Política de Privacidade

Esta política explica quais dados pessoais passam pela Forya, para quê, com quem, por quanto tempo e como você exerce os seus direitos. Ela segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).

1. Quem somos e os nossos dois papéis

A Forya é um serviço de 64.907.254 DAVID MOREIRA MORETTI, CNPJ 64.907.254/0001-70, com sede em Rua Werner Goldberg, 157, apto. 0154, Jardim Tupanci, Barueri/SP, CEP 06414-025.

A Forya tem dois papéis, conforme o dado:

Controladora dos dados da conta e do pagamento: quem cria a conta, as pessoas da equipe que entram na Forya e quem paga as faturas. Nesses dados, quem decide somos nós.
Operadora dos dados que a empresa cliente põe na plataforma: clientes, fornecedores, funcionários e qualquer pessoa que apareça nas planilhas, documentos, conversas e sistemas conectados. Nesses dados, a controladora é a empresa cliente, e nós tratamos só para prestar o serviço, como ela instruir.

Se você é cliente de uma empresa que usa a Forya e quer saber dos seus dados, fale primeiro com essa empresa: é ela quem decide sobre eles. Se precisar, a gente ajuda.

2. Que dados tratamos

Da conta (somos controladores):

nome e e-mail de quem cria a conta, o nome da empresa e a senha, guardada embaralhada de um jeito que não volta ao texto;
nome e e-mail das pessoas da equipe que o dono cadastra, e o papel de cada uma;
a data do último acesso de cada pessoa;
a data, a hora e o IP de cada entrada na Forya (o registro de acesso);
no aceite destes documentos: qual versão foi aceita, quando, e o IP (o endereço de internet do aparelho) e o navegador de quem clicou;
o IP de quem pede para criar uma conta, para barrar robôs;
para pagar: o CNPJ ou CPF e o e-mail de quem paga, e o histórico das faturas. Os dados do cartão, quando usado, ficam com o Asaas; a Forya não recebe.

Do que a empresa põe na plataforma (somos operadores):

o que a empresa conecta: planilhas, documentos, fotos e arquivos enviados no chat, gravações e transcrições de reuniões, e o que a Forya lê do sistema da empresa;
as conversas com os agentes e o que os agentes produzem (documentos, planilhas, anotações de memória);
os contatos das pessoas com quem a empresa fala (nome, telefone, e-mail), as mensagens enviadas e recebidas, as autorizações de contato e os pedidos para não receber mais;
em documentos para assinar ou confirmar: o nome, o documento, o IP e o aparelho de quem decide, como prova da decisão.

Dados públicos: ao montar a conta, a Forya lê o site público da empresa e consulta o CNPJ no cadastro público. Desse cadastro guardamos só os campos que usamos (como razão social e endereço), e não a lista de sócios.

A Forya não pede dados sensíveis (como saúde, religião ou biometria). Se a empresa colocar, ela precisa ter base legal para isso (art. 11 da LGPD).

3. Para que usamos e com qual base legal

Criar e manter a conta e deixar você entrar: execução de contrato (art. 7º, V).
Abrir a conta de uma empresa para dar suporte: execução de contrato (art. 7º, V).
Emitir faturas e receber: execução de contrato (art. 7º, V) e cumprimento de obrigação legal, como a guarda fiscal (art. 7º, II).
Guardar o aceite destes documentos, com o IP e o navegador, como prova: exercício regular de direitos (art. 7º, VI).
Segurança, como barrar robôs e tentativas de invasão e registrar quem exportou ou apagou dados pessoais: legítimo interesse (art. 7º, IX).
Guardar o registro de cada acesso (data, hora e IP) por 6 meses: cumprimento de obrigação legal, o Marco Civil da Internet (art. 7º, II).
Mandar os e-mails do serviço (confirmar a conta, trocar a senha): execução de contrato (art. 7º, V).
Tratar os dados que a empresa põe na plataforma: em nome da empresa cliente, que define a base legal perante as pessoas (art. 39).

Não usamos os dados para publicidade e não vendemos dados.

4. Com quem compartilhamos

Para a Forya funcionar, alguns fornecedores recebem dados. Cada um recebe só o que precisa:

Anthropic (Estados Unidos): o modelo de inteligência artificial dos agentes (Claude), pela conta da Forya na Anthropic. Recebe o texto da conversa e os trechos de dados que o agente precisa para responder.
Resend (Estados Unidos): os e-mails da própria Forya (confirmar a conta, trocar a senha). Recebe o e-mail de quem recebe e o texto da mensagem.
Cloudflare (Estados Unidos): a rede entre o navegador e o servidor da Forya, os domínios próprios das empresas e a entrada dos e-mails da Forya. Recebe o tráfego de cada acesso (a Cloudflare abre a conexão protegida para entregá-la ao servidor) e os e-mails que chegam para a Forya.
Asaas (Brasil): os pagamentos das faturas da Forya e, quando a empresa abre a conta dela pela Forya, os boletos e Pix que ela emite para os clientes dela (o Asaas é a instituição de pagamento que presta esses serviços). Recebe o nome da empresa, o CNPJ ou CPF e o e-mail de quem paga, e o valor; nas contas das empresas, também o nome, o CPF ou CNPJ, o contato e o valor de cada cliente cobrado.
Escrybe (Brasil): imprimir e postar pelos Correios as cartas que a empresa manda aos clientes dela, quando ela liga o envio de cartas. Recebe o nome e o endereço de quem recebe a carta e o texto da carta.
Direct Data (Brasil): achar um telefone de contato pelo CPF, quando a empresa liga essa busca e a pessoa não tem telefone cadastrado. Recebe o CPF da pessoa.
Telegram (fora do Brasil): avisos internos para a equipe da Forya, como o de uma conta nova, o do fechamento das faturas do mês e o de uma falha no servidor. Recebe o nome da empresa, o valor das faturas e, nas empresas montadas pela equipe da Forya, os avisos do dia para o dono (como nomes de documentos e quantas pendências há).
Meta (WhatsApp) (fora do Brasil): as mensagens de WhatsApp da empresa, pelo WhatsApp oficial ou pelo número conectado, e o botão que liga a conta oficial dela. Recebe os números, a hora e o texto de cada mensagem (no número conectado, o texto vai cifrado de ponta a ponta).
360dialog (Alemanha): as mensagens do WhatsApp oficial da empresa que conecta pela conta dela na 360dialog, parceira oficial da Meta. Recebe os números, a hora e o texto de cada mensagem.
OpenRouter (Estados Unidos): a transcrição do áudio das reuniões, das notas de voz e dos áudios que chegam pela conversa. Recebe o áudio, só para devolver o texto.
BrasilAPI e CNPJ.ws (Brasil): o cadastro público de empresas. Recebe só o número do CNPJ.

O servidor da Forya, onde ficam os dados das empresas, é alugado da Railway, nos Estados Unidos. A busca nos documentos e a leitura de texto em imagens (OCR) rodam nesse servidor; a transcrição de áudio é feita pelo OpenRouter. O texto que sai delas só vai para a Anthropic quando um agente precisa dele para responder.

Quando a empresa liga a conta de e-mail dela, as mensagens saem pelo servidor de e-mail da própria empresa. Quando ela conecta um número de WhatsApp pelo caminho não oficial, o programa que envia roda no servidor da Forya, mas as mensagens passam pelos servidores do WhatsApp, como em qualquer celular.

Quando a empresa conecta a conta Asaas dela para emitir boletos, a Forya manda para essa conta o nome de quem paga, o valor, o vencimento e a descrição. Quando ela conecta o sistema dela, a Forya lê e, com o segundo sim do dono, escreve nesse sistema em nome dela.

A equipe da Forya pode abrir a conta de uma empresa para dar suporte. Quando isso acontece, a tela mostra um aviso, essa entrada dura no máximo 2 horas e o que for feito fica registrado em nome da Forya.

Também compartilhamos quando a lei ou uma ordem judicial obrigar.

5. Transferência para fora do Brasil

Alguns desses fornecedores ficam fora do Brasil, como diz a lista acima.

Para os dados da conta, a transferência é necessária para cumprir o contrato com você (art. 33, IX, com o art. 7º, V, da LGPD).

Para os dados que a empresa cliente põe na plataforma, a base da transferência é: a execução do contrato com a empresa cliente (LGPD, art. 33, IX, combinado com o art. 7º, V), porque sem esses fornecedores o serviço contratado não funciona. Cabe à empresa, como controladora, informar as pessoas.

Para proteger: mandamos para fora só o que a tarefa precisa, mantemos a busca, a leitura de imagens e a transcrição no nosso servidor, e todo envio vai por conexão protegida (HTTPS, a conexão cifrada da internet).

6. Onde os dados ficam e por quanto tempo

Os dados ficam guardados num servidor da Forya, no Brasil. Cada empresa tem o próprio arquivo de banco de dados, separado das outras.

Fazemos cópia de segurança todos os dias. A cópia que sai do servidor vai cifrada (AES-256, um padrão forte de cifra) para um computador da equipe da Forya, também no Brasil.

Para responder, parte do conteúdo passa pelos fornecedores da lista acima, alguns fora do Brasil.

As cópias de segurança guardam o que existia no dia e saem no rodízio: até 8 semanas no servidor e 21 dias na cópia de fora. Por isso, o que é apagado na Forya ainda pode ficar nas cópias até esses prazos.

Os prazos:

conta e equipe: enquanto a conta existir; depois do cancelamento, vale o prazo dos Termos de Uso;
a data do último acesso de cada pessoa: enquanto a conta existir;
o registro de acesso (data, hora e IP de cada entrada): 6 meses, e depois é apagado;
o aceite destes documentos (versão, data, IP e navegador): enquanto a conta existir e, depois do fim dela, pelo prazo em que a prova pode ser pedida na Justiça (até 5 anos);
pedido de criar conta: apagado em 7 dias;
arquivos enviados no chat: apagados em 7 dias, a não ser que algo na empresa ainda dependa deles;
áudio de reunião: apagado quando a transcrição fica pronta, ou em até 7 dias se ela falhar; a transcrição fica 90 dias, por padrão;
o rastro técnico de cada resposta dos agentes (as ferramentas usadas): 7 dias; as conversas ficam até alguém apagá-las;
as autorizações de contato e os pedidos para não receber mais: enquanto a empresa mantiver a conta, para respeitar quem pediu para parar;
o registro de quem exportou ou apagou dados pessoais: enquanto a conta existir;
faturas e pagamentos: 5 anos, o prazo da lei fiscal;
a decisão de quem assinou ou confirmou um documento: a empresa cliente pode guardar como prova (art. 16, I e art. 7º, VI), mesmo se a pessoa pedir para apagar o contato.

Também guardamos, por 90 dias, um registro de cada e-mail que a Forya manda (para quem, o assunto, quando e se chegou), para conferir a entrega. O link de uso único que vai no e-mail não fica nesse registro.

7. O registro de acesso (Marco Civil da Internet)

Guardamos o registro de cada acesso à Forya (data, hora e IP) por 6 meses, em sigilo e em ambiente seguro, como manda o Marco Civil da Internet (art. 15). Só entregamos com ordem judicial.

A base legal é o cumprimento de obrigação legal (art. 7º, II, da LGPD). O registro não guarda a senha, o navegador nem o conteúdo do que foi feito, e nenhuma tela da Forya o mostra.

8. Como protegemos

cada empresa tem banco de dados próprio, separado das outras;
as senhas ficam guardadas embaralhadas de um jeito que não volta ao texto, nunca o texto;
a sessão usa um cookie assinado pelo servidor, que o código da página não lê; trocar a senha derruba as sessões antigas;
há limite de tentativas no login, na criação de conta e no pedido de senha nova;
chaves e senhas de sistemas conectados (o sistema da empresa, o e-mail, o pagamento) ficam fora do banco de dados, em arquivos que só o servidor lê, e não voltam para nenhuma tela;
quando a Forya abre um site ou um sistema a pedido da empresa, um bloqueio impede que ela alcance endereços internos da rede;
a conexão entre o navegador e a Forya é protegida (HTTPS);
a cópia de segurança é testada todo dia, e a que sai do servidor vai cifrada;
cada empresa tem o registro de quem exportou ou apagou dados pessoais, e de quem abriu algumas fichas.

Nenhum sistema é 100% seguro. Se algo acontecer, seguimos o item sobre incidentes.

9. Os seus direitos

Pela LGPD (art. 18), você pode pedir:

a confirmação de que tratamos dados seus, e o acesso a eles;
a correção de dados incompletos ou errados;
a anonimização, o bloqueio ou a eliminação do que for desnecessário ou tratado fora da lei;
a portabilidade dos dados;
a eliminação dos dados tratados com o seu consentimento, e a revogação do consentimento;
a informação de com quem compartilhamos;
a informação sobre poder não dar o consentimento, e o que acontece se não der;
a oposição a um tratamento feito sem o seu consentimento, quando ele não seguir a lei (art. 18, § 2º);
a revisão de uma decisão tomada só por meio automático (art. 20).

Como pedir: escreva para [email protected], de preferência do e-mail da conta. É de graça. Respondemos em até 15 dias.

Na Forya, o dono da conta já faz sozinho, em Ajustes, em Privacidade e memória, na opção LGPD: baixar uma cópia dos cadastros, registros, documentos e decisões da empresa (as conversas, as mensagens e os arquivos enviados saem por pedido); apagar o cadastro de uma pessoa e o histórico de contato dela (com confirmação); e ver quem exportou ou apagou dados pessoais. O que cita a pessoa em conversas, documentos e arquivos enviados é apagado à parte, e as cópias de segurança saem no rodízio. Em Conta, cada pessoa corrige o próprio nome e troca a senha.

Se o pedido for sobre dados que uma empresa cliente pôs na Forya, passamos o pedido para ela e ajudamos a responder.

Você também pode reclamar na Autoridade Nacional de Proteção de Dados (ANPD) e nos órgãos de defesa do consumidor.

10. Cookies

A Forya usa só os cookies necessários para funcionar:

forya_sessao: mantém você conectado, por até 180 dias, renovado com o uso; sai quando você sai da conta;
forya_tema: lembra se você prefere o tema claro ou o escuro, por 1 ano;
forya_volta e forya_origem: usados só quando a equipe da Forya abre uma conta para dar suporte, por até 2 horas.

O navegador também guarda algumas preferências da tela (a barra lateral, a largura do painel, a última conversa aberta) e a data em que a sessão foi renovada.

Não usamos cookies de publicidade nem ferramentas de análise de terceiros.

11. Incidentes de segurança

Se acontecer um incidente que possa trazer risco ou dano relevante, avisamos a ANPD e as pessoas afetadas em até 3 dias úteis, como pedem o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024.

Se o incidente envolver dados que uma empresa cliente pôs na Forya, avisamos a empresa em até 48 horas depois de saber, para que ela, como controladora, faça a comunicação.

12. Encarregado de dados

O encarregado pelo tratamento de dados pessoais da Forya (art. 41 da LGPD) é David Moreira Moretti. Contato: [email protected].

13. Crianças e adolescentes

A Forya não é feita para menores de 18 anos, e só maiores podem ter conta.

Se uma empresa cliente tratar dados de crianças ou adolescentes na Forya, ela é a responsável pela base legal e pelo melhor interesse deles (art. 14 da LGPD). A Forya trata esses dados só para o serviço, como operadora.

14. Mudanças nesta política

Podemos mudar esta política. Cada versão tem número e data. Mudança importante é avisada com pelo menos 30 dias, por e-mail e dentro da Forya.