Atinio

Termos de Uso

Versão 1.13 · publicada em 2026-07-13

Termos de Uso e Política de Privacidade — Atinio v1.13

Última atualização: 13 de julho de 2026.

1. O que é o Atinio

O Atinio é um aplicativo educacional brasileiro que ajuda você a comparar matematicamente duas alternativas para um excedente: amortizar um financiamento ou aplicar em renda fixa, a acompanhar investimentos em imóveis na planta, e a estruturar via chat com um assistente LLM o fluxo de pagamento de um imóvel na planta antes de fechar o contrato com a construtora.

Não somos consultoria de valores mobiliários (consultoria exige registro CVM 35/2021, que não temos). Não somos consultoria financeira nem aconselhamento de crédito imobiliário. O assistente LLM do chat de rascunho NÃO recomenda valor, prazo, parcela nem estratégia financeira — só pergunta, calcula, redistribui matematicamente o fluxo conforme você quer pagar. Tudo o que mostramos é simulação descritiva sem recomendação personalizada.

2. Dados que coletamos e por quê

Todos os dados ficam em PostgreSQL hospedado no Supabase em São Paulo (AWS sa-east-1), exceto o conteúdo enviado ao vendor LLM (Anthropic), que é processado nos EUA — ver §4.a e §4.e abaixo.

3. Para que tratamos seus dados

FinalidadeBase legal LGPD
Calcular o veredito amortizar vs investirExecução de contrato (Art. 7º V)
Acompanhar cronograma de imóvel na plantaExecução de contrato (Art. 7º V)
Gerar explicações em linguagem natural via LLMConsentimento (Art. 7º I)
Enviar push quando o veredito flippaConsentimento (Art. 7º I)
Registrar mutations da conta com IP/UA pra antifraudeLegítimo interesse (Art. 7º IX)
Compartilhar dados básicos com imobiliária parceira que originou seu cadastro (ver §4.b)Consentimento específico (Art. 7º I + Art. 8º §4º)
Exibir feed de lançamentos das imobiliárias parceiras e registrar interesse anônimo agregado (ver §4.d)Consentimento específico (Art. 7º I + Art. 8º §4º)
Chat de rascunho de fluxo de pagamento de imóvel na planta via LLM (ver §4.e)Consentimento específico (Art. 7º I + Art. 8º §4º)
Gerar para a imobiliária parceira um "Veredito do Lead" — insight derivado sobre seu interesse (ver §4.f)Consentimento específico (Art. 7º I + Art. 8º §4º)
Compartilhar seu nome e e-mail com a imobiliária parceira para que o corretor possa te contatar (ver §4.g) (NOVIDADE v1.6)Consentimento específico (Art. 7º I + Art. 8º §4º)
Compartilhar seu telefone com a imobiliária parceira para contato por ligação/WhatsApp (ver §4.h) (NOVIDADE v1.7)Consentimento específico (Art. 7º I + Art. 8º §4º)
Compartilhar seu nome e e-mail com a imobiliária ao pedir visita num lançamento, por até 48h (ver §4.g-bis) (NOVIDADE v1.8)Consentimento específico por ação informada (Art. 7º I + Art. 8º §1º e §4º)
Estabelecer vínculo de operador comercial com a imobiliária ao escanear um QR de fluxo de pagamento dela e autorizar na tela — compartilhando nome, e-mail e telefone para contato (ver §4.b-bis) (ATUALIZADO v1.11: telefone passa a ser obrigatório no vínculo)Consentimento específico por ação informada (Art. 7º I + Art. 8º §1º e §4º)

4. Compartilhamento com terceiros

4.a Operadores técnicos (processadores)

Para operar o app, compartilhamos parte dos seus dados com:

> Importante sobre o Veredito do Lead (§4.f): o cálculo do score e da > ação recomendada à imobiliária é feito integralmente no Brasil (no > nosso backend), sem enviar nada ao vendor LLM. Nenhum dado de lead > sai do país por causa dessa funcionalidade.

4.b Imobiliária parceira (operador comercial)

Quando você se cadastra via convite (QR ou link) de uma imobiliária parceira (Partner), ela é classificada como operador comercial (LGPD Art. 39) — diferente dos processadores técnicos acima — e passa a ter acesso somente leitura e limitado aos seus dados abaixo:

A imobiliária NÃO tem acesso a: CPF (não coletamos), senha, histórico de chat, vereditos do motor, anexos de contrato, push tokens, ou outros dados não listados acima.

Finalidade: intermediação comercial — a imobiliária paga pelo seu acesso ao Atinio durante a duração do contrato de imóvel que ela intermediou, e usa os dados acima para atender você como cliente do empreendimento que originou o cadastro.

Base legal: Consentimento específico (Art. 7º I + Art. 8º §4º). Esta finalidade é destacável do aceite geral — você pode usar o app sem aceitar este compartilhamento; nesse caso, o vínculo com a imobiliária NÃO é registrado e ela não vê seus dados.

Duração: o compartilhamento vigora enquanto houver UserPartnerCoverage ativa na sua conta — tipicamente até o último mês do contrato de imóvel intermediado pela parceira, mais 1 mês de buffer. Após essa data, a imobiliária perde o acesso automaticamente; rows históricas em UserPartnerCoverage permanecem pra fins de auditoria fiscal (5 anos).

Revogação (Art. 8º §5º): você pode revogar este compartilhamento a qualquer momento sem precisar deletar sua conta no app, via endpoint DELETE /api/me/partner-link (ou por solicitação ao DPO). A revogação desvincula o referredByPartnerId da sua conta e encerra coverages ativas (UserPartnerCoverage.endsAt = NOW()).

Transferência internacional: dados ficam em PostgreSQL Supabase (AWS São Paulo). A imobiliária acessa via API com TLS — nenhum dado sai do Brasil por causa desse compartilhamento.

4.b-bis Vínculo com a imobiliária por QR de fluxo de pagamento (NOVIDADE v1.9; telefone obrigatório v1.11)

A §4.b cobre o vínculo quando a imobiliária originou seu cadastro (você se cadastrou pelo convite dela). Esta cláusula cobre o caso em que você já tem conta e escaneia um QR de fluxo de pagamento que uma imobiliária parceira compartilhou: ao escanear e tocar "Autorizar" na tela que precede o carregamento do fluxo, você autoriza, de uma vez, as seguintes finalidades destacáveis em favor daquela imobiliária específica:

Coleta de nome na mesma tela (v1.11): se o seu cadastro ainda não tiver um nome, a tela do scan pede o nome junto com o telefone (é o nome que o corretor verá no contato, §4.g). Se você já tiver nome e/ou telefone no cadastro, os campos vêm pré-preenchidos — você só confere e confirma; não pedimos de novo o que já temos.

O que NÃO é compartilhado por este ato: CPF (não coletamos), senha, histórico de chat, vereditos do motor, anexos de contrato, e qualquer valor financeiro seu (saldo, despesa, preço de imóveis). São compartilhados apenas nome, e-mail e telefone — os dados de contato necessários à finalidade.

Por que "de uma vez": o QR é um material que a imobiliária te entregou e você escolheu escanear — a tela do app descreve claramente, antes do aceite, tudo o que será compartilhado (nome, e-mail e telefone). Ainda assim, cada finalidade é destacável e revogável separadamente depois, em Ajustes → Privacidade (toggles do Veredito §4.f, do Contato §4.g e do Telefone §4.h).

Base legal: Consentimento específico manifestado por ação informada (Art. 7º I + Art. 8º §1º e §4º). É destacável: você pode carregar e usar o fluxo sem autorizar — nesse caso nada é compartilhado e nenhum lead é criado. O caráter obrigatório do telefone vale dentro deste ato de vínculo (ele é necessário à finalidade de contato, Art. 6º III), não para usar o app: recusar o vínculo é sempre uma opção e não bloqueia nenhuma outra função.

Pré-condição (dupla trava, igual §4.f/§4.g/§4.h): a imobiliária só recebe qualquer coisa se tiver um DPA assinado conosco. Sem DPA, o vínculo não expõe nada.

Onde fica gravado: UserPartnerLink (vínculo, origem registrada como QR de fluxo) + os ConsentEvent granted das finalidades autorizadas (PARTNER_SHARING, LEAD_INTELLIGENCE, LEAD_CONTACT e LEAD_PHONE, cada um com metadata contendo o partnerId e o escopo) + BrokerLead (sua entrada na carteira da imobiliária) + User.phone (telefone informado) + User.fullName (nome, quando coletado na tela por ainda não existir). Mesma retenção da §4.b/§4.f/§4.g/§4.h e §5.

Revogação (Art. 8º §5º): desfaça o vínculo inteiro a qualquer momento, sem deletar a conta, via DELETE /api/me/partner-link (Ajustes → Privacidade), ou revogue só uma finalidade pelos toggles do Veredito (§4.f), do Contato (§4.g) e do Telefone (§4.h). Você também pode apagar o número do seu cadastro a qualquer momento.

Transferência internacional: nenhuma — vínculo, consentimentos e lead vivem em PostgreSQL Supabase (AWS São Paulo).

4.c Outros usuários (referral entre investidores)

Se você foi convidado por outro usuário (referredByUserId), o identificador desse usuário é registrado pra fins de tracking interno. Nenhum dado seu é exposto ao usuário convidante — ele apenas recebe uma notificação anônima de que algum convite emitido por ele foi consumido, sem identificar quem.

4.d Feed de lançamentos das imobiliárias parceiras

Se você ativar a aba "Mercado" no app, passamos a exibir lançamentos imobiliários publicados pelas imobiliárias parceiras (Partner) nos bairros que você marcou como de interesse. Pra que isso funcione, registramos seu interesse de forma agregada:

O que a imobiliária vê: apenas métricas agregadas (ex: "12 impressions no lançamento X esta semana"). Ela não recebe o seu identificador pessoal nem qualquer dado individual seu por este canal. Apenas quando você dispara o CTA "Falar via WhatsApp" o seu número flui pro Partner — e nesse caso é o WhatsApp tradicional, fora do sistema Atinio.

Finalidade: mostrar ofertas relevantes baseadas nos bairros que você marcou; medir performance do feed pra otimizar produto.

Base legal: Consentimento específico (Art. 7º I + Art. 8º §4º). Esta finalidade é destacável — você pode usar o app sem ativar a aba Mercado; nesse caso nenhum dado de interesse é registrado e o feed permanece bloqueado.

Retenção:

Revogação (Art. 8º §5º): dentro do app, em Ajustes → Consentimentos → "Lançamentos das parceiras" há o toggle de revogação. Quando você revoga, o feed é bloqueado imediatamente e novos eventos param de ser registrados; o histórico de LaunchInterest segue o ciclo de retenção acima (não é deletado retroativamente — preserva métricas agregadas já contabilizadas).

Transferência internacional: nenhuma — todos os dados ficam em PostgreSQL Supabase (AWS São Paulo).

4.e Chat de rascunho de fluxo de pagamento via LLM

Quando você usa o chat de rascunho de fluxo de pagamento (acessível pela aba Na Planta → "Novo rascunho"), o app processa sua conversa via Anthropic Claude (EUA — ver §4.a). Pra cada turno você envia uma mensagem ao assistente, e o assistente responde estruturando o fluxo matematicamente.

Dados enviados ao vendor LLM a cada turno:

Anexar um documento ao chat: você pode anexar um PDF ou uma imagem do fluxo de pagamento (proposta da incorporadora, tabela de parcelas, print de simulação) usando o botão de anexo, ou escanear um QR code da imobiliária. Quando você faz isso:

O que o vendor NÃO recebe: seu nome, email, CPF, IP, push tokens, chat histórico de outras sessões, identificadores de outros usuários, nem chaves do banco de dados.

Onde fica gravado no Atinio:

Finalidade: ajudar você a estruturar o fluxo de pagamento de um imóvel na planta de forma matematicamente consistente, antes de formalizar com a construtora. O assistente NÃO recomenda valores, prazos, estratégias financeiras nem dá opinião sobre se um fluxo é "bom" ou "ruim" — só pergunta, calcula, redistribui o que você quer pagar. Vocabulário neutro, sem termos consultivos (REGRA 6 do system prompt + guardrail server-side).

Base legal: Consentimento específico (Art. 7º I + Art. 8º §4º). Esta finalidade é destacável do aceite geral — você pode usar o app sem ativar o chat; nesse caso a feature fica bloqueada e nenhum dado é enviado ao vendor LLM.

Transferência internacional (Art. 33 LGPD): o conteúdo do chat sai do Brasil pra EUA via API Anthropic. Hipótese da transferência: cláusulas-padrão contratuais (SCCs UE Module Two, UK Addendum B.1.0 da ICO, Swiss Addendum) incorporadas no DPA Anthropic vigente desde 24 de fevereiro de 2025 (Effective Date oficial — texto em https://www.anthropic.com/legal/data-processing-addendum). Jurisdição para disputas relacionadas ao tratamento: República da Irlanda.

Revogação (Art. 8º §5º): dentro do app, em Ajustes → Consentimentos → "Chat LLM de rascunho" há o toggle de revogação. Quando você revoga, o gate de novos turnos retorna erro imediatamente E as suas sessões de rascunho ativas (não-finalizadas) são apagadas no mesmo momento do DraftChatSession + AuditLog dedicado por sessão removida. Sessões já finalizadas (que viraram PropertyInvestment) permanecem — o serviço já foi consumido; pra eliminá-las você usa o DELETE da unidade ou da conta inteira.

4.f Veredito do Lead — insight derivado para a imobiliária parceira (NOVIDADE v1.5)

Quando você está vinculado a uma imobiliária parceira (Partner) e autorizou esta finalidade, geramos para essa imobiliária um "Veredito do Lead": uma leitura resumida de quão engajado e em que momento de decisão você parece estar, para que o corretor saiba como e quando te atender melhor. É uma ferramenta de trabalho para o profissional da imobiliária — não é, e nunca é apresentada a você como, recomendação de investimento.

O que a imobiliária recebe (apenas insight DERIVADO):

O que a imobiliária NÃO recebe, em hipótese alguma, por este canal: o valor do seu saldo devedor, sua despesa mensal, seu surplus, o preço dos seus imóveis, o veredito do motor amortizar-vs-investir, nem qualquer outro valor financeiro em reais. O score é calculado internamente a partir de contagens e indicadores não-financeiros (quantas vezes você abriu lançamentos, quantos contatos disparou, há quantos dias esteve ativo, e se você possui ou não um imóvel na planta — sem o valor desse imóvel). O resultado entregue à imobiliária é só o insight derivado descrito acima.

Como é calculado: integralmente no nosso backend, no Brasil. Não há envio de nada ao vendor LLM (Anthropic) para esta finalidade — portanto não há transferência internacional de dados de lead. (Caso, no futuro, passemos a gerar um resumo em texto via LLM, atualizaremos estes termos e pediremos novo consentimento antes de ativar.)

Decisão automatizada (Art. 20 LGPD): o score e a ação recomendada são produzidos por uma regra automatizada explicável (pesos por fator, sem caixa-preta). Você tem direito a solicitar revisão dessa lógica e a informações sobre os critérios — escreva ao DPO (§7). Como medida de transparência, os pesos que compõem o seu score ficam registrados a cada cálculo.

Pré-condições (dupla trava): a imobiliária só vê o Veredito do Lead se (a) tiver um DPA assinado conosco e (b) você tiver consentido especificamente esta finalidade. Faltando qualquer uma, o acesso é bloqueado.

Finalidade: permitir que a imobiliária que originou seu cadastro te atenda no momento e da forma certa, sem precisar te incomodar no escuro.

Base legal: Consentimento específico (Art. 7º I + Art. 8º §4º). Esta finalidade é destacável do aceite geral — você pode usar o app, e até estar vinculado a uma imobiliária para outras finalidades, sem autorizar o Veredito do Lead; nesse caso a imobiliária não recebe nenhum insight derivado sobre você.

Onde fica gravado: BrokerLead (seu vínculo de lead com aquela imobiliária + status no funil) e LeadVerdict (o histórico de scores calculados, mantido como trilha da decisão automatizada para fins do Art. 20). Ambos em PostgreSQL Supabase (AWS São Paulo). Nenhum desses registros contém valor financeiro bruto seu.

Revogação (Art. 8º §5º): dentro do app, em Ajustes → Consentimentos → "Veredito do Lead" há o toggle de revogação. Quando você revoga, a imobiliária deixa de ver o seu veredito imediatamente (o acesso é verificado a cada consulta) e paramos de calcular novos vereditos. O histórico em LeadVerdict segue a retenção da §5 (preserva a trilha de decisão automatizada já realizada); para eliminá-lo, use o DELETE da conta.

Transferência internacional: nenhuma — ver acima.

4.g Contato compartilhado com a imobiliária parceira (NOVIDADE v1.6)

O Veredito do Lead (§4.f) diz à imobiliária quão quente é o seu interesse, mas não diz quem você é. Para que o corretor possa efetivamente te atender — e não apenas saber que existe um lead — esta finalidade, separada e opcional, autoriza o compartilhamento dos seus dados de contato com a imobiliária parceira que originou seu cadastro.

O que a imobiliária passa a receber, SE e somente se você autorizar especificamente esta finalidade:

O que a imobiliária NÃO recebe por este canal:

Por que separado do Veredito (§4.f): você pode autorizar o Veredito (deixar a imobiliária saber que há um lead quente) sem revelar seu nome e e-mail, ou autorizar os dois. São toggles independentes — é a minimização em prática (Art. 6º III): nada é compartilhado além do que você liberar, finalidade a finalidade.

Pré-condições (dupla trava): a imobiliária só vê seu contato se (a) tiver um DPA assinado conosco e (b) você tiver consentido especificamente esta finalidade (§4.g). Faltando qualquer uma, o contato não é entregue — e o Veredito (§4.f), se autorizado, continua funcionando sem o contato.

Exceção — você pediu a visita: se você mesmo solicitar o contato tocando "Reservar visita" num lançamento, seu nome e e-mail são compartilhados com aquela imobiliária específica por até 48 horas, independentemente deste toggle — é uma base separada, descrita na §4.g-bis.

Finalidade: permitir que o corretor da imobiliária que originou seu cadastro entre em contato com você pelos canais que você forneceu ao Atinio.

Base legal: Consentimento específico (Art. 7º I + Art. 8º §4º), destacável do aceite geral e do próprio Veredito do Lead.

Onde fica gravado: o consentimento em ConsentEvent (finalidade LEAD_CONTACT); seu nome e e-mail seguem nas suas colunas de cadastro (User.fullName, User.email) — esta finalidade não cria cópia nova, apenas autoriza a leitura pela imobiliária via API autenticada, registrada em auditoria a cada acesso.

Revogação (Art. 8º §5º): dentro do app, em Ajustes → Consentimentos → "Contato com a imobiliária" há o toggle de revogação. Quando você revoga, a imobiliária deixa de ver seu nome e e-mail imediatamente (o acesso é verificado a cada consulta).

Transferência internacional: nenhuma — o contato é lido e entregue pelo nosso backend no Brasil, sem envio a vendor externo.

4.g-bis Pedido de visita (você solicita o contato) (NOVIDADE v1.8)

Diferente do toggle da §4.g — que regula o compartilhamento contínuo do seu contato — esta cláusula cobre o caso em que você toma a iniciativa: ao tocar "Reservar visita" em um lançamento, você está pedindo explicitamente que aquela imobiliária entre em contato com você sobre aquele empreendimento.

O que acontece: seu nome (User.fullName) e seu e-mail (User.email) ficam visíveis para aquela imobiliária específica (a que publicou o lançamento) pelo tempo necessário ao atendimento do seu pedido — até 48 horas após o toque. Passada essa janela, a visibilidade do seu contato volta a depender exclusivamente do toggle da §4.g.

O que NÃO é compartilhado por este canal:

Escopo (minimização, Art. 6º III): apenas a imobiliária dona do lançamento que você tocou recebe seu contato. Imobiliárias que você não contatou não veem nada — a fronteira é garantida por Launch.partnerId.

Finalidade: permitir que o corretor responda ao seu próprio pedido de visita àquele lançamento.

Base legal: Consentimento específico manifestado por ação informada (Art. 7º I + Art. 8º §1º e §4º): o toque em "Reservar visita" é precedido, na própria tela, do aviso de que o contato será compartilhado com a parceira para que ela entre em contato. É base autônoma e separada do toggle da §4.g.

Onde fica gravado: o pedido em LaunchInterest (evento contact) e em AuditLog (launch.interest.contact). Nenhuma cópia nova de PII é criada; nome e e-mail seguem nas colunas de cadastro, lidos pela imobiliária via API autenticada, escopados por imobiliária.

Retenção / expiração (Art. 15 e Art. 16): a exposição do contato por esta base expira automaticamente em 48 horas — não é preciso revogar, por ser um pedido pontual e por tempo limitado. Para compartilhamento contínuo, use (ou revogue) o toggle da §4.g. Para eliminar o registro do pedido, use o DELETE da conta (§ exclusão).

Transferência internacional: nenhuma — lido e entregue pelo backend no Brasil, sem envio a vendor externo.

4.h Telefone compartilhado com a imobiliária parceira (NOVIDADE v1.7)

Esta finalidade, separada e opcional, autoriza o compartilhamento do seu telefone com a imobiliária parceira que originou seu cadastro, para que o corretor possa te contatar por ligação ou WhatsApp.

O que muda em relação ao §4.g: o §4.g compartilha nome e e-mail; este §4.h compartilha o telefone — um canal de contato mais direto e, por isso, com consentimento próprio e independente. Você pode autorizar o §4.g sem o §4.h (a imobiliária te contata só por e-mail), o §4.h sem o §4.g, ambos, ou nenhum. São toggles independentes (minimização, Art. 6º III).

O que a imobiliária passa a receber, SE e somente se você autorizar especificamente esta finalidade E tiver fornecido o número:

Como você fornece o telefone: o campo é opcional e preenchido por você no app (Ajustes → Privacidade). Sem número informado, não há nada a compartilhar mesmo que a finalidade esteja autorizada.

O que a imobiliária NÃO recebe por este canal:

Pré-condições (dupla trava): a imobiliária só vê seu telefone se (a) tiver um DPA assinado conosco e (b) você tiver consentido especificamente esta finalidade (§4.h). Faltando qualquer uma, o telefone não é entregue.

Finalidade: permitir o contato ativo do corretor por telefone/WhatsApp.

Base legal: Consentimento específico (Art. 7º I + Art. 8º §4º), destacável do aceite geral, do §4.b, do Veredito (§4.f) e do contato por e-mail (§4.g).

Onde fica gravado: o consentimento em ConsentEvent (finalidade LEAD_PHONE); o telefone fica na sua coluna de cadastro (User.phone) — esta finalidade não cria cópia nova, apenas autoriza a leitura pela imobiliária via API autenticada, registrada em auditoria a cada acesso.

Revogação (Art. 8º §5º): dentro do app, em Ajustes → Consentimentos → "Telefone para a imobiliária" há o toggle de revogação. Ao revogar, a imobiliária deixa de ver seu telefone imediatamente (acesso verificado a cada consulta). Você também pode apagar o número do seu cadastro a qualquer momento.

Transferência internacional: nenhuma — lido e entregue pelo nosso backend no Brasil, sem envio a vendor externo.

4.i Formulário de interesse em lançamento — anúncio web (NOVIDADE v1.13)

As imobiliárias parceiras podem divulgar um lançamento numa página pública de anúncio (por exemplo atinio.app/lancamento/<id>), com fotos, o que há por perto e um simulador de fluxo de pagamento. Nessa página há um formulário "Tenho interesse". Diferente do resto desta política, aqui você não precisa ter conta no Atinio — é um contato anônimo iniciado por você.

O que coletamos, se e somente se você preencher e marcar a autorização:

Finalidade: permitir que o corretor da imobiliária dona daquele lançamento entre em contato com você sobre aquele empreendimento.

Base legal: Consentimento (Art. 7º I) — a caixa de autorização do formulário é obrigatória; sem marcá-la, nada é enviado. Registramos a data, a origem (IP) e a versão desta política vigente no momento como prova do consentimento (Art. 8º §6º).

Como protegemos: seu nome e telefone são criptografados no nosso banco (AES-256-GCM, chave por registro) e nunca aparecem em logs. A notificação que o corretor recebe é anônima — só avisa que houve um interesse naquele lançamento; ele vê seu contato apenas ao abrir o painel da imobiliária.

Compartilhamento: apenas com a imobiliária dona do lançamento que você escolheu contatar. Nenhum outro parceiro recebe esses dados.

Retenção: se o contato não evoluir, apagamos o lead em 180 dias. Se virar um atendimento comercial ativo, ele segue o ciclo dessa relação.

Seus direitos (Art. 18): como o contato é anônimo (sem conta), para acessar, corrigir, revogar o consentimento ou apagar esses dados, escreva ao nosso Encarregado (DPO — seção 7) informando o telefone usado; localizamos e atendemos em até 15 dias.

Transferência internacional: nenhuma — armazenado no nosso backend no Brasil; a notificação ao corretor leva só identificadores internos, sem seu nome ou telefone.

5. Retenção

Dados são purgados conforme docs/ai/data-inventory.md:

Você pode antecipar a eliminação de tudo via DELETE /api/me.

6. Seus direitos (Art. 18 LGPD)

Você pode exercer a qualquer momento:

DireitoComo
Confirmar que tratamos seus dadosGET /api/me/consents
Acessar todos os dadosGET /api/me/export (download JSON, inclui Partner/Invite/Coverage + DraftChatSessions + PropertyInvestment.draftChatHistory + leads/vereditos)
CorrigirPATCH /api/profile
EliminarDELETE /api/me?confirm=true
PortabilidadeGET /api/me/export (inclui signed URLs 24 horas para anexos)
Revogar consentimento geralEmail pro DPO
Revogar compartilhamento com imobiliáriaDELETE /api/me/partner-link no app, ou email pro DPO
Revogar acesso ao feed de lançamentos (§4.d)Ajustes → Consentimentos → "Lançamentos das parceiras" no app, OU POST /api/me/consents/launch-tracking/revoke
Revogar acesso ao chat LLM de rascunho (§4.e)Ajustes → Consentimentos → "Chat LLM de rascunho" no app, OU POST /api/me/consents/draft-chat-llm/revoke
Revogar o Veredito do Lead (§4.f)Ajustes → Consentimentos → "Veredito do Lead" no app, OU POST /api/me/consents/lead-intelligence/revoke
Revogar o contato com a imobiliária (§4.g)Ajustes → Consentimentos → "Contato com a imobiliária" no app, OU POST /api/me/consents/lead-contact/revoke
Revogar o telefone para a imobiliária (§4.h)Ajustes → Consentimentos → "Telefone para a imobiliária" no app, OU POST /api/me/consents/lead-phone/revoke
Revisão da decisão automatizada do score (Art. 20)Email pro DPO

GET /api/me/export inclui as DraftChatSessions ativas (decifradas) + PropertyInvestment.draftChatHistory finalizadas, ambas com banner de disclaimer injetado nas mensagens do assistente, além dos seus leads e vereditos perante imobiliárias parceiras.

7. Encarregado (DPO)

8. Aceite

Ao tocar em "Aceito" no app, você confirma que leu este documento e autoriza o tratamento de dados conforme as bases legais acima. A autorização do compartilhamento com a imobiliária parceira (§4.b) é destacável e exige aceite separado (checkbox dedicado na tela de convite) — sem ele, você pode usar o app normalmente mas não estabelece vínculo com a imob.

Você pode revogar consentimento a qualquer momento — para finalidades baseadas exclusivamente em consentimento (LLM advisor, push, compartilhamento com imobiliária, chat de rascunho, Veredito do Lead), o app desabilita essas features. Para finalidades de execução de contrato (decision engine, na planta), revogar implica em deletar a conta.

As autorizações do chat LLM de rascunho (§4.e) e do Veredito do Lead (§4.f) são destacáveis e exigem aceite separado (toggle dedicado). Sem o do chat, a aba "Novo rascunho" fica bloqueada. Sem o do Veredito do Lead, a imobiliária parceira não recebe nenhum insight derivado sobre você.

9. Mudanças

Quando atualizarmos este termo, você será notificado no próximo login e precisará re-aceitar a nova versão para continuar usando o app.