Política de Privacidade

1. Introdução

A Olá Empreendimentos ("Olá", "nós") respeita sua privacidade e está comprometida em proteger seus dados pessoais. Esta Política de Privacidade descreve como coletamos, usamos, armazenamos, compartilhamos e protegemos as informações pessoais obtidas por meio do site digaola.com.br, dos nossos canais oficiais de atendimento (WhatsApp, telefone, e-mail, showroom) e dos processos comerciais relacionados à compra, venda e locação de imóveis em Manaus e região metropolitana.

Esta política está em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — "LGPD") e demais normas aplicáveis. Ao utilizar nossos serviços, você concorda com os termos descritos neste documento.

2. Base legal para o tratamento

Tratamos seus dados pessoais com base nas seguintes hipóteses legais previstas no art. 7º da LGPD:

• Consentimento — quando você preenche formulários de interesse, agenda visita ou solicita simulação.
• Execução de contrato — para celebrar e cumprir contratos de compra e venda, locação e prestação de serviços.
• Obrigação legal ou regulatória — para emissão de documentos fiscais, registros em órgãos competentes (Cartórios, Receita Federal, COFECI/CRECI) e atendimento a pedidos de autoridades.
• Legítimo interesse — para análise de fraude, segurança da informação, melhoria contínua do site e prevenção a ilícitos, sempre respeitando seus direitos fundamentais.
• Proteção de crédito — para análise cadastral junto a instituições financeiras quando você solicita financiamento.

3. Dados que coletamos

Podemos coletar as seguintes categorias de dados pessoais:

3.1. Dados de identificação

• Nome completo, CPF, RG, data de nascimento, estado civil.
• Endereço residencial e profissional.
• Telefone, e-mail, WhatsApp.

3.2. Dados de interesse comercial

• Bairros de interesse, faixa de preço, número de dormitórios.
• Histórico de visitas a empreendimentos.
• Conversas com nossos corretores e com o assistente virtual.

3.3. Dados financeiros (quando aplicável)

• Renda declarada, dados bancários, comprovantes de renda.
• Análise de crédito junto a instituições financeiras parceiras.

3.4. Dados de navegação

• Endereço IP, tipo de navegador, sistema operacional.
• Páginas visitadas, tempo de permanência, cliques.
• Cookies e tecnologias similares (ver Política de Cookies).

4. Finalidades do tratamento

Utilizamos seus dados pessoais para:

• Responder solicitações e agendar visitas.
• Apresentar empreendimentos compatíveis com seu perfil.
• Realizar simulações de financiamento e análise de crédito.
• Celebrar e gerenciar contratos de compra, venda ou locação.
• Comunicar lançamentos e novidades (com seu consentimento).
• Atender a obrigações legais, fiscais e regulatórias.
• Melhorar a experiência no site e a qualidade do atendimento.
• Prevenir fraudes e proteger a segurança dos sistemas.

5. Compartilhamento de dados e subprocessadores

Compartilhamos seus dados pessoais apenas com terceiros estritamente necessários para a execução dos serviços ou cumprimento de obrigações legais, sempre com cláusulas contratuais que garantem o mesmo nível de proteção descrito nesta política. As categorias de destinatários incluem:

• Construtoras e incorporadoras parceiras — para formalização de propostas e contratos.
• Instituições financeiras — para simulação, análise e contratação de financiamento imobiliário.
• Cartórios e órgãos públicos — para registro e cumprimento de obrigações legais.
• Prestadores de serviços tecnológicos — hospedagem em nuvem, CRM, e-mail, analytics, marketing automation, sempre sob contrato de operadores nos termos da LGPD.
• Assessoria jurídica e contábil — para defesa de interesses legítimos e atendimento a obrigações.

Não vendemos, alugamos ou cedemos seus dados a terceiros para fins publicitários sem o seu consentimento expresso.

5.1. Subprocessadores do site (tecnologia)

Os seguintes subprocessadores têm acesso a dados de navegação e/ou conversão coletados pelo digaola.com.br, exclusivamente para as finalidades descritas e sob DPAs (Data Processing Agreements) ou mecanismos equivalentes:

• Google LLC — Google Analytics 4 (GA4) (Estados Unidos): análise de audiência, mensuração de conversão e otimização de campanhas. Dados: identificadores de sessão/navegador, eventos de comportamento, UTMs. Base legal: consentimento (categoria Performance). DPA: em atualização.
• Meta Platforms, Inc. — Meta Pixel + CAPI (Estados Unidos): mensuração de conversões e remarketing via Meta Ads. Dados: cookie _fbp, hashes de e-mail/telefone (via CAPI, somente com consentimento marketing), eventos de comportamento. Base legal: consentimento (categoria Marketing). DPA: em atualização.
• Vercel, Inc. (Estados Unidos): plataforma de hospedagem e CDN do site digaola.com. Processa todos os dados em trânsito pelo site (IPs, headers HTTP, logs de acesso). DPA: em atualização.
• Anthropic, PBC (Estados Unidos): provedor do modelo Claude utilizado pelo chat de atendimento. Processa o conteúdo da conversa enviado ao modelo (já com PII redigido em runtime — CPF, CNPJ, telefone e e-mail substituídos por marcadores). Não usa dados de cliente para treinamento (zero data retention contratual). Base legal: execução de contrato (atendimento) + legítimo interesse. DPA: em atualização.
• OpenAI, L.L.C. (Estados Unidos): provedor do modelo gpt-image-2 usado para geração de capas ilustrativas do blog editorial (não processa dados pessoais de visitantes — somente briefings de pauta). Base legal: legítimo interesse (operação editorial). DPA: em atualização.
• Microsoft Corporation — Microsoft 365 (Exchange Online) (Estados Unidos/Brasil): provedor da caixa SMTP usada para encaminhar mensagens do SAC à equipe comercial. Processa o conteúdo dos formulários de atendimento e o e-mail do remetente. Base legal: execução de contrato (atendimento). DPA: em atualização.

A relação completa de subprocessadores, os respectivos contratos de tratamento (DPAs) e o mecanismo de transferência internacional de dados estão em atualização. Você pode solicitar a versão vigente ao nosso Encarregado de Proteção de Dados (seção 12).

6. Retenção e eliminação dos dados

Mantemos seus dados pelo tempo necessário ao cumprimento das finalidades para as quais foram coletados e em conformidade com os prazos legais aplicáveis. Como referência:

• Dados de contato e interesse comercial — até 24 meses após o último contato, salvo solicitação de exclusão.
• Dados contratuais (compra, venda, locação) — pelo prazo legal de guarda (mínimo 5 anos após o término do contrato, podendo ser estendido conforme legislação específica).
• Dados fiscais e tributários — conforme exigência da Receita Federal e demais órgãos competentes (até 10 anos quando aplicável).
• Dados de navegação — até 12 meses, agregados quando possível.

Após o término do prazo de retenção, os dados são eliminados de forma segura ou anonimizados, exceto quando a guarda for exigida por lei.

7. Direitos do titular

Você, como titular de dados pessoais, tem direito de, a qualquer tempo e mediante requisição, obter da Olá:

• Confirmação da existência de tratamento.
• Acesso aos seus dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD.
• Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa.
• Eliminação dos dados tratados com base no consentimento.
• Informação sobre as entidades públicas e privadas com as quais compartilhamos seus dados.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
• Revogação do consentimento a qualquer momento, conforme art. 8º, §5º da LGPD.

Para exercer seus direitos, entre em contato com o nosso Encarregado de Proteção de Dados (DPO).

8. Segurança da informação

Adotamos medidas técnicas e organizacionais apropriadas para proteger seus dados pessoais contra acesso não autorizado, perda, alteração, comunicação ou difusão indevida. Entre as medidas adotadas:

• Criptografia em trânsito (TLS) e em repouso quando aplicável.
• Controle de acesso baseado em perfis e princípio do menor privilégio.
• Registro de logs de acesso e auditoria periódica.
• Política interna de segurança e treinamento dos colaboradores.
• Plano de resposta a incidentes de segurança.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, conforme art. 48 da LGPD.

9. Cookies e tecnologias similares

Utilizamos cookies para garantir o funcionamento do site, medir audiência e personalizar conteúdo. Para detalhes completos, consulte nossa Política de Cookies.

10. Tratamento de dados de menores

Não coletamos intencionalmente dados de crianças e adolescentes. Caso identifiquemos a coleta indevida, eliminamos os dados de imediato. Se você for responsável legal e identificar a coleta de dados de um menor sob sua tutela, entre em contato com o DPO.

11. Atualizações desta política

Esta Política de Privacidade pode ser atualizada para refletir mudanças nas nossas práticas ou na legislação aplicável. Comunicaremos alterações relevantes pelos canais habituais (banner no site, e-mail). A versão vigente fica sempre disponível nesta página, com a data da última atualização no topo.

Versões anteriores desta política ficam arquivadas e podem ser solicitadas ao Encarregado de Proteção de Dados (seção 12).

12a. Tracking de jornada (VisitorEvent)

Para melhorar continuamente a experiência do site e entender como visitantes descobrem e navegam pelos nossos empreendimentos, registramos eventos de jornada na tabela interna VisitorEvent. Esta seção detalha os dados coletados, as finalidades e seus direitos.

Dados coletados

• Identificador anônimo (_ola_aid) — UUID aleatório armazenado em cookie 1st-party por 13 meses. Não está vinculado a nome, e-mail ou qualquer PII direta.
• Identificador de sessão — UUID por sessão de navegação (expira em 30 min de inatividade).
• URL, caminho e referrer — endereço da página visitada e origem da navegação.
• Parâmetros UTM — source, medium, campaign, term, content (dados de campanha, não identificam o titular).
• Dispositivo — viewport, plataforma (mobile/desktop/tablet). User-agent é armazenado de forma truncada e descartado na anonimização.
• IP-hash — endereço IP submetido a hash HMAC-SHA256 com sal rotativo antes de qualquer persistência; o IP bruto jamais é armazenado.
• Eventos comportamentais — ex.: clique em CTA, scroll, envio de formulário, início de simulação. Nomes de eventos em snake_case conforme Event Catalog interno.
• Hash de e-mail / telefone — quando o visitante informa contato voluntariamente (ex.: formulário), apenas o hash SHA-256 é persistido; nunca o dado em texto puro.

Finalidades e base legal

• Melhoria de UX e performance do site (base: legítimo interesse, art. 7º, IX da LGPD) — analisamos funis de navegação e pontos de abandono para otimizar páginas.
• Mensuração de conversão e atribuição de campanha (base: consentimento, categoria Marketing no banner) — conectamos eventos de jornada ao Meta CAPI para medir eficácia de anúncios.
• Prevenção de fraude e segurança (base: legítimo interesse) — o IP-hash permite identificar acessos suspeitos sem armazenar o IP bruto.

Retenção e anonimização

Os eventos de jornada são retidos por 12 meses contados da data de criação. Após esse prazo, um job mensal automatizado anonimiza os registros:

• O identificador anônimo é substituído por um hash determinístico fixo (SHA-256 com sal permanente, truncado a 16 chars) — mantendo contagens agregadas sem rastreabilidade individual.
• O IP-hash e hashes de contato são zerados (NULL).
• O user-agent é truncado para a string literal "Browser only", eliminando informações de fingerprint.
• Parâmetros UTM e metadados de evento (nome, timestamp, URL) são mantidos para fins estatísticos agregados.

Cookie _ola_aid

Duração: 13 meses. Escopo: domínio digaola.com.br. Tipo: 1st-party, HttpOnly, SameSite=Lax. Finalidade: identificar sessões de um mesmo navegador ao longo do tempo (análise de retorno e jornada multicanal).

Direitos do titular

Você pode solicitar ao DPO (seção 12): acesso aos eventos registrados vinculados ao seu _ola_aid ou e-mail; exclusão antecipada do histórico de jornada (DSR — Data Subject Request); ou retificação em caso de dados incorretos. O prazo de atendimento é de até 15 dias úteis.

13. Uso de Inteligência Artificial na Produção de Conteúdo

Parte do conteúdo editorial do nosso blog é produzida com auxílio de sistemas de inteligência artificial (IA), seguida de revisão humana pela equipe editorial da Olá Empreendimentos. Posts gerados com IA são identificados com aviso visível no rodapé do artigo.

Subprocessadores envolvidos no pipeline de IA:

• Anthropic, Inc. (Estados Unidos) — geração de texto (modelos Claude) e avaliação de qualidade.
• OpenAI, L.L.C. e/ou Voyage AI (Estados Unidos) — geração de embeddings vetoriais para busca semântica e detecção de duplicidade.
• Replicate, Inc. (Estados Unidos) — geração de imagens de capa via modelos abertos.

Transferência internacional de dados: os subprocessadores acima processam dados nos Estados Unidos. Adotamos cláusulas-padrão contratuais e mecanismos equivalentes previstos no art. 33 da LGPD para garantir nível adequado de proteção. Os insumos enviados a esses provedores são pautas editoriais, dados agregados de mercado e nossa base de conhecimento pública; não enviamos dados pessoais de visitantes do site.

Retenção de logs de auditoria: mantemos por até 12 meses registros técnicos das gerações (modelo usado, custo, scores de qualidade, prompt resumido) para permitir auditoria, fact-check e correção retroativa de conteúdo. Após esse prazo, os logs são anonimizados ou descartados, preservando apenas metadados estatísticos.

Seus direitos: você pode solicitar a correção, atualização ou remoção de qualquer conteúdo do blog que entenda estar incorreto ou inadequado, mesmo gerado com IA. Basta entrar em contato com o DPO (seção 12) indicando a URL do post.

Decisões automatizadas: a publicação de posts gerados por IA passa por dupla validação — avaliação automatizada (rubrica de qualidade em 5 dimensões) e, conforme a categoria de conteúdo, revisão humana obrigatória antes da publicação. Categorias sensíveis (ex.: jurídico-contratual, simulações financeiras específicas) sempre exigem aprovação humana.

A lista detalhada de subprocessadores de IA, as cláusulas-padrão aplicáveis e as categorias de conteúdo sujeitas a revisão humana obrigatória estão em atualização e podem ser solicitadas ao Encarregado de Proteção de Dados (seção 12).

12. Contato do Encarregado (DPO)

Para exercer seus direitos como titular, esclarecer dúvidas ou registrar uma reclamação, fale com o nosso Encarregado de Proteção de Dados:

• Empresa: Olá Empreendimentos Imobiliários Ltda. — CNPJ: em atualização.
• Encarregado (DPO): contato pelo e-mail abaixo. O nome do Encarregado designado está em atualização.
• E-mail: dpo@digaola.com
• Endereço para correspondência: Av. Djalma Batista, 1314 — loja 02, Nossa Sra. das Graças, Manaus/AM.

Você também tem o direito de apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) pelos canais oficiais disponíveis em gov.br/anpd.