadas de IA por proxy autenticado, com cota diária; dado vindo de fora vai para a tela como
texto, não como código, para barrar injeção de script; e a saída da conta só apaga o dado local
depois que a nuvem confirma o recebimento.
No atendimento, o que está montado hoje: o painel abre só para uma lista fechada de endereços autorizados e não aparece em buscador; os registros técnicos não carregam o texto das mensagens e mostram o telefone só nos quatro últimos dígitos; CPF, CNPJ e número de cartão são trocados por marcação antes de a mensagem ser gravada (seção 14); e o programa confere a resposta automática antes de ela sair, segurando-a e chamando uma pessoa quando ela contém e-mail ou telefone (seção 15). O ponto fraco conhecido também está escrito, e é o computador que recebe o WhatsApp — seção 14.
Isso reduz risco, não o elimina. Não temos auditoria externa de segurança nem certificação, e não afirmamos ter.
A recepção é aberta, e isso é o contrário do resto do produto. Para usar a plataforma, você cria conta e entra com senha. Para falar conosco, não: mantemos um número de WhatsApp e um bot de atendimento no Telegram, o @one_desk_bot, e qualquer pessoa que escrever para um dos dois entra no registro. Não há lista de números autorizados. Não há aprovação prévia. A mensagem chega, guardamos, e o atendimento começa.
Isso vale se você escreveu para o número errado; vale se escreveu para perguntar outra coisa, sem nenhum interesse no produto; e vale se você se arrependeu no segundo seguinte, porque a mensagem já estava guardada quando você apertou enviar. Está escrito assim porque é assim. Você pode pedir a exclusão a qualquer momento, e a seção 11 diz como.
Este bot não é o da seção 8. São dois bots de Telegram, e eles fazem coisas diferentes. O @one_desk_assistente_bot da seção 8 é a captura do módulo Alpha: você o vincula à sua conta e manda para ele os seus lançamentos. O @one_desk_bot é o atendimento, e para escrever nele você não precisa de conta nenhuma. Confundir os dois muda o que está em jogo, então vale a frase inteira: o de atendimento é canal de conversa, vê o que você escreve e responde.
O que guardamos de uma conversa:
| O que | De onde vem, e para que serve |
|---|---|
| Seu número de telefone, no WhatsApp — ou o identificador da sua conversa, no Telegram | É o que identifica a conversa no sistema, e é o endereço para onde a resposta volta |
| O nome que aparece no seu perfil | O próprio WhatsApp ou Telegram manda junto com a mensagem; não somos nós que pedimos |
| O texto de cada mensagem, sua e nossa | A conversa, na íntegra e literal — com a ressalva de redação do bloco abaixo |
| O identificador técnico de cada mensagem | Serve para não registrar a mesma mensagem duas vezes |
| O que o sistema conclui sobre você: resumo, intenção, prioridade, estágio, etiquetas e desfecho | Gerado pelo sistema a partir do que você escreveu. A seção 15 explica como, e a 11 diz como pedir revisão |
| Registros de funcionamento: marcas de tempo, contagens e custo de processamento | Gerados pelo uso. Guardam o endereço da conversa, não o texto dela |
Três coisas que o sistema não registra. Áudio, imagem, vídeo e figurinha: se você mandar mídia, o conteúdo não entra no sistema — ele fica só no aparelho de quem atende, como em qualquer conversa de WhatsApp. Mensagem de grupo, lista de transmissão e status: só registramos conversa individual. E texto acima de 4.000 caracteres, que cortamos nesse limite antes de guardar.
O que o sistema apaga antes de gravar. Desde 25/08/2026, se
você escrever um CPF, um CNPJ ou um número de
cartão dentro de uma mensagem, o sistema troca esse número por uma marcação —
[CPF REDIGIDO], [CNPJ REDIGIDO], [CARTAO REDIGIDO] —
antes de gravar a linha no banco. A marcação não guarda dígito nenhum, nem os
quatro últimos. A troca acontece na própria tabela onde as mensagens nascem, então vale para todo
canal de conversa, inclusive os que ainda não existem. Vale para o que você
escreve; não vale para o que respondemos, que é o texto que vai para você ler.
E o que ele não apaga, que é a metade que você precisa saber. Essa troca não cobre senha, código de verificação, número de conta ou agência, nem valor de patrimônio. Não é esquecimento: é decisão, e o motivo é sempre o mesmo — essas quatro coisas não têm formato reconhecível, e qualquer regra que tentasse pegá-las comeria texto legítimo. Senha não tem forma: não dá para achar uma no meio de uma frase sem destruir a frase, e o estrago seria definitivo, porque não guardamos o texto original em lugar nenhum. Código de seis dígitos é igual a um preço, a um ano e a um CEP; apagar todos comeria metade das conversas sobre dinheiro. Conta e agência não têm formato nacional nem dígito que se confira, e chute que apaga não tem volta. E valor de patrimônio é o assunto do produto: "tenho R$ 500 mil na conta" é exatamente a frase que o sistema existe para entender. Então, sem rodeio: se você escrever uma dessas quatro coisas, gravamos o texto como você escreveu. Não mande esse tipo de informação por aqui.
O segundo bot de Telegram não fala com você e não vê a sua conversa. Ele é um aviso interno: existe para cutucar quem atende quando alguém está esperando, e manda quatro campos e nada mais — o identificador interno da exceção, o motivo, a urgência e o prazo. Sem nome, sem telefone, sem conteúdo de conversa. O programa confere esse aviso antes de ele sair e recusa mandar qualquer coisa além desses quatro campos. A razão de um bot ver tudo e o outro ver quase nada é a função de cada um: o primeiro é a conversa; o segundo é um alarme, e alarme não precisa saber quem tocou a campainha.
Não fazemos disparo, campanha nem marketing — e não é só disciplina. O sistema não consegue montar um envio para quem nunca escreveu: ele descobre para onde responder a partir da sua mensagem de entrada, e de nenhum outro lugar. Sem mensagem de entrada, não existe endereço para onde mandar. Também não te procuramos de novo depois que a conversa termina. Se um dia formos fazer isso, será com o seu consentimento, pedido antes e em separado, e esta política muda primeiro. E não usamos as suas conversas para treinar modelo de inteligência artificial nosso; usamos as perguntas para melhorar a base de respostas escrita, que é um texto que uma pessoa revisa.
Onde a conversa fica, e a única cópia nossa fora do banco. As conversas ficam no mesmo banco da seção 5, em São Paulo. Mas o programa que recebe as mensagens do WhatsApp — aquele que fica ouvindo o número e entregando o que chega — roda num computador pessoal, no Brasil, e não num servidor. No caminho normal, ele pega a mensagem e a entrega direto ao banco, sem guardar nada nesse computador. Quando a entrega falha três vezes seguidas — rede caída, banco fora do ar —, ele grava a mensagem num arquivo dentro desse computador para não perdê-la, e o arquivo guarda o identificador da conversa, o nome e o texto em claro, sem embaralhar. Assim que a entrega volta a funcionar, o programa reprocessa o arquivo e ele some. Isso não é o caminho de todo dia: é o que acontece quando alguma coisa quebra. Mas é uma cópia da sua conversa fora do banco brasileiro, é a única que existe do nosso lado, e você tem o direito de saber que ela pode existir.
Se você chegou pelo formulário do site, o caminho é outro e está na seção 3. O que vale repetir aqui é o que a seção 6 diz na linha da Netlify: a Netlify Forms recebe e guarda o que você digitou antes de repassar ao nosso banco, e essa cópia fica do lado dela, nos Estados Unidos.
Menores: a seção 3 já diz que não oferecemos o serviço a menores de 18 anos e que não perguntamos a sua idade. Com recepção aberta, não temos como impedir que um adolescente escreva. Se soubermos que os dados são de criança ou adolescente, apagamos; se você é responsável e quer que apaguemos, escreva ao encarregado (seção 11).
No WhatsApp e no bot de atendimento, quem responde primeiro é um programa, não uma pessoa. No topo da primeira resposta colamos um texto nosso, que diz, com essas palavras, que você está falando com um assistente virtual.
Sendo exatos sobre o que garantimos aqui. A inteligência artificial não escreve
esse texto de apresentação e não o altera: ele é nosso, e mora à parte, num registro do banco de
dados (at_tetos.texto_apresentacao), não dentro do programa. Isso quer dizer que
conseguimos mudá-lo sem publicar programa novo — dizemos porque é verdade e porque muda o tamanho
da garantia. O que o programa garante é que ele exista: se o registro estiver
vazio, a primeira resposta automática não sai, e a conversa vai para uma
pessoa.
Uma pessoa assume a conversa quando acontece qualquer uma destas coisas:
Uma proteção que está no programa, não na nossa boa vontade. Antes de qualquer resposta automática sair, o programa lê o texto dela e segura a resposta, mandando a conversa para uma pessoa, se ela contiver um e-mail ou um telefone, se se apresentar como consultor, assessor ou analista, se prometer retorno financeiro, se prometer prazo em números ou se afirmar "conformidade com a LGPD".
Qual inteligência artificial, e o que ela recebe. É a Anthropic, nos Estados
Unidos: o modelo claude-haiku-4-5 faz a triagem da mensagem e o
claude-sonnet-4-5 escreve a resposta. O que sai daqui em cada chamada é o texto das
suas últimas seis mensagens, o resumo que o sistema escreveu sobre você, a base de respostas e as
regras de conduta. Não mandamos o seu nome, o seu e-mail, o seu telefone nem o seu identificador —
mas se você escreveu qualquer um deles dentro da mensagem, ele vai junto, porque ele é o
texto. A seção 6 diz por quanto tempo a Anthropic guarda o que recebe, e sob qual base
esse dado sai do país.
O que o sistema conclui sobre você. Além de guardar o que você escreveu, ele anota: um resumo de quem você é e do que você quer, escrito por inteligência artificial; a intenção da sua mensagem, escolhida dentro de uma lista fechada; uma prioridade; um estágio do atendimento; etiquetas; e o desfecho do contato. Serve para organizar a fila e para saber a quem responder primeiro. É o que a lei chama de definição de perfil, e a seção 11 diz o que você pode fazer a respeito.
Por que estamos te contando isso. Nenhuma lei brasileira em vigor obriga especificamente a avisar que do outro lado tem um programa — o projeto que criaria essa obrigação, o PL 2338/2023 (marco legal da inteligência artificial), foi aprovado pelo Senado em 10/12/2024 e está na Câmara dos Deputados desde 17/03/2025, sem virar lei. O que existe é o dever de informar: o Código de Defesa do Consumidor manda dar informação adequada e clara sobre o serviço (art. 6º, III) e informação correta, precisa e ostensiva (art. 31), e a LGPD manda dizer com clareza qual é a forma do tratamento (art. 9º). Saber que do outro lado tem um programa muda como você escreve. Então dizemos.
Se houver incidente com risco relevante aos titulares, avisamos a ANPD e as pessoas atingidas nos prazos da Resolução CD/ANPD nº 15/2024, dizendo o que aconteceu, quais dados o incidente alcançou e o que você deve fazer. Pessoas atingidas, e não só usuários: desde a versão 2.6 esta política cobre quem escreveu para o atendimento sem nunca ter criado conta, e o aviso alcança essa pessoa do mesmo jeito — pelo canal por onde ela falou conosco.
A lei brasileira rege esta política. Elegemos o foro da comarca de Rondonópolis/MT para as questões que surgirem dela — o que não tira do consumidor o direito de acionar a empresa no foro do próprio domicílio (CDC, art. 101, I). A seção 19 dos Termos de Uso explica essa cláusula por extenso.
Avisamos dentro do aplicativo quando mudamos algo relevante, e a data de vigência fica sempre visível no topo desta página.
| Versão | Data | O que mudou |
|---|---|---|
| 2.8 | 29/08/2026 | A seção 12 parou de dizer que a retenção é indeterminada e que o expurgo não deixa rastro — porque as duas coisas deixaram de ser verdade. As migrações crm-0055 e crm-0056 entraram em produção em 29/08/2026. A primeira criou o registro de expurgo que a versão 2.6 dizia estar construindo: ele grava a data, a origem do pedido e quantas linhas saíram de cada tabela, e não grava quem pediu. A segunda criou os prazos, escritos no sistema: 180 dias para a conversa do atendimento e para os eventos de desfecho, 365 dias para os eventos de custo. O que esta versão deliberadamente NÃO afirma: que já apagamos. A rotina roda em modo de conferência — conta quanto sairia e não apaga —, e ligar a exclusão automática é decisão ainda não tomada. Anunciar exclusão que não acontece seria o erro da v2.0 (12 meses que o sistema não cumpria) invertido. A seção passou a trazer o número, a dizer que a rotina existe e a dizer, na mesma frase, que ela ainda não apaga. Nada mais mudou |
| 2.7 | 28/08/2026 | A cobrança abriu em 24/08/2026 e esta política não tinha registrado. A versão 2.6, publicada um dia depois da abertura, ainda dizia na seção 12 que "não há cobrança e, portanto, não há documento fiscal a reter" — a frase ficou falsa por quatro dias. A seção 6 ganhou a Stripe como operadora de pagamentos, com o que mandamos a ela (e-mail, identificador da conta, plano e ciclo — medido no código em 28/08/2026) e o que não passa por nós (o número do cartão, digitado na página dela). A seção 12 passou a dizer que os registros de cobrança têm prazo legal de guarda e sobrevivem à exclusão da conta, sem publicar o número de anos até conferi-lo com contador. Nada mais mudou |
| 2.6 | 25/08/2026 | O atendimento entrou nesta política. Até aqui a página cobria plataforma, site e bots do produto; o canal por onde as pessoas falam com a gente — o nosso WhatsApp e o bot @one_desk_bot do Telegram — estava em produção e fora do documento. Entraram duas seções novas, a 14 e a 15, e por causa delas as antigas 14, 15 e 16 passaram a ser 16, 17 e 18; as seções de 1 a 13 mantiveram o número que tinham, de propósito, porque o corpo do texto e esta tabela se referem a elas por número. A seção 14 diz que a recepção é aberta (qualquer pessoa que escrever entra no registro, sem lista de convidados — o contrário do resto do produto, que é conta e senha), o que guardamos de uma conversa, que CPF, CNPJ e número de cartão são trocados por marcação antes de a linha ser gravada e que senha, código de verificação, conta e agência e valor de patrimônio não são, com o motivo de cada uma; que os dois bots de Telegram são coisas diferentes (o de atendimento é canal de conversa e vê tudo; o de aviso interno manda quatro campos e nada mais); que não há disparo nem campanha, e que isso é estrutural, porque sem mensagem de entrada não existe endereço para onde mandar; e que o programa que recebe o WhatsApp roda num computador pessoal e grava a mensagem em claro num arquivo local quando a entrega falha três vezes — a única cópia nossa fora do banco. A seção 15 diz que quem responde primeiro é um sistema automatizado, que a apresentação como assistente virtual é um texto nosso guardado no banco e que, se ele faltar, a primeira resposta não sai e a conversa vai para uma pessoa; lista quando um humano assume e o que segura uma resposta automática; e nomeia os modelos da Anthropic (claude-haiku-4-5 na triagem, claude-sonnet-4-5 na resposta) e o que sai daqui em cada chamada. Correção de rumo na seção 11: a versão anterior dizia que não tomávamos decisão automatizada que definisse perfil — no atendimento, definimos: o sistema escreve resumo, intenção, prioridade, estágio e etiquetas. A seção passou a dizer isso, com o direito de revisão do art. 20 e a ressalva de que o § 3º daquele artigo foi vetado, e ganhou o gatilho que tira da fila automática um pedido de titular feito pela própria conversa. Seção 12: entrou a confissão de que não existe rotina de descarte no atendimento e o prazo real é indeterminado — sem prazo-alvo publicado, porque prazo publicado é promessa e esta página já teve de tirar uma (a v2.0 anunciava 12 meses que o sistema não cumpria) —, e entrou a linha da base de perguntas, que desde 25/08/2026 aponta para a mensagem em vez de copiá-la nas duas metades do registro. A seção 3 ganhou as linhas do atendimento e a metade que faltava em "não coletamos" e "não tratamos dado sensível": não pedimos e não usamos, mas com recepção aberta o que a pessoa escrever fica gravado como texto. A seção 6 ganhou a WhatsApp/Meta como canal, a segunda função da Anthropic, o fato de a Netlify Forms receber e guardar a submissão do formulário antes de repassar ao nosso banco, e a distinção entre operador nosso e plataforma que você escolheu. A seção 9 passou a dizer que quem atende lê a conversa inteira, com a lista fechada de endereços autorizados. A seção 13 datou a contagem de 22 tabelas com regras por usuário em 11/08/2026 e registrou que não a refizemos depois das tabelas do atendimento. A seção 16 passou a falar em pessoas atingidas, e não só em usuários. Duas contradições entre os dois documentos foram resolvidas a favor do que já estava público: o encarregado continua nomeado nos termos do art. 41 (a argumentação de dispensa do art. 11 da Res. CD/ANPD nº 2/2022, que existia no rascunho do atendimento, foi descartada — encarregado nomeado é fato declarado, não se desdeclara), e o canal continua sendo klarosk@one-desk.app, com a nota, medida em 25/08/2026, de que suporte@, contato@ e financeiro@ são apelidos da mesma caixa |
| 2.5 | 12/08/2026 | O site one-desk.app passou a medir audiência com Google Analytics 4 e o resultado dos anúncios com o Meta Pixel, e esta política passou a descrever isso. A seção 10 foi reescrita: perdeu a afirmação absoluta de que não havia cookie de rastreamento, análise de comportamento nem pixel — verdadeira em 02/08/2026 e falsa a partir de 12/08/2026 — e ganhou o funcionamento real, com a fronteira entre o site e o aplicativo (dentro do aplicativo não há nenhuma dessas ferramentas), o consentimento prévio (nada carrega antes do aceite), a base legal do art. 7º, I com a revogação do art. 8º, § 5º, o nome e o prazo de cada cookie (_ga e _ga_ZWDC8WR33Q, 2 anos; _fbp e _fbc, 90 dias) e o botão "Cookies e medição" do rodapé, que revoga. A seção 6 ganhou Google LLC como operador de análise de audiência e Meta Platforms como operador de medição de publicidade, com a transferência para os Estados Unidos apoiada no art. 33, II da LGPD e nas cláusulas-padrão da Res. CD/ANPD nº 19/2024 — nunca em adequação. A seção 3 deixou de listar "dado de navegação para publicidade" entre o que não coletamos e ganhou a linha correspondente na tabela; a seção 9 trocou "não vendemos nem cedemos dados para publicidade" pelo que continua verdade (não vendemos, não cedemos a lista de contas, não entregamos registro financeiro) mais o que passou a existir; a tabela de prazos ganhou a linha dos cookies de medição |
| 2.4 | 11/08/2026 | Terceiro expurgo por idade: o bot de captura passou a guardar o número que o Telegram dá a cada mensagem (update_id) para não processar a mesma duas vezes, apagando as linhas com mais de 48 horas no caminho da própria gravação. Nenhum dado pessoal nessa tabela. A seção 12 passou de dois expurgos para três e a seção 13, de 21 para 22 tabelas com regras por usuário. Correção de registro feita em 12/08/2026: esta linha não existia — a v2.4 mudou o corpo do documento em 11/08 e o cabeçalho da página continuou anunciando "versão 2.3", divergindo do comentário interno do arquivo, que já dizia 2.4. O texto estava certo; o rótulo é que ficou para trás |
| 2.3 | 03/08/2026 | O sistema passou a guardar registro de acesso à conta, como o art. 15 da Lei 12.965/2014 (Marco Civil da Internet) obriga: data e hora da entrada, endereço IP, identificador da conta e navegador, por seis meses, com rotina agendada que apaga depois. A seção 3 ganhou a linha correspondente e a seção 12 ganhou o prazo, o que o registro não alcança (o que você faz dentro do aplicativo, e login que falhou) e o aviso de que excluir a conta apaga esses registros antes dos seis meses. A seção 12 também deixou de dizer que existe um único expurgo por idade: agora são dois. A seção 13 passou de 21 para 22 tabelas com regras por usuário no banco |
| 2.2 | 02/08/2026 | Corrigiu a base da transferência internacional: a adequação da União Europeia (Res. CD/ANPD nº 32, de 26/01/2026) não alcança fornecedor dos Estados Unidos, e a base que vale é o art. 33, II da LGPD com as cláusulas-padrão da Res. CD/ANPD nº 19, de 23/08/2024. A seção 6 passou a trazer os prazos reais de retenção da Anthropic (30 dias, 29 em lote, até 2 anos em caso de violação da política de uso e até 7 anos das notas de confiança e segurança), da Groq (zero por padrão, com retenção zero ligada em 02/08/2026) e da xAI (30 dias, com a ligação fora de uso desde 20/07/2026). A seção 9 trocou a ressalva pela listagem completa das políticas do banco, rodada em 02/08/2026, registrou que a chave de serviço passa por cima dessas regras por desenho, e passou a descrever o que medimos no pacote publicado sobre a função "ver dados como" e sobre o defeito de 26/07/2026. A seção 10 passou a nomear o algoritmo do cache de login offline: PBKDF2-HMAC-SHA-256 com 310.000 repetições e sal, no lugar de "SHA-256 sem derivação lenta". A tabela de prazos ganhou o número da janela de logs da Netlify e a redação definitiva dos dados do formulário do site |
| 2.1 | 02/08/2026 | Corrigiu afirmação falsa da 2.0: existe, sim, um expurgo por idade — o bot do Telegram apaga as tentativas de /start com mais de 24 horas. A seção 12 passou a descrevê-lo com os três limites que ele tem (só roda no /start, falha em silêncio, apaga por idade e não por titular) e a tabela de prazos ganhou a linha correspondente |
| 2.0 | 02/08/2026 | O controlador passa a ser KN TECNOLOGIA LTDA (CNPJ 60.124.713/0001-99), com endereço, foro e encarregado nomeado pelo art. 41. Trocamos a marca para One Desk. Entrou a seção 7, declarando que as cotações são consultadas pelo seu navegador direto nas fontes, com a lista completa. Saiu o prazo de 12 meses: não existe expurgo por idade, e a seção 12 passou a dizer isso. Declaramos que o token do Telegram do Clarity sobe para a nuvem. Detalhamos o que o administrador vê, o que não vê e o limite da verificação. Descrevemos o armazenamento local no lugar da palavra "cookie". Registramos a exclusão de conta real e a exportação em JSON. Incluímos o formulário de interesse do site |
| 1.1 | 20/07/2026 | Corrigiu afirmação falsa da 1.0 sobre a base da transferência internacional e registrou a migração do banco para São Paulo |
| 1.0 | 19/07/2026, segundo o nosso registro interno — não localizamos o comprovante da publicação que fixe a data | Primeira versão publicada |