Política de Privacidade

Vigente desde 4 de agosto de 2026 · atualizada em 3 de novembro de 2026 · versão 2.7

O resumo honesto

• Hoje este site não usa ferramentas de medição de anúncios: nada da Meta nem do Google carrega aqui, e por isso não aparece aviso de cookies. Se elas forem ligadas, esta política ganha uma versão nova antes, e elas só vão funcionar se você aceitar no aviso. Existe um formulário, o qualificador, e ele só grava o que você responder depois de você autorizar, na tela. O contato é por WhatsApp ou e-mail.
• Guardamos de onde veio a visita (o link ou anúncio) e um código curto da visita, num cookie do próprio site, por até 90 dias, para saber qual canal traz contato. Nada disso identifica você sozinho, e você pode recusar em "Preferências de cookies".
• Quando você nos contrata, os dados dos seus clientes continuam sendo seus: você é o controlador e nós somos operadores.
• Por padrão, o sistema roda na nossa infraestrutura gerenciada, com container, rede e banco separados por cliente, inclusive com dado sensível. O consumo de IA passa por conta nossa, com teto por cliente, e entra na mensalidade ou é repassado a custo. A conta da Meta e o número de WhatsApp ficam sempre no seu nome. Não revendemos uso com margem nem ficamos com os seus dados.
• Todo subprocessador que pode tocar dado do seu projeto está declarado aqui, e a lista do seu projeto é definida por escrito antes de começar.
• Você pode pedir exclusão ou exportação a qualquer momento.

1. Quem trata os seus dados

Gomio é a marca sob a qual Today Consultoria de Negócios LTDA, sociedade empresária brasileira inscrita no CNPJ sob o nº 05.017.814/0001-52, sediada em Salvador, Bahia, oferece seus serviços de IA. Nesta política, "Gomio" e "nós" se referem a essa empresa.

Encarregado pelo tratamento de dados pessoais (DPO), art. 41 da LGPD: Pedro Gomes, contato@gomio.com.br.

Esta política cobre o site gomio.com.br e a prestação de serviços de desenvolvimento e operação de agentes de IA e automações. Cada projeto contratado tem, além disso, um contrato próprio, em que o tratamento de dados é definido por escrito antes de começar. Ele prevalece sobre este documento no que for mais específico.

2. Dois papéis diferentes, com deveres diferentes

A LGPD distingue quem decide sobre o tratamento (controlador) de quem executa o tratamento em nome de outro (operador). A distinção importa porque muda quem responde pelo quê:

Na segunda situação, não usamos os dados dos seus clientes para nenhuma finalidade própria: não treinamos modelo com eles, não os vendemos, não os compartilhamos fora dos subprocessadores declarados e não os mantemos depois do fim do contrato, salvo obrigação legal.

3. O que este site coleta

Muito pouco, e vale ser específico:

• Registros de acesso do servidor: o servidor que recebe as visitas registra, a cada acesso, o endereço IP, a data e a hora, a página pedida, o código de resposta e o navegador. Serve para segurança e diagnóstico. Hoje esse registro não tem descarte automático: o prazo de guarda está sendo definido, e esta política será atualizada quando estiver.
• Fontes tipográficas: as fontes são servidas pelo próprio site, a partir do mesmo servidor das páginas. O seu navegador não se conecta ao Google nem a outro terceiro para carregá-las.
• E-mail que você nos envia: se você nos escreve, guardamos a mensagem e os dados que estiverem nela (nome, empresa, contato) para responder e conduzir a conversa comercial. Base legal: seus interesses e os nossos, no sentido do art. 7º, IX, e diligências pré-contratuais, art. 7º, V.
• O qualificador (/qualificar): é um formulário de várias etapas. Para mostrar o primeiro passo na tela, as respostas passam pelo servidor, que calcula o resultado e o guarda como um plano, sem nome nem contato, num endereço impossível de adivinhar, por até 90 dias, com o código da visita e a origem da demonstração, se houver. É esse endereço que você pode copiar ou mandar no WhatsApp. O texto livre é opcional, e e-mails e números longos escritos nele são apagados antes de guardar. Base legal: legítimo interesse em mostrar e retomar o resultado (art. 7º, IX), sem dado pessoal. Fica também uma contagem de tentativas ligada a um hash do IP, para limitar abuso, descartada depois de um dia. Se você pedir um horário e marcar a caixa de autorização, guardamos: as suas respostas sobre o processo, o nome, o WhatsApp e, se você preencher, a empresa e o e-mail. Guardamos também o momento em que você autorizou, o endereço de onde você veio (a página que trouxe você), a origem da visita (os parâmetros de campanha do link, como utm_source e utm_campaign, os identificadores de clique de anúncio gclid, gbraid, wbraid e fbclid, a página por onde você entrou e o código da visita, descrito abaixo), se naquele momento você tinha aceitado a medição de anúncios, e um hash do seu IP: o IP em si não é guardado em texto, e esse hash serve só para limitar abuso do formulário, não para identificar você. Sem a autorização marcada, nem as respostas nem o contato são gravados: o pedido é recusado. Base legal: diligências pré-contratuais (art. 7º, V) e consentimento (art. 7º, I).
• O pedido do relatório do Licita Primeiro, enquanto a página existiu (até 27 de outubro de 2026): a página saiu do site e não recebe pedidos novos. De quem marcou a caixa de autorização, guardamos o CNPJ da empresa, o nome, o e-mail, o WhatsApp, o momento em que autorizou, a origem da visita (do mesmo jeito que no qualificador), se naquele momento tinha aceitado a medição de anúncios e um hash do IP, só para limitar abuso. Usamos para gerar o relatório e responder ao pedido. O relatório é feito com dados públicos de compras do governo (o PNCP e a base de CNPJ da Receita Federal) ligados ao CNPJ informado. Sem a autorização marcada, nada é gravado. Base legal: diligências pré-contratuais (art. 7º, V) e consentimento (art. 7º, I).
• Orçamento estimado: a partir das suas respostas, um cálculo determinístico do nosso lado chega a uma estimativa interna de esforço e preço. Essa estimativa fica com a gente, não é mostrada para você na tela e não é uma proposta. Ela existe para chegarmos preparados na conversa.
• Reunião marcada: se você escolher um horário, guardamos esse horário ligado ao seu contato, e um código aleatório que serve para você cancelar pelo link, sem precisar criar conta. A reunião também entra na agenda do Google Calendar da Gomio, com o seu nome, o WhatsApp, o e-mail (se você deu) e o resumo do caso, para a equipe se preparar e não marcar dois compromissos no mesmo horário. Se você deu e-mail, o Google manda o convite com o link da videochamada. Quando a reunião é cancelada, o evento sai da agenda. Base legal: a mesma do item.
• Origem da visita, no seu navegador: na primeira página que você abre, o site guarda no cookie gomio_atrib, do próprio site, por até 90 dias, os parâmetros de campanha do link, os identificadores de clique de anúncio (gclid, gbraid, wbraid, fbclid, ttclid e twclid), a página de entrada, o momento da chegada e um código aleatório da visita, de 6 letras e números. O cookie vale em gomio.com.br e nas nossas demonstrações (os subdomínios), para a conversa que começa numa demonstração chegar com o mesmo contexto. Vale a primeira chegada: navegar depois não muda o que foi guardado. Isso fica no seu navegador e só chega até nós junto com o formulário ou com o clique no WhatsApp. Base legal: legítimo interesse em medir o próprio funil (art. 7º, IX), sem dado pessoal. Se você recusar em "Preferências de cookies", o cookie é apagado e a origem passa a ficar só no armazenamento da aba (sessionStorage, que é apagado quando a aba fecha).
• WhatsApp: os botões de contato levam para uma conversa no WhatsApp. A mensagem pronta termina com o código da visita (por exemplo, "Ref: K7Q2MD"), que serve para sabermos de que anúncio ou link a conversa veio; você pode apagá-lo antes de enviar. No clique, registramos esse código, a página, a origem da visita e o horário, sem IP, sem navegador e sem dado de contato. Base legal do código e do registro do clique: legítimo interesse em saber quais campanhas trazem conversas (art. 7º, IX), com o dado mínimo para isso; você pode se opor pelo e-mail do item 14. A partir daí, a conversa acontece na plataforma da Meta e segue as políticas dela, além desta.
• Conversa com a Sofia no WhatsApp: quando este canal estiver ativo, quem vai responder o nosso número de WhatsApp é a Sofia, um agente de IA da Gomio. Hoje ele ainda não está ativo. A conversa vai passar pela Meta (WhatsApp), pelo servidor onde o agente roda e por um provedor de modelo de linguagem, e esta política será atualizada antes de o canal ser ligado, com o nome desse provedor e o prazo de guarda do histórico da conversa. Se você pedir para marcar uma conversa e concordar com o registro, vamos guardar o seu nome, o número de onde você escreveu, um resumo do que contou e o horário marcado, pelo mesmo prazo do qualificador (até 24 meses), e a reunião segue as regras do item "Reunião marcada". Base legal: diligências pré-contratuais (art. 7º, V) e consentimento (art. 7º, I).
• Contato deixado com a Sofia por voz: a Sofia, agente de voz da Gomio, atende pelo navegador em voz.gomio.com.br e, quando houver, por telefone. Se, na conversa, você der o seu nome e telefone para a equipe retornar, guardamos o nome, o telefone, o número de onde veio a ligação (quando existe), o motivo que você contou, se pediu urgência e o código da ligação. Usamos para retornar o contato e conduzir a conversa comercial, pelo mesmo prazo do qualificador (até 24 meses). Base legal: diligências pré-contratuais (art. 7º, V).
• Contratação pelo site: quem contrata pelo site (/contratar) informa nome ou razão social, CPF ou CNPJ (ou, fora do Brasil, o país e o documento fiscal), e-mail, WhatsApp e quem responde pela contratação. Guardamos esses dados, o registro do aceite (a versão e o hash de cada texto aceito, a data e a hora, o hash do IP e o navegador), a origem da visita e os identificadores do pagamento. Ao Asaas ou à Stripe, conforme o meio indicado na contratação, vão o nome, o documento e o e-mail, para a cobrança. Base legal: execução de contrato e procedimentos preliminares (art. 7º, V) e cumprimento de obrigação legal e fiscal (art. 7º, II).

Contamos, sem identificar ninguém, quantas vezes cada etapa do qualificador e cada clique no WhatsApp acontecem por dia, por oferta e por origem da campanha: a contagem guarda só o dia, a oferta ou a origem, a etapa e o número.

4. Cookies e medição de anúncios

Hoje estas ferramentas não estão ativas. Nenhuma delas carrega neste site, o aviso de cookies não aparece e o nosso servidor não envia nada à Meta nem ao Google. Elas estão descritas aqui para você saber, antes, como vão funcionar. Antes de ligá-las, publicamos uma versão nova desta política, e a partir daí elas só funcionam se você aceitar no aviso de cookies.

Quando este site for anunciado na Meta (Facebook e Instagram) e no Google, estas ferramentas das duas empresas vão medir quais anúncios trazem visitas e contatos, e mostrar os nossos anúncios a quem já passou por aqui. Elas só vão funcionar se você aceitar no aviso que aparece na primeira visita. Sem o aceite, nenhuma delas carrega: por causa deste site, o seu navegador não se conecta à Meta nem ao Google, e o nosso servidor não envia nada a elas.

• Meta Pixel (Meta Platforms): registra as páginas vistas e três momentos: quando você envia o formulário do qualificador, quando marca uma conversa e quando clica num botão do WhatsApp. Grava no seu navegador os cookies _fbp e, se você chegou por um anúncio da Meta, _fbc, que duram até 90 dias.
• API de Conversões da Meta: os mesmos três momentos, enviados pelo nosso servidor, para não se perderem quando o navegador bloqueia o Pixel. Vão o endereço da página, o horário, o seu IP, a identificação do navegador, os valores dos cookies acima ou o identificador de clique do anúncio e, só no envio do formulário e na conversa marcada, o e-mail e o WhatsApp que você deixou, transformados em código irreversível (hash SHA-256). A Meta compara esse código com o das contas dela para saber se o anúncio funcionou. O seu contato em texto nunca é enviado.
• Google Analytics 4 (Google): mede as páginas vistas e os mesmos momentos, sem o seu contato. Grava os cookies _ga e _ga_ seguido do código da nossa conta, que duram até 2 anos.
• Google Ads (Google), quando ativo: registra quando um anúncio do Google levou a um envio do formulário. Grava cookies como _gcl_au e _gcl_aw, que duram até 90 dias.
• Cookies nos domínios da Meta e do Google: além dos cookies acima, que ficam no domínio deste site, as duas empresas podem ler e gravar cookies nos domínios delas (por exemplo, fr, da Meta) quando as ferramentas carregam. Esses seguem as políticas delas, e o seu navegador permite apagá-los.

Para quê: medir e melhorar os nossos anúncios e mostrá-los a quem já visitou o site. Não usamos essas ferramentas para decidir nada sobre você. Base legal: o seu consentimento (art. 7º, I, da LGPD), que você pode retirar quando quiser. Meta e Google também tratam esses dados segundo as políticas e os termos delas, e fora do Brasil (ver item 8).

Como mudar a escolha, quando o aviso estiver ativo: clique em "Preferências de cookies", no rodapé de qualquer página. Se você retirar o aceite, as ferramentas deixam de carregar, os próximos eventos deixam de ser enviados, e apagamos do seu navegador os cookies que elas gravaram neste site. O que já tinha sido enviado antes segue as políticas da Meta e do Google; para pedir exclusão lá, use as ferramentas de privacidade de cada uma.

O que o próprio site guarda no seu navegador: a origem da visita com o código da visita, no cookie gomio_atrib por até 90 dias, ou no armazenamento da aba para quem o recusou (item 3); a sua escolha sobre esse cookie e, quando o aviso de cookies estiver ativo, a sua escolha sobre os cookies de medição, no armazenamento local (localStorage), por até 12 meses, para não perguntarmos de novo a cada página. Tudo isso é do próprio site e não vai para terceiros. Os cookies do próprio site são dois: gomio_atrib, da origem da visita (item 3), e o de sessão do painel interno, que só é criado depois que o painel é aberto com senha.

5. Dados tratados quando executamos um projeto

Varia por projeto e é definido no contrato. Em automações de atendimento e agendamento, tipicamente:

• Identificação e contato do cliente final (nome, telefone, e-mail)
• Conteúdo das conversas trocadas com o agente
• Dados do processo automatizado (agendamentos, pedidos, cobranças, protocolos)
• Registros técnicos: qual regra decidiu o quê, qual ferramenta foi chamada, com que resultado e quanto demorou

Esse último item merece destaque: toda decisão do agente é registrada, com a regra que a produziu e a versão dessa regra. Isso existe para auditoria e para a sua defesa, se um cliente questionar o que o agente disse ou fez, dá para mostrar exatamente o que aconteceu.

Dado sensível. Projetos em saúde, jurídico ou financeiro podem envolver dados sensíveis (art. 5º, II). Nesses casos o tratamento segue o anexo de proteção de dados do contrato, com minimização: o agente recebe identificador, não o registro inteiro. O isolamento é o mesmo de todo projeto: container, rede e banco separados por cliente.

6. Subprocessadores

Estes são os terceiros que podem tratar dados na execução de um projeto. Quais deles entram depende do que foi contratado, e a lista final é definida por escrito antes de começar. Mudanças são comunicadas antes de valerem.

Onde o sistema roda e onde as chaves ficam. O contrato diz qual modo vale. Padrão: a aplicação roda na infraestrutura gerenciada da Gomio, com container, rede e banco separados por cliente e backup diário fora do servidor, ativado e testado antes de o sistema entrar no ar, também com dado sensível. O consumo de IA passa por chave da Gomio, sempre com teto de gasto e desligamento remoto por cliente, e entra na mensalidade ou é repassado a custo, sem margem. A conta da Meta e o número de WhatsApp continuam sempre do cliente. Opcional: servidor exclusivo ou instalação na infraestrutura do cliente, com preço próprio.

7. Integração com a Plataforma WhatsApp Business

Quando o canal do projeto é WhatsApp, a integração é feita exclusivamente pela API Oficial da Meta (WhatsApp Business Platform). Não são usadas bibliotecas não oficiais nem conexões por leitura de QR code.

• O número e a conta de WhatsApp Business pertencem ao cliente contratante.
• O acesso da Gomio se dá por autorização concedida pelo cliente, e pode ser revogado por ele a qualquer momento.
• Mensagens e metadados recebidos da plataforma são usados somente para executar o serviço contratado.
• Não vendemos dados obtidos da plataforma, não os usamos para publicidade e não os cedemos a corretores de dados.
• O tratamento observa os termos da plataforma, inclusive as regras de opt-in e de opt-out do usuário final.

8. Transferência internacional

Vários subprocessadores listados acima operam fora do Brasil, sobretudo nos Estados Unidos e na Europa. Isso configura transferência internacional de dados (arts. 33 a 36 da LGPD), realizada com base em cláusulas contratuais dos respectivos fornecedores e limitada ao necessário para a execução do serviço.

Quando a medição de anúncios do site (item 4) estiver ativa, com o seu aceite, os dados descritos lá vão para a Meta e para o Google, que os tratam nos Estados Unidos e em outros países. O aviso de cookies vai informar isso antes do aceite, e a transferência vai se apoiar no seu consentimento específico (art. 33, VIII) e nas cláusulas contratuais dessas empresas. Hoje essa medição não está ativa.

9. Por quanto tempo os dados ficam

• Registros de acesso do servidor: sem descarte automático por enquanto (ver item 3).
• Respostas do qualificador, contato (inclusive o deixado com a Sofia), origem da visita e reunião marcada: até 24 meses contados do envio, e depois disso são apagados automaticamente. Se você pedir a exclusão antes, apagamos quando o pedido chegar.
• Pedido do relatório do Licita Primeiro já recebido (CNPJ, contato e origem da visita): até 24 meses contados do envio, e depois disso é apagado automaticamente. Se você pedir a exclusão antes, apagamos quando o pedido chegar.
• Registro do clique no WhatsApp (código da visita, página e origem): até 180 dias, e depois disso é apagado automaticamente.
• Contratação paga ou estornada e o registro do aceite: até 5 anos contados da contratação, pelo prazo fiscal e de defesa.
• Pedido de contratação que não chegou a ser pago: até 90 dias, e depois disso é apagado automaticamente.
• Plano do qualificador, sem nome nem contato: até 90 dias, e depois disso é apagado automaticamente.
• Cookie da origem da visita (gomio_atrib): até 90 dias no seu navegador.
• Cookies de medição, quando estiverem ativos e só com aceite: _fbp e _fbc, até 90 dias; _ga e _ga_, até 2 anos; _gcl_au e _gcl_aw, até 90 dias. Os prazos são os das próprias ferramentas e recomeçam a cada visita. Você pode apagá-los a qualquer momento retirando o aceite ou pelo seu navegador.
• A sua escolha sobre cookies, quando o aviso estiver ativo: até 12 meses no seu navegador; depois perguntamos de novo.
• Dados enviados à Meta e ao Google na medição, quando ela estiver ativa: pelos prazos das políticas dessas empresas.
• E-mails e propostas comerciais: enquanto durar a relação e por até 5 anos depois, para fins de defesa em eventual discussão contratual.
• Dados de projeto (papel de operador): pelo prazo definido no contrato. Encerrado o contrato, os dados são devolvidos ou eliminados conforme a sua instrução, salvo o que a lei obrigar a guardar.
• Registros fiscais e contábeis: pelos prazos da legislação aplicável.

10. Segurança

Medidas que adotamos nos sistemas que construímos:

• Tráfego sempre por HTTPS, com certificado válido e HSTS.
• Credenciais de terceiros cifradas em repouso; segredo nunca vai para o código-fonte.
• Isolamento por cliente no banco de dados, com teste automatizado que tenta ler o dado de outro cliente.
• Registro das decisões e das operações do agente, sem edição pelo painel.
• Teto de gasto e desligamento remoto por cliente, para conter uso anômalo.
• Princípio de dado mínimo: o modelo de linguagem recebe o que a tarefa exige, não o cadastro inteiro.

Nenhuma medida elimina risco por completo. Havendo incidente de segurança com risco relevante, comunicamos o cliente afetado e, quando cabível, a ANPD e os titulares, nos termos do art. 48 da LGPD.

11. Os seus direitos

A LGPD (art. 18) garante a você, titular de dados, o direito de:

• confirmar se existe tratamento e acessar os dados;
• corrigir dado incompleto, inexato ou desatualizado;
• pedir anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade;
• pedir a portabilidade a outro fornecedor;
• obter informação sobre com quem os dados foram compartilhados;
• revogar consentimento, quando o tratamento se basear nele (para os cookies de medição, quando estiverem ativos, é na hora, em "Preferências de cookies", no rodapé);
• opor-se a tratamento feito com base em legítimo interesse.

Para exercer qualquer um deles, escreva para contato@gomio.com.br. Respondemos em até 15 dias.

Se você é cliente final de uma empresa que nos contratou, por exemplo, alguém que conversou com o agente de um escritório, quem controla esses dados é a empresa, não nós. Encaminhamos o seu pedido a ela e a apoiamos no atendimento, mas a decisão é dela. Falar diretamente com a empresa costuma ser o caminho mais rápido.

12. Crianças e adolescentes

Os serviços da Gomio são dirigidos a empresas. Este site não é destinado a menores de 18 anos e não coleta dados deles conscientemente. Projetos que envolvam dados de crianças e adolescentes (art. 14 da LGPD) exigem previsão contratual específica.

13. Alterações desta política

Mudanças materiais passam a valer na data indicada no topo desta página. Clientes ativos são avisados por e-mail antes de a mudança valer. Versões anteriores ficam disponíveis mediante pedido.

14. Contato

Today Consultoria de Negócios LTDA (Gomio) · CNPJ 05.017.814/0001-52 · Salvador, Bahia, Brasil
Encarregado: Pedro Gomes · contato@gomio.com.br

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).