Política de Privacidade

• Sem conta, conversas e configurações permanecem no dispositivo e não sincronizam.
• Com conta, os dados compatíveis escolhidos para sincronização ficam no servidor da GeHost e podem aparecer na web, Android, Windows, Linux e macOS.
• Mensagens e anexos necessários são enviados ao provedor de IA selecionado. Um modelo local pode manter o conteúdo no aparelho ou na rede; um provedor ou executor externo pode processá-lo no Brasil ou no exterior.
• Integrações, MCPs, busca na web e execução remota recebem somente os dados necessários à ação solicitada, conforme a conexão e as permissões.
• Telemetria operacional e avaliação de respostas são opcionais e não devem incluir conversa, código, conteúdo de arquivo, segredo ou caminho completo. Com conta, a contagem de uso (tokens e funções) e o relato automático de falha não têm opção de desligar: servem para cobrar e mostrar o uso e para corrigir erros, e não são compartilhados.
• Senhas SSH não são armazenadas. Chaves SSH seguem a configuração de cofre explicada nesta política.
• Com conta, registramos o tipo de aparelho, a versão do app, o país e a cidade aproximados (estimados pelo IP, sem guardar o IP) e o modo de uso, para estatística agregada e para os administradores verem por conta.

As seções abaixo detalham cada fluxo.

Controlador: G e Soluções e Eventos LTDA, CNPJ 46.647.904/0001-04, empresa brasileira que atua com a marca GeHost.

Contato para assuntos de privacidade: contato@entexp.com.br.

Esta política segue a Lei Geral de Proteção de Dados (Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e o Código de Defesa do Consumidor (Lei 8.078/1990).

• Cadastro: nome, e-mail e credencial protegida pelo servidor de contas.
• Conversas e biblioteca sincronizadas: títulos, mensagens, anexos, mídias, fontes e modelo usado, quando você está logado e a sincronização se aplica.
• Memórias e preferências: fatos que você pede para lembrar, personalidade, idioma, tema, permissões e configurações compatíveis.
• Projetos e execução: identificadores de conversa, objetivo, plano, fila, checkpoints, estado, evidências, artefatos e metadados de arquivos e comandos necessários à retomada.
• Espaço de trabalho remoto: nome do projeto e, quando aplicável, endereço, usuário e porta SSH. Senha SSH nunca é gravada.
• Conexões: identificador da conta externa, escopos autorizados, estado e tokens protegidos quando o serviço exigir vínculo em nuvem.
• Uso e cobrança: tokens, modelo, tempo, plano, saldo, limites, presentes e extrato de lançamentos.
• Registros que não têm opção de desligar, para quem tem conta Cortex: a contagem de tokens de cada resposta (sem ela não há como aplicar a cota do plano, descontar créditos e mostrar o uso e o extrato); a contagem de uso de algumas funções do próprio aplicativo (só o nome da função, sem conteúdo); e o relato automático de falha do aplicativo (tipo e resumo do erro, versão, sistema e a pilha de chamadas do nosso código). Nada disso inclui conversa, código, conteúdo de arquivo ou senha, e nada disso é compartilhado com terceiros.
• Telemetria opcional e avaliação: plataforma, versão, categoria de falha, duração, contagens agregadas e voto positivo ou negativo, sem conversa, código, conteúdo de arquivo, segredo ou caminho completo.
• Modo convidado: identificador do aparelho e contagem de respostas para aplicar a cota.
• Registros de acesso: IP, data e hora de acessos e tentativas de entrada, quando aplicável.
• Documentos processados no servidor: conteúdo necessário somente durante o fluxo descrito nesta política.
• Onde e como o Cortex é usado (estatística): tipo de aparelho (Windows, macOS, Linux, Android, iPhone ou web), versão do aplicativo, país, região e cidade APROXIMADOS, calculados a partir do IP por uma base de localização instalada no nosso próprio servidor (sem consultar serviço externo), e o modo de cada uso (chat, código, Cortex/agente, IA local ou API) com a contagem de respostas e tokens. O IP usado no cálculo não é gravado. O uso da IA local, que não passa pela GeHost, só entra nessa contagem se você ligar "Contar o uso da IA local".

Sem conta, o aplicativo guarda conversas e preferências no armazenamento do aparelho. Elas não sincronizam e podem ser perdidas se você desinstalar o aplicativo, limpar seus dados ou perder o dispositivo.

Com conta, conversas, biblioteca, memórias e configurações compatíveis podem ser gravadas também no servidor da GeHost para sincronizar entre web, Android, Windows, Linux e macOS. Apagar de todos os aparelhos remove a cópia sincronizada; sair da conta remove a sessão daquele aparelho, mas não equivale a encerrar a conta nem apaga automaticamente dados já baixados em outros dispositivos.

O aplicativo lê no próprio aparelho os arquivos .docx, .xlsx, PDF comum e texto — esses não saem dali, com uma única exceção, descrita no fim desta seção. O que ele não consegue ler sozinho é o PDF digitalizado (que é foto de página, sem texto dentro) e o Office de 1997 (.doc e .xls, que são formatos binários fechados).

Só esses casos são enviados ao nosso servidor, só quando a leitura local falha e só para quem tem conta, autenticado pela chave pessoal. O arquivo é gravado num diretório temporário, lido e apagado ao fim do pedido — inclusive quando ocorre erro no meio. Não guardamos o arquivo, nem o texto extraído, nem o conteúdo em registro de log.

Quando o PDF é digitalizado, as imagens das páginas (até 8 por pedido) passam por um serviço de reconhecimento de texto que usa um modelo de visão. Esse modelo pode ser um serviço externo, executado fora do Brasil, ou um modelo em máquina própria, conforme a disponibilidade no momento. Em ambos os casos a imagem é usada só para devolver o texto e o arquivo temporário é apagado em seguida.

A exceção: na conversa com o assistente da casa (modo GE, disponível só para contas autorizadas), o PDF anexado também é enviado inteiro ao nosso servidor, junto do texto lido no aparelho, para que o assistente possa usá-lo numa ação que você pedir — por exemplo, anexar uma fatura a um lançamento. Esse arquivo tem até 8 MB, fica numa pasta privada, só pode ser usado pela sua própria conta e é apagado depois de 7 dias sem uso.

Conversar com IA exige entregar o conteúdo necessário a quem executa o modelo. O caminho depende da escolha exibida no chat:

• Modelo oferecido pelo Cortex: a mensagem passa pela infraestrutura da GeHost e pode seguir ao fornecedor contratado para aquele modelo.
• Conta ou API própria: a mensagem é enviada ao serviço escolhido, conforme as credenciais e os termos daquele fornecedor.
• Modelo local: a mensagem vai ao endereço local ou de rede configurado; se o endpoint for realmente local, o conteúdo não precisa passar pela GeHost. Usando a "IA do meu PC" fora de casa, ele passa pelo repasse da GeHost cifrado de ponta a ponta (seção 16).
• Executor remoto: recebe a instrução, os arquivos ou o repositório expressamente vinculados à tarefa e devolve estado, logs e artefatos necessários.

Busca na web envia a consulta ao mecanismo configurado. Conexões e MCPs enviam os parâmetros necessários ao serviço acionado. Não vendemos conversas para publicidade e não usamos conversas para treinar modelo próprio.

• Cadastro, sincronização, memória, biblioteca, execução de tarefas, integrações necessárias, cobrança e contagem de uso: execução do contrato (LGPD, art. 7º, V).
• Relato automático de falha do aplicativo: legítimo interesse (art. 7º, IX), limitado ao necessário para corrigir o erro.
• Registros de acesso, documentos fiscais e guarda legal: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Segurança, prevenção a fraude, controle de cota, integridade e combate a abuso: legítimo interesse (art. 7º, IX), com minimização e análise de impacto quando aplicável.
• Telemetria opcional, avaliação de respostas e comunicações não essenciais: consentimento (art. 7º, I), revogável nos Ajustes ou pelo canal de privacidade.
• Exercício regular de direitos em processo judicial, administrativo ou arbitral: art. 7º, VI.
• Estatística de uso por aparelho, país/cidade aproximados e modo, para melhorar o produto, planejar capacidade e orientar campanhas de forma AGREGADA: legítimo interesse (art. 7º, IX), com minimização (sem guardar IP) e prazo curto; contagem da IA local: consentimento (art. 7º, I).

Compartilhamos o mínimo necessário com quem participa do fluxo escolhido: provedores de modelos e contas oficiais; serviços de OCR e processamento de documentos; mecanismos de busca; integrações e MCPs acionados; executores remotos; infraestrutura de hospedagem e e-mail; e o provedor de pagamento, que trata os dados do cartão fora do Cortex.

A interface identifica o provedor, conexão ou executor sempre que isso for relevante. Também podemos compartilhar dados por ordem judicial, requisição de autoridade competente ou exercício regular de direitos. Não vendemos dados pessoais nem compartilhamos com anunciantes.

Há transferência internacional somente quando o provedor, integração, mecanismo de busca ou executor escolhido processa dados fora do Brasil. Isso não ocorre necessariamente em todo pedido: modelos locais e serviços na rede do usuário podem permanecer no ambiente indicado.

A finalidade é gerar a resposta ou executar a ação solicitada; a duração e o país dependem do fornecedor exibido na conexão. A transferência é limitada ao necessário e usa os mecanismos admitidos pelo artigo 33 da LGPD e pela regulamentação da ANPD, inclusive cláusulas contratuais e demais garantias aplicáveis.

Antes de enviar dado sigiloso, regulado ou de terceiro, confira o destino e a política do fornecedor. Quando a transferência não for adequada ao seu caso, use um modelo ou executor local sob seu controle.

• Conversas, biblioteca e memórias sincronizadas: enquanto a conta existir ou até você excluir o item.
• Objetivos, filas, checkpoints, estados e artefatos de execução: enquanto necessários à tarefa e à retomada, ou até a exclusão da conversa ou tarefa, salvo retenção técnica ou legal informada.
• Cadastro e conexões: enquanto a conta ou o vínculo existir.
• Telemetria e avaliações opcionais: pelo período necessário para análise de qualidade, em forma agregada ou anonimizada sempre que possível; retirar o consentimento interrompe novas coletas.
• Registros de acesso de provedor de aplicação: pelo menos 6 meses quando incidir o artigo 15 do Marco Civil da Internet, ou por prazo maior mediante ordem legal.
• Registros fiscais e de pagamento: pelo prazo exigido pela legislação aplicável.
• Arquivos temporários enviados apenas para leitura: apagados ao fim do fluxo, conforme a seção específica.
• Aparelho, país/cidade aproximados e modo de uso por conta: até 180 dias, depois apagados; o que fica além disso são só totais por país, cidade, modo e plataforma, sem identificar ninguém. O IP usado para estimar a localização não é guardado.

No encerramento da conta, apagamos ou anonimizamos o que não precisamos manter por obrigação legal, prevenção a fraude, exercício de direitos ou outra base válida.

O artigo 18 da LGPD garante a você:

• confirmação de que tratamos os seus dados e acesso a eles;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei;
• portabilidade a outro fornecedor, nos termos da regulamentação;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não consentir e o que acontece se você negar;
• revogação do consentimento;
• oposição a tratamento feito com base em legítimo interesse.

Para exercer qualquer um deles, escreva para contato@entexp.com.br a partir do e-mail cadastrado na conta, dizendo o que você quer. Respondemos em até 15 dias; se o pedido for complexo, avisamos o motivo e o novo prazo. Para excluir a conta e o que está guardado no servidor, você mesmo faz no aplicativo, em Meu perfil › Excluir minha conta: a exclusão é imediata. Também pode pedir pelo e-mail acima, sem instalar o aplicativo; o passo a passo, o que é apagado e o que fica guardado por obrigação legal estão em https://cortex.gehost.com.br/excluir-conta/.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Todo o tráfego entre os aplicativos, o site e o nosso servidor usa conexão cifrada (HTTPS/TLS). O acesso à API é feito por chave pessoal, que você pode revogar — a partir da revogação ela para de valer na requisição seguinte.

As chaves dos provedores que você configura ficam guardadas no armazenamento do próprio aparelho. SENHA de SSH não é guardada em lugar nenhum: ela vive apenas durante a sessão do terminal.

A CHAVE de SSH é tratada de outro jeito, e mudou: quando você conecta num servidor pelo aplicativo de computador, estando logado e usando um arquivo de chave, essa chave passa a ser guardada CIFRADA no cofre da sua conta, no nosso servidor. É o que permite continuar a mesma conexão pelo celular sem digitar nada. Isso vem LIGADO e você desliga em Ajustes → Permissões, na opção "Chave SSH vai para a nuvem sozinha"; desligado, a chave nunca sai do computador. No celular a chave nunca é enviada — ele apenas usa a que já está no cofre.

Guardar a chave no cofre não põe a conexão sob a nossa guarda: a sessão continua sendo do seu aparelho. Isso só muda se você ligar, por conexão, o recurso opcional "host na nuvem" (desligado por padrão), em que a sessão passa a viver no nosso servidor para sobreviver ao seu computador desligado. Tirar da nuvem encerra a sessão e apaga a chave daquela conexão do servidor.

Nenhum sistema é imune. Se ocorrer incidente de segurança com risco relevante a você, comunicamos você e a ANPD, como manda o artigo 48 da LGPD.

O site e o chat web usam armazenamento local e cookies estritamente necessários para idioma, tema, sessão, segurança e continuidade. Não usamos cookies de publicidade. A telemetria opcional só é ativada com consentimento e pode ser desligada nos Ajustes; a revogação não impede cookies necessários ao login e à segurança.

O Cortex não é destinado a crianças. Contratações exigem capacidade civil, e o tratamento de dados de criança ou adolescente depende do consentimento específico de um dos pais ou do responsável legal, como determina o artigo 14 da LGPD.

Se soubermos que uma conta foi criada por criança sem esse consentimento, apagamos os dados. Se você é responsável e identificou isso, escreva para contato@entexp.com.br.

Quem usa a Equipe compartilha conteúdo com outras pessoas, por escolha própria:

• **O que fica no servidor.** Conversas de IA compartilhadas, mensagens de canais e conversas diretas, reações, anexos, tarefas, a memória da equipe, a fila de pedidos e o registro de entradas e saídas ficam no servidor da GeHost, porque precisam aparecer para todos os membros em tempo real. Compartilhar uma conversa COPIA o histórico dela para a equipe; a conversa individual continua só sua.
• **Quem vê.** Só os membros da equipe veem os canais e as conversas compartilhadas; uma conversa direta só é vista pelas pessoas dela. O e-mail de cada membro aparece apenas para o dono e os admins da equipe.
• **Quem processa.** Os pedidos da conversa compartilhada vão ao modelo escolhido para aquela conversa: na nuvem do Cortex ou, quando quem hospeda a conversa escolhe, no computador dessa pessoa — o app avisa os membros antes. A IA da equipe lê a memória da equipe para responder e, quando não sabe, pergunta à pessoa definida pelo dono numa conversa direta e guarda a resposta.
• **Uso e cobrança.** Cada pedido conta no limite de quem o enviou; quando o dono liga “a equipe paga”, o uso de quem ficou sem limite sai da conta do dono. O painel mostra quem usou quanto em cada conversa.
• **Denúncia e bloqueio.** Uma mensagem denunciada fica registrada com o trecho para o dono e os admins da equipe decidirem; quem bloqueia alguém deixa de ver as mensagens dessa pessoa.
• **Retenção e exclusão.** Você pode apagar as suas mensagens a qualquer momento; o dono ou um admin apaga qualquer mensagem da equipe. Sair da equipe não apaga o que você já escreveu nela, mas excluir a conta apaga as suas mensagens e anexos em todas as equipes. Apagar a equipe apaga de vez canais, conversas, tarefas, memória e anexos dela. Os pedidos de acesso, correção e eliminação da LGPD seguem a seção de direitos.

Recurso opcional e desligado por padrão. Quando você liga "Usar no celular" na IA local do computador e pareia um celular pelo QR, o celular passa a conversar com o modelo que roda no seu computador:

• **Em casa.** O celular fala direto com o computador pela rede local (Wi-Fi). Nada passa pela GeHost.
• **Fora de casa.** Com a mesma conta Cortex nos dois aparelhos, a conversa passa pelo servidor da GeHost, que funciona só como repasse: o conteúdo vai cifrado de ponta a ponta com uma chave criada no pareamento, que existe apenas no computador e no celular. O servidor não consegue ler as mensagens nem as respostas, não as grava em disco e as descarta assim que entrega (no máximo 2 minutos na memória, se ninguém buscar). Para funcionar, o servidor vê apenas a conta, o nome do computador, se ele está ligado e o tamanho e o horário dos pacotes, e aplica limites de uso por conta.
• **Quem tem acesso.** Só os celulares que você pareou pelo QR, que vale 5 minutos e uma única vez. O computador mostra a lista de aparelhos com acesso, e revogar corta o acesso na hora. As chaves ficam no armazenamento seguro de cada aparelho.
• **Equipe.** Se você hospeda uma conversa compartilhada da Equipe, escolhe "PC do host" e autoriza aquela equipe no computador, os pedidos dos membros daquela conversa rodam no seu computador. Nesse caso o pedido sai do servidor da Equipe — onde a conversa compartilhada já fica, conforme a seção 15 — e chega ao seu computador por conexão cifrada (HTTPS); a resposta volta para a conversa da equipe.
• **Desligar.** Desligar "Usar no celular" ou a IA local fecha a ponte: o computador deixa de aceitar conexões e sai do repasse.

Com conta, o aplicativo avisa o servidor de tempos em tempos que está aberto (para mostrar "online" e os seus aparelhos em Ajustes). Junto desse aviso e de cada resposta pedida ao Cortex, registramos:

• **Aparelho:** o tipo (Windows, macOS, Linux, Android, iPhone ou web) e a versão do aplicativo. Não registramos modelo de hardware nem identificadores de publicidade.
• **Lugar aproximado:** país, região e cidade estimados a partir do IP com a base DB-IP City Lite instalada no nosso servidor. É uma estimativa (pode apontar a cidade do provedor de internet) e nunca é a sua localização por GPS. O IP é usado só no momento do cálculo e não é gravado.
• **Modo:** se a resposta veio do chat, do modo de código, do Cortex/agente, da IA local ou da API, com a contagem de respostas e tokens — nunca o conteúdo.

**Quem vê.** Por conta, só os administradores da GeHost, na gestão de contas (para suporte, segurança e prevenção de abuso). Nos relatórios e em qualquer uso para marketing e planejamento, apenas totais por país, cidade, modo e plataforma, sem nome, e-mail ou identificação de conta. Não vendemos nem compartilhamos esses dados com anunciantes.

**IA local.** O uso da IA local (no seu computador ou pela "IA do meu PC") não passa pela GeHost. Ele só entra nas estatísticas se você ligar "Contar o uso da IA local" na IA local ou na IA do meu PC; mesmo assim vão só quantidades.

**Prazo.** Os registros por conta são apagados em até 180 dias e junto com a conta, quando ela é excluída. Você pode pedir acesso ou exclusão pelo canal de privacidade (seção 11).

Quando você conecta o seu WhatsApp Business ao Cortex pela integração oficial da Meta, as conversas desse número aparecem na página Mensagens do aplicativo.

• As conversas ficam no seu aparelho. O servidor da GeHost só repassa cada mensagem que a Meta entrega: ela fica cifrada para cada aparelho autorizado (o seu e os de quem você liberar na equipe) só até o aparelho receber, e é apagada na hora; se um aparelho sumir, é apagada em no máximo 7 dias. O servidor não tem a chave para abrir essa fila. Fotos, áudios e documentos não são guardados no servidor: o aparelho busca na Meta, pelo Cortex, quando você abre.
• No aparelho, o histórico fica num banco cifrado com uma chave guardada no cofre do sistema. Aparelho novo recebe só o que chegar a partir dele; o histórico de outro aparelho não é copiado.
• O que o servidor guarda: a conexão (a autorização da Meta, cifrada, que só serve para este número), quem da sua equipe vê, responde ou administra a caixa, a quem cada conversa foi atribuída, a hora da última mensagem de cada contato (para a regra das 24 horas da Meta) e contagens por dia (mensagens recebidas e enviadas, sem texto).
• IA: só quando você pede (resumir, sugerir, ler, rascunhar). O aplicativo manda o trecho necessário e a IA processa como qualquer pedido seu ao Cortex. Enviar uma mensagem pela IA sempre mostra a prévia e espera o seu sim; nada sai sozinho. Se você fizer o pedido numa conversa do Cortex, a resposta fica nessa conversa, como qualquer outra.
• Equipe: quem você autorizar recebe as conversas no próprio aparelho, com o papel que você escolher; cada envio registra quem enviou. Tirar alguém (ou a pessoa sair da sua equipe) corta o acesso na hora e apaga a caixa do aparelho dela. Notas internas vão só para a equipe, nunca para o contato.
• A senha do Facebook e o PIN do WhatsApp nunca passam pelo Cortex. Você é a responsável pelas conversas com os seus contatos e deve seguir as regras do WhatsApp Business.
• Ao desconectar o número ou excluir a conta, a conexão, a equipe da caixa e a fila são apagadas, e os aparelhos apagam a caixa. As mensagens continuam no seu celular.

Quando o produto mudar de forma que afete o tratamento dos seus dados, esta página muda junto, com uma versão nova e a data de atualização. Mudança relevante é avisada dentro do aplicativo, que pede um novo aceite antes de continuar.

A versão em português é a oficial. As traduções existem para facilitar a leitura.