Política de Privacidade

A XplorAI (MACSA-AI Solutions), com sede no Brasil, é a controladora dos dados pessoais tratados nesta plataforma, nos termos da LGPD (Lei 13.709/2018).

Data Protection Officer (DPO) designado: Mauricio Salvo

Canal de contato: privacidade@xplorai.ai · SLA de primeira resposta: 72 horas

A XplorAI coleta apenas os dados estritamente necessários para a prestação dos serviços contratados. As categorias principais são:

• Identificação: nome completo, e-mail, nome de usuário, CPF/CNPJ (quando aplicável).

• Contato: telefone, endereço.

• Dados profissionais: empresa, cargo, departamento.

• Dados transacionais: registros de uso da plataforma, histórico de agentes acessados.

• Dados técnicos: endereço IP, logs de acesso, cookies de sessão.

Nos agentes empresariais (B2B), dados pessoais sensíveis (LGPD art. 5º II) não são coletados.

No X-Family — produto B2C de organização da vida familiar — há tratamento de dados de SAÚDE (art. 11) e de CRIANÇAS E ADOLESCENTES (art. 14), sempre mediante consentimento específico e destacado, com finalidade própria. Ver a seção 11 desta política.

Os dados são tratados exclusivamente para as seguintes finalidades, com as respectivas bases legais (LGPD art. 7º e art. 11):

• Execução do contrato de serviço: prestação dos agentes de IA contratados (base: contrato).

• Segurança e prevenção a fraudes: logs de autenticação e acesso (base: legítimo interesse).

• Cumprimento de obrigações legais: retenção de dados fiscais e tributários (base: obrigação legal).

• Melhoria dos serviços: análise agregada e anonimizada de uso (base: legítimo interesse).

• Comunicações essenciais: notificações sobre o serviço contratado (base: contrato).

Os dados são retidos apenas pelo tempo necessário à finalidade declarada:

• Sessões / cookies de tracking: 30 dias.

• Logs de segurança: 6 meses.

• Logs de auditoria geral: 2 anos.

• Conversações com agentes de IA: 12 meses em texto ativo, com anonimização subsequente.

• Dados transacionais (B2B): 5 anos (prescrição tributária — CTN art. 174).

• Backups de produção: 7 anos (conservador regulatório).

• X-Family — conversas com o X-Jack: 12 meses após a última mensagem.

• X-Family — registros de saúde: eliminados em até 30 dias após a revogação do consentimento específico (a carência existe para você reconsiderar ou exportar antes).

• X-Family — auditoria de acesso a dado sensível: 2 anos.

• X-Family — histórico de consentimentos: 5 anos (obrigação de prestação de contas, LGPD art. 37).

Dados de usuários inativos por mais de 5 anos são automaticamente anonimizados. Dados pessoais são eliminados ou anonimizados ao término do contrato, salvo obrigação legal de retenção.

Política completa de retenção: disponível mediante solicitação ao DPO.

A XplorAI não vende dados pessoais a terceiros.

Os dados podem ser compartilhados exclusivamente com:

• Google Cloud Platform (infraestrutura): processamento em us-central1 (Iowa, EUA) sob DPA formalizado em 2026-05-05, com certificações SOC 2 Type II, ISO 27001/27017/27018/27701.

• Prestadores de IA (OpenAI, Google Gemini, Anthropic): exclusivamente para execução das consultas solicitadas pelo usuário — sem retenção de dados pelos fornecedores além de suas próprias políticas.

A transferência internacional para os EUA ocorre com base no art. 33 II da LGPD (cláusulas contratuais padrão + DPA aceito).

Nos termos da LGPD art. 18, você tem os seguintes direitos, exercíveis pelo e-mail privacidade@xplorai.ai com SLA de 72 horas:

• Confirmação de tratamento: saber se seus dados são tratados.

• Acesso: receber cópia de todos os seus dados pessoais (endpoint /api/users/me/data-export).

• Correção: atualizar dados incompletos, inexatos ou desatualizados.

• Anonimização ou eliminação: apagar ou anonimizar dados desnecessários (endpoint /api/users/me/data-delete).

• Portabilidade: exportar seus dados em formato estruturado (JSON).

• Revogação de consentimento: cancelar autorização a qualquer momento (endpoint /api/users/me/consent).

• Informação sobre compartilhamento: saber com quais parceiros seus dados são compartilhados.

• Oposição: opor-se a tratamentos baseados em legítimo interesse.

Solicitações são respondidas em até 72 horas. Para exercer seus direitos: privacidade@xplorai.ai

A XplorAI adota medidas técnicas e organizacionais adequadas para proteger seus dados:

• Dados em trânsito: TLS 1.2+ em todos os endpoints.

• Dados em repouso: criptografia gerenciada pelo Google Cloud (AES-256).

• Controle de acesso: autenticação JWT, RLS (Row-Level Security) no banco de dados, RBAC por agente.

• Auditoria: todos os acessos a dados pessoais geram registros em audit_logs_pii.

• Staging/desenvolvimento: nunca contém dados pessoais reais — anonimizados por política.

• Consentimento: registrado com timestamp e versão para cada usuário.

A plataforma herda as certificações de segurança do Google Cloud: SOC 2 Type II, ISO 27001, ISO 27017, ISO 27018, ISO 27701.

A XplorAI utiliza cookies estritamente necessários para o funcionamento da plataforma:

• Sessão autenticada: access_token, refresh_token (expiração: conforme configuração de conta).

• Preferências de idioma: xplorai_landing_lang (expiração: 12 meses).

Não utilizamos cookies de rastreamento publicitário ou de terceiros para fins de marketing.

DPO designado: Mauricio Salvo

E-mail: privacidade@xplorai.ai

SLA de primeira resposta: 72 horas

Para dúvidas, solicitações de direitos do titular ou reclamações relacionadas ao tratamento de dados pessoais, entre em contato pelo e-mail acima.

Você também pode registrar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD): www.gov.br/anpd

O X-Family é um produto B2C que organiza a vida de uma família: pessoas, animais, lugares, agenda, listas, finanças da casa e domínios como Saúde e Neném Chegando. Por isso, ele trata categorias de dados que os agentes empresariais não tratam — e com regras próprias.

ESCOPO DE ISOLAMENTO. Cada família é um "Lar", e o Lar é a fronteira dos dados: nenhuma informação atravessa de um Lar para outro. Esse isolamento é imposto pelo próprio banco de dados (Row-Level Security), não apenas pela aplicação.

PAPÉIS E VISIBILIDADE. Dentro do Lar há papéis (responsável, adulto, filho, convidado). Por padrão, um filho NÃO vê as finanças nem os dados de saúde dos adultos; um convidado só vê o que lhe for explicitamente concedido. Cada pessoa sempre vê os próprios dados.

DADOS DE SAÚDE (art. 11). Consultas, exames, vacinas, medicamentos e a jornada de gestação só passam a ser tratados após consentimento específico e destacado, dado por um adulto responsável. Enquanto esse consentimento não existir, o domínio Saúde fica indisponível e nada é armazenado. Revogar o consentimento fecha o domínio imediatamente e leva à eliminação dos registros em até 30 dias.

DADOS DE CRIANÇAS E ADOLESCENTES (art. 14). São tratados no melhor interesse da criança e dependem de consentimento específico do responsável, registrado com identificação de quem consentiu. O responsável exerce os direitos do titular em nome do menor, incluindo exportar e eliminar os dados.

X-JACK (assistente de IA). O X-Jack recebe apenas o contexto que a pessoa que está conversando pode ver — se um filho pergunta sobre as finanças da casa, o assistente sequer recebe esse dado. Ações que alteram informações (agendar, comprar, criar meta, lançar despesa) só são executadas após confirmação explícita. O uso de dados sensíveis pelo assistente depende de consentimento próprio, separado dos demais.

AUDITORIA. Todo acesso a dados de saúde e de menores é registrado — inclusive as tentativas negadas — e o responsável pelo Lar pode consultar esse histórico na tela de Privacidade do aplicativo.

SEUS CONTROLES, DENTRO DO APLICATIVO. Em Privacidade você pode: ligar e desligar cada finalidade separadamente; exportar todos os dados do Lar ou de uma pessoa específica em formato estruturado; eliminar os dados de uma pessoa; e apagar o Lar inteiro, com exclusão em cascata de tudo que estiver vinculado.

O que NÃO fazemos: não usamos dados sensíveis para publicidade, perfilamento comercial ou qualquer decisão automatizada que afete direitos; não fazemos reconhecimento facial a partir das fotos; e não compartilhamos dados de família com terceiros além dos operadores de infraestrutura listados na seção 5.

Esta política pode ser atualizada periodicamente. Quando houver mudança material, você será notificado por e-mail ou por aviso na plataforma, e o novo consentimento será solicitado quando necessário.

Versão atual: 1.0 · Data: 15 de maio de 2026

Histórico de versões disponível mediante solicitação ao DPO.