Política de Privacidade

POL-001/2026 | Versão: 1.1

Status de Classificação: Público

Última Atualização: 10 de julho de 2026

Público-Alvo: Clientes, Prestadores de Serviço, Sócios e Parceiros de Negócio.

1. DECLARAÇÃO DE COMPROMISSO E ESCOPO

A AIRYS SOLUÇÕES EM TECNOLOGIA LTDA (“Airys”), estabelece esta Política de Privacidade para manifestar seu compromisso com a segurança da informação e para explicar, de forma clara, acessível e documentada, como trata dados pessoais de seus clientes, usuários e titulares de dados em suas atividades empresariais, em seus canais digitais, em sua plataforma de criação e operação e em serviços de mensageria empresarial.

Esta Política foi desenhada em estrita conformidade com a Lei Geral de Proteção de Dados - LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014), e adota como alicerce os frameworks internacionais de segurança e privacidade das normas ISO/IEC 27001 (Sistema de Gestão de Segurança da Informação) e ISO/IEC 27701 (Sistema de Gestão de Privacidade da Informação).

Escopo de Aplicação: Este documento aplica-se a todas as atividades de tratamento de dados realizadas pela Airys, englobando:

• visitantes e usuários do site institucional, landing pages, formulários e canais comerciais da Airys;
• usuários autorizados da plataforma da Airys para criação, configuração, gestão, monitoramento e operação de bots, atendimentos e integrações;
• titulares de dados que interagem com bots, atendimentos automatizados, jornadas conversacionais, webchat, API, WhatsApp e outros canais configurados por clientes da Airys;
• participantes de comunicações, campanhas, notificações e fluxos transacionais enviados por clientes da Airys por meio de integrações e serviços prestados pela Airys, inclusive como parceira tecnológica em soluções de mensageria empresarial.

2. DEFINIÇÃO DE PAPÉIS

A Airys pode atuar em mais de um papel no tratamento de dados pessoais, conforme a finalidade e o contexto da operação. A LGPD define controlador como quem toma as decisões sobre o tratamento e operador como quem trata dados em nome do controlador:

2.1 Airys como Controladora de Dados

Ocorre quando coletamos dados diretamente para nossas próprias finalidades (ex: prospecção de clientes, envio de propostas comerciais, marketing institucional e gestão de acesso de nossa equipe interna).

2.2 Airys como Operadora de Dados

A Airys atua como operadora quando trata dados pessoais em nome e sob as instruções documentadas de seus clientes, especialmente quando fornece infraestrutura, software, suporte técnico, integrações, hospedagem, mensageria, analytics, logs, processamento conversacional e recursos para criação e operação de bots de IA e fluxos de comunicação com o público de seus clientes.

Nessas hipóteses, o cliente da Airys é, em regra, o controlador dos dados pessoais tratados em sua operação, cabendo exclusivamente a ele determinar a base legal legítima para o tratamento, bem como responder de forma primária pelas obrigações junto à Autoridade Nacional de Proteção de Dados (ANPD). Ainda assim, a Airys mantém deveres próprios de segurança, confidencialidade, registro, apoio ao cliente, observância de instruções lícitas e comunicação sobre instruções que, em seu entendimento, possam contrariar a legislação aplicável ou obrigações contratuais.

2.3 Situações com múltiplos agentes

Em determinadas integrações, podem existir também provedores de infraestrutura, suboperadores, canais de mensageria e fornecedores de modelos de IA. Nesses casos, a Airys busca definir contratualmente papéis, responsabilidades, medidas de segurança, regras de transferência, critérios de acesso e mecanismos de apoio ao atendimento dos direitos dos titulares.

3. CATEGORIAS DE DADOS PESSOAIS TRATADOS

A Airys limita a coleta de dados ao mínimo necessário para a execução de suas operações econômicas e técnicas (Minimização de Dados).

3.1 Dados tratados quando a Airys atua como Controladora

• dados de identificação e contato, como nome, e-mail, telefone, cargo, empresa e informações profissionais;
• dados cadastrais e contratuais, como informações de faturamento e financeiro, razão social, endereço fiscal, CPF/CNPJ, documentos de representação, histórico comercial e informações de suporte;
• dados de navegação e uso de site, como endereço IP, data e hora de acesso, identificadores de sessão, páginas visitadas, dispositivo, navegador e preferências de consentimento;
• dados de segurança e auditoria, como registros de autenticação, trilhas de acesso, eventos de segurança, identificadores de conta e evidências técnicas necessárias à proteção dos ambientes e serviços.

3.2 Dados tratados quando a Airys atua como Operadora

Quando a Airys presta serviços a seus clientes, os dados tratados variam conforme a configuração feita pelo cliente Controlador e podem incluir:

• dados de identificação e contato dos usuários finais atendidos pelos bots ou canais integrados;
• conteúdo de mensagens, prompts, anexos, respostas automáticas, transbordos para atendimento humano e históricos conversacionais;
• dados de contexto operacional, como número de telefone, identificadores de canal, metadados de interação, carimbos de data e hora, IP, status de entrega e logs de uso da aplicação;
• dados estritamente necessários à mensageria empresarial e à integração com canais de terceiros.

3.3 Dados sensíveis e dados de crianças e adolescentes

A plataforma da Airys não é desenhada para incentivar o envio de dados pessoais sensíveis nem, como regra geral, para tratamento intencional de dados de crianças sem base legal adequada e sem parametrização apropriada do controlador. Caso esses dados sejam inseridos em fluxos operados por clientes da Airys, o tratamento deverá estar amparado por base legal válida, instruções documentadas, controles adicionais e avaliação de riscos compatível com a sensibilidade do caso.

Quando a Airys atuar como operadora, ela não assume que a responsabilidade do Controlador desaparece, nem renuncia aos seus próprios deveres legais. Nessas situações, a Airys poderá exigir do cliente informações sobre a base legal, as finalidades, os perfis de titulares envolvidos e as salvaguardas aplicáveis, bem como restringir, suspender ou recusar instruções que indiquem risco relevante de desconformidade.

Embora a Airys não direcione seus serviços especificamente a menores de 18 anos, reconhecemos a possibilidade de acesso provável por esse público. Em conformidade com a Lei nº 15.211/2025 e o Art. 14 da LGPD, adotamos as seguintes diretrizes:

• Informação aos Pais: Disponibilizamos aos pais e responsáveis legais informações sobre riscos e medidas de segurança de IA de forma independente da contratação do serviço, através do nosso canal de privacidade.
• Salvaguardas de Conteúdo: Nossos agentes de IA são configurados para mitigar riscos de exposição a conteúdos inadequados, violentos ou publicitários predatórios para menores.
• Classificação Indicativa: O acesso ao nosso site e plataforma é recomendado para maiores de 18 anos, e orientamos que a interação de menores com agentes de IA ocorra sob supervisão parental.

4. FINALIDADES E BASES LEGAIS

A Airys trata dados pessoais apenas para finalidades legítimas, específicas e informadas, observando as bases legais previstas na LGPD para cada contexto de tratamento.

Abaixo a lista dividida em Categoria do Dado; Finalidade Principal; e Base Legal:

• Gestão comercial e relacionamento com leads; Identificação, qualificação de leads comerciais e execução de procedimentos contratuais; Art. 7º, V (Contrato) ou Art. 7º, IX (Legítimo Interesse);
• Prestação dos serviços da Airys; Disponibilizar a plataforma, autenticar usuários, manter ambientes, executar suporte, realizar faturametos e entregar funcionalidades contratadas; Art. 7º, V (Contrato);
• Registros obrigatórios de aplicação; Cumprimento de obrigação legal de rastreabilidade de acessos; Art. 7º, II (Obrigação Legal - Art. 15 do Marco Civil).
• Comunicações, conteúdos e campanhas de clientes; Operar bots, jornadas conversacionais, fluxos e mensagens em nome do cliente controlador; Art. 7º, V (Execução de Contrato em nome do Controlador).

5. TRANSPARÊNCIA SOBRE CANAIS, BOTS E DECISÕES AUTOMATIZADAS

A Airys fornece tecnologia para criação e operação de bots e automações conversacionais. Dependendo da parametrização do cliente, as interações podem envolver respostas automatizadas, classificação de intenções, roteamento, priorização, enriquecimento de contexto, apoio ao atendimento humano e integração com modelos de linguagem de terceiros.

Quando aplicável, a Airys e seus clientes devem assegurar transparência adequada sobre o uso de fluxos automatizados e sobre os mecanismos disponíveis para contato humano, contestação, correção de dados e revisão de decisões automatizadas que afetem interesses do titular, em conformidade com o art. 20 da LGPD.

A Airys adota como diretriz que funcionalidades automatizadas sejam concebidas com supervisão humana possível, parametrização rastreável, controles de acesso, registros de eventos relevantes e mecanismos de interrupção, escalonamento ou transbordo para atendimento humano, quando pertinente ao serviço contratado.

A Airys assegura que seus sistemas informem ostensivamente ao usuário final o uso de IA desde o início da interação. A responsabilidade pela coleta do consentimento (opt-in) e pela transparência direta ao usuário final sobre a finalidade específica do bot cabe ao Cliente da Airys (Controlador), conforme estabelecido em contrato.

A Airys esclarece que não utiliza o conteúdo das conversas processadas em nome de seus clientes para o retreinamento, ajuste fino (fine-tuning) ou melhoria de seus modelos de linguagem de uso geral ou de terceiros, garantindo a segregação e confidencialidade dos dados de cada operação.

6. COOKIES, TECNOLOGIAS DE RASTREAMENTO E REGISTROS

A Airys pode utilizar cookies, pixels, identificadores de sessão e tecnologias similares para autenticação, segurança, manutenção de preferências, análise de desempenho, métricas operacionais e melhoria da experiência de navegação, respeitados os requisitos de transparência e, quando aplicável, consentimento.

Nos serviços enquadrados como aplicação de internet, a Airys pode manter registros de acesso à aplicação nos termos do art. 15 do Marco Civil, sob sigilo, em ambiente controlado e de segurança, pelo prazo legal de 6 meses, sem prejuízo de retenções adicionais quando exigidas por ordem judicial ou por outra obrigação legal aplicável.

7. COMPARTILHAMENTO DE DADOS COM TERCEIROS

A Airys não comercializa, sob qualquer pretexto, bases de dados pessoais. O compartilhamento de dados ocorre apenas quando necessário para executar serviços, cumprir obrigações legais, viabilizar integrações contratadas ou proteger direitos e interesses legítimos, sempre nos limites da legislação aplicável.

Os dados pessoais poderão ser compartilhados, conforme o caso, com:

• provedores de infraestrutura, hospedagem, monitoramento, gateways de pagamentos, segurança, armazenamento, autenticação e suporte tecnológico;
• fornecedores de serviços de IA, processamento de linguagem natural e automação, quando ativados no escopo contratado;
• provedores de mensageria e canais de comunicação, quando necessários para o envio, recebimento, roteamento ou gestão de mensagens;
• parceiros, suboperadores e integradores autorizados, conforme contratos e instruções do controlador;
• autoridades públicas, judiciais, administrativas ou arbitrais, quando houver obrigação legal, regulatória ou ordem válida.

Os dados de pagamento como números de cartões de crédito e códigos de segurança são criptografados e processados diretamente por parceiros oficiais em conformidade com os padrões aceitáveis, aplicando-se os Termos de Uso e Políticas de Privacidade das plataformas parceiras.

O compartilhamento de informações ocorre estritamente quando necessário para a viabilização técnica dos serviços, cumprimento de obrigações legais ou por instrução direta do Cliente (Controlador).

Abaixo, identificamos nominalmente nossos principais parceiros e suboperadores, conforme exigido pelo princípio da transparência:

• Provedores de Mensageria e APIs de Comunicação: Os dados de contato e o conteúdo das mensagens trafegam pela Meta Platforms, Inc. (WhatsApp Business Platform), que atua como o canal oficial de comunicação e infraestrutura de API. Este tratamento ocorre nos Estados Unidos e Irlanda. Você pode consultar a política de privacidade da Meta em: https://www.whatsapp.com/legal/business-policy/.
• Infraestrutura e Hospedagem: A plataforma AirysChat e seus bancos de dados são hospedados na Hetzner Online GmbH, operando como provedor de infraestrutura (VPS). Os dados permanecem armazenados prioritariamente na Alemanha. Para mais detalhes, acesse: https://www.hetzner.com/legal/privacy-policy/.
• Processamento de Inteligência Artificial: Para a execução de agentes inteligentes e análise de linguagem natural, utilizamos as APIs da OpenAI, LCC, sediada nos Estados Unidos. Esclarecemos que utilizamos instâncias corporativas que priorizam a confidencialidade. A política de privacidade está disponível em: https://openai.com/policies/privacy-policy/.
• Gestão Documental e Produtividade: Para suporte comercial e operacional, utilizamos o Google Workspace (Google LLC), com armazenamento global (EUA). Detalhes em: https://policies.google.com/privacy.
• Desenvolvimento e Código-Fonte: Nossos repositórios técnicos e fluxos de automação de desenvolvimento utilizam o GitHub, Inc., sediado nos Estados Unidos. Detalhes em: https://docs.github.com/en/site-policy/privacy-policies.
• Tecnologias Self-Hosted (Ambiente Próprio): A Airys utiliza tecnologias como n8n e Chatwoot em modo self-hosted. Isso significa que, embora utilizemos o código dessas empresas, os dados não são enviados para elas, permanecendo sob o controle exclusivo da Airys e hospedados em nossa infraestrutura na Hetzner.
• Integrações Específicas por Projeto: Dependendo da contratação e parametrização do Cliente, dados podem ser compartilhados com integradores de e-commerce e gestão, como Shopify (pedidos), Bling (fiscal), Klaviyo (marketing), Voxuy (recuperação de vendas) ou MegaAPI (validação de WhatsApp). O compartilhamento com estes terceiros só ocorre mediante ativação deliberada pelo Cliente no fluxo do seu agente de IA.

Em conformidade com o ECA Digital, a Airys e seus parceiros respondem de forma solidária pela proteção integral de crianças e adolescentes que possam, eventualmente, ter seus dados tratados na cadeia digital

8. TRANSFERÊNCIA INTERNACIONAL DE DADOS

Em razão da arquitetura tecnológica, integração e uso de provedores globais, a Airys pode realizar transferência internacional de dados pessoais. Nesses casos, a transferência será realizada apenas quando houver base jurídica admitida pela LGPD e controles técnicos e organizacionais adequados ao risco do tratamento.

Conforme o contexto, a transferência poderá se apoiar, entre outros fundamentos legalmente admitidos, em países ou organismos com grau de proteção adequado, em garantias contratuais apropriadas, em cláusulas contratuais específicas ou padrão, em consentimento específico quando cabível, ou em outras hipóteses autorizadas pelo art. 33 da LGPD.

Devido à natureza global da infraestrutura de tecnologia e ao uso de modelos de Inteligência Artificial de ponta, a Airys realiza a transferência internacional de dados pessoais para países que proporcionam grau de proteção adequado.

As transferências ocorrem principalmente para os seguintes destinos:

• Alemanha: Onde reside nossa infraestrutura principal de servidores (Hetzner).
• Estados Unidos e Irlanda: Destinos do processamento de dados vinculados à Meta (WhatsApp), Google, GitHub e APIs de Inteligência Artificial (OpenAI).

O titular declara ciência de que seus dados trafegam por essas jurisdições internacionais para a viabilização estrita do serviço contratado.

9. SEGURANÇA DA INFORMAÇÃO E PRIVACIDADE

A Airys adota medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado ou ilícito, conforme exigido pela LGPD.

Sem prejuízo de controles internos adicionais, as medidas podem incluir:

• gestão de identidade e controle de acesso com privilégio mínimo, revisão periódica e remoção tempestiva de acessos;
• autenticação segura, inclusive com múltiplos fatores para perfis privilegiados, quando aplicável;
• criptografia em trânsito e, quando pertinente ao risco, em repouso, com gestão adequada de chaves;
• registro, proteção e análise de logs e eventos relevantes de segurança;
• segmentação de ambientes, monitoramento, backup e testes regulares de restauração;
• compromissos de confidencialidade, treinamento e conscientização periódica do pessoal com acesso a dados pessoais.

A Airys estrutura seus sistemas e serviços de forma a incorporar segurança e privacidade desde a concepção até a operação, em linha com o art. 46, §2º, da LGPD.

10. RETENÇÃO E CICLO DE VIDA DOS DADOS

A Airys retém dados pessoais apenas pelo tempo necessário para cumprir a finalidade informada, atender obrigações legais, regulatórias ou contratuais, exercer direitos em processos ou preservar a segurança e a rastreabilidade dos serviços, observados os limites técnicos e jurídicos aplicáveis.

De forma exemplificativa:

• logs de Conexão à Plataforma: Armazenados pelo prazo obrigatório de 6 meses, em cumprimento ao Artigo 15 do Marco Civil da Internet.
• dados de Conversas e Histórico de Robôs (Operadora): Quando os contratos comerciais mantidos com os nossos clientes (Controladores) são extintos ou finalizados, todas as respectivas mensagens armazenadas no banco de dados da plataforma são excluídas em definitivo em até 90 dias, ou de forma imediata mediante solicitação formal e justificada do Controlador;
• registros do Programa Meta: Devem ser guardados por 7 anos, conforme exigência contratual específica, incluindo registros contábeis e documentos do programa;
• dados cadastrais, contratuais, fiscais e financeiros podem ser mantidos pelos prazos exigidos pela legislação e pela necessidade de defesa de direitos;
• conteúdos e históricos operados em nome de clientes serão mantidos conforme contrato, instruções documentadas do controlador, configuração do serviço e obrigações legais aplicáveis;
• backups seguirão políticas específicas, com critérios de segurança, restauração, segregação e eliminação compatíveis com a natureza dos dados e com a viabilidade técnica.

Após o término do tratamento, os dados pessoais serão eliminados, anonimizados ou mantidos apenas nas hipóteses autorizadas pelos arts. 15 e 16 da LGPD.

11. DIREITOS DOS TITULARES

Em conformidade com os Artigos 17 e 18 da LGPD, a Airys assegura ao titular dos dados o exercício dos seguintes direitos de forma facilitada e gratuita:

• Retirada de Autorizações (Revogação): Caso tenha concedido permissão para o uso de seus dados, você tem o direito de desautorizar o tratamento futuro. Esta ação não afeta a legalidade do que foi processado antes do seu pedido;
• Contestação de Atividades (Oposição): Você pode se opor a tratamentos realizados sem o seu consentimento direto (como em casos de legítimo interesse) se acreditar que a operação desrespeita a lei;
• Impactos da Não Concordância: Direito de ser esclarecido sobre quais funcionalidades (especialmente de IA) deixarão de operar caso você opte por não fornecer determinados dados ou consentimentos;
• Supervisão de Decisões por IA: Como provemos agentes inteligentes, você pode requerer que uma pessoa revise conclusões ou processos tomados exclusivamente por algoritmos que impactem seus interesses;
• Ajuste de Registros: Pedir a imediata retificação de informações que estejam erradas, desatualizadas ou que não representem a realidade atual;
• Transparência de Parcerias: Obter detalhes sobre quais empresas, plataformas ou órgãos públicos tiveram acesso compartilhado aos seus dados por meio da Airys;
• Migração de Informações (Portabilidade): Requerer que seus dados sejam enviados a você ou a outro prestador de serviço em formato estruturado e legível, desde que preservados os segredos comerciais da Airys;
• Limitação e Descarte: Solicitar que dados excessivos, desnecessários ou em desconformidade legal sejam anonimizados, bloqueados para uso ou definitivamente excluídos de nossos sistemas;
• Ciência e Consulta: Confirmar se realizamos qualquer tipo de operação com suas informações e obter uma cópia integral desses registros;
• Petição perante Autoridades: Direito de registrar reclamações formais contra a Airys na Autoridade Nacional de Proteção de Dados (ANPD) ou em canais de defesa do consumidor.

Quando a Airys atuar como controladora, responderá diretamente ao titular nos termos da legislação aplicável. Quando atuar como operadora, prestará apoio ao cliente controlador para que ele possa cumprir suas obrigações perante o titular, sem prejuízo de orientar o titular, quando cabível, sobre o agente mais adequado para o atendimento da demanda.

As solicitações podem ser encaminhadas ao canal indicado na seção de contato desta Política. Para proteção do titular e prevenção a fraude, a Airys poderá solicitar informações adicionais para validação de identidade, legitimidade e escopo do pedido.

Prezando pela sua segurança, quando uma requisição para o exercício de seus direitos for feita, a Airys poderá solicitar informações adicionais com o intuito de comprovar sua identidade. Além disso, com base em requisitos e proteções legais, em alguns casos, a Airys poderá ter motivos para não atender a uma solicitação de exercício de direitos.

12. INCIDENTES DE SEGURANÇA ENVOLVENDO DADOS PESSOAIS

Quando houver incidente que possa acarretar risco ou dano relevante aos titulares, a Airys adotará as providências cabíveis conforme o papel desempenhado na operação e a legislação aplicável, inclusive comunicação ao controlador, à ANPD e aos titulares quando exigido. A LGPD exige que o controlador comunique incidente dessa natureza em prazo razoável e com informações mínimas sobre o evento e as medidas adotadas.

Nos casos em que a Airys atuar como operadora, ela buscará notificar o cliente controlador sem demora indevida, fornecendo informações disponíveis para apoiar a avaliação do incidente, a mitigação de efeitos e as comunicações legalmente necessárias.

13. DO ENCARREGADO DE DADOS (DPO) E CONTATO

Para estabelecer comunicação direta, tirar dúvidas sobre esta política, reportar vulnerabilidades ou exercer os direitos de titular, a Airys nomeou um Encarregado de Proteção de Dados (DPO) externo especializado através de sua Parceria Estratégica de GRC (Governança, Risco e Compliance), sob o formato DPO as a Service.

• DPO Nomeado: Fortis Consultoria e Engenharia
• Canal de Comunicação Direto: privacidade@airys.com.br

Qualquer requisição enviada a este canal será respondida nos prazos regulamentares estipulados pela ANPD.

14. ALTERAÇÕES DESTA POLÍTICA

Esta Política de Privacidade poderá ser atualizada periodicamente para refletir melhorias técnicas em nossa arquitetura de IA ou alterações regulatórias. Recomendamos a visita frequente a esta página para ciência da versão vigente.