1. Controlador e Encarregado
O Patrimon AI é o controlador dos dados pessoais tratados nesta Plataforma, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018 — "LGPD").
- Controlador: Patrimon AI — operação atualmente conduzida por pessoa física em nome próprio, com registro empresarial em constituição. A razão social e o CNPJ da pessoa jurídica serão publicados nesta Política de Privacidade e comunicados aos titulares assim que a constituição for concluída, sem prejuízo da continuidade do serviço e dos direitos contratuais. Contato: suporte.patrimonai@gmail.com.
- Encarregado pelo Tratamento de Dados Pessoais (DPO): responsabilidade atualmente exercida diretamente pelo controlador por meio do canal suporte.patrimonai@gmail.com. Exercício de direitos LGPD deve ser encaminhado a este canal com o assunto "LGPD — Direito do Titular". Um encarregado formalmente designado será indicado após a constituição da pessoa jurídica.
2. Dados que coletamos
- Dados de conta: nome, e-mail, senha hash, avatar (se fornecido), identificador único do provedor de autenticação (Google OAuth, Keycloak SSO).
- Dados financeiros voluntários: ativos cadastrados, preços médios, quantidades, histórico de vendas, movimentações, cálculos de IR — inseridos voluntariamente por você.
- Dados de uso: logs de acesso, funcionalidades utilizadas, erros, endereço IP, fingerprint do navegador.
- Dados de pagamento: processados exclusivamente pelo Stripe. O Patrimon AI não armazena dados de cartão.
- Interações com o Agent (IA): mensagens enviadas ao Patrimon Agent e respostas geradas. Metadados de auditoria de segurança (veja item 6).
- Arquivos enviados: notas de corretagem em PDF quando importadas voluntariamente.
3. Finalidade × Base Legal × Retenção
Nos termos dos artigos 7º e 11 da LGPD, tratamos dados pessoais com as seguintes bases legais:
| Finalidade | Base legal | Retenção |
|---|
| Prestação do serviço contratado (cadastro, carteira, IR) | Execução de contrato (art. 7º, V) | Enquanto a conta estiver ativa |
| Obrigações legais e regulatórias (fiscal, CDC) | Cumprimento legal (art. 7º, II) | 5 anos após encerramento (art. 27 CDC) |
| Processamento de pagamentos (Stripe) | Execução de contrato (art. 7º, V) | 5 anos após última transação |
| Segurança, prevenção de fraude, auditoria | Legítimo interesse (art. 7º, IX) | Até 12 meses (logs de acesso) |
| Auditoria do Patrimon Agent (detecção de alucinação) | Legítimo interesse (art. 7º, IX) | Até 12 meses; metadados anonimizados |
| Comunicação transacional (confirmações, alertas fiscais) | Execução de contrato (art. 7º, V) | Enquanto a conta estiver ativa |
| Marketing por e-mail (digest, novidades) | Consentimento (art. 7º, I) | Até revogação do consentimento |
| Melhoria do produto (padrões agregados, anonimizados) | Legítimo interesse (art. 7º, IX) | Indeterminada (dados anonimizados) |
4. Compartilhamento com operadores e terceiros
Compartilhamos dados apenas com operadores essenciais à prestação do serviço, sob contrato que exige confidencialidade e conformidade com a LGPD:
- Stripe, Inc. (EUA): processamento de pagamentos (tokenização de cartão, webhooks de assinatura).
- OpenAI, Inc. (EUA): processamento das mensagens enviadas ao Patrimon Agent para geração de respostas via modelos GPT.
- Google LLC (EUA): quando autenticação via Google OAuth é utilizada.
- Resend / provedor de e-mail: envio de comunicações transacionais e marketing.
- Provedores de dados de mercado: brapi.dev (BR), Yahoo Finance (US), Banco Central do Brasil (SGS-11), Brave Search (fallback) — consumidos pela infraestrutura, sem envio de dados pessoais do usuário.
- Infraestrutura AWS EC2 (região sa-east-1): hospedagem da aplicação, banco de dados (PostgreSQL) e Redis.
- Autoridades competentes: quando exigido por lei, ordem judicial ou requisição administrativa.
Não vendemos, alugamos ou compartilhamos seus dados pessoais com terceiros para fins publicitários.
5. Transferências internacionais
Alguns operadores (Stripe, OpenAI, Google, Resend) mantêm infraestrutura fora do Brasil. Tais transferências ocorrem com fundamento no artigo 33 da LGPD, mediante cláusulas contratuais padrão, garantias equivalentes de proteção e/ou demais salvaguardas legais, com o compromisso de observância aos padrões da LGPD. Você pode solicitar detalhes dos mecanismos aplicáveis a qualquer momento.
6. Auditoria do Patrimon Agent e Inteligência Artificial
Para fins de segurança, qualidade e mitigação de riscos de alucinação de IA, o Patrimon AI mantém telemetria pós-saída (tabela agent_response_audit) com:
- Identificador do usuário, conversa e skill utilizada;
- Modelo de IA empregado (ex: gpt-4.1, gpt-4.1-mini);
- Metadados das issues detectadas (sem armazenar o conteúdo completo da resposta em claro);
- Hash do primeiro tool output (agregação estatística).
Essa base não contém dados sensíveis e não é utilizada para treinamento de modelos. Registros são mantidos por até 12 meses e depois agregados em métricas anônimas.
7. Seus direitos (LGPD art. 18)
Como titular dos dados, você pode exercer os seguintes direitos:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
- Portabilidade dos dados a outro fornecedor;
- Eliminação dos dados tratados com consentimento;
- Informação sobre entidades públicas e privadas com as quais compartilhamos dados;
- Informação sobre a possibilidade de não fornecer consentimento e consequências da negativa;
- Revogação do consentimento.
Para exercer esses direitos, entre em contato com o Encarregado no e-mail indicado no item 1. Em caso de não atendimento em prazo razoável, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
8. Segurança
- Criptografia em trânsito (TLS 1.3) e em repouso para configurações sensíveis (AES-256-GCM);
- Senhas armazenadas com hash bcrypt (usuário) ou bcrypt + TOTP (administração);
- Brute-force protection (Redis) com bloqueio progressivo;
- Filtros de injection (prompt injection, SQL, XSS) e CSP com nonce por requisição;
- Auditoria de acessos administrativos (AdminAuditLog) vinculada a IP e User-Agent;
- Backups periódicos do banco de dados e revisões de segurança contínuas.
Ainda assim, nenhuma medida é 100% impenetrável. Em caso de incidente de segurança com risco a dados pessoais, notificaremos você e a ANPD nos prazos e termos do artigo 48 da LGPD.
9. Cookies
Utilizamos cookies estritamente necessários (sessão, autenticação, preferências) e, mediante seu consentimento, cookies opcionais de analytics (Umami self-hosted, com IP anonimizado). Detalhes e preferências em /cookies.
10. Menores de idade
O Patrimon AI destina-se exclusivamente a maiores de 18 anos (art. 5º, Código Civil). Não coletamos conscientemente dados de menores. Caso identifiquemos cadastro de menor, a conta será suspensa e os dados eliminados.
11. Alterações desta Política
Atualizações relevantes serão notificadas por e-mail e banner na Plataforma. O uso continuado após a notificação implica ciência da nova versão. Versões anteriores serão mantidas em arquivo por 5 anos.