1. Princípios que adotamos
O Imovar trata dados pessoais observando integralmente os princípios do art. 6º da LGPD: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização.
2. Papéis no tratamento
- Cliente contratante (construtora, imobiliária, corretor): atua como controlador dos dados de seus leads e proprietários.
- Imovar / M3G Tecnologia: atua como operador, tratando dados em nome e conforme instruções do Cliente, exceto quanto a dados próprios (cadastro do Cliente, faturamento, métricas agregadas), em que atua como controlador.
3. Encarregado de dados (DPO)
Encarregado pelo tratamento de dados pessoais: [INSERIR NOME DO DPO]
E-mail: contato@imovar.com.br
4. Medidas técnicas e organizacionais
4.1 Segurança da informação
- Criptografia em repouso de dados sensíveis (CPF, documentos);
- Criptografia em trânsito padrão de mercado em todas as conexões;
- Isolamento total dos dados de cada cliente diretamente no banco de dados;
- Princípio do menor privilégio em todas as integrações: limites de uso, lista controlada de ações permitidas e política por cliente;
- Logs imutáveis de auditoria com data, hora e identificação do responsável pela ação;
- Backups criptografados com retenção de 30 dias.
4.2 Safety da IA
- Camada 1 — entrada: moderação automática de mensagens recebidas antes de qualquer processamento;
- Camada 2 — saída: validação automática de cada resposta antes de ser enviada ao titular;
- Camada 3 — execução: política por cliente, lista de ações permitidas e limite de uso por minuto.
4.3 Governança
- Política interna de gestão de incidentes com SLA de 24h para notificação ao Cliente;
- Treinamento periódico da equipe em LGPD e segurança da informação;
- Pentest sob demanda em ambientes de produção;
- Avaliação de impacto à proteção de dados (DPIA) executada antes do lançamento de cada novo Agente.
5. Direitos dos titulares
Conforme o art. 18 da LGPD, o titular pode requerer:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- Portabilidade a outro fornecedor;
- Eliminação dos dados tratados com base em consentimento;
- Informação sobre entidades com as quais houve uso compartilhado;
- Informação sobre a possibilidade de não consentir e suas consequências;
- Revogação do consentimento;
- Revisão de decisões automatizadas que afetem seus interesses (art. 20).
Solicitações devem ser enviadas para contato@imovar.com.br e serão respondidas em até 15 dias.
6. Consentimento
- O primeiro contato de qualquer Agente Imovar com um titular contém opt-in explícito para o tratamento de dados;
- O titular pode revogar o consentimento a qualquer momento enviando "PARAR" ou "SAIR" no canal de WhatsApp;
- A revogação é registrada em até 5 minutos e impede novas interações automatizadas.
7. Decisões automatizadas
Os Agentes Imovar realizam classificação e priorização de leads de forma automatizada. Essas decisões podem afetar a experiência do titular (ex.: priorização para corretor humano). O titular tem o direito de solicitar revisão humana, nos termos do art. 20 da LGPD, pelo canal contato@imovar.com.br.
8. Subcontratados (suboperadores)
O Imovar mantém lista atualizada de operadores e suboperadores. Os principais são:
- Meta / WhatsApp Business — provedor de mensageria;
- Supabase — banco de dados gerenciado;
- Digital Ocean / Vercel — infraestrutura de aplicação;
- OpenAI — modelo de linguagem;
- LangSmith — observabilidade de execuções de IA;
- Sentry — monitoramento de erros.
Todos os contratos com suboperadores incluem cláusulas de proteção de dados equivalentes às assumidas pelo Imovar.
9. Transferência internacional
Parte dos suboperadores opera em data centers fora do Brasil. Tais transferências respeitam o art. 33 da LGPD e ocorrem mediante cláusulas contratuais padrão e regiões com nível adequado de proteção. Sempre que possível, priorizamos regiões brasileiras (ex.: AWS São Paulo, Vercel São Paulo).
10. Incidentes de segurança
Em caso de incidente que possa acarretar risco aos titulares, comunicaremos:
- ANPD — em até 48 horas após confirmação do incidente;
- Cliente contratante — em até 24 horas após detecção;
- Titulares afetados — em prazo razoável conforme orientação da ANPD.
11. Atualização desta página
Esta página é atualizada sempre que houver mudança material em nossos procedimentos de proteção de dados. Versões anteriores ficam arquivadas e disponíveis mediante solicitação.