Política de privacidade

Versão 2026-11-10 · publicada em 10/11/2026

Sobre este rascunho

Esta é a versão de trabalho da política de privacidade da Phoebe, ainda não publicada. A revisão do advogado, as escolhas de provedores e a data real de publicação estão pendentes com o fundador.

Dados e finalidades

A Phoebe usa mensagens, transcrições, contas, lembretes e fatos que você fornece para atender seus pedidos. Com o seu consentimento para o perfil, usa também o perfil descrito na seção Perfil. Agenda e Gmail só são acessados quando você conecta o Google. O corpo dos e-mails do Gmail não é persistido; ficam os campos extraídos com a origem. O corpo do e-mail encaminhado fica no payload apenas até o processamento, quando é substituído por um esqueleto sem conteúdo. Dados derivados do Google são apagados na desconexão.

Não treinamos modelos com dados do usuário. O uso de transcrições para melhoria do produto depende de opt-in separado, específico e desligado por padrão. Não vendemos dados. Parte do perfil só vai a parceiros com o seu consentimento para parceiros, nas regras da seção Parceiros. A seção Perfil explica como o perfil é montado e onde você o vê e apaga.

Perfil

Com o seu consentimento para o perfil, a Phoebe guarda o que aprende sobre você para três finalidades: responder sem perguntar de novo o que já sabe, avisar antes quando algo for do seu interesse e, só se você também consentir com parceiros, levar ofertas de parceiros. Sem esse consentimento, nada do perfil é coletado.

• Localizações: cada localização que você envia pelo WhatsApp, com o endereço obtido das coordenadas pelo Google Geocoding.
• Lugares e região: lugares frequentes, como casa e trabalho, com bairro, cidade e tipo de lugar; vêm do que você diz, de localizações repetidas em dias diferentes e de endereços de entrega dos seus e-mails, que só valem depois de você confirmar.
• Pessoas: nome, relação com você, aniversário, telefones e e-mails das pessoas da sua vida; vêm do que você conta, dos contatos que você compartilha no WhatsApp e de remetentes e convidados frequentes do Gmail e da Agenda, destes só nome e endereço.
• Pesquisas: o texto das buscas na web, de estabelecimentos e de preços e das tarefas no navegador que a Phoebe faz a seu pedido.
• Redes sociais: rede, nome de usuário e link; vêm do que você conta e de e-mails das redes; a Phoebe confirma com você antes de tratar a conta como sua.
• Memória automática e inferências: fatos tirados só das suas próprias mensagens e áudios, e deduções marcadas como inferência. E-mails, páginas, documentos e mensagens encaminhadas nunca viram memória automática. Inferência é usada como pergunta, nunca como fato.
• Como prefere ser ajudado: o jeito de ajudar que você pede ou mostra na conversa.
• Serviços: empresas e apps de que você recebe e-mails, como bancos, lojas e streaming; vêm só do remetente dos e-mails do Gmail.
• Compras e consumo: compras e viagens confirmadas por e-mail (loja, item, valor e data) e o resumo do seu consumo, montado de contas, pagamentos e assinaturas; só de campos estruturados, nunca do texto livre do e-mail.
• Momentos de vida: casamento, mudança, filho, emprego novo e outros, planejados ou já acontecidos, com a data quando você disser; só da conversa.
• Intenções de compra: o que você pensa em comprar, com categoria e, se houver, faixa de preço; vêm das buscas e alertas de preço, do navegador e da conversa.
• Casa e renda declarada: com quem mora, dependentes, pets, tipo de moradia, carro e faixa de renda; só o que você contar. A faixa de renda é opcional e perguntada no máximo uma vez.
• Preferências e reações a ofertas: as categorias de oferta que você aceita, a frequência e o horário, que vêm das suas respostas; se você aceitou, ignorou ou recusou cada oferta, que vem de como você reage a ela; e se você comprou depois, só quando você contar ou o parceiro confirmar à Phoebe.

O perfil fica guardado sem prazo, até você apagar ou encerrar a conta. O que veio do Gmail, da Agenda ou do Tasks também é apagado quando você desconecta o Google.

Como o perfil é montado: a Phoebe junta essas categorias num resumo que usa nas respostas. O que você diz vence o que foi deduzido, e uma dedução nunca substitui o que você disse. O resumo nunca tem dado sensível.

Em Meus dados, em https://app.phoebeai.com.br/memoria, você vê cada dado com a origem, apaga um item, uma categoria ou tudo, e desliga o perfil, os dados sensíveis e os parceiros. Também pode pedir pelo WhatsApp, por exemplo "apaga meu histórico de localização". Desligar o perfil interrompe a coleta nova, e você pode apagar o que já existe.

Dados sensíveis

Dado sensível é o dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde ou vida sexual, e o dado genético ou biométrico. Se você contar algo assim, a Phoebe só guarda com o seu consentimento específico para dados sensíveis, e só para personalizar a ajuda a você. Sem esse consentimento, o dado é descartado.

Dado sensível nunca vai a parceiro, nunca escolhe oferta e não entra no resumo do perfil. Ele só volta numa resposta quando você traz o assunto. Revogar esse consentimento apaga os dados sensíveis guardados, sem encerrar a conta.

Parceiros

Com o seu consentimento para parceiros, a Phoebe pode enviar parte do seu perfil a empresas parceiras, para que elas ofereçam produtos e serviços a você. Cada parceiro recebe só os campos previstos no contrato com ele, dentro das categorias de oferta que você aceitou. Se você não disser quais ofertas aceita, nenhuma oferta sai. Toda oferta vem identificada como oferta de parceiro.

O que pode ir, conforme o parceiro:

• Momentos de vida: só o tipo, se está planejado ou já aconteceu e quando. Do momento "filho", nunca vai nome, idade ou data de nascimento da criança.
• Intenções de compra em aberto.
• Dados da casa, com a faixa de renda só se você a declarou.
• As categorias de oferta que você aceita.
• Região: bairro, cidade e tipo de lugar.

O que nunca vai:

• Nada que venha do Gmail, da Agenda ou do Tasks, nem o que for deduzido disso.
• Dados de outras pessoas, como as pessoas da sua vida e os contatos que você compartilha.
• Dados de filho menor de idade, como nome, idade e data de nascimento, que servem só para lembretes.
• Dado sensível.
• Coordenadas e histórico de localização; no máximo bairro e cidade.
• Conteúdo de e-mail ou de documento e número de documento.
• Dados de pagamento, como linha digitável, chave Pix ou valor de uma conta.

A Phoebe só envia dados a parceiro com contrato assinado que obriga a apagá-los a pedido e proíbe repassá-los. Todo envio fica registrado. A lista dos parceiros ativos fica em https://app.phoebeai.com.br/parceiros.

Para revogar, desligue os parceiros em Meus dados, em https://app.phoebeai.com.br/memoria, ou peça pelo WhatsApp. Revogar não encerra a conta. Quando você revoga, apaga um dado enviado ou encerra a conta, a Phoebe pede a cada parceiro que recebeu seus dados que os apague.

Finanças

Com o seu consentimento para finanças, a Phoebe guarda e organiza suas transações para acompanhar seus gastos. Sem esse consentimento, ela lê o extrato só naquela conversa e não guarda nada.

• O que é guardado: as contas, só com o banco, o tipo e os 4 últimos dígitos, nunca o número completo de conta ou cartão; as transações, com data, valor, descrição, estabelecimento e categoria; as regras de categoria que você corrige; os orçamentos e as metas que você define.
• De onde vem: do extrato que você manda, em PDF, CSV, OFX ou print, pelo WhatsApp ou pela web; e, quando estiver ligado e você autorizar no seu banco, do Open Finance. O arquivo do extrato é apagado depois da leitura.
• Para quê: mostrar quanto e onde você gasta, acompanhar orçamentos e metas, avisar quando um gasto sai do seu padrão e dar conselhos sobre seus gastos. A Phoebe não recomenda investimento nem produto financeiro.
• Perfil: com o consentimento para o perfil, entra no perfil só um resumo dos seus gastos por categoria, nunca uma transação individual.
• Parceiros: com o consentimento para parceiros, pode ir a parceiro só a faixa de gasto mensal por categoria, como de R$ 200 a R$ 500, calculada sobre 3 meses. Nunca vai transação, estabelecimento, saldo, banco, conta ou valor exato, e nada do Open Finance.

As finanças ficam guardadas sem prazo, até você apagar, revogar o consentimento para finanças ou encerrar a conta. Em Meus dados, em https://app.phoebeai.com.br/memoria, em https://app.phoebeai.com.br/financas ou pelo WhatsApp, você apaga tudo, um período ou uma conta, e liga ou desliga esse consentimento. Revogar apaga tudo o que foi guardado de finanças.

Bases legais e consentimentos

O serviço usa a execução de contrato (LGPD, art. 7, V). Segurança e antifraude usam legítimo interesse (art. 7, IX), com teste de balanceamento documentado. Open Finance depende de consentimento. Dados sensíveis incidentais da agenda e do e-mail dependem de consentimento específico e destacado (art. 11, I), separado na conexão do Google. O perfil, os dados sensíveis do perfil, as finanças e o envio a parceiros dependem, cada um, de consentimento próprio (art. 7, I, e, para dado sensível, art. 11, I), pedido em destaque no aceite e revogável em separado em https://app.phoebeai.com.br/memoria. Você pode revogar cada consentimento pela web em https://app.phoebeai.com.br/privacidade.

Google

O uso de dados recebidos das APIs do Google segue a Google API Services User Data Policy, incluindo os requisitos de Limited Use; não usamos esses dados para treinar modelos de IA.

Tudo que vem do Gmail, da Agenda ou do Tasks, e o que for deduzido disso, serve só a recursos que você vê: nunca vai a parceiros nem escolhe ofertas.

Subprocessadores

• Anthropic: modelos; EUA; mecanismo de transferência pendente de validação pelo advogado: cláusula-padrão da ANPD no contrato ou art. 33, IX.
• Meta (WhatsApp Cloud API): canal; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Google: agenda e Gmail, a seu pedido; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Supabase: banco, Auth e Storage; Brasil, sa-east-1; sem transferência internacional nesta contratação prevista.
• Railway: hospedagem do web, worker e watchdog; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• ITP: iniciação de Pix; Brasil; escolha nominal pendente com o fundador; sem contrato e sem provedor real configurado.
• Provedor de transcrição: OpenRouter (EUA), encaminhando ao modelo Whisper (OpenAI) em provedor sem retenção; áudio para texto; só rotas sem retenção de dados e sem uso para treino; o áudio vai sem identificador do usuário; DPA a confirmar; mecanismo de transferência pendente com o advogado.
• Geração de voz: OpenRouter (EUA), encaminhando à ElevenLabs (EUA); o texto da resposta vira áudio só quando você pede resposta em áudio; o arquivo de voz é apagado depois do envio; DPA a confirmar; mecanismo de transferência pendente com o advogado.
• Postmark Inbound: endereço de encaminhamento; EUA, a confirmar no DPA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Serper (resultados do Google): busca web e de preços; só o texto da consulta, sem identificador do usuário; EUA, a confirmar nos termos da API; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Mercado Livre: busca pública de preços, sem parâmetro de afiliado; só o texto da consulta, sem identificador do usuário; país e mecanismo de transferência, se fora do Brasil, pendentes com o fundador e o advogado.
• Google Places e Geocoding: busca de estabelecimentos, com a consulta e, se enviada, a localização da busca; endereço das localizações que você envia, a partir das coordenadas; EUA; mesmo mecanismo de transferência pendente de validação pelo advogado.
• Resend (e-mail) e ntfy (push): alertas ao operador sem conteúdo de usuário; EUA para Resend e país da instância ntfy pendente com o fundador; mecanismo de transferência pendente de validação pelo advogado.

O fundador fecha cada escolha e confirmação antes da versão revisada pelo advogado. A troca de provedor exige atualizar esta lista antes de o novo provedor receber dados do usuário.

Retenção

• Mensagens: texto e transcrição por 90 dias; as derivadas de e-mail são apagadas na desconexão do Google.
• Mídia: imagens e PDFs por 30 dias; documento de identidade é apagado após extrair tipo e validade; áudio é apagado após a transcrição, salvo orientação contrária do advogado; a voz gerada pela Phoebe é apagada depois do envio.
• Payload: texto do WhatsApp, corpo do e-mail encaminhado e eventos do ITP até o estado terminal; em dead_letter, até 7 dias; o esqueleto sem conteúdo fica 30 dias.
• Extrações: 24 h, com expurgo diário; permanecem apenas os campos copiados para contas, fatos ou perfil.
• Turnos: 90 dias, só metadados e referências por ID.
• Confirmações pendentes: 24 h, com expurgo diário.
• Desfazer: validade de 24 h e expurgo diário 1 dia depois; o snapshot de agenda só serve para desfazer.
• Links web: até a expiração, de 10 min a 24 h; links de aprovação até a validade dela; expurgo diário 1 dia depois. Só o hash do token é guardado.
• Jobs encerrados: 30 dias, com payload só de IDs.
• Respostas anônimas: 30 dias, só respostas fixas para quem não é usuário.
• Aprovações: Pix por 5 anos; e-mail e agenda por 1 ano.
• Vínculos Google e Pix: metadados enquanto a conta existir, sem segredo depois da revogação ou expiração. Segredos do Google são destruídos na revogação. O segredo do vínculo Pix é destruído 2 dias depois de revogado, expirado ou falho, com confirmação desse estado pelo ITP; nunca enquanto o banco o informar ativo ou pendente. Na exclusão da conta, o segredo é destruído pelo fluxo de exclusão.
• Logins dos sites no navegador da Phoebe: cookies e dados de sessão dos sites em que o navegador entrou a seu pedido ficam guardados cifrados pela Phoebe, sem prazo, até você pedir para apagar (pelo WhatsApp ou pela web, todos ou por site) ou excluir a conta; o provedor do navegador (Steel, EUA) não grava a sessão nem guarda os logins entre sessões; dele ficam só dados técnicos de uso (duração da sessão e volume de dados), por até 7 dias.
• Chamados: 1 ano.
• Perfil: sem prazo, até você apagar ou encerrar a conta; o que veio do Google também sai na desconexão do Google.
• Finanças: sem prazo, até você apagar, revogar o consentimento para finanças ou encerrar a conta; o arquivo do extrato é apagado depois da leitura.
• Notas sobre a Phoebe: de tempos em tempos a Phoebe pergunta como está sendo; a nota (Boa, Média ou Ruim) e o comentário opcional vão à equipe identificados só por um apelido, sem seu telefone (o comentário vai como você escreveu); o texto do comentário é apagado em 90 dias; a nota fica enquanto a conta existir, sai na exclusão da conta e entra na exportação.
• Lista de espera: até o aceite do convite ou 6 meses; apagada a pedido pelo contato desta política.
• Registros de acesso: 6 meses, segregados e com acesso restrito; na web, IP, porta, data e hora; no WhatsApp, identificador do número, data, hora e ID da mensagem.
• Trilha de pagamentos: 5 anos, incluindo aprovações de Pix, mantida após a exclusão para exercício regular de direitos, bloqueada e segregada até o expurgo; referência CDC, art. 27 e LGPD, art. 7, VI e art. 16, a validar com o advogado.
• Consentimentos: 5 anos, como prova do consentimento.
• Demais auditorias: 1 ano.
• Eventos de uso: 1 ano; na exclusão da conta, são somados sem identificador do usuário e os registros individuais são apagados.

Apagar a conta elimina os dados, exceto os registros sob guarda legal, que ficam bloqueados e segregados até o fim do prazo e são expurgados depois. Os prazos e fundamentos finais dependem de revisão pelo advogado.

Segurança e acesso da equipe

Segredos são cifrados, os arquivos ficam em armazenamento privado e a equipe só acessa conversas quando há chamado aberto ou incidente do usuário. Todo acesso fica registrado e visível na atividade. Não envie senha, cartão ou código no chat; o filtro mascara esses dados antes do modelo e da gravação.

Encarregado

Renan Oliveira, fundador.

Contato: suporte@phoebeai.com.br.

Pedidos do titular são respondidos em até 15 dias, pelo e-mail do encarregado ou pela web em https://app.phoebeai.com.br/privacidade. Você pode ver, corrigir e apagar fatos, exportar dados, inclusive o perfil, apagar a conta e revogar cada consentimento.