Política de Privacidade

1. Quem somos

Vesta é a piloto da casa, no WhatsApp da família — um serviço de organização da rotina doméstica para quem segura a casa no Brasil.

Os Serviços são operados por Vesta Tech Desenvolvimento de Software Ltda, com sede em São Paulo/SP, Brasil ("Vesta", "nós").

Na qualidade de fornecedora dos Serviços, a Vesta atua como Controladora de Dados nos termos da Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018).

2. Dados que coletamos

2.1 Dados que você fornece diretamente

• Dados de conta e contato: nome, número de telefone (WhatsApp) e endereço de e-mail fornecidos ao entrar para a lista de espera, criar uma conta ou entrar em contato conosco.
• Perfil do domicílio e da família: informações sobre a composição do seu núcleo familiar, funções de cada cuidador e preferências configuradas dentro dos Serviços.
• Dados sobre as crianças sob seus cuidados: idades, nomes (opcionalmente), escolas, atividades extracurriculares, consultas, rotinas e demais informações que você compartilha com a Vesta para organizar a agenda. Denominamos esses dados "dados do perfil da criança".
• Conteúdo de mensagens e e-mails: o conteúdo das mensagens de WhatsApp que você envia à Vesta e dos e-mails que encaminha para processamento — incluindo compromissos, tarefas e lembretes relacionados à rotina familiar.
• Dados de calendário: detalhes de eventos que você solicita que a Vesta crie, atualize ou gerencie no Google Agenda.
• Comunicações com nossa equipe: mensagens trocadas com o suporte.

2.2 Dados coletados automaticamente

• Dados de uso e interação: como você utiliza os Serviços (ex.: frequência de mensagens, funcionalidades acessadas), coletados de forma agregada e anonimizada para melhoria do serviço.
• Dados técnicos: tipo de dispositivo, sistema operacional e versão do navegador (para a interface web); metadados fornecidos pelo WhatsApp via 360dialog nas mensagens roteadas.
• Logs de serviço e auditoria: registros de sistema para segurança, depuração e conformidade. Esses logs contêm apenas identificadores de eventos, marcas de tempo e códigos de erro — jamais nomes, números de telefone, conteúdo de mensagens ou dados de crianças.

2.3 Dados recebidos de terceiros

• Google Agenda: se você conectar a Vesta ao Google Agenda via OAuth, recebemos permissão para ler e criar eventos em seu nome. Não acessamos seu Gmail ou qualquer e-mail associado por meio dessa integração.
• WhatsApp (via 360dialog): mensagens enviadas ao número WhatsApp da Vesta são roteadas via 360dialog usando a API Meta Cloud. Consulte a Seção 7.
• E-mails encaminhados (via Postmark): ao encaminhar um e-mail para seu endereço Vesta, recebemos e processamos o conteúdo desse e-mail para extrair informações relevantes da rotina familiar. Não enviamos e-mails de saída a terceiros em seu nome.

3. Monitoramento opcional da caixa de entrada

A Vesta pode, se e somente se você ativar, acompanhar a sua caixa de entrada de e-mail para identificar antecipadamente compromissos e avisos da rotina da casa — uma consulta remarcada, um comunicado da escola, um boleto chegando — e te avisar no WhatsApp antes que algo passe batido.

Esse recurso é desligado por padrão. Ele só funciona depois que você dá um consentimento explícito e separado, além dos consentimentos gerais da Vesta. Ao ativar, você autoriza a Vesta a ler as mensagens que chegam à caixa monitorada com a única finalidade de identificar e organizar itens da rotina da casa.

O que fazemos com o conteúdo monitorado

• Só extraímos o que é da rotina da casa — datas, compromissos, prazos e avisos. O restante é ignorado.
• Não usamos o seu conteúdo para treinar modelos de inteligência artificial (nem nós, nem nossos fornecedores de IA).
• Não compartilhamos com terceiros para publicidade nem vendemos seus dados, em nenhuma hipótese.
• Guardamos pelo menor tempo necessário. O conteúdo monitorado é descartado segundo o nosso cronograma de retenção; itens que você confirma viram um evento ou lembrete, e o material bruto é apagado.

Você controla, sempre

• Pode desligar o monitoramento a qualquer momento, direto no WhatsApp ("parar de monitorar") ou nas configurações da sua conta. Ao desligar, paramos de acompanhar novas mensagens imediatamente.
• Pode pedir a exclusão de tudo que foi monitorado, junto com os demais direitos que você já tem sob a LGPD.

Base legal (LGPD): o monitoramento da caixa de entrada é tratado exclusivamente com base no seu consentimento (art. 7º, I, e art. 11 quando houver dado sensível), registrado de forma específica e destacada, e revogável a qualquer tempo.

4. Como coletamos seus dados

Coletamos informações pelos seguintes canais:

• WhatsApp: quando você envia uma mensagem ao número Vesta, ela é recebida via API Meta Cloud, roteada pelo 360dialog.
• Encaminhamento de e-mail: quando você encaminha um e-mail para seu endereço Vesta, o conteúdo é recebido pelo serviço de e-mail inbound da Postmark.
• Google OAuth: quando você conecta o Google Agenda, por meio de autorização OAuth 2.0 segura. Nunca recebemos sua senha do Google.
• Interface web: ao acessar vestaoai.com.br para gerenciar sua conta ou preferências.
• Comunicações diretas: quando você entra em contato por e-mail ou outros meios.

5. Bases legais para o tratamento (LGPD)

Nos termos do artigo 7º da LGPD, tratamos seus dados pessoais com base nas seguintes hipóteses:

Não utilizamos a hipótese de interesse legítimo para tratar dados de crianças ou dados sensíveis — nesses casos, o consentimento explícito é sempre exigido.

6. Como usamos seus dados

Utilizamos seus dados pessoais para:

• Prestar os Serviços: processar suas mensagens e e-mails para identificar compromissos, tarefas e lembretes relevantes para a rotina da sua família.
• Gerenciar seu calendário: criar, ler, atualizar e excluir eventos no Google Agenda conectado, em seu nome.
• Manter seu perfil familiar: armazenar a configuração do domicílio e preferências para personalizar os Serviços.
• Garantir segurança e integridade: detectar fraudes, impedir acessos não autorizados e monitorar a saúde do sistema por meio de logs anonimizados.
• Comunicar com você: enviar atualizações relacionadas ao serviço, alertas e respostas a solicitações de suporte. Não enviamos mensagens de marketing sem consentimento explícito.
• Melhorar os Serviços: analisar padrões de uso agregados e anonimizados para desenvolver novas funcionalidades e aumentar a confiabilidade. Não utilizamos dados identificáveis para treinamento de modelos ou pesquisa sem seu consentimento explícito.
• Cumprir obrigações legais: manter registros exigidos pela legislação brasileira.

7. Inteligência artificial e processamento automatizado

A Vesta utiliza o modelo de IA Claude, da Anthropic, para compreender a intenção das suas mensagens e gerar respostas. Quando você envia uma mensagem:

1. O conteúdo da mensagem é transmitido à API da Anthropic para processamento.
2. O modelo gera uma resposta estruturada.
3. A Vesta valida e age sobre essa resposta (ex.: criando um evento no calendário).
4. Nenhuma ação automatizada é tomada sem que um limiar de confiabilidade seja atingido.

O conteúdo das suas mensagens não é utilizado pela Anthropic para treinar seus modelos generalizados, conforme nosso acordo com o fornecedor. Para saber mais sobre as práticas de privacidade da Anthropic, consulte anthropic.com/legal/privacy.

Todas as saídas do modelo de IA são validadas antes de qualquer ação ser executada. Em casos ambíguos, uma etapa de revisão humana pode ser acionada. Não tomamos decisões com efeitos significativos sobre você exclusivamente por meios automatizados sem supervisão humana.

Escopos do Google e Política de Uso Limitado

Quando você conecta sua conta Google à Vesta, solicitamos dois escopos específicos:

calendar.app.created — permite que a Vesta crie um calendário dedicado chamado "Família" na sua conta Google e escreva eventos somente nesse calendário. A Vesta NUNCA lê, modifica ou escreve em nenhum outro calendário seu. O calendário "Família" é criado pela Vesta e somente a Vesta escreve nele.

calendar.readonly — permite que a Vesta leia (apenas leia, nunca modifique) os eventos do seu calendário principal para detectar conflitos antes de sugerir um novo agendamento. A Vesta não armazena permanentemente os eventos lidos, não compartilha, não vende, e não os utiliza para treinar IA. A leitura acontece somente no momento em que você está confirmando um novo evento via WhatsApp.

A Vesta declara conformidade com a Google API Services User Data Policy, incluindo os requisitos de Uso Limitado (Limited Use):

• Não transferimos dados do Google API para outras pessoas, empresas ou sistemas, exceto conforme necessário para fornecer ou melhorar funcionalidades visíveis ao usuário, cumprir leis aplicáveis, ou como parte de fusão/aquisição com seu consentimento.
• Não usamos dados do Google API para publicidade.
• Não permitimos que humanos leiam dados do Google API, exceto: (a) com seu consentimento explícito para suporte específico, (b) para fins de segurança, ou (c) conforme exigido por lei.

Você pode revogar o acesso da Vesta a qualquer momento em myaccount.google.com/permissions. Após a revogação, a Vesta para imediatamente de acessar sua conta Google e apaga em até 7 dias quaisquer dados temporários do Calendar em cache.

8. Como compartilhamos seus dados

Não vendemos seus dados pessoais. Compartilhamos informações apenas nas seguintes hipóteses:

7.1 Prestadores de serviços (suboperadores)

Trabalhamos com os seguintes suboperadores para operar os Serviços. Todos estão sujeitos a acordos de processamento de dados que exigem proteção equivalente à garantida pela LGPD:

7.2 Exigências legais

Podemos divulgar dados pessoais quando exigido por lei brasileira, ordem judicial ou solicitação governamental legítima, ou quando necessário para proteger direitos, segurança ou propriedade da Vesta, de nossos usuários ou de terceiros.

7.3 Transações societárias

Em caso de fusão, aquisição ou venda de ativos da Vesta, dados pessoais podem ser transferidos à entidade sucessora. Notificaremos os usuários afetados e garantiremos a continuidade das obrigações de proteção de dados.

7.4 Com seu consentimento

Podemos compartilhar dados com terceiros quando você tiver instruído ou consentido expressamente com isso.

9. Dados de crianças

A Vesta é projetada para uso exclusivo de adultos — pais, mães, responsáveis e cuidadores. As crianças não interagem com a Vesta diretamente. No entanto, como nosso serviço organiza informações relacionadas à rotina de crianças (nomes, escolas, atividades, consultas), aplicamos as seguintes salvaguardas:

• Consentimento do responsável legal: ao se cadastrar na Vesta, você confirma que é pai, mãe ou responsável legal das crianças cujos dados compartilha, e consente com o tratamento desses dados em nome delas, nos termos do art. 14 da LGPD.
• Finalidade restrita: dados do perfil da criança são utilizados exclusivamente para entregar as funcionalidades de agenda e organização da Vesta. Eles nunca são usados para publicidade, pesquisa ou qualquer finalidade além da prestação direta do serviço.
• Sem perfilamento: não criamos perfis comportamentais de crianças. Os dados são usados estritamente para atender às solicitações logísticas que você faz.
• Exclusão sob solicitação: você pode solicitar a exclusão de todos os dados do perfil da criança a qualquer momento. A exclusão será concluída em até 15 dias úteis.
• Sem acesso de menores: não oferecemos conta ou acesso direto aos Serviços para pessoas menores de 18 anos. Caso suspeite que uma criança acessou os Serviços sem consentimento parental adequado, entre em contato imediatamente.

10. Segurança dos dados

Implementamos salvaguardas administrativas, técnicas e físicas para proteger seus dados pessoais:

• Criptografia em trânsito: toda comunicação com os Serviços usa criptografia TLS.
• Criptografia em repouso: dados pessoais armazenados no banco de dados são criptografados em repouso.
• Isolamento por domicílio (Row-Level Security): nosso banco de dados aplica isolamento estrito por domicílio — seus dados são acessíveis somente dentro da conta do seu núcleo familiar.
• Controles de acesso: acesso baseado em funções restringe quem pode acessar dados pessoais. Nenhum colaborador tem acesso padrão ao conteúdo de mensagens. Qualquer acesso para fins de suporte, segurança ou conformidade é registrado em log.
• Validação de webhooks: todos os webhooks recebidos de 360dialog e Postmark são validados criptograficamente antes do processamento.
• Sem dados pessoais em logs: logs de sistema registram apenas identificadores de eventos, marcas de tempo e códigos de erro — nunca nomes, números de telefone, conteúdo de mensagens ou dados de crianças.

Em caso de incidente de segurança envolvendo dados pessoais, notificaremos os usuários afetados e a ANPD (Autoridade Nacional de Proteção de Dados) dentro dos prazos exigidos pela LGPD.

11. Retenção de dados

Retemos dados pessoais apenas pelo tempo necessário para prestar os Serviços e cumprir nossas obrigações legais:

Quando os dados deixam de ser necessários, são excluídos, anonimizados ou descartados de forma segura, em conformidade com nossas políticas de ciclo de vida de dados.

12. Seus direitos pela LGPD

Nos termos do artigo 18 da LGPD, você tem os seguintes direitos em relação aos seus dados pessoais:

• Confirmação e acesso (art. 18, I e II): saber se tratamos seus dados e obter uma cópia do que armazenamos.
• Correção (art. 18, III): solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação (art. 18, IV): solicitar a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Portabilidade (art. 18, V): receber seus dados em formato estruturado e de uso comum para transferência a outro fornecedor.
• Informação sobre compartilhamento (art. 18, VII): saber com quais entidades públicas e privadas compartilhamos seus dados.
• Não fornecimento de consentimento (art. 18, VIII): ser informado sobre as consequências de não fornecer consentimento, nos casos em que ele for a base legal.
• Revogação do consentimento (art. 18, IX): retirar o consentimento a qualquer momento, gratuitamente. A revogação não afeta a legalidade do tratamento realizado antes dela.
• Oposição (art. 18, § 2º): se você entender que o tratamento viola a LGPD, pode opor-se a ele.
• Reclamação à ANPD: você tem o direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em anpd.gov.br se acreditar que seus direitos foram violados.

Para exercer qualquer desses direitos, entre em contato com nosso Encarregado de Dados (DPO) pelo endereço abaixo. Responderemos em até 15 dias úteis, conforme exigido pela LGPD.

Como não receber comunicações de marketing

Você pode cancelar comunicados não essenciais respondendo PARAR a qualquer mensagem WhatsApp da Vesta, ou entrando em contato diretamente conosco.

Dados do dispositivo e da interface web

Você pode gerenciar as permissões de acesso ao seu dispositivo nas configurações do próprio navegador. A maioria dos navegadores permite remover ou bloquear cookies; note que isso pode afetar o funcionamento da interface web da Vesta.

13. Transferências internacionais de dados

As operações primárias da Vesta estão sediadas no Brasil. No entanto, alguns de nossos suboperadores (incluindo 360dialog, Anthropic, Supabase e Vercel) operam infraestrutura nos Estados Unidos e em outros países.

Quando dados pessoais são transferidos para fora do Brasil, garantimos salvaguardas adequadas, incluindo:

• Acordos de processamento de dados com suboperadores que incorporam proteções equivalentes às da LGPD.
• Utilização de fornecedores com certificações SOC 2 Tipo II ou padrões equivalentes de segurança.
• Transferências para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD (art. 33).

14. Alterações nesta Política

Podemos atualizar esta Política de Privacidade periodicamente. A data de "Última atualização" no topo desta página reflete a revisão mais recente. Notificaremos você sobre alterações materiais por mensagem WhatsApp ou exibindo um aviso na interface web antes que as alterações entrem em vigor.

O uso continuado dos Serviços após a notificação constitui aceitação da Política atualizada. Se as alterações forem materiais e dependerem de consentimento, solicitaremos seu consentimento expressamente antes de aplicá-las.

15. Como entrar em contato

Para dúvidas sobre privacidade, para exercer seus direitos pela LGPD ou para falar com nosso Encarregado de Dados (DPO):

Vesta
E-mail: privacidade@vestaoai.com.br
Site: vestaoai.com.br/privacidade

Autoridade supervisora — ANPD
Autoridade Nacional de Proteção de Dados
anpd.gov.br