Privacidade e tratamento de dados

Quem somos, e em que papel

Enxut Desenvolvimento de Software Customizável Ltda, CNPJ 68.635.568/0001-12, com sede na Rua Vitor Konder, 223, sala 1108, Centro, Florianópolis/SC, CEP 88015-400. Encarregado pelo tratamento de dados (DPO): Inti Rodrigues, pelo e-mail bruno@enxut.com.br.

Cookies e rastreamento neste site

Este site não usa cookie nem pixel de anúncio. Não gravamos nada no seu navegador. Por isso não existe banner de cookie aqui: não há cookie para consentir.

Para saber quantas pessoas visitam cada página, usamos o Vercel Web Analytics. Ele não usa cookie, não guarda o seu endereço de IP e não identifica quem visita: conta as visitas de forma agregada, a partir de um código temporário que é descartado em 24 horas. O que fica registrado é a página visitada, o site de onde você veio, o país e a região, o sistema operacional, o navegador e o tipo de aparelho. A base é legítimo interesse em entender o uso do site (art. 7º, IX).

O que existe é isto: o servidor que hospeda o site (Vercel) mantém registros técnicos de acesso, com endereço de IP e navegador, do jeito que qualquer servidor mantém. Não olhamos esses registros para fins comerciais, não os cruzamos com nada e não temos ferramenta montada em cima deles. A base é legítimo interesse na segurança e no funcionamento do site (art. 7º, IX c/c art. 10). O prazo de guarda é o do próprio provedor.

As fontes tipográficas são servidas do nosso próprio domínio, não do Google. Tudo o que o site carrega vem de enxut.com.br. As únicas exceções vão direto para o nosso servidor de automação (n8n): o envio do formulário de contato, descrito abaixo, e a contagem de rolagem dos posts do blog.

Nos posts do blog, medimos até onde o texto foi lido. Quando você passa de 25%, 50%, 75% e do fim do texto, o navegador manda ao nosso servidor só o nome do post e o marco atingido, e a gente soma. Não mandamos cookie nem identificador do aparelho, não guardamos o endereço de IP no banco e nada fica gravado no seu navegador. Ninguém consegue ligar essa leitura a você. O objetivo é saber quais textos as pessoas leem até o fim (legítimo interesse, art. 7º, IX).

Se em algum momento passarmos a usar cookie ou pixel de anúncio, esta página muda antes, e o carregamento passa a depender de consentimento explícito.

Que dados a gente trata

Quando você preenche o formulário de contato (/diagnostico): nome, escritório, papel no escritório, WhatsApp, e-mail (se você informar), áreas de atuação, tamanho da equipe, volume de contatos e as respostas sobre o que o escritório procura. Os dados passam pelo n8n, em servidor próprio da enxut, ficam no Supabase, e o aviso de contato novo chega a um dos sócios pelo WhatsApp.

Quando você fala com o agente de demonstração da enxut no WhatsApp: o seu número de telefone, o nome que aparece no seu perfil do WhatsApp e o conteúdo das mensagens que você envia. Aqui a controladora é a enxut. A conversa passa pelos mesmos fornecedores do agente dos escritórios, listados abaixo. Se for simular um atendimento, invente o cliente: não use nome, telefone nem dado de um cliente real.

Quando somos fornecedores do seu escritório: tratamos os dados dos leads e clientes do escritório na condição de operador, sob instrução do escritório, que é o controlador. O escopo, a finalidade e o prazo são os definidos no contrato e no acordo de tratamento de dados assinado entre nós.

Quando desenvolvemos um projeto sob medida para o escritório: o tratamento segue o escopo do projeto e o acordo de tratamento de dados assinado entre nós, e os fornecedores que participam do processamento são nomeados por escrito no contrato.

Para que usamos

• Responder você, pelo formulário ou pelo WhatsApp, e marcar a reunião.
• Entender o contexto do seu escritório antes da conversa.
• Cumprir obrigação legal ou contratual quando aplicável.

Não vendemos dado para ninguém, não usamos dado de conversa para treinar modelo, e não enviamos comunicação de marketing para quem não pediu.

Base legal

Para o contato comercial, o formulário e o agendamento: execução de procedimentos preliminares a contrato, a seu pedido (art. 7º, V da LGPD) e legítimo interesse (art. 7º, IX). Para a operação como fornecedor do escritório: as bases definidas pelo escritório controlador no contrato.

Dado pessoal sensível

O agente atende quem escreve por vontade própria, e nem sempre dá para prever o que a pessoa escreve. Um lead pode descrever um problema de saúde, mandar um laudo, um exame ou um documento que revela filiação sindical ou processo criminal. Isso é dado pessoal sensível (art. 5º, II da LGPD) e recebe tratamento próprio.

Como fornecedores do escritório, tratamos esse dado na condição de operador, sob a base legal que o escritório controlador definir, em geral o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 11, II, “d”). A definição é do escritório e fica registrada no acordo de tratamento de dados.

O roteiro do agente não pede dado de saúde e não pede documento. Se o lead enviar mesmo assim, o conteúdo é armazenado junto com o resto da conversa e entra no mesmo prazo de retenção. O escritório pode nos instruir a desligar a leitura de áudio, imagem e documento; nesse caso o agente pede que o lead escreva em texto.

Quando você fala com o nosso agente de demonstração, não mande documento nem descreva situação de saúde: não precisamos disso para marcar uma conversa.

Com quem compartilhamos

Só com os fornecedores necessários para o serviço funcionar. Todos os que tocam no dado estão nomeados abaixo.

• Meta Platforms Ireland, WhatsApp Business API. Transporte das mensagens, quando o escritório usa a API oficial do WhatsApp.
• Evolution API e Z-API. Transporte das mensagens, quando o escritório usa o WhatsApp pelo caminho não oficial, com o número no aplicativo comum. A Evolution API roda em servidor próprio da enxut; a Z-API é um serviço contratado.
• n8n, em servidor próprio na DigitalOcean. Orquestra o atendimento: recebe a mensagem, chama os modelos de linguagem, grava no banco e aciona a agenda e o contrato. Servidor nos Estados Unidos.
• Supabase, sobre infraestrutura AWS. Banco de dados das conversas. Região us-east-2 (Ohio), Estados Unidos.
• OpenAI. Processamento de linguagem do atendimento (modelos GPT). Recebe o texto da conversa.
• Google, API Gemini. Transcrição de áudio e leitura de imagem e documento. Recebe o arquivo que o lead enviar.
• Google Agenda. Agendamento. Recebe o nome do lead, o horário e o resumo do caso dentro do evento na agenda do advogado.
• Vercel. Hospedagem deste site e contagem agregada de visitas (Web Analytics). Registra a requisição do navegador, incluindo endereço de IP, nos registros técnicos de acesso.
• Titan Email. Entrega do resumo do lead qualificado ao endereço de e-mail que o escritório indicar.
• ZapSign. Geração e assinatura eletrônica do contrato, quando o escritório usa o fechamento pelo agente. Recebe o nome, os dados do contrato e o contato do cliente.
• Kommo. CRM do escritório, quando o escritório usa. Recebe o cadastro e o andamento do lead.
• Asaas e Banco Inter. Cobrança da enxut. Recebem dados do escritório cliente, não dos leads dele.

Se o escritório pedir para o resumo ir para um grupo de mensagens em vez de e-mail, o conteúdo passa a circular no aplicativo escolhido e sob as regras de acesso do escritório. Recomendamos e-mail, e a decisão fica registrada por escrito no acordo de tratamento.

Os fornecedores de transporte, orquestração, banco, modelo, agenda e hospedagem acima processam dado fora do Brasil, a maioria nos Estados Unidos. Não existe decisão de adequação da ANPD para os Estados Unidos, então a transferência internacional se apoia em cláusulas contratuais (art. 33, II).

Se ter o dado do seu cliente fora do Brasil for inaceitável para o seu escritório, diga isso na primeira conversa. É uma restrição legítima e a gente prefere descobrir antes de você assinar do que depois.

Por quanto tempo guardamos

Conversa comercial que não virou contrato: 12 meses. Dados de cliente ativo: durante o contrato e pelo prazo legal aplicável depois dele. Dados tratados como operador do escritório: o prazo que o escritório definir, e a devolução ou eliminação ao fim do contrato é feita como o escritório instruir.

Segurança

Do nosso lado, o acesso ao banco é restrito às duas pessoas que operam a empresa, com autenticação em dois fatores nos sistemas que oferecem esse recurso. Os provedores listados acima oferecem criptografia em trânsito e em repouso, e é essa a configuração que usamos.

Do lado do escritório, o serviço entrega conteúdo por fora do banco: o resumo de cada lead qualificado e, nas primeiras semanas, o log das conversas para calibragem do roteiro. Isso vai para o endereço que o escritório indicar, e a partir daí o controle de quem lê é do escritório. Recomendamos endereço de e-mail nominal e não grupo de mensagens, e essa escolha fica registrada no acordo de tratamento.

Assinamos NDA e acordo de tratamento de dados. Temos um modelo próprio, curto, que mandamos antes da reunião. Se o escritório tem modelo próprio, trabalhamos em cima dele: lemos, apontamos o que não conseguimos cumprir sendo dois, e negociamos. O que a gente não faz é assinar cláusula que sabe que não vai conseguir honrar.

Em caso de incidente de segurança com risco relevante, comunicamos você e a ANPD nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024, que define o prazo e o conteúdo da comunicação.

Seus direitos

Sobre os dados que tratamos como controlador, ou seja, a sua conversa com o nosso agente comercial e o nosso contato com você, você pode pedir, a qualquer momento e sem custo: confirmação de que existe tratamento, acesso aos dados, correção de dado incompleto ou desatualizado, anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo, portabilidade, e informação sobre com quem compartilhamos (art. 18, incisos I a VII).

Como não usamos consentimento como base para o contato comercial, e sim a execução de procedimentos preliminares a contrato e o legítimo interesse, o direito que vale aqui é o de oposição: você pode se opor ao tratamento (art. 18, §2º) e a gente para. Basta escrever.

Você também pode peticionar contra nós diretamente na ANPD (art. 18, §1º), sem precisar falar com a gente antes.

Sobre os dados que tratamos como operador, ou seja, os leads e clientes de um escritório que nos contratou, quem responde é o escritório, que é o controlador. Se você escrever para nós, encaminhamos o pedido ao escritório em até 2 dias úteis e avisamos você para quem foi. A gente não pode alterar nem apagar esse dado por conta própria: só sob instrução do controlador.

Canal: bruno@enxut.com.br. Confirmamos o recebimento no mesmo dia útil e respondemos em até 15 dias. Se o pedido for de confirmação de existência ou de acesso, respondemos em formato simplificado imediatamente, e a declaração completa em até 15 dias (art. 19 da LGPD).

Mudanças neste documento

Esta é a versão de outubro de 2026. Quando mudar, a data muda e o histórico das versões anteriores fica disponível mediante pedido no mesmo e-mail.

Se você é advogado e viu aqui algo errado ou incompleto, escreva para bruno@enxut.com.br. A gente corrige.