Esta política explica como a Galactia Tecnologia Ltda., inscrita no CNPJ sob o nº 69.947.308/0001-45 (“Galactia”, “nós”), trata dados pessoais no site galactia.com.br e na plataforma Galactia.
Escrevemos em linguagem direta de propósito. Se algo aqui não estiver claro, fale conosco pelo e-mail privacidade@galactia.com.br — responder essa dúvida faz parte do trabalho.
1. Antes de tudo: nós temos dois papéis diferentes
A Galactia é uma plataforma que outras empresas contratam para atender os clientes delas. Isso cria duas situações diferentes, e os seus direitos mudam conforme a situação:
- Somos controladores quando você visita o nosso site, pede um contato comercial, cria uma conta ou usa o painel como usuário. Aqui somos nós que decidimos por que e como tratamos os seus dados — e é conosco que você fala.
- Somos operadores quando uma empresa cliente usa a plataforma para atender você. O conteúdo das conversas, o seu cadastro de contato, os seus chamados e os seus dados no funil de vendas pertencem a essa empresa: é ela quem decide as finalidades, e nós apenas processamos seguindo as instruções dela.
Se você é cliente de uma empresa que usa o Galactia e quer acessar, corrigir ou excluir os seus dados, procure primeiro essa empresa — ela é a controladora. Se preferir falar conosco, encaminhamos o seu pedido a ela em até 5 dias úteis e avisamos você que encaminhamos. Não podemos alterar nem excluir dados de dentro da conta de um cliente por conta própria, exceto quando ele nos instrui ou quando a lei nos obriga.
2. Quais dados tratamos como controladores
Dados que você nos fornece
- Contato comercial: nome, e-mail, telefone, empresa, CNPJ (opcional), soluções de interesse e o conteúdo da sua mensagem, quando você preenche o formulário de contato ou o atalho de WhatsApp do site.
- Conta na plataforma: nome, e-mail corporativo, senha (guardada apenas como resumo criptográfico — nós não conseguimos lê-la), telefone, foto de perfil e a configuração de verificação em duas etapas.
- Contratação: razão social, CNPJ, endereço, responsável e os dados necessários à cobrança e à emissão de documento fiscal.
- Suporte: o que você nos escreve ao pedir ajuda, incluindo anexos que você decidir enviar.
Dados coletados automaticamente
- Registros de acesso: endereço IP, data e hora, identificação do navegador (user agent) e a ação realizada. Guardamos esses registros porque a lei nos obriga (Marco Civil da Internet, art. 15) e porque são a prova de quem fez o quê dentro da plataforma.
- Cookies, descritos na seção 6.
-
Navegação no site comercial, só com o seu aceite: se você aceitar o aviso de
cookies, registramos quais páginas do galactia.com.br você visitou, quando e quantas vezes, o
título delas e de onde você chegou — o site anterior, os parâmetros de campanha (como
utm_source) e o identificador de clique de anúncio presentes no endereço. O endereço da página é guardado sem os parâmetros de consulta, onde costumam ir e-mails e códigos. Se depois você nos enviar um formulário do site, ligamos essa navegação ao seu cadastro comercial, para entendermos o que interessa a você. Sem o aceite, nada disso é registrado. - Prova de aceite: quando você aceita um termo ou um consentimento, guardamos a versão do texto, um resumo criptográfico dele, a data, o IP e o user agent. É o que nos permite demonstrar exatamente o que você leu — e detectar se aquele texto foi alterado depois.
O que nós não fazemos
- Não vendemos dados pessoais.
- Não usamos os seus dados para publicidade comportamental de terceiros.
- Não pedimos dados sensíveis (saúde, biometria, opinião política, convicção religiosa, orientação sexual) e não os usamos como critério de nada. Se você nos enviar algum espontaneamente, tratamos apenas o necessário para responder ao seu pedido.
3. Quais dados tratamos como operadores
Nas contas dos nossos clientes, a plataforma armazena e processa, por instrução deles: cadastros de contato; o conteúdo de conversas de WhatsApp, Instagram, Messenger, e-mail, chat e formulários, incluindo anexos, imagens e áudios; chamados, prazos e avaliações de atendimento; negócios, propostas e documentos; campanhas de e-mail e o registro de abertura e clique (com IP, user agent e país); as respostas automáticas que o cliente configura para quem escreve uma palavra-chave numa mensagem ou num comentário público no WhatsApp, no Instagram, no Facebook ou numa Página do LinkedIn (nesta, só o texto do comentário e o identificador do membro que o LinkedIn informa), com o registro de quem pediu, de quem respondeu e de quem clicou no link ou baixou o arquivo enviado; gravações e transcrições de reuniões, quando o cliente ativa esse recurso; os e-mails e os horários de agenda das contas Microsoft ou Google que os usuários dele conectam (seção 14); as conversas sincronizadas pela extensão do WhatsApp Web (seção 15); e a base de conhecimento que ele publica.
Não usamos esses dados para nenhuma finalidade própria — nem para melhorar os nossos produtos, nem para treinar modelos de inteligência artificial. O nosso acesso técnico existe apenas para operar, dar suporte e corrigir falhas, é restrito por perfil de acesso e fica registrado na trilha de auditoria da conta.
4. Por que tratamos cada dado, e com qual base legal
| Finalidade | Base legal (LGPD) |
|---|---|
| Responder ao seu contato comercial e apresentar proposta | Procedimentos preliminares de contrato — art. 7º, V |
| Criar e manter a sua conta, prestar o serviço e dar suporte | Execução de contrato — art. 7º, V |
| Cobrar, faturar e emitir documento fiscal | Execução de contrato e obrigação legal — art. 7º, V e II |
| Guardar registros de acesso à aplicação | Obrigação legal — art. 7º, II (Marco Civil, art. 15) |
| Segurança: prevenir fraude, abuso e acesso indevido | Legítimo interesse — art. 7º, IX, e art. 10 |
| Registrar as páginas do site que você visita e ligá-las ao seu contato comercial | Consentimento — art. 7º, I (dado no aviso de cookies e revogável no botão “Cookies”) |
| Enviar comunicação de marketing sobre os nossos produtos | Consentimento — art. 7º, I (revogável a qualquer momento) |
| Avisar sobre mudanças de serviço, segurança e cobrança | Execução de contrato — art. 7º, V (não é marketing e não depende de consentimento) |
| Defender os nossos direitos em processo administrativo ou judicial | Exercício regular de direitos — art. 7º, VI |
| Tratar dados dentro das contas dos clientes | Na condição de operadores, conforme a base indicada pelo cliente controlador — art. 39 |
5. Inteligência artificial e decisões automatizadas
A plataforma usa modelos de linguagem para sugerir respostas, resumir conversas, gerar ata de reunião, classificar e priorizar atendimento, auditar qualidade e responder dúvidas a partir da base de conhecimento do cliente. Sobre isso, você precisa saber:
- O cliente escolhe o motor. Ele pode usar o modelo que roda na nossa própria infraestrutura, caso em que o conteúdo não sai dos nossos servidores, ou conectar um provedor externo (OpenAI, Anthropic, Google), caso em que o trecho necessário é enviado a esse provedor.
- Não treinamos modelos com o conteúdo dos clientes, e contratamos os provedores externos exigindo que também não o façam.
- A IA sugere; a decisão é humana na configuração padrão. O envio automático de resposta ao cliente final é um recurso que vem desligado e só funciona se o contratante o ligar deliberadamente.
- Direito à revisão (art. 20). Se uma decisão automatizada afetar os seus interesses, você pode pedir revisão e informações sobre os critérios usados. Pedidos sobre decisões tomadas dentro da conta de um cliente são encaminhados a ele; sobre as nossas, respondemos diretamente.
6. Cookies
Cookie é um arquivo pequeno que o site guarda no seu navegador. No nosso site comercial usamos os estritamente necessários — os que fazem o login e a proteção contra fraude funcionarem — e, só se você aceitar o aviso que aparece na primeira visita, os cookies de monitoramento de navegação da própria Galactia. Não usamos cookies de publicidade e não usamos ferramentas de análise de terceiros: não há Google Analytics, Tag Manager nem pixel de rede social neste site. O monitoramento é a mesma ferramenta que oferecemos aos nossos clientes, e o que ele registra fica nos nossos servidores.
| Cookie | Quem gerencia | Para quê | Duração |
|---|---|---|---|
laravel_session | Galactia | Manter você conectado durante a visita | Sessão, com 120 minutos de inatividade |
XSRF-TOKEN | Galactia | Impedir que outro site envie formulários em seu nome | Sessão |
remember_web_* | Galactia | Manter o login quando você marca “lembrar-me” | Até você sair |
__cf_bm e afins | Cloudflare | Distinguir pessoa de robô nos formulários | Curta duração, definida pela Cloudflare |
_glx_c | Galactia | Lembrar se você aceitou ou recusou o monitoramento, para não perguntar de novo a cada página | 400 dias |
_glx_vid | Galactia | Monitoramento (só com aceite): um código aleatório do seu navegador, para reconhecer as páginas visitadas como suas ao longo do tempo | 400 dias |
_glx_s | Galactia | Monitoramento (só com aceite): lembrar por onde você chegou ao site — campanha ou site anterior — enquanto navega | Até fechar o navegador |
Os cookies de monitoramento dependem do seu aceite, e você pode mudar de ideia a qualquer momento no botão “Cookies”, no canto inferior esquerdo das páginas do site. Ao recusar, apagamos do seu navegador o código e a origem da visita e deixamos de registrar páginas; o que já tinha sido registrado segue os prazos da seção 9 — para apagar antes, use o canal da seção 18.
Cookies estritamente necessários não dependem de consentimento, mas você pode bloqueá-los nas configurações do navegador — nesse caso, o login deixa de funcionar. Páginas de captura criadas por nossos clientes na plataforma podem usar um cookie adicional para manter a mesma versão da página durante um teste A/B; nesse caso, quem responde por ele é o cliente que publicou a página.
7. Com quem compartilhamos
Compartilhamos apenas o necessário, e nunca para uso próprio de terceiros:
- Fornecedores de infraestrutura e serviço que operam por nossa conta: hospedagem, envio de e-mail, proteção contra robôs, provedores de mensageria e, quando escolhidos pelo cliente, provedor de inteligência artificial ou de assinatura eletrônica. Todos ficam contratualmente obrigados a tratar os dados apenas conforme as nossas instruções.
- Autoridades públicas, quando houver ordem judicial ou obrigação legal.
- Em uma eventual reorganização societária, mantendo esta política aplicável até comunicação em contrário.
A lista atualizada dos fornecedores que tratam dados pessoais por nossa conta está disponível mediante pedido pelo e-mail privacidade@galactia.com.br.
8. Transferência internacional
Parte dos fornecedores acima fica fora do Brasil — por exemplo, provedores de e-mail transacional, de proteção de borda e de inteligência artificial externa. Nesses casos, a transferência é feita com base em cláusulas contratuais específicas, com as cláusulas-padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), que asseguram ao dado o mesmo nível de proteção da lei brasileira.
Clientes que precisam manter todo o processamento no Brasil podem configurar a conta para usar apenas o modelo de inteligência artificial hospedado na nossa infraestrutura.
9. Por quanto tempo guardamos
| Dado | Prazo | Motivo |
|---|---|---|
| Lead e contato comercial que não virou cliente | 24 meses do último contato | Retomada comercial |
| Navegação no site comercial (só com aceite) | 90 dias da última visita, se você não nos enviar um contato; se enviar, o mesmo prazo do lead | Entender o uso do site e o interesse do contato |
| Dados da conta e do contrato | Enquanto durar o contrato | Prestação do serviço |
| Dados de faturamento e fiscais | 5 anos após o encerramento | Prazos legais e prescricionais |
| Registros de acesso à aplicação | 6 meses | Marco Civil da Internet, art. 15 |
| Trilha de auditoria da conta | Definida pelo cliente, com piso de 90 dias | Segurança e prova de autoria |
| Prova de consentimento | Enquanto válido, e por 5 anos após a revogação | Demonstrar conformidade |
| Registro de incidente de segurança | 5 anos | Resolução CD/ANPD nº 15/2024 |
| Dados dentro das contas dos clientes | Enquanto o cliente mantiver, respeitada a política dele | Ele é o controlador |
| Itens na lixeira da conta (chamados, negócios, contatos e empresas) | A janela que o cliente define, de 1 a 365 dias (padrão de 30) | Permitir desfazer uma exclusão |
| Cópias de segurança | Até 6 meses (7 diárias, 4 semanais e 6 mensais) | Recuperação de desastre |
Encerrado o contrato, o cliente tem 30 dias para exportar os seus dados. Depois disso eliminamos ou anonimizamos, exceto o que a lei nos obriga a manter. A eliminação inclui os arquivos, e não só o registro: quando os dados de uma conta são eliminados, saem com eles os anexos, documentos, gravações e imagens dela; e quando um item vence na lixeira, saem os arquivos que ele tem naquele momento (anexos das mensagens, documentos, envelopes de assinatura e arquivos de campos personalizados). Há duas exceções: a versão anterior de um arquivo de campo personalizado que foi substituído fica até a conta ser eliminada; e as imagens inseridas no editor de texto de modelos e de assinaturas de e-mail ainda não são apagadas automaticamente nem nesse momento — elas saem a pedido, pelo canal da seção 18. Dados já gravados em cópia de segurança são eliminados no ciclo natural de expiração dela — não abrimos backup para apagar um registro individual, porque isso comprometeria a integridade da própria cópia.
10. Segurança
Adotamos medidas técnicas e administrativas compatíveis com o art. 46 da LGPD:
- Tráfego cifrado (HTTPS/TLS) em todas as páginas e integrações.
- Senhas guardadas como resumo criptográfico; credenciais de integração cifradas no banco.
- Verificação em duas etapas disponível para o acesso ao painel.
- Isolamento entre contas aplicado no nível da consulta ao banco, e não apenas na tela.
- Controle de acesso por perfil, permissão e equipe, definido por cada cliente.
- Trilha de auditoria de quem alterou o quê.
- Cópias de segurança diárias, verificadas automaticamente e replicadas fora do servidor principal.
- Proteção contra automação abusiva nos formulários públicos.
- Revisão de segurança das alterações antes da publicação.
Nenhuma medida elimina o risco por completo. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicamos a ANPD e os titulares afetados em até 3 dias úteis a partir do momento em que soubermos que dados pessoais foram atingidos, conforme a Resolução CD/ANPD nº 15/2024, informando o que aconteceu, quais dados foram envolvidos e o que você pode fazer. Quando o incidente atingir dados de uma conta de cliente, comunicamos o cliente para que ele cumpra o dever dele como controlador.
11. Os seus direitos
A LGPD (art. 18) garante a você, gratuitamente:
- Confirmar se tratamos os seus dados;
- Acessar os dados que temos sobre você;
- Corrigir dados incompletos, inexatos ou desatualizados;
- Pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei;
- Pedir a portabilidade a outro fornecedor;
- Pedir a eliminação dos dados tratados com base no seu consentimento;
- Saber com quem compartilhamos os seus dados;
- Ser informado sobre a possibilidade de não consentir e sobre as consequências disso;
- Revogar o consentimento a qualquer momento;
- Opor-se a tratamento feito com base em legítimo interesse;
- Pedir a revisão de decisão tomada apenas por meio automatizado (art. 20).
Como pedir: escreva para privacidade@galactia.com.br. Respondemos de imediato, em formato simplificado, ou em até 15 dias quando o pedido exigir a declaração completa. Podemos pedir informações adicionais para confirmar a sua identidade — é uma proteção sua, para que ninguém obtenha os seus dados se passando por você. Se recusarmos algum pedido, explicamos o motivo e a base legal.
Você também pode peticionar diretamente à ANPD (gov.br/anpd) e aos órgãos de defesa do consumidor.
Para deixar de receber os nossos e-mails de marketing, use o link de descadastro presente em toda mensagem — o efeito é imediato e não depende de falar com ninguém.
12. Crianças e adolescentes
A Galactia é uma ferramenta corporativa e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos esse tratamento sem a base legal adequada, eliminamos os dados. Clientes que atendam esse público são responsáveis, como controladores, por observar o art. 14 da LGPD e o Estatuto da Criança e do Adolescente.
13. Gravação de reuniões
Quando o recurso está ativado pelo cliente, reuniões realizadas na plataforma podem ser gravadas e transcritas para gerar ata automática. A gravação é sinalizada aos participantes antes do início, e quem não concordar pode não participar ou pedir que a gravação seja interrompida. A gravação e a transcrição pertencem à conta do cliente, que define por quanto tempo mantê-las.
14. Contas de e-mail e agenda da Microsoft e do Google
Um usuário da plataforma pode conectar a própria conta Microsoft (Outlook, Microsoft 365) ou Google (Gmail, Google Agenda), sempre por autorização que ele mesmo dá na tela da Microsoft ou do Google. Nós nunca vemos a senha dessa conta. O que cada conexão permite:
- E-mail. Lemos a caixa de entrada para trazer à plataforma, como conversas de atendimento, as mensagens recebidas depois da conexão — as anteriores não são lidas. Enviamos, pela própria conta, as respostas que alguém escreve na plataforma. Na Microsoft, a conexão também alcança as caixas compartilhadas a que a conta já tem acesso, para que uma caixa como “atendimento@” possa ser atendida, e a permissão de escrita serve só para montar a mensagem com anexos antes do envio; no Google, a leitura é somente leitura. Em nenhum dos dois apagamos, movemos ou marcamos os seus e-mails.
- Agenda. Lemos apenas quando você está ocupado — início, fim e se o horário está marcado como ocupado —, para não oferecer a um cliente um horário em que você já tem compromisso. Título, participantes, local e descrição dos seus compromissos não são lidos. Essa leitura fica guardada por no máximo um minuto. Também gravamos na sua agenda os compromissos que você cria na plataforma, e só eles: ao excluí-los aqui, eles saem de lá.
- Identificação. Recebemos o endereço de e-mail da conta (e, na Microsoft, também o nome), para mostrar qual conta está conectada.
As chaves de acesso fornecidas pela Microsoft e pelo Google ficam cifradas no banco. Os e-mails trazidos passam a fazer parte da conta do cliente, como qualquer outra conversa (seção 3), e podem ser processados pelo motor de inteligência artificial que o cliente escolheu (seção 5) — por exemplo, para sugerir uma resposta.
Como desconectar: na plataforma, use “Desconectar conta” no canal de e-mail ou “Desconectar” na agenda. A chave de acesso é apagada na hora — e também quando o canal ou o usuário é excluído. Para revogar a autorização também do lado do provedor, acesse as permissões de aplicativos da sua conta (Microsoft ou Google) e remova a Galactia.
15. Extensão Galactia para WhatsApp Web
A extensão para o navegador Chrome mostra, ao lado da conversa no WhatsApp Web, a ficha do contato na plataforma, e sincroniza as conversas daquele WhatsApp com a conta do cliente que a instalou. Ela só funciona depois de pareada, com um código gerado no painel por quem administra a conta.
- O que ela lê e envia: as mensagens das conversas individuais, recebidas e enviadas a partir do pareamento — texto, foto, áudio, vídeo, documento e figurinha —, com o telefone e o nome de cada contato; e o telefone da conversa aberta, para buscar a ficha. Mensagens anteriores ao pareamento só são enviadas quando alguém clica em “Importar para Inbox” naquela conversa. Mensagens de grupo também são enviadas, mas a plataforma só guarda as dos grupos que o cliente ativar no painel; dos demais, guarda apenas o nome e o identificador do grupo.
- O que ela faz em seu nome: envia pelo WhatsApp as respostas escritas na plataforma para aquele número.
- Para onde vão os dados: somente para o endereço da plataforma em que ela foi pareada. A extensão não envia dados a terceiros: não tem ferramenta de análise nem de publicidade, e a prévia de links nas mensagens é gerada pelo próprio WhatsApp.
- O que ela guarda no navegador: o código de pareamento e duas preferências de exibição (tema e painel recolhido).
Se o número também é usado para conversas pessoais, elas entram junto — por isso o pareamento só se conclui depois de quem instala marcar que está ciente disso. Para parar a sincronização, use “Revogar extensão” no canal, no painel, ou remova a extensão do navegador. As conversas já sincronizadas continuam na conta do cliente, que é o controlador delas (seção 1).
16. Uso limitado dos dados do Google e da extensão
O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Os dados recebidos pela extensão do WhatsApp Web seguem a política de Uso Limitado da Chrome Web Store. Na prática, esses dados:
- são usados apenas para oferecer os recursos descritos nas seções 14 e 15;
- não são vendidos nem usados para publicidade, inclusive personalizada;
- não são usados para treinar modelos gerais de inteligência artificial;
- são transferidos a terceiros apenas quando o próprio recurso exige — como o provedor de inteligência artificial que o cliente escolheu —, por obrigação legal ou em reorganização societária;
- não são lidos por pessoas, exceto com a sua autorização, para investigar segurança ou abuso, por obrigação legal, ou em forma agregada e anonimizada para operar o serviço.
17. Como pedir a exclusão dos seus dados
O caminho depende de como os seus dados chegaram até nós:
- Você conversou com uma empresa que usa a Galactia (por WhatsApp, Instagram, Messenger, e-mail ou chat): peça a exclusão a essa empresa, que é a controladora (seção 1). Se preferir, escreva para privacidade@galactia.com.br informando o nome da empresa e o telefone, perfil ou e-mail que você usou — encaminhamos o pedido a ela em até 5 dias úteis e avisamos você.
- Você é usuário do painel: o administrador da sua empresa pode excluir o seu usuário. A exclusão apaga também as chaves de acesso das contas de e-mail e agenda que você conectou. Se preferir, peça a nós pelo mesmo e-mail.
- A sua empresa quer desconectar o Facebook, o Instagram ou o WhatsApp: exclua o canal no painel. As credenciais de acesso à Meta são apagadas com ele, e a plataforma deixa de receber e de enviar mensagens por ali. As conversas já recebidas continuam na conta até que a empresa as exclua — elas passam pela lixeira e são eliminadas, com os anexos, no fim da janela definida pela empresa. Também é possível remover a Galactia nas configurações de integrações comerciais da sua conta da Meta.
- Você nos procurou como cliente em potencial: escreva para privacidade@galactia.com.br e eliminamos o seu cadastro comercial.
Respondemos pedidos de exclusão nos prazos da seção 11 e, quando algo precisar ser mantido por obrigação legal, dizemos o quê e por quê.
18. Canal de atendimento ao titular
Para tratar de qualquer assunto relacionado a dados pessoais e a esta política, fale conosco por:
- E-mail: privacidade@galactia.com.br
Esse canal atende titulares e a ANPD, nos termos do art. 41 da LGPD.
19. Alterações desta política
Podemos atualizar esta política para refletir mudanças na lei, nos nossos serviços ou nos nossos fornecedores. A versão e a data da última atualização ficam no topo desta página. Quando a mudança for relevante — nova finalidade, nova base legal ou novo compartilhamento — avisamos por e-mail ou por aviso no painel antes de ela entrar em vigor.
20. Lei aplicável e foro
Esta política é regida pela lei brasileira. Fica eleito o foro da comarca de Belo Horizonte/MG para dirimir controvérsias, sem prejuízo do direito do consumidor de demandar no foro do seu domicílio.