Política de Privacidade — OmniFiles

Última atualização: [DD/MM/AAAA] Versão: 1.0

Este documento foi elaborado com base no funcionamento real da plataforma OmniFiles. Campos entre colchetes ([ ]) devem ser preenchidos pela empresa controladora antes da publicação.

Índice

1. Introdução
2. Definições Importantes
3. Dados Coletados
4. Finalidade do Tratamento
5. Base Legal (LGPD)
6. Compartilhamento de Informações e Prestadores de Serviço
7. Cookies e Tecnologias de Rastreamento
8. Tempo de Retenção dos Dados
9. Segurança da Informação
10. Tratamento de Dados por Inteligência Artificial
11. Responsabilidade do Usuário sobre Documentos Enviados
12. Direitos do Titular
13. Transferência Internacional de Dados
14. Encarregado de Proteção de Dados (DPO)
15. Alterações desta Política

1. Introdução

A presente Política de Privacidade descreve como [RAZÃO SOCIAL DA EMPRESA], inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO COMPLETO] ("OmniFiles", "nós"), operadora da plataforma acessível em [DOMÍNIO], coleta, utiliza, armazena, compartilha e protege os dados pessoais de seus usuários ("você", "titular"), em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — "LGPD") e demais normas aplicáveis.

O OmniFiles é uma plataforma SaaS (Software as a Service) B2B de gestão inteligente de documentos, que permite a empresas contratantes ("Empresa" ou "Cliente") armazenar, organizar, processar e consultar documentos por meio de recursos de inteligência artificial (IA), incluindo busca semântica e chat conversacional sobre o conteúdo dos documentos enviados.

Ao criar uma conta, acessar ou utilizar o OmniFiles, você declara ter lido, compreendido e concordado com esta Política de Privacidade. Caso não concorde com os termos aqui descritos, você não deve utilizar a plataforma.

2. Definições Importantes

3. Dados Coletados

3.1 Dados fornecidos diretamente pelo usuário ou pela Empresa

3.2 Dados coletados automaticamente

3.3 Dados contidos nos documentos enviados pelo usuário

Ao fazer upload de arquivos (formatos aceitos: PDF, DOC, DOCX, XLS, XLSX, PPT, PPTX, TXT, CSV, JPG, JPEG, PNG, GIF), a Empresa e seus usuários podem inserir na plataforma dados pessoais de terceiros (por exemplo, contratos contendo CPF, nome e endereço de outras pessoas). O OmniFiles não seleciona, direciona ou controla quais dados são inseridos nesses arquivos — essa decisão é de exclusiva responsabilidade da Empresa contratante e de seus usuários, conforme detalhado na Seção 11.

Para os formatos PDF, TXT, CSV, XLS e XLSX, e para PDFs/imagens processados via OCR (reconhecimento óptico de caracteres), o conteúdo textual é efetivamente extraído, fragmentado em trechos ("chunks") e indexado para permitir busca e uso em respostas de IA. Para os demais formatos aceitos no upload (DOC, DOCX, PPT, PPTX, GIF), o arquivo é armazenado, mas seu conteúdo textual não é extraído nem processado por IA na versão atual da plataforma.

3.4 Dados processados pela Inteligência Artificial

• Trechos de documentos (chunks): enviados a provedor externo de IA (OpenAI) para geração de representações vetoriais (embeddings) usadas na busca semântica, e para composição de contexto em respostas de chat.
• Perguntas feitas pelo usuário no chat com IA e o histórico das conversas anteriores (últimas mensagens da mesma conversa) são enviados ao provedor de IA a cada nova pergunta, para manter contexto conversacional.
• Metadados extraídos automaticamente por IA (quando a Empresa possui o recurso opcional de classificação automática habilitado): tipo de documento, partes envolvidas, datas, valores monetários, números de CPF/CNPJ identificados no texto, tags e resumo do conteúdo.

4. Finalidade do Tratamento

Os dados pessoais são tratados para as seguintes finalidades:

1. Viabilizar o cadastro, autenticação e gestão de contas de usuários e Empresas;
2. Processar pagamentos, cobranças recorrentes, recargas de créditos e emissão de comprovantes;
3. Armazenar, organizar e permitir a consulta dos documentos enviados pela Empresa;
4. Extrair, indexar e disponibilizar buscas semânticas sobre o conteúdo de documentos (RAG);
5. Fornecer respostas por meio de chat com inteligência artificial baseado no conteúdo dos documentos da Empresa;
6. Aplicar limites contratuais de uso (armazenamento, número de documentos, número de usuários, créditos mensais de IA) conforme o plano contratado;
7. Enviar comunicações transacionais essenciais (verificação de e-mail, redefinição de senha, boas-vindas/onboarding);
8. Prevenir fraudes, garantir a segurança da plataforma e cumprir obrigações legais e regulatórias;
9. Manter registros de auditoria de uso, quando esse recurso estiver contratado pela Empresa.

5. Base Legal (LGPD)

O OmniFiles não realiza tratamento de dados pessoais sensíveis como finalidade própria da plataforma. Caso documentos enviados pela Empresa contenham dados sensíveis de terceiros, a responsabilidade pela existência de base legal para tal tratamento é da Empresa Controladora, nos termos da Seção 11.

6. Compartilhamento de Informações e Prestadores de Serviço

O OmniFiles não vende dados pessoais. Dados são compartilhados exclusivamente com os seguintes prestadores de serviço, na medida necessária à prestação do serviço contratado:

O OmniFiles pode, ainda, compartilhar dados pessoais quando exigido por ordem judicial, requisição de autoridade competente, ou para o exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

Compartilhamento interno na plataforma: documentos e pastas podem ser compartilhados entre usuários da mesma Empresa, conforme configurado pelos próprios usuários com permissão para isso. Não há recurso de compartilhamento de documentos com pessoas externas à Empresa contratante, nem geração de links públicos de acesso.

Isolamento entre Empresas (multi-tenant): a plataforma foi arquitetada para que os dados de cada Empresa contratante sejam segregados logicamente dos dados de outras Empresas, não havendo acesso cruzado entre clientes distintos do OmniFiles.

7. Cookies e Tecnologias de Rastreamento

O OmniFiles utiliza um cookie de sessão estritamente necessário ao funcionamento da plataforma (autenticação e manutenção do estado de login), configurado como HttpOnly e com atributo SameSite=Lax. Não utilizamos cookies de publicidade, rastreamento de terceiros para fins de marketing, nem pixels de redes sociais.

Caso o usuário opte pela função "lembrar-me" no login, um token adicional de sessão persistente é armazenado para evitar a necessidade de novo login a cada acesso.

Como esses cookies são essenciais ao funcionamento do serviço, não é possível utilizar a plataforma com eles desabilitados no navegador.

8. Tempo de Retenção dos Dados

Encerrado o prazo de retenção aplicável, os dados são eliminados de forma segura ou anonimizados, salvo quando sua manutenção for necessária para cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência a terceiro (com consentimento) ou uso exclusivo do OmniFiles, de forma anonimizada.

9. Segurança da Informação

O OmniFiles adota as seguintes medidas técnicas e organizacionais de segurança:

• Criptografia de senhas: todas as senhas são armazenadas com hash criptográfico irreversível (bcrypt), nunca em texto plano.
• Criptografia de conteúdo de documentos: o conteúdo textual extraído dos documentos (chunks) é criptografado em repouso no banco de dados utilizando o algoritmo AES-256-GCM, com chave de aplicação mantida fora do banco de dados. Isso significa que, mesmo em caso de acesso indevido direto ao banco de dados, o conteúdo textual dos documentos processados permanece protegido.
• Controle de acesso por perfil (papéis): usuários possuem papéis distintos (Administrador, Editor, Visualizador) com permissões diferenciadas dentro da Empresa.
• Isolamento lógico multi-tenant: mecanismos de segregação de dados por Empresa em todas as consultas ao banco de dados, impedindo que uma Empresa acesse dados de outra.
• Conexões seguras: comunicação entre navegador e servidor protegida por HTTPS/TLS.
• Nomes de arquivo randomizados: os arquivos originais enviados são armazenados com nomes gerados aleatoriamente, não expostos publicamente, em disco/bucket privado.
• Rate limiting: tentativas de login são limitadas para mitigar ataques de força bruta; endpoints sensíveis (verificação de e-mail, redefinição de senha, webhook de pagamento) possuem limitação de requisições.

Limitações importantes que o usuário deve conhecer:

• Determinadas informações — como mensagens trocadas no chat de IA, metadados extraídos automaticamente (resumos, datas, valores, CPF/CNPJ identificados) e dados cadastrais (nome, e-mail, CPF/CNPJ, telefone, endereço) — não possuem camada adicional de criptografia em nível de aplicação, ficando protegidas por controles de acesso e pela infraestrutura de banco de dados.
• Os arquivos originais enviados (o documento em si, não o texto extraído) não possuem criptografia adicional de aplicação, dependendo dos controles nativos do provedor de armazenamento em nuvem utilizado.
• Não é utilizada ferramenta de varredura antivírus/antimalware sobre os arquivos enviados pelos usuários — recomenda-se que a Empresa contratante adote suas próprias políticas internas de verificação de arquivos antes do upload.

Nenhum sistema de segurança é absolutamente infalível. O OmniFiles se compromete a adotar as melhores práticas de mercado razoavelmente exigíveis e a notificar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em caso de incidente de segurança que possa acarretar risco ou dano relevante, nos termos do art. 48 da LGPD.

9.1 Backup

Backups da infraestrutura de banco de dados e armazenamento, quando existentes, são de responsabilidade da camada de infraestrutura em nuvem utilizada para hospedar o serviço e não constituem uma funcionalidade da aplicação em si. A Empresa contratante é responsável por manter cópias próprias de documentos críticos, sendo recomendável não depender exclusivamente do OmniFiles como única cópia de arquivos essenciais ao seu negócio.

10. Tratamento de Dados por Inteligência Artificial

O OmniFiles utiliza modelos de linguagem de terceiros (atualmente, da OpenAI) para duas finalidades:

1. Geração de embeddings (representações vetoriais numéricas) dos trechos de documentos, usadas exclusivamente para viabilizar busca semântica dentro da própria base de conhecimento da Empresa;
2. Geração de respostas conversacionais em linguagem natural, com base no conteúdo de documentos previamente enviados pela Empresa e no histórico da conversa.

Ao utilizar o chat de IA ou o recurso de classificação automática (quando contratado), o usuário concorda que trechos do conteúdo de seus documentos e o texto de suas perguntas sejam transmitidos ao provedor de IA para processamento, conforme os termos de uso e política de privacidade desse provedor.

10.1 Limitações do processamento por IA

• As respostas geradas por IA podem conter imprecisões, interpretações incorretas ou "alucinações" (informações que parecem plausíveis mas não correspondem ao conteúdo real dos documentos). O OmniFiles não garante a exatidão, completude ou adequação das respostas geradas pela IA para qualquer finalidade específica, incluindo decisões jurídicas, financeiras, contábeis ou regulatórias.
• A extração automática de metadados (datas, valores, partes, CPF/CNPJ, resumos) é realizada por inferência estatística de um modelo de linguagem e está sujeita a erros de reconhecimento, devendo ser conferida por um humano antes de qualquer uso crítico.
• Determinados formatos de arquivo aceitos no upload (DOC, DOCX, PPT, PPTX, GIF) não têm seu conteúdo textual extraído nem processado por IA na versão atual da plataforma — apenas os formatos PDF, TXT, CSV, XLS, XLSX e imagens/PDFs processados por OCR têm conteúdo efetivamente indexado.
• O OmniFiles não utiliza os documentos da Empresa para treinar modelos de IA de uso geral, na medida em que a integração com o provedor de IA é realizada via API, sujeita às políticas de retenção e uso de dados do próprio provedor (o usuário deve consultar a política do provedor de IA para detalhes sobre retenção de dados enviados via API).

11. Responsabilidade do Usuário sobre Documentos Enviados

A Empresa contratante e seus usuários são os únicos responsáveis por:

• Garantir que possuem base legal adequada para o tratamento de quaisquer dados pessoais de terceiros contidos nos documentos que enviam à plataforma (por exemplo, dados de clientes, fornecedores ou funcionários mencionados em contratos);
• Obter, quando exigido por lei, o consentimento ou outra base legal apropriada dos titulares de dados presentes nos documentos enviados;
• Não enviar documentos contendo dados sensíveis sem justificativa legal adequada, ciente de que o OmniFiles atua como mero Operador desses dados nos termos definidos pela Empresa;
• Utilizar a plataforma em conformidade com a legislação aplicável, incluindo a LGPD, direitos autorais e sigilo profissional, quando aplicável;
• Verificar a exatidão de informações extraídas ou geradas por IA antes de utilizá-las para qualquer finalidade decisória.

O OmniFiles não realiza curadoria prévia do conteúdo dos documentos enviados e não pode ser responsabilizado por dados pessoais de terceiros incluídos indevidamente pela Empresa ou por seus usuários.

12. Direitos do Titular

Nos termos do art. 18 da LGPD, o titular de dados pessoais tem direito a:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Portabilidade dos dados a outro fornecedor de serviço, mediante requisição expressa;
• Eliminação dos dados tratados com base em consentimento (ressalvadas as hipóteses legais de conservação);
• Informação sobre entidades públicas e privadas com as quais o controlador realizou compartilhamento de dados;
• Informação sobre a possibilidade de não fornecer consentimento e as consequências da negativa;
• Revogação do consentimento, quando esta for a base legal aplicável.

12.1 Como exercer seus direitos

Solicitações de acesso, correção, exportação ou exclusão de dados podem ser feitas:

• Pelo próprio usuário, diretamente na área de configurações da conta (quando o recurso estiver disponível na interface); ou
• Por meio de solicitação formal ao canal de contato: [E-MAIL DE CONTATO DE PRIVACIDADE].

Solicitações relativas a dados pessoais de terceiros contidos em documentos enviados pela Empresa devem ser dirigidas diretamente à Empresa contratante, Controladora desses dados, uma vez que o OmniFiles atua como Operador e depende das instruções da Empresa para atendê-las.

12.2 Exportação de dados

Para solicitar a exportação de seus dados pessoais e/ou dos documentos armazenados em sua conta, o usuário (ou o administrador da Empresa, quanto aos dados sob sua titularidade contratual) deve enviar solicitação ao canal de contato indicado no item 12.1, informando o escopo desejado. O prazo de resposta observará o disposto na LGPD e na regulamentação da ANPD.

12.3 Exclusão de dados e direito ao esquecimento

O usuário pode solicitar a exclusão de sua conta e dos dados pessoais a ela associados, observadas as seguintes ressalvas:

• Dados necessários ao cumprimento de obrigações legais (ex.: fiscais, contábeis) serão retidos pelo prazo legal aplicável, mesmo após a exclusão da conta;
• Caso a conta esteja vinculada a uma Empresa com assinatura ativa, a exclusão de dados de documentos e da base de conhecimento acompanha o encerramento da relação contratual entre a Empresa e o OmniFiles, e deve ser solicitada preferencialmente pelo administrador da Empresa;
• Backups de curto prazo em infraestrutura, quando existentes, podem reter cópias residuais por período limitado até sua rotação natural.

12.4 Revogação de consentimento

Quando o tratamento tiver como base legal o consentimento, o titular pode revogá-lo a qualquer momento, mediante solicitação ao canal de contato indicado, sem que isso afete a licitude do tratamento realizado anteriormente à revogação.

13. Transferência Internacional de Dados

Em razão do uso de provedores de infraestrutura e inteligência artificial sediados no exterior — atualmente, OpenAI (Estados Unidos) para processamento de IA e, conforme a configuração de infraestrutura, Amazon Web Services para armazenamento e OCR —, dados pessoais podem ser transferidos internacionalmente para tratamento.

Essas transferências são realizadas com base no art. 33 da LGPD, observando, conforme aplicável: (i) cláusulas contratuais padrão ou instrumentos equivalentes adotados pelos fornecedores internacionais; (ii) a necessidade da transferência para a execução do contrato de prestação de serviço firmado com a Empresa; e (iii) os padrões de proteção de dados praticados pelos fornecedores contratados, que se comprometem contratualmente a adotar medidas de segurança compatíveis com a legislação aplicável.

O OmniFiles seleciona fornecedores internacionais que publicam compromissos próprios de proteção de dados e segurança da informação, mas recomenda que a Empresa contratante avalie, à luz de sua própria política interna de compliance, a adequação do envio de determinadas categorias de documentos sensíveis à plataforma.

14. Encarregado de Proteção de Dados (DPO)

Em conformidade com o art. 41 da LGPD, o OmniFiles designa como Encarregado de Proteção de Dados (DPO):

• Nome: [NOME DO DPO]
• E-mail de contato: [E-MAIL DO DPO]
• Telefone (opcional): [TELEFONE]

O Encarregado é o canal de comunicação entre o OmniFiles, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD), competindo-lhe receber comunicações e reclamações, prestar esclarecimentos e adotar providências relacionadas ao tratamento de dados pessoais.

15. Alterações desta Política

Esta Política de Privacidade poderá ser atualizada periodicamente para refletir mudanças em nossas práticas de tratamento de dados, em novas funcionalidades da plataforma ou em exigências legais e regulatórias.

Alterações relevantes serão comunicadas aos usuários por e-mail e/ou aviso destacado na plataforma, com antecedência razoável antes de entrarem em vigor, sempre que exigido por lei. A data de "última atualização", no topo deste documento, indica a versão vigente. O uso continuado da plataforma após a entrada em vigor das alterações constitui aceitação dos novos termos.

Contato geral: [E-MAIL DE CONTATO] | Empresa: [RAZÃO SOCIAL] — CNPJ [CNPJ] | Domínio: [DOMÍNIO]