Política de Privacidade

Esta política descreve como a Sórya trata dados pessoais no Sórya Control, no Sórya Conecta e nos produtos associados, com seções dedicadas aos dados obtidos através das APIs do Google e da Plataforma de WhatsApp Business da Meta.

Última atualização: 20 de outubro de 2026

1. Quem é o controlador

O tratamento de dados descrito nesta política é realizado por 44.715.895 Cristiano Rebonatto, inscrita no CNPJ sob o nº 44.715.895/0001-16, com sede na Rua Orozimbo Maia, 747, Valinhos/SP, CEP 13.274-000, doravante "Sórya".

Encarregado pelo Tratamento de Dados Pessoais (DPO), nos termos do art. 41 da Lei nº 13.709/2018 (LGPD): soryaai.contato@gmail.com.

2. A quem esta política se aplica

Esta política se aplica ao Sórya Control (control.soryaia.app), ao Sórya Conecta (a conexão do número de WhatsApp Business da empresa contratante à Sórya, descrita na seção 11), ao site institucional e às integrações do produto, incluindo a integração com o Google Calendar.

O Sórya Control é uma plataforma multi-tenant: empresas contratantes ("clientes") usam o painel para operar o atendimento dos seus próprios clientes finais no WhatsApp com apoio de inteligência artificial. Isso cria dois papéis distintos:

Em relação aos dados dos operadores do painel (as pessoas da empresa contratante que fazem login) e aos dados de conta e faturamento, a Sórya atua como controladora.
Em relação aos dados dos clientes finais tratados dentro de cada instância — conversas de WhatsApp, contatos, agendamentos —, a Sórya atua como operadora, tratando os dados por conta e ordem da empresa contratante, que é a controladora desses dados.

3. Dados obtidos através das APIs do Google

Esta seção descreve especificamente como o Sórya Control acessa, usa, armazena e compartilha dados do usuário do Google.

3.1 Escopos solicitados e por quê

Escopo	Por que é necessário
`auth/calendar`	Ler os compromissos existentes para calcular disponibilidade sem gerar conflito de horário, e criar, reagendar e cancelar os compromissos marcados através do Sórya Control.
`auth/userinfo.email`	Identificar qual conta Google está conectada, exibir essa informação ao operador e impedir que a mesma conta seja vinculada em duplicidade.

A autorização é concedida pelo próprio titular da conta Google, através do fluxo oficial de consentimento OAuth 2.0 do Google. A Sórya nunca solicita, recebe ou armazena a senha da conta Google.

3.2 O que acessamos, e o que é ou não é armazenado

Dado	Finalidade	Armazenado?
E-mail da conta Google conectada	Identificar a conta vinculada na interface e evitar vínculo duplicado	Sim
Tokens de acesso e de renovação (OAuth)	Manter a integração ativa sem pedir nova autorização a cada uso	Sim, cifrados
Lista de calendários da conta	Permitir que o operador escolha quais calendários conectar	Apenas o identificador e o nome dos calendários que o operador seleciona
Compromissos existentes na agenda	Exibir a agenda do mês na tela do painel e calcular horários livres	Não. Consultados sob demanda e não gravados
Identificador dos compromissos criados pelo Sórya Control	Permitir reagendar e cancelar depois o mesmo compromisso	Sim, apenas o identificador

O que deliberadamente não fazemos

Não mantemos cópia nem espelho da sua agenda em nosso banco de dados. Os compromissos existentes são lidos no momento da consulta e usados para montar a tela; a descrição e o local dos eventos são descartados antes mesmo de chegarem ao navegador.
Não adicionamos participantes aos eventos que criamos e, por consequência, o Google não dispara convites por e-mail em nome da sua conta.
Não acessamos Gmail, Google Drive, Contatos, Fotos ou qualquer outro serviço do Google. Os dois escopos acima são os únicos solicitados.

3.3 O que escrevemos na sua agenda

Quando um compromisso é marcado através do Sórya Control, gravamos no seu Google Calendar apenas: título, descrição, local e horário de início e término, no fuso horário configurado para a sua operação.

3.4 Como armazenamos

Os tokens de acesso e de renovação são cifrados com AES-256-GCM antes de serem gravados, com vetor de inicialização aleatório gerado a cada operação e verificação de integridade (authentication tag). A cifragem acontece na aplicação, de modo que o banco de dados nunca recebe o token em texto claro. A chave de cifra é mantida fora do banco, como variável de ambiente do servidor.

Os dados ficam hospedados em infraestrutura da Supabase sobre Amazon Web Services, na região América do Sul (São Paulo, sa-east-1) — ou seja, em território brasileiro.

3.5 Com quem compartilhamos os dados do Google

Com ninguém. Dados obtidos das APIs do Google não são vendidos, cedidos, licenciados nem transferidos a terceiros. Especificamente, e por ser uma dúvida legítima em um produto de inteligência artificial: nenhum conteúdo dos seus compromissos — título, descrição, local ou participantes — é enviado a provedores de modelos de linguagem como Anthropic, OpenAI ou xAI. A assistente de IA opera sobre o conteúdo das conversas de WhatsApp e sobre horários disponíveis derivados, nunca sobre o conteúdo dos eventos da sua agenda.

Os únicos terceiros que tecnicamente processam esses dados são os provedores de infraestrutura necessários para o serviço existir (hospedagem e banco de dados), listados na seção 6, contratados como operadores e sem autorização para usar os dados para finalidade própria.

3.6 Como revogar e o que acontece com os dados

Você pode desconectar a conta Google a qualquer momento no painel, em Instância → Agenda → Conexões → Desconectar. Ao fazer isso, o Sórya Control:

solicita ao Google a revogação da autorização concedida; e
apaga definitivamente do banco de dados os tokens e os dados de conexão associados — é exclusão física, não marcação de inativo.

Você também pode revogar o acesso diretamente pelo Google, em myaccount.google.com/permissions. Nesse caso a integração deixa de funcionar imediatamente e os tokens armazenados tornam-se inválidos.

4. Uso Limitado dos dados do Google

O uso e a transferência, pela Sórya, de informações recebidas das APIs do Google obedecem à Google API Services User Data Policy, incluindo os requisitos de Uso Limitado (Limited Use).

Especificamente, a Sórya não:

transfere nem vende esses dados a plataformas de publicidade, corretores de dados ou revendedores de informação;
usa esses dados para veicular anúncios, incluindo publicidade personalizada, de retargeting ou baseada em interesses;
usa esses dados para determinar capacidade de crédito ou para finalidades de empréstimo;
permite que pessoas leiam esses dados, salvo (i) mediante consentimento afirmativo e específico do usuário, (ii) quando necessário por motivo de segurança, como investigação de abuso, (iii) para cumprir obrigação legal, ou (iv) quando os dados estiverem agregados e anonimizados de modo a não identificar ninguém;
usa esses dados para desenvolver, treinar, ajustar ou aprimorar modelos de inteligência artificial ou de aprendizado de máquina, sejam eles generalizados ou próprios.

5. Outros dados tratados pela plataforma

Além dos dados do Google, o Sórya Control trata os seguintes dados no curso normal da operação:

Conta do operador: nome, e-mail e credenciais de acesso ao painel, além de registros de auditoria das ações realizadas.
Conversas de WhatsApp: número de telefone, nome de perfil, conteúdo das mensagens de texto, áudios, imagens e documentos trocados entre o cliente final e o atendimento.
Dados comerciais: contatos, estágio no funil de vendas, anotações, tarefas e agendamentos registrados no painel.

Transparência sobre o uso de IA

O conteúdo das conversas de WhatsApp é enviado a provedores de modelos de linguagem para que a assistente possa interpretar a mensagem e responder. Áudios recebidos são enviados para transcrição automática e imagens podem ser enviadas para descrição automática. Isso é inerente ao funcionamento do produto e está descrito aqui de forma explícita. Como registrado na seção 3.5, esse fluxo não inclui dados obtidos do Google Calendar.

6. Operadores e subprocessadores

Para operar o serviço, a Sórya se apoia nos seguintes terceiros, todos contratados como operadores e vinculados a obrigações de confidencialidade e segurança:

Fornecedor	Função	Recebe dados do Google?
Vercel	Hospedagem da aplicação	Sim, em trânsito
Supabase (AWS)	Banco de dados, autenticação e armazenamento	Sim, cifrados em repouso
Inngest	Processamento de tarefas em segundo plano	Não
UazAPI, Evolution API ou Z-API	Conexão com o WhatsApp, conforme a instância	Não
Anthropic e xAI	Modelos de linguagem do atendimento	Não
OpenAI	Transcrição de áudio e descrição de imagem	Não
Resend	E-mails transacionais	Não
Google LLC	Google Calendar e autenticação OAuth	É a origem
Meta Platforms	Plataforma de WhatsApp Business (conexão e mensagens) e métricas de campanhas, quando o módulo de tráfego está ativo	Não
Trinks	Agenda alternativa ao Google, quando selecionada	Não
Clicksign	Assinatura eletrônica de contratos, quando configurada	Não

O banco de dados primário fica em território brasileiro, conforme a seção 3.4. Alguns dos demais fornecedores acima — notadamente os provedores de modelos de linguagem e de transcrição — processam dados fora do Brasil. Nesses casos, a transferência internacional se dá com base nas hipóteses do art. 33 da LGPD, mediante cláusulas contratuais e garantias de segurança oferecidas pelo fornecedor.

7. Base legal e finalidades

O tratamento se apoia nas seguintes bases legais da LGPD: execução de contrato (art. 7º, V) para operar o serviço contratado; consentimento (art. 7º, I) para a conexão da conta Google, que é sempre um ato voluntário e revogável; cumprimento de obrigação legal (art. 7º, II) para retenção fiscal e contábil; e legítimo interesse (art. 7º, IX) para segurança da plataforma e prevenção a fraude e abuso.

8. Retenção

Os dados de conexão com o Google são mantidos enquanto a integração estiver ativa e são apagados imediatamente na desconexão, conforme a seção 3.6.

Os demais dados da operação são mantidos enquanto durar o contrato com a empresa contratante. Encerrado o contrato, os dados são excluídos em até 30 dias, ressalvadas as informações que a Sórya seja obrigada a reter por determinação legal ou para exercício regular de direitos.

9. Segurança

Credenciais e tokens de terceiros cifrados com AES-256-GCM antes do armazenamento.
Isolamento entre clientes: cada instância tem seus dados segregados e o acesso é verificado a cada requisição.
Comunicação exclusivamente por HTTPS, com HSTS e política de segurança de conteúdo aplicada.
Registro de auditoria das ações sensíveis realizadas no painel.
Nenhum segredo é exposto ao navegador: dados sensíveis não atravessam a fronteira entre servidor e cliente.

10. Direitos do titular

Nos termos do art. 18 da LGPD, você pode solicitar confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamento, e revogação do consentimento.

Solicitações devem ser enviadas ao encarregado, no endereço indicado na seção 1, e serão respondidas nos prazos legais. Para pedir a exclusão dos seus dados, veja também a página Exclusão de dados. Se você é cliente final de uma empresa que usa o Sórya Control, encaminhe também o pedido à empresa com quem você se relaciona, já que ela é a controladora desses dados; a Sórya a apoiará no atendimento.

11. Dados do WhatsApp obtidos pela Plataforma de WhatsApp Business da Meta

O Sórya Conecta permite que a empresa contratante conecte o próprio número de WhatsApp Business à Sórya, pelo fluxo oficial de cadastro da Meta (Embedded Signup). A conexão pode ser feita com um número novo ou com um número que a empresa já usa no aplicativo WhatsApp Business, mantendo o aplicativo no celular funcionando em paralelo (o que a Meta chama de Coexistência).

Nesse serviço, a empresa contratante é a controladora das conversas e dos contatos, e a Sórya atua como operadora, nos termos da seção 2.

11.1 O que recebemos da Meta

Dado	Finalidade	Armazenado?
Token de acesso concedido pela empresa no cadastro	Operar a conta de WhatsApp Business em nome da empresa	Sim, cifrado
Identificadores da conta de WhatsApp Business, do número de telefone e do portfólio empresarial	Identificar a conta conectada e direcionar as mensagens	Sim
Mensagens enviadas e recebidas (texto, áudio, imagem, documento) e o status de entrega	Prestar o atendimento contratado	Sim, na instância da empresa
Histórico de mensagens e lista de contatos do aplicativo WhatsApp Business, quando a empresa autoriza a sincronização	Exibir a conversa completa no painel e evitar que o atendimento comece do zero	Sim, na instância da empresa
Mensagens enviadas pela empresa pelo aplicativo do celular, depois da conexão	Manter o painel em sincronia com o que a empresa respondeu	Sim, na instância da empresa
Modelos de mensagem (templates) da conta	Enviar mensagens iniciadas pela empresa, quando a Meta exige modelo aprovado	Sim

A autorização é concedida pelo representante da empresa, no fluxo de consentimento da própria Meta. A Sórya nunca solicita nem armazena a senha da conta do Facebook ou do WhatsApp.

11.2 Como usamos esses dados

Para prestar o serviço contratado: receber e enviar mensagens, exibir a conversa no painel e registrar o andamento do atendimento.
Para que a assistente de inteligência artificial interprete as mensagens e responda, nos termos descritos na seção 5: o conteúdo das conversas é enviado a provedores de modelos de linguagem e de transcrição, listados na seção 6.
A Sórya não vende esses dados, não os usa para publicidade e não usa o conteúdo das conversas para treinar modelos de inteligência artificial.

11.3 A Meta como fornecedora independente

A Meta processa dados da conta de WhatsApp Business e das mensagens segundo as próprias políticas. Elas valem em paralelo a esta: Política de Privacidade da Meta e Termos de Serviço do WhatsApp Business.

11.4 Desconectar e excluir

A empresa pode encerrar o acesso da Sórya à conta de WhatsApp Business a qualquer momento, nas Configurações da empresa da Meta, removendo a Sórya como parceiro ou aplicativo conectado. Ao fazer isso, a Sórya deixa de receber e de enviar mensagens por aquela conta.

Para pedir a exclusão dos dados que a Sórya mantém, use a página Exclusão de dados.

12. Alterações desta política

Alterações materiais serão publicadas nesta página com atualização da data no topo. Se a mudança afetar a forma como tratamos dados obtidos do Google, a alteração será comunicada aos clientes ativos antes de entrar em vigor.

13. Contato

Encarregado de dados: soryaai.contato@gmail.com
Contato geral: contato@soryaia.app