Objetivo. Estabelecer como os dados podem ser utilizados nas soluções da Luxxai, incluindo CRM, ERP, integrações, automações, dashboards, atendimento e inteligência artificial, com limites claros de finalidade, segurança e responsabilidade.
1. Objetivo e abrangência
Esta Política de Uso e Governança de Dados (“Política”) define regras para o uso de dados pessoais e não pessoais pela Luxxai Labs (“Luxxai”), por seus colaboradores, prestadores, parceiros, clientes corporativos e usuários autorizados. Aplica-se ao site, às plataformas, aos produtos e aos serviços da Luxxai, inclusive ALLGO, RAFA, VELTRIX, Affinity Digital e demais soluções que integrem seu ecossistema.
A Política alcança todo o ciclo de vida dos dados — coleta, recepção, acesso, classificação, organização, consulta, análise, integração, geração de resultados, compartilhamento, armazenamento, retenção, anonimização, exportação e eliminação — e complementa a Política de Privacidade, os contratos, termos de uso, propostas, avisos específicos e instruções documentadas de cada cliente.
Em caso de conflito, prevalecerá a obrigação legal ou regulatória aplicável e, entre documentos contratuais, a disposição mais específica para a operação de tratamento em questão.
2. Princípios de uso de dados
Toda utilização de dados abrangida por esta Política deve observar os seguintes princípios:
- Finalidade e adequação: utilizar dados para propósitos legítimos, informados e compatíveis com o contexto em que foram obtidos.
- Necessidade: limitar o tratamento ao mínimo de dados, acessos, pessoas e tempo necessários.
- Transparência e controle: permitir que clientes e titulares compreendam os usos relevantes e exerçam seus direitos.
- Qualidade: adotar medidas razoáveis para manter dados corretos, claros, relevantes e atualizados para a finalidade.
- Segurança e prevenção: reduzir riscos de acesso indevido, perda, alteração, vazamento, discriminação ou outros danos.
- Não discriminação: impedir usos ilícitos, abusivos ou discriminatórios, inclusive em análises e decisões automatizadas.
- Responsabilização: manter evidências, controles e registros compatíveis com os riscos e com a legislação.
3. Papéis e responsabilidades
3.1 Luxxai como controladora
A Luxxai atua como controladora quando decide por que e como os dados serão utilizados, como nos cadastros de seus usuários, contatos comerciais, suporte, faturamento, segurança, administração do site, gestão de fornecedores e melhoria de seus próprios serviços. Nesses casos, cabe à Luxxai definir a base legal, prestar transparência, aplicar controles e atender os direitos dos titulares.
3.2 Luxxai como operadora
Quando processa dados fornecidos, conectados ou gerados por um cliente em nome desse cliente, a Luxxai atua, em regra, como operadora. A utilização fica limitada ao contrato, às configurações da solução, às instruções documentadas do cliente e ao que for necessário para prestar, proteger e suportar o serviço.
3.3 Cliente controlador
O cliente que determina as finalidades do tratamento é responsável por:
- possuir base legal e legitimidade para coletar, inserir, integrar e utilizar os dados;
- prestar informações aos titulares e obter autorizações quando exigidas;
- configurar perfis, permissões, integrações, prazos e fluxos de acordo com sua necessidade;
- garantir que instruções à Luxxai sejam lícitas, documentadas e coerentes com o contrato;
- avaliar os resultados das automações e da IA antes de decisões com efeitos relevantes;
- atender solicitações dos titulares, com apoio técnico da Luxxai quando aplicável.
3.4 Usuários autorizados
Cada usuário deve acessar somente os dados necessários à sua função, proteger credenciais, respeitar permissões, verificar destinatários e integrações antes de enviar informações e comunicar suspeitas de incidente. Ações realizadas com uma conta podem ser registradas para segurança, suporte e auditoria.
4. Categorias de dados abrangidas
- dados cadastrais, profissionais, comerciais, contratuais, financeiros e de suporte;
- identificadores de conta, credenciais protegidas, perfis, permissões e registros de autenticação;
- dados técnicos, logs, telemetria, eventos de segurança e informações sobre o uso das funcionalidades;
- conteúdo inserido ou conectado pelo cliente, incluindo registros de CRM e ERP, documentos, planilhas, mensagens, atendimentos, dados logísticos, agendamentos, campanhas e indicadores;
- prompts, respostas, classificações, resumos, recomendações e demais resultados de automações ou modelos de inteligência artificial;
- dados pessoais sensíveis, somente quando necessários à solução, autorizados por lei e sujeitos a controles reforçados;
- dados anonimizados, agregados, estatísticos ou técnicos que não permitam identificar razoavelmente uma pessoa.
5. Usos permitidos
A Luxxai poderá utilizar dados, na medida necessária e conforme seu papel, para:
- prestar, configurar, integrar, operar, manter e atualizar os serviços contratados;
- executar fluxos, automações, consultas, classificações, resumos, alertas, previsões e relatórios solicitados ou configurados pelo cliente;
- autenticar usuários, administrar permissões, detectar fraudes, prevenir abusos e proteger ambientes;
- prestar suporte, diagnosticar falhas, restaurar disponibilidade e responder a solicitações técnicas;
- medir desempenho, capacidade, disponibilidade e adoção de funcionalidades;
- cumprir obrigações legais, regulatórias, fiscais, contratuais e determinações de autoridades competentes;
- proteger direitos da Luxxai, de seus clientes, usuários, titulares e terceiros;
- produzir análises agregadas ou anonimizadas para segurança, planejamento, estatísticas e melhoria de produtos.
Usos que extrapolem essas finalidades exigirão avaliação prévia, base legal apropriada e, conforme o caso, atualização contratual, aviso específico ou autorização do cliente ou do titular.
6. Uso de dados para melhoria dos serviços
A Luxxai pode analisar dados técnicos, métricas de uso, falhas, desempenho e feedback para aprimorar segurança, estabilidade, experiência e funcionalidades. Sempre que viável, serão utilizados dados agregados, anonimizados ou com identificadores reduzidos.
O conteúdo confidencial ou os dados pessoais inseridos por clientes não serão utilizados para publicidade de terceiros, comercialização de bases de dados ou desenvolvimento de finalidade incompatível com o serviço. O acesso excepcional a conteúdo para suporte, investigação ou melhoria deverá ser necessário, autorizado, restrito, rastreável e sujeito a dever de confidencialidade.
7. Inteligência artificial e automações
As soluções podem enviar dados a componentes de inteligência artificial ou executar regras automatizadas para gerar respostas, resumos, extrações, classificações, previsões, recomendações, encaminhamentos e ações em sistemas integrados. A finalidade e a quantidade de dados devem ser limitadas ao fluxo contratado.
- Conteúdo de clientes não será usado pela Luxxai para treinar modelos de uso geral próprios ou de terceiros sem autorização expressa, finalidade informada e base legal aplicável.
- A arquitetura, o provedor, a retenção técnica e os controles disponíveis podem variar conforme o produto, a configuração e o contrato.
- Resultados de IA podem ser incompletos ou imprecisos e não devem ser tratados como única fonte em decisões jurídicas, financeiras, médicas, trabalhistas ou de impacto significativo.
- O cliente deve implementar revisão humana proporcional ao risco, definir limites de autonomia e manter mecanismos de correção, interrupção ou contestação quando necessários.
- Prompts e entradas não devem conter dados pessoais ou confidenciais além do estritamente necessário.
- Quando aplicável, o titular poderá solicitar revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses, nos termos da LGPD.
8. Usos proibidos
É proibido utilizar as soluções ou os dados tratados pela Luxxai para:
- acessar, copiar, exportar, compartilhar ou explorar dados sem autorização ou fora da necessidade profissional;
- criar ou enriquecer bases obtidas de forma ilícita, enganosa ou incompatível com a expectativa legítima do titular;
- vender dados pessoais, negociar listas ou realizar publicidade de terceiros sem base legal e transparência adequadas;
- vigiar pessoas, inferir atributos sensíveis ou realizar perfilamento invasivo sem necessidade, proporcionalidade e base legal;
- discriminar, manipular, assediar, fraudar, enganar ou causar prejuízo a pessoas ou grupos;
- tomar decisões de alto impacto exclusivamente por automação quando a lei, o risco ou o contexto exigir supervisão humana;
- tentar reidentificar dados anonimizados ou combinar bases para contornar controles de privacidade;
- contornar permissões, controles de segurança, registros de auditoria, limites de uso ou mecanismos de proteção;
- inserir dados sensíveis, segredos comerciais, credenciais ou documentos sigilosos em campos e integrações não aprovados para esse fim;
- praticar qualquer atividade ilegal ou contrária aos contratos, às políticas da Luxxai ou aos direitos de terceiros.
A Luxxai poderá bloquear um fluxo, suspender acesso ou exigir correção quando houver indícios razoáveis de uso indevido, risco à segurança, violação legal ou descumprimento contratual, observadas a gravidade, a urgência e as condições acordadas.
9. Dados sensíveis, crianças e adolescentes
O tratamento de dados pessoais sensíveis exige necessidade demonstrada, base legal específica, controles de acesso mais restritos, registro adequado e salvaguardas compatíveis com o risco. Dados de saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, vida sexual ou dados genéticos não devem ser inseridos em fluxos genéricos.
As soluções corporativas da Luxxai não são, em regra, destinadas diretamente a crianças. Se um cliente utilizar uma solução para tratar dados de crianças ou adolescentes, deverá observar o melhor interesse, transparência apropriada à idade, minimização, segurança reforçada e as demais exigências legais. A Luxxai poderá solicitar comprovação de que o fluxo está autorizado e adequadamente protegido.
10. Acesso, compartilhamento e fornecedores
O acesso deve seguir o princípio do menor privilégio e ser concedido somente a pessoas, serviços e integrações que necessitem dos dados para uma finalidade autorizada. Permissões devem ser revisadas quando houver mudança de função, desligamento, encerramento do contrato ou alteração do risco.
Dados podem ser compartilhados com fornecedores de nuvem, bancos de dados, segurança, comunicação, pagamentos, integrações, automação e inteligência artificial quando necessário à prestação do serviço. A Luxxai buscará aplicar deveres contratuais de confidencialidade, segurança, limitação de finalidade e suporte a incidentes. O cliente deve avaliar e autorizar integrações de terceiros que habilitar em sua conta.
Transferências internacionais observarão a LGPD e os mecanismos reconhecidos pela regulamentação aplicável, além de medidas técnicas e organizacionais adequadas.
11. Qualidade, rastreabilidade e auditoria
- Dados relevantes devem ter origem identificável e, quando necessário, mecanismos de atualização e correção.
- Ações administrativas, acessos privilegiados, integrações e eventos de segurança podem ser registrados para suporte, prevenção, investigação e auditoria.
- Logs não devem ser alterados ou eliminados para ocultar ações, falhas ou incidentes.
- Controles e registros serão mantidos pelo tempo necessário ao propósito, à segurança, ao contrato e às obrigações legais.
- Auditorias devem respeitar confidencialidade, proporcionalidade, segregação entre clientes e proteção dos segredos comercial e industrial.
12. Segurança e resposta a incidentes
A Luxxai adota medidas técnicas e administrativas proporcionais ao contexto, como gestão de acessos e credenciais, segregação de ambientes, proteção de comunicações, cópias de segurança, monitoramento, gestão de vulnerabilidades, registro de eventos, continuidade e obrigações de confidencialidade.
Suspeitas de acesso indevido, exposição, perda, alteração, indisponibilidade ou uso incompatível devem ser comunicadas imediatamente pelos canais oficiais. A Luxxai poderá conter o evento, preservar evidências, investigar causas, corrigir vulnerabilidades e cooperar com o cliente controlador. Comunicações à ANPD e aos titulares serão realizadas pelo controlador responsável quando presentes os requisitos legais e regulatórios.
13. Retenção, exportação e eliminação
Os dados serão conservados pelo tempo necessário à finalidade autorizada, ao contrato, à segurança, à continuidade e ao cumprimento de obrigações legais ou ao exercício regular de direitos. Os prazos podem variar por categoria, produto, configuração e exigência aplicável.
No encerramento do serviço, a exportação, devolução, retenção e eliminação dos dados do cliente seguirão o contrato e as capacidades técnicas da solução. Cópias de segurança podem permanecer por ciclos limitados e protegidos até sua sobrescrita ou descarte seguro. Dados poderão ser mantidos quando houver obrigação legal, litígio, prevenção a fraudes ou outra hipótese legítima.
14. Direitos dos titulares
A utilização dos dados deve permitir o exercício dos direitos previstos na LGPD, incluindo confirmação, acesso, correção, anonimização, bloqueio, eliminação, informação sobre compartilhamentos, portabilidade quando aplicável, revogação do consentimento, oposição e revisão de decisões automatizadas.
Quando a Luxxai atuar como operadora, solicitações relacionadas ao conteúdo do cliente serão direcionadas ou comunicadas ao cliente controlador. A Luxxai prestará apoio técnico razoável conforme o contrato e a natureza do pedido.
15. Governança e avaliação de novos usos
Novos projetos, integrações ou usos de dados devem ser avaliados antes da implementação quando envolverem:
- grande volume de dados pessoais ou monitoramento sistemático;
- dados sensíveis, dados de crianças e adolescentes ou grupos vulneráveis;
- combinação de bases, perfilamento, inferências ou decisões automatizadas com efeitos relevantes;
- novo fornecedor, novo país de tratamento ou compartilhamento não previsto;
- finalidade diferente daquela informada na coleta ou prevista no contrato;
- risco elevado aos direitos, às liberdades ou à segurança dos titulares.
A avaliação poderá incluir análise de necessidade e proporcionalidade, base legal, minimização, segurança, contratos, transparência, testes, revisão humana e Relatório de Impacto à Proteção de Dados Pessoais, quando cabível.
16. Fiscalização e consequências
A Luxxai poderá investigar indícios de descumprimento desta Política, preservando a confidencialidade e limitando a apuração ao necessário. Conforme a gravidade, poderão ser adotadas medidas como orientação, correção de configuração, restrição temporária, suspensão de acesso, encerramento contratual, preservação de evidências e comunicação às partes ou autoridades competentes.
Colaboradores e prestadores também estão sujeitos às medidas internas e contratuais aplicáveis. Nenhuma medida afasta a responsabilidade civil, administrativa ou penal prevista em lei.
17. Atualizações e contato
Esta Política poderá ser atualizada para refletir mudanças nos serviços, tecnologias, riscos, contratos ou normas. A versão vigente será identificada pela data de atualização e poderá ser publicada ou disponibilizada nos canais oficiais da Luxxai.
- Site e canal de atendimento: www.luxxai.com.br
- WhatsApp: +55 (34) 98428-5497
Dúvidas, comunicações de incidentes e solicitações relacionadas ao uso de dados podem ser encaminhadas por esses canais. A Luxxai poderá disponibilizar canal específico de privacidade e proteção de dados.
18. Referências
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD)
- Guia da ANPD sobre agentes de tratamento e encarregado
- Orientações da ANPD sobre Relatório de Impacto à Proteção de Dados Pessoais
- Radar Tecnológico da ANPD sobre inteligência artificial generativa
- Portal institucional da Luxxai
Nota de implementação. Esta Política deve ser acompanhada por inventário de dados, matriz de acessos, prazos de retenção, contratos com operadores, processo de avaliação de novos usos e procedimentos de resposta a incidentes e solicitações de titulares.