Privacidade

Versão: 1.0
Última atualização: 13 de agosto de 2026

1. Objetivo e escopo

Esta Política explica como a lOrdly coleta, utiliza, armazena, compartilha, protege e elimina Dados Pessoais relacionados à Plataforma lOrdly.

Ela se aplica aos Usuários da Plataforma, representantes e contatos de organizações clientes, potenciais clientes registrados nos sistemas internos da lOrdly e, quando aplicável, a pessoas cujos Dados Pessoais possam estar contidos em dados conectados pelo Cliente.

Para fins desta Política, lOrdly significa lOrdly inova simples, inscrita no CNPJ sob nº 64.722.332/0001-62, com sede em Rua dos Lagos, Palhoça, SC.

Esta Política deve ser lida em conjunto com os Termos da lOrdly.

2. Quem é o agente de tratamento

A definição de controlador ou operador depende da finalidade e da operação de tratamento.

2.1. Quando a lOrdly atua como controladora

Em regra, a lOrdly atua como controladora quando define as finalidades e os meios essenciais do tratamento relacionado a:

• cadastro e autenticação dos Usuários;
• administração e segurança da Plataforma;
• relacionamento com Usuários;
• registro de feedback;
• gestão interna de prospects, notas e tarefas administrativas;
• cumprimento de obrigações legais;
• defesa de direitos da lOrdly;
• prevenção a abuso e controle de limite de uso.

2.2. Quando a lOrdly pode atuar como operadora

A lOrdly pode atuar como operadora, em nome do Cliente, quando processa Dados Pessoais inseridos ou conectados pelo Cliente exclusivamente para executar funcionalidades contratadas, por exemplo quando dados obtidos de uma fonte do Cliente contêm Dados Pessoais de terceiros.

Nessas situações, o Cliente poderá ser o controlador da operação e será responsável pelas decisões que a LGPD atribui ao controlador, inclusive legitimidade da coleta, base legal, transparência e atendimento dos titulares, sem prejuízo das obrigações próprias da lOrdly como operadora.

2.3. Situações de papéis distintos

Uma mesma relação pode conter operações em que a lOrdly atua como controladora e outras em que atua como operadora. O papel será definido pela operação concreta, e não apenas pelo nome dado em contrato.

Quando necessário, as partes poderão celebrar acordo específico de tratamento de dados.

3. Quais dados tratamos

A lOrdly trata as categorias abaixo conforme as funcionalidades efetivamente utilizadas.

3.1. Dados do Usuário e responsável pela conta

• nome completo;
• e-mail;
• cargo ou função;
• senha, armazenada somente por hash;
• dados de autenticação e sessão;
• tokens de acesso e renovação;
• tokens OAuth do Google, armazenados de forma criptografada.

3.2. Dados da organização

• CNPJ;
• nome da organização;
• CNAE e descrição;
• porte;
• natureza jurídica;
• UF;
• município;
• demais dados empresariais retornados pela fonte pública utilizada, quando disponíveis e necessários.

Dados relacionados exclusivamente a pessoa jurídica não são, por si só, Dados Pessoais. Contudo, determinados dados empresariais podem identificar pessoas naturais, como representantes, contatos ou empresários individuais, e nessas hipóteses são tratados conforme a LGPD.

3.3. Dados declarados no onboarding

• indicação se o negócio vende online, offline ou ambos;
• website;
• Instagram;
• LinkedIn;
• segmento;
• faixa de tamanho;
• faixa de faturamento;
• canal principal;
• principal desafio informado.

3.4. Objetivos e critérios de negócio

• objetivo primário;
• objetivo secundário;
• valor-alvo;
• unidade do valor;
• prazo;
• restrições de negócio;
• critérios de priorização.

3.5. Dados obtidos por integrações Google

Mediante conexão OAuth autorizada pelo Usuário:

Google Analytics 4

• ID e nome da propriedade;
• sessões;
• usuários;
• conversões;
• eventos;
• canais;
• páginas;
• dispositivos;
• outras métricas solicitadas pela funcionalidade da lOrdly e permitidas pelos escopos autorizados.

Google Search Console

• URL do site verificado;
• impressões;
• cliques;
• CTR;
• posição média;
• consultas;
• páginas;
• dados de inspeção de URL;
• sinais de experiência e desempenho, incluindo dados disponibilizados pelas APIs utilizadas.

A lOrdly não presume que todos os dados provenientes dessas fontes sejam anônimos. Dependendo da configuração da conta e do dado retornado, informações poderão ser consideradas Dados Pessoais ou estar relacionadas a identificadores online.

3.6. Dados coletados pelo Scanner

Quando o Cliente informa um website para análise, o Scanner pode coletar:

• HTML;
• headers;
• cookies definidos pelo site visitado;
• requisições de rede;
• variáveis ou objetos JavaScript observáveis;
• TTFB;
• FCP;
• LCP;
• tempo de carregamento e sinais relacionados ao DOM;
• tecnologias detectadas;
• indicadores de SEO;
• indicadores de segurança;
• indicadores de desempenho.

A coleta tem finalidade de analisar o website informado pelo Cliente. A lOrdly não utiliza o Scanner como ferramenta de invasão ou de exploração ofensiva.

3.7. Dados de uso e interação

• mensagens enviadas ao chat de IA;
• histórico de conversas;
• títulos de conversas;
• workspaces ou áreas equivalentes da conta;
• feedback;
• categoria do feedback;
• nota;
• mensagem;
• NPS;
• contagem diária de mensagens para controle de limite;
• status interno de prospect;
• notas e tarefas administrativas relacionadas ao relacionamento.

3.8. Dados derivados

A lOrdly gera informações derivadas das fontes disponíveis, tais como:

• snapshot de inteligência;
• diagnóstico;
• narrativa gerada por IA;
• score de confiança;
• problema primário;
• gap de percepção;
• concorrentes inferidos;
• impacto financeiro estimado;
• custo de inação estimado;
• evidências;
• plano de ação;
• prioridades.

Esses dados derivados podem ser imprecisos ou probabilísticos e não devem ser interpretados automaticamente como fatos sobre pessoas naturais.

4. Como coletamos os dados

Os dados podem ser coletados das seguintes formas.

4.1. Diretamente do Usuário

Por cadastro, onboarding, configurações, integrações, chat, feedback e demais formulários.

4.2. Fontes públicas

A lOrdly utiliza a BrasilAPI para consulta e enriquecimento de CNPJ.

O fato de uma informação estar publicamente disponível não elimina a incidência da LGPD quando se tratar de Dado Pessoal. O tratamento continuará sujeito aos princípios da finalidade, adequação, necessidade e boa-fé.

4.3. OAuth 2.0 do Google

O Usuário conecta sua conta Google e visualiza as permissões solicitadas.

A lOrdly recebe os tokens necessários e utiliza as APIs autorizadas para acessar dados do Google Analytics 4 e do Search Console.

O Usuário pode revogar a autorização nos mecanismos disponibilizados pela própria lOrdly, quando existentes, ou pelos controles da Conta Google. A revogação pode impedir ou limitar funcionalidades que dependem desses dados.

4.4. Scanner automatizado

A lOrdly utiliza navegador automatizado para acessar o website informado pelo Cliente e analisar conteúdo e sinais técnicos visíveis durante a navegação.

4.5. Armazenamento no navegador

A aplicação utiliza localStorage e sessionStorage para manter sessão e estado de fluxo.

Atualmente podem ser armazenados no navegador:

• lordly_session, contendo tokens de acesso/renovação e dados necessários da sessão do Usuário e organização;
• flags de experiência, como boas-vindas e retomada de onboarding.

Esses mecanismos não são cookies. Contudo, são formas de armazenamento local no dispositivo e devem ser protegidos contra acesso não autorizado.

5. Para que usamos os dados e quais bases legais aplicamos

A lOrdly aplica a base legal adequada a cada finalidade. A autorização OAuth é um mecanismo técnico e não substitui a análise da base legal prevista na LGPD.

5.1. Legítimo interesse

Quando a lOrdly utilizar legítimo interesse, deverá:

• identificar finalidade legítima e concreta;
• considerar as expectativas do titular;
• utilizar somente os dados estritamente necessários;
• avaliar impactos aos direitos e liberdades;
• manter transparência;
• adotar salvaguardas proporcionais.

O legítimo interesse não será utilizado como justificativa genérica para qualquer tratamento.

6. Dados do Google e política de uso limitado

A utilização de dados obtidos por APIs do Google é limitada às funcionalidades que justificaram a solicitação de acesso.

A lOrdly utiliza esses dados para fornecer ou melhorar funcionalidades voltadas ao próprio Usuário, incluindo:

• diagnóstico;
• evidências;
• score de confiança;
• análise de tráfego e busca;
• plano de ação;
• chat contextual;
• atualização da inteligência da organização.

A lOrdly não utiliza dados provenientes das APIs Google para publicidade comportamental nem os disponibiliza a data brokers.

Quando o processamento por um fornecedor for necessário para fornecer uma funcionalidade visível ao Usuário, a lOrdly limitará o compartilhamento ao necessário para essa finalidade e observará as regras aplicáveis do Google.

6.1. IA generativa, AI Gateway e dados do Google

De acordo com a arquitetura informada, a lOrdly pode enviar contexto de negócio, métricas de GA4/GSC, dados do Scanner e mensagens do chat para serviços de IA generativa a fim de gerar narrativa e respostas que aparecem na Plataforma.

Esse fluxo deverá ser mantido apenas na medida necessária à funcionalidade solicitada pelo Usuário.

A lOrdly opera um AI Gateway próprio, camada de proteção e governança que concentra o roteamento, o registro e o controle das requisições de IA, de forma independente do provedor de modelo utilizado. Por meio dessa camada, a lOrdly controla quais dados são expostos a cada provedor, a retenção de logs e prompts e a desativação do uso para treinamento sempre que o provedor permitir.

Antes da publicação desta Política, a lOrdly deve confirmar e documentar, para cada provedor de modelo utilizado:

• país ou países de processamento aplicáveis;
• período de retenção de prompts e respostas pelo provedor;
• se prompts, respostas ou dados derivados podem ser utilizados pelo provedor para treinamento ou melhoria de modelos;
• base contratual que disciplina confidencialidade, suboperadores e exclusão.

A existência do AI Gateway próprio não autoriza, por si só, a afirmar que o provedor "não retém" ou "não treina" com os dados. Essa afirmação só poderá ser feita quando as garantias contratuais e as configurações aplicáveis forem confirmadas.

7. Inteligência artificial e decisões automatizadas

A lOrdly utiliza IA e regras automatizadas para gerar diagnósticos, narrativas, scores, estimativas, hipóteses e recomendações.

Essas saídas têm natureza assistiva e podem envolver tratamento automatizado.

Quando uma decisão for tomada unicamente com base em tratamento automatizado de Dados Pessoais e afetar interesses do titular, o titular poderá exercer os direitos previstos no art. 20 da LGPD, incluindo solicitar revisão e informações claras sobre critérios e procedimentos, observados os segredos comercial e industrial.

A lOrdly deverá avaliar cada solicitação conforme a natureza da decisão e o papel que exerce na operação de tratamento.

A Plataforma é direcionada à análise de negócios e não foi concebida para tomar decisões automatizadas sobre crédito, emprego, saúde, seguro ou elegibilidade individual.

8. Cookies, localStorage, sessionStorage e analytics

8.1. Cookies próprios de rastreamento

De acordo com a configuração técnica atual, a lOrdly não utiliza cookies próprios de rastreamento no frontend para analytics.

Isso não significa que nenhum cookie técnico possa ser definido por infraestrutura, segurança, autenticação externa ou sites de terceiros acessados durante integrações. Cada fluxo deve ser analisado conforme a tecnologia efetivamente utilizada.

8.2. Armazenamento local

A lOrdly utiliza localStorage e sessionStorage para sessão e flags de fluxo, conforme descrito nesta Política.

8.3. Google Analytics 4 da própria lOrdly

Existe código utilitário para eventos de GA4 da própria Plataforma, mas o rastreamento está atualmente inativo porque o snippet de analytics não foi habilitado.

Se a lOrdly ativar analytics próprio, esta Política será atualizada antes ou juntamente com a mudança, e os mecanismos jurídicos e de transparência aplicáveis serão implementados.

9. Com quem compartilhamos dados

A lOrdly utiliza prestadores que processam dados para permitir o funcionamento da Plataforma.

A lOrdly exige que o compartilhamento seja limitado à finalidade necessária.

9.1. Playwright/Chromium, Redis e BullMQ

Playwright/Chromium, Redis e BullMQ são componentes de software utilizados pela arquitetura da lOrdly. Por si só, não constituem empresas terceiras destinatárias de Dados Pessoais.

O Scanner baseado em Playwright/Chromium é executado na infraestrutura contratada pela lOrdly.

9.2. Outros destinatários

A lOrdly também poderá compartilhar dados quando estritamente necessário para:

• cumprir obrigação legal;
• responder a ordem judicial ou de autoridade competente;
• exercer ou defender direitos;
• investigar fraude, abuso ou incidente de segurança;
• reorganização societária, desde que observadas as salvaguardas legais e contratuais aplicáveis.

10. Transferência internacional de dados

A infraestrutura e os fornecedores da lOrdly podem envolver processamento fora do Brasil.

A LGPD exige que a transferência internacional esteja amparada por base legal e por mecanismo válido de transferência, conforme o art. 33 da LGPD e a regulamentação da ANPD.

A lOrdly deverá manter registro das transferências e adotar o mecanismo aplicável a cada fluxo, que poderá incluir, conforme o caso:

• decisão de adequação;
• cláusulas-padrão contratuais aprovadas pela ANPD;
• cláusulas contratuais específicas aprovadas;
• normas corporativas globais aprovadas;
• outro mecanismo permitido pelo art. 33 da LGPD, quando juridicamente cabível.

10.1. Quadro que deve ser concluído antes da publicação

A lOrdly deverá disponibilizar ao titular, quando legalmente exigido e mediante solicitação, informações sobre o mecanismo utilizado e, nas hipóteses regulamentadas pela Resolução CD/ANPD nº 19/2024, a documentação aplicável observados os segredos comercial e industrial.

11. Por quanto tempo mantemos os dados

A lOrdly mantém Dados Pessoais apenas pelo período necessário para cumprir as finalidades informadas ou obrigações legais.

Os critérios gerais são:

• conta ativa: enquanto a conta ou relação contratual estiver ativa e os dados forem necessários à prestação do serviço;
• dados de integração: enquanto a integração estiver conectada ou enquanto os dados já coletados forem necessários para snapshots e funcionalidades contratadas, conforme política de retenção aplicável;
• chat e diagnósticos: enquanto necessários para histórico, continuidade da funcionalidade e finalidade contratada;
• dados de relacionamento e CRM: enquanto existir relação, negociação ou interesse legítimo documentado, sujeito a revisão periódica;
• dados necessários para obrigação legal ou defesa de direitos: pelo período legal ou prescricional aplicável;
• dados tratados com consentimento: até revogação ou encerramento da finalidade, ressalvadas hipóteses legais de conservação.

11.1. Soft delete e exclusão definitiva

A arquitetura atual prevê soft delete por meio de marcação lógica de exclusão.

Soft delete não equivale, por si só, à eliminação definitiva prevista na LGPD.

Antes da publicação desta Política, a lOrdly deve definir e implementar:

• prazo máximo entre soft delete e exclusão definitiva dos sistemas ativos: 30 dias corridos;
• política de expiração em backups: backups retidos por até 30 dias com rotação automática; ao fim da janela, o dado excluído deixa de existir em cópias restauráveis;
• prazo de exclusão de tokens e credenciais revogadas: invalidação imediata na revogação e exclusão do registro em até 7 dias;
• tratamento de snapshots, chat e dados derivados após encerramento: exclusão no mesmo prazo aplicável à conta; admitida a conservação apenas de dados agregados ou anonimizados, sem identificação de pessoas;
• exceções de retenção por obrigação legal e exercício de direitos.

Após o término do tratamento, a conservação somente ocorrerá nas hipóteses permitidas pelo art. 16 da LGPD.

12. Segurança da informação

A lOrdly adota medidas técnicas e administrativas destinadas a proteger os Dados Pessoais contra acesso não autorizado, perda, alteração, destruição ou tratamento inadequado.

As medidas atualmente informadas incluem:

• senhas armazenadas por hash com bcrypt;
• tokens OAuth criptografados com AES;
• autenticação por access token e refresh token;
• SSL/TLS nas comunicações aplicáveis;
• conexão SSL com o banco de dados;
• infraestrutura de backend e Scanner isolada em serviços conteinerizados;
• uso de provedores especializados de infraestrutura.

Por segurança, esta Política não publica portas, topologia interna, nomes de rede, tipo de instância ou outros detalhes que não sejam necessários ao exercício dos direitos dos titulares.

Nenhuma medida elimina integralmente riscos. A lOrdly deverá revisar controles conforme evolução da tecnologia, natureza dos dados e riscos da operação.

13. Incidentes de segurança

Quando ocorrer incidente de segurança envolvendo Dados Pessoais, a lOrdly avaliará natureza, extensão, titulares afetados, riscos e medidas de mitigação.

Quando a lOrdly atuar como controladora e o incidente puder acarretar risco ou dano relevante, realizará as comunicações à ANPD e aos titulares nos prazos e condições da regulamentação aplicável.

A regulamentação atual da ANPD estabelece, como regra geral, prazo de três dias úteis para comunicação de incidente relevante à ANPD e aos titulares, contado do conhecimento pelo controlador de que o incidente afetou Dados Pessoais, ressalvadas normas específicas.

Quando a lOrdly atuar como operadora, comunicará o controlador sem demora injustificada e prestará as informações disponíveis necessárias à avaliação e comunicação.

14. Direitos dos titulares

Nos termos da LGPD, o titular poderá, conforme aplicável, solicitar:

• confirmação da existência de tratamento;
• acesso aos Dados Pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, conforme regulamentação aplicável;
• eliminação de dados tratados com consentimento, ressalvadas hipóteses legais de conservação;
• informação sobre entidades públicas e privadas com as quais houve uso compartilhado;
• informação sobre a possibilidade de não fornecer consentimento e suas consequências, quando o consentimento for a base aplicável;
• revogação do consentimento;
• oposição a tratamento realizado sem consentimento em caso de descumprimento da LGPD;
• revisão e informações sobre decisões automatizadas nas hipóteses do art. 20.

14.1. Como exercer direitos

Solicitações deverão ser enviadas para:

Privacidade / Encarregado: eduardo@lordly.io
Responsável: Eduardo Sully

A lOrdly poderá solicitar informações razoáveis para confirmar a identidade do requerente e evitar fraude ou acesso indevido a dados de terceiros.

Quando a lOrdly atuar apenas como operadora e receber solicitação relativa a dados controlados pelo Cliente, poderá encaminhar o titular ao Cliente ou comunicar a solicitação ao controlador competente.

O titular também possui direito de peticionar perante a ANPD, observadas as regras aplicáveis.

15. Revogação das integrações Google

O Usuário pode revogar uma integração Google.

A revogação:

• interrompe novos acessos dependentes daquela autorização;
• pode limitar diagnóstico, atualização de métricas ou outras funcionalidades;
• não elimina automaticamente dados já coletados quando houver outra base legal que justifique sua retenção;
• não impede pedido de exclusão quando cabível.

A lOrdly deve invalidar ou deixar de utilizar tokens revogados conforme sua política operacional de credenciais.

16. Crianças e adolescentes

A Plataforma é B2B e direcionada a representantes profissionais de organizações.

A lOrdly não direciona deliberadamente o serviço a crianças e não pretende coletar Dados Pessoais de crianças ou adolescentes como titulares de contas.

Caso a lOrdly identifique tratamento não previsto envolvendo crianças ou adolescentes, deverá avaliar a operação e adotar as medidas necessárias conforme o art. 14 da LGPD e o melhor interesse do titular.

17. Dados pessoais sensíveis

A Plataforma não é desenhada para solicitar Dados Pessoais sensíveis no cadastro ou onboarding descritos nesta Política.

Como campos de texto livre, integrações ou dados de terceiros podem conter informações não previstas, o Usuário deve evitar inserir Dados Pessoais sensíveis que não sejam necessários à finalidade contratada.

Se uma operação legítima exigir tratamento de Dados Pessoais sensíveis, deverá ser submetida a avaliação específica de finalidade, necessidade, base legal, risco e salvaguardas antes de ser implementada.

18. Alterações desta Política

Esta Política poderá ser atualizada para refletir mudanças legais, regulatórias, técnicas ou de produto.

Alterações materiais serão comunicadas por meio razoável.

Quando a mudança introduzir nova finalidade incompatível com consentimento anteriormente fornecido, ou quando a lei exigir nova manifestação, a lOrdly solicitará a providência adequada antes do novo tratamento.

A data da versão mais recente será indicada no início do documento.

19. Contato do controlador

Controlador: lOrdly inova simples
CNPJ: 64.722.332/0001-62
Endereço: Rua dos Lagos, Palhoça, SC
E-mail de privacidade: eduardo@lordly.io
Encarregado: Eduardo Sully
Contato do encarregado: eduardo@lordly.io

20. Base normativa principal

Esta Política foi estruturada considerando, entre outras normas aplicáveis:

• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais;
• Lei nº 12.965/2014 — Marco Civil da Internet;
• Decreto nº 8.771/2016;
• Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança;
• Resolução CD/ANPD nº 18/2024 — Regulamento sobre a atuação do encarregado;
• Resolução CD/ANPD nº 19/2024 — Regulamento de Transferência Internacional de Dados;
• políticas aplicáveis do Google para acesso e uso de dados obtidos por Google API Services.