Política de Privacidade

Introdução

Organicus AI ("nós", "nos", "nosso") opera a plataforma organicus.ai. Esta Política de Privacidade explica como coletamos, usamos, divulgamos e protegemos suas informações ao usar nosso serviço.

Quem é responsável pelos seus dados

AI PRODUCTS LTDA, CNPJ 63.045.700/0001-12, com sede em Rua Ângelo Dias, 220 – Sala 109, Centro, Blumenau/SC, CEP 89010-020, Brasil, é a controladora dos tratamentos descritos nesta política, nos termos da Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) e, quando aplicável, do GDPR. Para qualquer assunto desta política, escreva para privacy@organicus.ai.

Informações que Coletamos

Como Usamos Suas Informações

Usamos as informações coletadas para fornecer e melhorar nossos serviços de auditoria AEO e análise de visibilidade IA, calcular seu Organicus Score, produzir roadmaps e sugestões de AutoFix, alimentar o assistente AI Agent, enviar comunicações relacionadas ao serviço e cumprir obrigações legais.

E-mails sobre uma análise gratuita

Se você nos dá o seu e-mail com uma análise gratuita, ou para começar de graça, usamos esse endereço para enviar o que você pediu: o relatório e o código ou link que confirma o seu endereço. Também podemos enviar alguns e-mails de acompanhamento sobre esse relatório ou esse início grátis — que ele está pronto ou prestes a fechar, como conectar o seu site, como vai o trabalho e, mais tarde, se você quer continuar. Todo e-mail de acompanhamento tem um link para pará-los.

Nossa base legal pela LGPD: para o relatório e a confirmação, os procedimentos preliminares que você pediu antes de qualquer contrato (art. 7º, V); para os acompanhamentos, o nosso legítimo interesse em dar sequência a um pedido seu (art. 7º, IX), ao qual você pode se opor a qualquer momento por esse link ou escrevendo para privacy@organicus.ai. Parar esses e-mails não afeta o relatório nem a sua conta.

Compartilhamento de Dados e Terceiros

Compartilhamos dados com os seguintes provedores de serviços terceirizados, exclusivamente para operar e melhorar nossa plataforma:

• Stripe — Processamento de pagamentos e gestão de assinaturas.
• Supabase — Hospedagem de banco de dados, autenticação e armazenamento de arquivos, nos Estados Unidos (AWS us-west-2, Oregon).
• OpenAI — Análise de auditoria com IA, geração de conteúdo e funcionalidade do AI Agent.
• Anthropic — Análise com IA, o mecanismo de respostas Claude no qual medimos sua marca e o agente de IA que nos ajuda a operar o serviço (veja Controles de acesso abaixo).
• Google — Login e dados do Search Console / Analytics dos projetos que você conectar.
• Google Ads — Medição de anúncios. No site, a tag do Google, nas condições descritas em Cookies, mais abaixo. E, do nosso servidor, o registro de um passo que você deu depois de um clique num anúncio nosso no Google — uma análise gratuita iniciada ou concluída, uma conta criada, um site conectado, um checkout iniciado ou uma compra feita —, enviado só se você aceitou cookies de publicidade, ou se você está nos Estados Unidos e não desativou a publicidade (veja Cookies). Nesse registro vão: o identificador daquele clique, quando o passo aconteceu, o valor de uma compra e, se você mesmo tiver informado um e-mail, uma cópia embaralhada dele (hash), nunca o endereço em texto.
• Vercel — Hospedagem de aplicação e funções serverless, nos Estados Unidos.
• Railway — Processamento em segundo plano: auditorias, verificações de visibilidade em IA e a entrega das alterações aprovadas aos sites que você conecta, em servidores na região EU West da Railway (União Europeia).
• Upstash — A fila de tarefas compartilhada pelos nossos servidores e um cache de curta duração (por exemplo, o token de acesso temporário de um site que você conectou), no banco de dados global da Upstash, que mantém cópias em várias regiões.
• Sentry — Monitoramento de erros e rastreamento de desempenho.
• PostHog — Análise de produto e insights de uso.
• Meta Platforms — Medição de anúncios. No site, o Pixel (carregado apenas se você aceitar cookies de publicidade). E, do nosso servidor, o registro de que uma análise foi iniciada — enviado quando você chega por um clique num anúncio nosso no Instagram ou Facebook e não desativou a publicidade, ou quando você aceitou cookies de publicidade. Nesse registro vão: o identificador daquele clique, o seu endereço IP, o seu navegador, a página em que você estava, o domínio que você pediu para analisar e, se você mesmo tiver informado um e-mail, uma cópia embaralhada dele (hash), nunca o endereço em texto. Também WhatsApp Business, quando você escolhe falar com a gente por lá.

Onde ficam seus dados: nosso banco de dados principal fica nos Estados Unidos, o processamento em segundo plano roda na União Europeia e nosso cache é replicado em várias regiões. Por isso, seus dados são tratados fora do Brasil e, dependendo de onde você estiver, fora do seu país.

Não vendemos suas informações pessoais a terceiros.

Dados de Usuário do Google e Uso Limitado

O uso e a transferência, por parte da Organicus AI, de informações recebidas das APIs do Google para qualquer outro aplicativo seguirão a Política de Dados de Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use). Acessamos dados do Google Search Console e do Google Analytics (GA4) apenas para as propriedades que você conecta explicitamente, e os usamos somente para exibir métricas e insights de AEO no seu painel. Não vendemos esses dados, não os usamos para publicidade e não os transferimos a terceiros, exceto quando necessário para prestar o serviço ou exigido por lei.

Sites Wix

Para conectar um site Wix, você instala nosso app Wix nele a partir do seu painel. Só conectamos o site se ficar comprovado que a instalação é sua (assinada pela Wix, ou um site cujo e-mail do proprietário é o e-mail com que você entrou) e se um dos endereços publicados do site for o domínio do seu projeto.

• O que o app lê — O id do site e o e-mail do proprietário (só para verificar que o site é seu; não guardamos o e-mail), os endereços publicados do site, qual catálogo de loja ele usa e os títulos e descrições de busca (tags de SEO) das páginas e produtos. Lemos esses dados para encontrar a página ou o produto de cada alteração e para registrar o que o campo tinha antes da alteração.
• O que o app escreve — O título e a meta description de uma página ou produto, e somente uma alteração que você aprovou no seu painel. Numa página, a Wix publica os campos de SEO da página juntos, então edições de SEO que você deixou sem publicar nessa página na Wix entram no ar com as nossas. Enquanto o campo ainda tiver o valor que escrevemos, você pode desfazer a alteração no seu painel.
• Credenciais — A credencial do app para o seu site (o id da instância) é guardada criptografada com AES-256-GCM. Os tokens de acesso de curta duração que a Wix emite para ela nunca são gravados no nosso banco de dados. Ficam apenas no nosso cache, e só até expirarem.
• Histórico de alterações — Para cada alteração que escrevemos, guardamos o que o campo tinha antes e o que escrevemos, para que a alteração possa ser desfeita. Esse histórico é mantido até você excluir o projeto ou a sua conta. Desconectar a Wix ou remover nosso app não o apaga.
• Desconectar e desinstalar — Quando você desconecta a Wix no seu painel, ou remove nosso app do seu site na Wix, apagamos imediatamente a credencial guardada e paramos de escrever no site. Desconectar no seu painel não remove o app da Wix; você o remove no painel da Wix. As alterações já escritas continuam no seu site. Para desfazer uma delas depois de desconectar, conecte o site de novo ou altere-a na Wix.
• O que não fazemos — Usamos o que lemos da Wix apenas para conectar o site e para escrever e desfazer as alterações que você aprovou. Nosso software não envia esses dados a provedores de IA nem os usa para publicidade. Nosso fundador e o agente de IA descrito em Controles de acesso podem vê-los ao operar o serviço. As próprias alterações são redigidas a partir das páginas públicas do seu site, como descrito em Dados do Site em Auditorias.

Como Protegemos Seus Dados

Protegemos todos os dados pessoais que processamos — e, em particular, dados sensíveis como os dados de usuário do Google obtidos por meio das APIs do Google — com as seguintes medidas técnicas e organizacionais:

• Criptografia em trânsito — Todos os dados trocados entre seu navegador, nossos servidores e APIs de terceiros (incluindo as APIs do Google) são criptografados com TLS (HTTPS).
• Criptografia em repouso — Nossos bancos de dados e armazenamento de arquivos são criptografados em repouso com AES-256. Os tokens OAuth de acesso e atualização das contas Google conectadas são adicionalmente criptografados na camada da aplicação com AES-256-GCM antes do armazenamento.
• Controles de acesso — Os dados pessoais, incluindo os dados de usuário do Google, são processados apenas pelos componentes da aplicação que precisam deles para fornecer os recursos que você solicita. O acesso aos nossos sistemas de produção é restrito ao nosso fundador e a um agente de IA (o Claude, da Anthropic) que trabalha com as credenciais e sob a direção do fundador, e é usado apenas para suporte, segurança, operação ou conformidade legal. A autenticação multifator está ativada em todas as contas com acesso aos nossos sistemas de produção. Nem o fundador nem o agente de IA consultam os dados do Google Search Console ou do Google Analytics de um cliente específico, exceto a pedido desse cliente, por motivos de segurança ou para cumprir a lei; o processamento automatizado que entrega os recursos que você usa não é afetado. Isso está em linha com os requisitos de Uso Limitado do Google.
• Minimização de dados — Solicitamos apenas os escopos OAuth mínimos necessários e armazenamos somente os dados exigidos para exibir suas métricas e insights de AEO no painel.
• Monitoramento e resposta a incidentes — Monitoramos nossos sistemas em busca de erros e falhas. Se um incidente de segurança afetar seus dados pessoais, notificaremos você e as autoridades competentes (no Brasil, a ANPD) sem demora indevida, sempre que e na forma em que a legislação aplicável exigir (incluindo a LGPD e o GDPR).
• Revogação e exclusão — Você pode desconectar uma integração do Google a qualquer momento no seu painel; isso exclui os tokens OAuth armazenados e os dados do Google associados dos nossos sistemas. Você também pode revogar o acesso da Organicus AI a qualquer momento nas configurações de segurança da sua Conta Google (myaccount.google.com/permissions). Quando você exclui sua conta, excluímos seus dados pessoais dos nossos sistemas de produção. Registros que a lei nos obriga a manter (fiscais e de cobrança) são retidos pelo prazo legal e depois excluídos.

Retenção de Dados

Mantemos os dados da sua conta até você excluir a sua conta. Dados de auditoria e resultados de análise são mantidos até você excluir o projeto a que pertencem ou a sua conta. Você pode solicitar a exclusão dos seus dados a qualquer momento entrando em contato conosco.

Relatórios da análise gratuita, os contatos deixados com eles e as conversas que você inicia com a gente no WhatsApp são mantidos por 12 meses após o seu último contato e depois excluídos ou anonimizados — a menos que você se torne cliente, quando valem as regras de conta acima.

Os registros de medição de anúncios descritos acima, em Google Ads, são excluídos 12 meses após a etapa que registram.

Quando comparamos duas versões da nossa oferta, registramos qual versão um site viu e o que veio depois — uma análise, uma conta, uma compra ou um reembolso — junto com o e-mail informado, se houver. Esse endereço segue a regra das análises gratuitas acima, e excluir a sua conta remove na hora o seu endereço e a sua conta desses registros; o site, a versão e as etapas ficam, sem você, para o resultado da comparação.

Alguns registros permanecem após a exclusão da conta porque a lei exige que os mantenhamos: registros fiscais e de cobrança pelos prazos da legislação tributária e consumerista brasileira, e registros de acesso a aplicações pelo prazo do Marco Civil da Internet. Nós os mantemos apenas pelo tempo exigido e não os usamos para nenhuma outra finalidade.

Seus Direitos

De acordo com as leis de proteção de dados aplicáveis (incluindo LGPD e GDPR), você tem o direito de:

• Acesso — Solicitar uma cópia dos dados pessoais que mantemos sobre você.
• Exclusão — Solicitar que excluamos seus dados pessoais.
• Portabilidade — Solicitar seus dados em formato estruturado e legível por máquina.
• Correção — Solicitar a correção de dados pessoais imprecisos.
• Objeção — Opor-se a determinados processamentos dos seus dados pessoais.
• Revogar o consentimento — Retirar, a qualquer momento, o consentimento que você tenha dado. Tratamentos com outra base legal não são afetados.
• Peticionar à autoridade — Apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) ou à autoridade competente da sua jurisdição, se entender que seus direitos foram violados.

Para exercer qualquer um desses direitos, entre em contato conosco em privacy@organicus.ai.

Cookies

Usamos cookies essenciais para autenticação, gerenciamento de sessão e funções básicas do site — como lembrar qual versão de uma página foi exibida a você, para que ela não mude a cada visita. Também usamos cookies de análise (PostHog e Google Analytics) e de publicidade (Google Ads e o Pixel da Meta, que grava os cookies _fbp e _fbc), nestas condições. O PostHog e o Pixel da Meta só são carregados depois que você aceita a categoria deles. A tag do Google roda em todas as páginas no Modo de Consentimento do Google e segue a sua escolha; até você escolher, fora dos Estados Unidos ela não grava cookies de análise nem de publicidade e envia ao Google apenas sinais sem cookies (como a página, o horário e o seu navegador), que o Google pode usar para estimar o desempenho dos anúncios, e nos Estados Unidos ela mede análise e publicidade até você desativá-las — e um sinal Global Privacy Control do seu navegador conta como desativar a publicidade. Quando você chega por um anúncio nosso no Google, o identificador daquele clique fica só naquela aba do navegador até você aceitar os cookies de publicidade; depois que você aceita, nós o guardamos num cookie nosso por até 90 dias, para que uma análise gratuita iniciada depois seja atribuída àquele anúncio, e desativar a publicidade apaga esse cookie. Uma análise gratuita que você iniciar guarda o identificador do clique junto com o registro dela pelo tempo em que esse registro for mantido (veja Retenção de Dados). Você pode controlar as preferências de cookies nas configurações do seu navegador e revogar o consentimento a qualquer momento nas configurações de privacidade da sua conta.

Três desses cookies são nossos, pelo nome. O organicus_x é funcional: lembra qual versão de uma página foi exibida a você e guarda um identificador aleatório deste navegador — nada que identifique você — para que os sites que um mesmo navegador analisa contem como um só visitante quando comparamos versões; dura até 400 dias desde a sua última visita. O organicus_recent_reports também é funcional: guarda os códigos de link de até 3 relatórios abertos neste navegador — nada que identifique você — para que, depois de entrar, possamos oferecer continuar com um deles; dura até 14 dias desde o último relatório que você abriu. O organicus_click é um cookie de publicidade: guarda o identificador de um clique em um anúncio nosso no Google, só é gravado como descrito acima e dura até 90 dias.

Informações de Contato

Se tiver dúvidas sobre esta Política de Privacidade ou nossas práticas de dados, entre em contato em privacy@organicus.ai.