Política de Privacidade

Há dois papéis aqui, e a diferença importa para saber a quem pedir o quê.

O corretor ou a imobiliária que anunciou o imóvel é o controlador dos seus dados: foi quem decidiu te atender, define o que perguntar e o que fazer com a resposta.

A Crabie, com sede em São Paulo, Brasil, é a operadora: fornece a plataforma que executa esse atendimento e trata os dados seguindo as instruções do cliente. Para os dados de cadastro dos próprios clientes (corretores e imobiliárias), a Crabie é a controladora.

Você pode dirigir qualquer pedido a dpo@crabie.com.br e nós encaminhamos ao controlador quando for o caso. Os dados societários completos da Crabie são fornecidos a quem solicitar por esse mesmo e-mail.

• De quem é atendido (lead): nome, número de WhatsApp, e-mail quando informado, e o conteúdo das mensagens trocadas com o agente — texto e áudio.
• De quem tem conta: nome, e-mail, telefone, CRECI quando aplicável e a senha guardada como hash (nunca em texto legível).
• Técnicos: endereço IP, identificação do navegador e data e hora das ações, registrados em log de auditoria.

Não pedimos e não precisamos de CPF, RG, dado bancário ou qualquer dado sensível. Se você enviar um deles na conversa, ele é mascarado automaticamente antes de qualquer envio a terceiros (ver seção 04).

• Consentimento. A primeira mensagem que você recebe informa este documento e você pode encerrar respondendo PARAR.
• Execução de contrato. Para os dados de cadastro dos clientes da plataforma.
• Legítimo interesse. Para responder a quem procurou espontaneamente um anúncio, dentro da expectativa de quem manda mensagem para um corretor.

Não vendemos dados, não montamos perfil publicitário e não repassamos nada a anunciantes.

O conteúdo das mensagens é enviado ao nosso provedor de inteligência artificial para que o agente gere a resposta. Antes do envio, mascaramos automaticamente CPF, CNPJ, e-mail e telefone que apareçam no texto.

Mensagens de áudio são enviadas como estão, sem mascaramento, porque a transcrição precisa acontecer antes de qualquer filtro ser possível. Depois de transcrito, o texto segue a mesma regra de mascaramento. Os arquivos de áudio são apagados dos nossos servidores após 30 dias.

O acesso é feito por interface de programação (API), modalidade em que o provedor não usa o conteúdo enviado para treinar os modelos dele. Não temos, hoje, contrato específico de processamento de dados assinado com esse fornecedor — quando tivermos, esta seção será atualizada.

A relação nominal dos fornecedores abaixo está disponível a quem pedir, por e-mail ao encarregado.

O corretor conecta o número dele lendo um QR code, do mesmo jeito que se faz no WhatsApp Web. A partir daí as mensagens daquela conversa passam por servidores operados pela Crabie, onde ficam armazenadas para montar o histórico do atendimento. Quem recebe a mensagem vê o número do próprio corretor — não há número intermediário.

A aplicação e o banco de dados rodam em servidores localizados na Alemanha, dentro da União Europeia. O envio de conteúdo ao provedor de inteligência artificial implica transferência internacional para os Estados Unidos, limitada ao necessário para gerar a resposta.

• Conversas e dados de lead: enquanto o contrato com o corretor ou a imobiliária estiver vigente. Leads sem nenhuma atividade por 730 dias são anonimizados automaticamente — o registro deixa de identificar você e sobra apenas o número agregado.
• Arquivos de áudio: apagados após 30 dias.
• Logs de auditoria: mantidos pelo prazo legal, sem conteúdo de mensagem.

A LGPD te dá, e nós cumprimos, o direito de:

• Saber se tratamos dados seus e acessar quais são.
• Corrigir dado incompleto ou desatualizado.
• Pedir a exclusão ou a anonimização.
• Receber seus dados em arquivo estruturado (JSON), para levar a outro lugar.
• Revogar o consentimento — inclusive respondendo PARAR na própria conversa.
• Saber com quem compartilhamos, o que está na seção 04.

Escreva para dpo@crabie.com.br. Respondemos em até 15 dias. Se a resposta não te satisfizer, você pode reclamar à ANPD.

Tráfego criptografado em trânsito (TLS), senhas guardadas com bcrypt, separação dos dados de cada cliente no banco, autenticação por token com rotação e registro de auditoria que não pode ser editado. Em caso de incidente relevante, comunicamos a ANPD e os titulares afetados, como manda a Lei.

Nenhum sistema é inviolável e não prometemos que seja. O que prometemos é avisar você se algo acontecer.

Alterações relevantes são comunicadas por e-mail aos clientes com 30 dias de antecedência, e a data no topo desta página é sempre atualizada.