Política de Privacidade

Versão 2.0.0 · Última atualização: 25 de junho de 2026

1. Quem somos (Controlador)

Esta Política de Privacidade aplica-se à plataforma Trucky, operada por:

Razão social: LUIS HENRIQUE REINHOLD PAVAO LTDA
CNPJ: 48.274.645/0001-49
Endereço fiscal: Rua da Bahia, 1148, Sala 1208, Centro, Belo Horizonte/MG, CEP 30160-906
Contato (titular dos dados / encarregado): luispavavao@gmail.com
Site: trucky.com.br

2. Dados pessoais que tratamos

Tratamos os seguintes dados pessoais, sempre com base legal adequada (execução de contrato, legítimo interesse ou consentimento), conforme Art. 7 da LGPD:

Da empresa contratante: nome empresarial, CNPJ, endereço, plano contratado, dados de pagamento (processados pela Stripe).
Dos gestores/usuários da plataforma: nome, email, senha (armazenada com hash bcrypt + salt), número de WhatsApp.
Dos motoristas/operadores: nome, número de WhatsApp, máquina associada, dados operacionais inseridos pelo gestor da empresa.
Conteúdo via WhatsApp (operador → bot): mensagens de texto, áudio, fotos (de nota fiscal ou da operação) e localização GPS, enviados voluntariamente pelo operador como parte do trabalho.
Dados operacionais: ordens de serviço, despesas, horímetro/odômetro, eventos de turno, incidentes operacionais.
Dados técnicos: IP, navegador, sistema operacional, logs de acesso (retenção de 90 dias).

3. Finalidades do tratamento

Os dados são tratados exclusivamente para:

Operação do serviço contratado (gestão de frota, financeiro, comunicação via WhatsApp entre operador e gestor).
Processamento de mensagens recebidas via WhatsApp para classificar intenção e responder ao operador, utilizando provedores de IA (LLM, transcrição de áudio, leitura de imagens).
Cobrança e gestão de assinatura via Stripe.
Observabilidade técnica (logs de erro, métricas de uso) sem dados pessoais identificáveis nas tags.
Comunicação operacional com o gestor (notificações de OS, lembretes de manutenção, alertas).
Cumprimento de obrigações legais e regulatórias.

4. Compartilhamento com terceiros (operadores)

Para prestar o serviço, compartilhamos dados com os seguintes sub-operadores, sob acordo de confidencialidade:

Meta Platforms, Inc. — WhatsApp Business Platform Cloud API. Plataforma oficial Meta para envio e recebimento de mensagens via WhatsApp. Mensagens trocadas entre operador e bot trafegam pela infraestrutura Meta. Política Meta: whatsapp.com/legal/business-policy.
Amazon Web Services (AWS), Inc. — hospedagem da aplicação (EC2), banco de dados (RDS PostgreSQL) e armazenamento de arquivos (S3). Região: us-east-1 (Estados Unidos).
Vercel, Inc. — hospedagem do webapp (front-end).
Stripe, Inc. — processamento de pagamentos de assinatura. Dados de cartão NÃO trafegam pelos servidores Trucky.
OpenAI, Anthropic, Google, OpenRouter — provedores de modelos de linguagem (LLM). Conteúdo de mensagem do operador pode ser enviado via API desses provedores para classificação de intenção ou transcrição de áudio. Configurável pelo administrador.
Sentry, Inc. — observabilidade técnica. Apenas IDs internos podem aparecer em tags; conteúdo de mensagens NÃO é enviado.

5. Transferência internacional de dados

Parte do processamento ocorre em servidores localizados fora do Brasil (Estados Unidos da América e União Europeia), notadamente:

Meta Platforms (EUA) — WhatsApp Cloud API.
AWS us-east-1 (EUA) — banco de dados e armazenamento.
Vercel (EUA / global edge) — webapp.
Stripe (EUA) — pagamentos.
Provedores de IA (EUA) — processamento de linguagem.

Esses operadores possuem mecanismos contratuais de proteção de dados compatíveis com o Art. 33 da LGPD (cláusulas-padrão contratuais, certificações reconhecidas).

6. Retenção

Mensagens do bot e mídia (áudio/foto): 180 dias após o evento; depois disso, são deletadas permanentemente.
Dados operacionais (OS, despesas, financeiro): mantidos enquanto o contrato com a empresa estiver ativo. Após cancelamento, retenção adicional de 30 dias para exportação pelo cliente e depois eliminação definitiva.
Logs técnicos: 90 dias.
Backups completos: ciclo de 7 dias, criptografados em repouso (AES-256).
Dados de cobrança (Stripe): retidos por 5 anos para fins fiscais.

7. Direitos do titular (LGPD, Art. 18)

O titular dos dados pode, gratuitamente, solicitar:

Confirmação da existência de tratamento;
Acesso aos dados;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
Portabilidade dos dados a outro fornecedor;
Eliminação dos dados tratados com consentimento;
Informação sobre entidades públicas e privadas com as quais os dados foram compartilhados;
Revogação do consentimento.

Para exercer esses direitos, envie email para luispavavao@gmail.com. Resposta em até 15 dias úteis.

8. Bases legais (LGPD, Art. 7)

Execução de contrato — para usuários da empresa contratante (gestor) e dados necessários ao funcionamento da plataforma.
Legítimo interesse — para observabilidade técnica, prevenção de fraude e segurança.
Consentimento — para tratamento de mensagens dos operadores que excedam o estritamente necessário à operação (ex.: análise de sentimento).
Cumprimento de obrigação legal — para retenção fiscal de dados de cobrança.

9. Papel das partes (LGPD, Art. 5)

A empresa contratante (tenant) é controladora dos dados de seus próprios operadores e é responsável por informá-los e obter consentimento quando aplicável. A Trucky atua como operadora, tratando os dados conforme instruções da controladora e desta política.

10. Segurança

Comunicação cifrada via HTTPS (TLS 1.3).
Senhas armazenadas com bcrypt (hash + salt).
Sessões via cookies HttpOnly criptografados (iron-session).
Tokens JWT com expiração curta.
Banco de dados em sub-rede privada (VPC AWS), acesso restrito via IAM.
Criptografia em repouso (AES-256) em todo armazenamento persistente.
Monitoramento de incidentes via Sentry.

11. Cookies

Utilizamos cookies estritamente necessários para autenticação (cookie de sessão HttpOnly). Não utilizamos cookies de marketing, publicidade ou rastreamento de terceiros.

12. Crianças e adolescentes

Trucky é uma plataforma B2B para empresas com CNPJ. Não tratamos dados pessoais de menores de idade. Caso identifiquemos cadastro de menor, os dados serão eliminados imediatamente.

13. Alterações desta política

Alterações materiais (mudança de finalidade, novos sub-operadores, novas categorias de dados) serão comunicadas com 15 dias de antecedência e exigirão novo aceite. Alterações cosméticas não forçam re-aceite.

14. Encarregado pelo Tratamento de Dados (DPO)

Luis Henrique Reinhold Pavão atua como Encarregado pelo Tratamento de Dados Pessoais. Contato direto: luispavavao@gmail.com.

15. Reclamações à ANPD

Caso não tenhamos resolvido sua solicitação de forma satisfatória, você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.