Política de Privacidade — Chancela
Versão: 1.0 · Vigente desde: 21/10/2026
Controladora: Today Consultoria de Negócios LTDA (Gomio), CNPJ 05.017.814/0001-52, Salvador, Bahia, Brasil Encarregado (art. 41 da LGPD): Pedro Gomes, contato@gomio.com.br
A Chancela é um produto da Gomio. A Gomio é a marca sob a qual a Today Consultoria de Negócios LTDA (CNPJ 05.017.814/0001-52, Salvador) oferece seus serviços. Nesta política, "nós" é essa empresa.
A Chancela mede se um negócio aparece nas respostas de assistentes de IA quando alguém pergunta por sua categoria e cidade. Esta política explica quais dados isso envolve, por quanto tempo ficam conosco e para onde vão.
1. O que tratamos
Auditoria grátis
Para rodar a auditoria grátis, gravamos o que você informa no formulário: o nome do negócio, o site (se houver), a cidade, a categoria e os concorrentes que você indicar. São dados de empresa, não de pessoa.
O banco de dados não grava o endereço IP de quem pede a auditoria. Dele guardamos só um código derivado (um resumo criptográfico com segredo nosso), que serve para limitar quantas auditorias saem do mesmo lugar e evitar abuso. Esse código é apagado em 2 dias.
Verificação humana
Os formulários do site (o da auditoria grátis e o de contato) usam o Cloudflare Turnstile para conferir que quem envia é uma pessoa, e não um robô. Para decidir, a Cloudflare recebe o seu endereço IP e sinais técnicos do navegador. Não recebemos esses sinais; recebemos só a resposta "passou" ou "não passou".
Origem do acesso
Se você chegou por um link com parâmetros de campanha (utm_source,
utm_medium, utm_campaign, utm_content) ou com o identificador do episódio
de vídeo (ep), guardamos esses valores junto do teste que você fez e do
contato que deixou. Só esses cinco campos são aceitos, cada um cortado em 100
caracteres; qualquer outro parâmetro do endereço é descartado, inclusive os
identificadores de clique de anúncio (como gclid e fbclid). Durante a
visita, o valor fica no armazenamento da sessão do navegador (sessionStorage),
só deste site, e acaba quando a aba é fechada. Não usamos cookie de terceiros
nem ferramenta de rastreamento de outra empresa para isso.
Contato deixado no teste grátis
Ao final do teste grátis, ou quando ele não pode ser concluído (limite de uso, fila cheia, conexão perdida), você pode deixar um contato para conversarmos sobre o resultado. Guardamos o WhatsApp e/ou o e-mail que você digitar, o nome do negócio, a cidade e a categoria informados, o teste a que o pedido se refere, a versão do texto do aceite que lhe foi mostrado e a data e hora em que você o marcou. A caixa do aceite começa desmarcada: sem marcá-la, nada é enviado nem gravado.
O contato é repassado por e-mail à equipe comercial da Gomio, para que alguém responda. Se você deixou o e-mail, mandamos para ele, uma vez, o link do laudo do teste a que o pedido se refere.
Dados da empresa auditada, para prospecção
Razão social, nome fantasia, CNPJ, CNAE, porte, situação cadastral, endereço, município, site e categoria de atuação.
São dados firmográficos de pessoa jurídica, obtidos da base pública da Receita Federal e do site institucional da própria empresa.
Não utilizamos o quadro de sócios (QSA). É dado de pessoa natural e está fora do escopo deste tratamento, por decisão registrada.
Dados de contato profissional
Nome e e-mail profissional de quem responde pelo negócio, obtidos de fonte pública (o site da empresa). Quando você nos procura, também o que você escrever.
Dados de uso do serviço
Para clientes: as perguntas monitoradas, os concorrentes indicados, as respostas que os motores de IA devolveram e as páginas que eles citaram como fonte.
Dados de acesso à conta
Além do link enviado por e-mail, você pode entrar na conta com uma senha ou com a sua conta Google. Para isso guardamos:
- Senha: só um resumo criptográfico dela (argon2id), nunca o texto. Nem nós conseguimos lê-la.
- Conta Google: ao entrar com o Google, recebemos dele o identificador da
sua conta Google (o
sub), o seu e-mail, se o Google confirmou esse e-mail, e o seu nome. Guardamos só o identificador, para reconhecer a mesma conta Google nas próximas entradas. O e-mail serve para encontrar a sua conta na Chancela e não é gravado de novo; o nome não é gravado. Você pode desvincular o Google no painel, em "Segurança da conta", e o identificador é apagado. - Sessões: um código derivado de cada sessão aberta (não a sessão em si), quando ela foi aberta e por qual caminho (link, senha ou Google).
- Tentativas de senha erradas: contadas por um código derivado do e-mail (não o e-mail em si), para bloquear por alguns minutos quem erra demais.
Avisos de segurança por e-mail
Quando a senha da conta é definida ou trocada, ou uma conta Google é vinculada ou desvinculada, mandamos um aviso para o e-mail da conta, no idioma dela. O aviso traz um link "não fui eu", de uso único e válido por 7 dias, que encerra todos os acessos à conta: as sessões abertas, a senha e o Google vinculado. Guardamos só um código derivado desse link, nunca o link. O aviso sai mesmo para quem pediu para não receber e-mails de oferta: é sobre a segurança da conta, não publicidade.
Clientes: resumo semanal
O resumo semanal da assinatura vai por e-mail, para o endereço da conta.
Dados do Perfil da Empresa no Google
Para clientes que nos autorizam a gerir o Perfil da Empresa no Google: os números de desempenho do Perfil (visualizações, ligações, pedidos de rota, cliques no site e reservas), por mês, exportados da interface do Google pela nossa equipe ou digitados a partir dela.
A fonte é o Google Business Profile do próprio cliente. O dado é do cliente; nós (Today Consultoria de Negócios LTDA, a Gomio) o tratamos como operadora, a mando dele, só para o relatório dele. Ele aparece separado dos demais números e nunca é comparado com o de outro cliente nem mostrado a outro cliente.
Guardamos também a prova da autorização: quem marcou cada caixa do aceite, quando, e de qual sessão (um código derivado dela, não a sessão em si).
Não guardamos o texto, o nome nem a foto de quem avaliou o negócio. Nota e volume de avaliações vêm do mapa público do Google, pela Serper.
Pagamento
A contratação é por conversa e a cobrança é emitida pela Gomio por Pix ou boleto. O site não coleta CPF, CNPJ nem cartão.
Cookie de preferência de idioma
O cookie NEXT_LOCALE guarda o idioma que você escolheu no seletor de idioma
do site, por até um ano. Ele só é gravado quando você escolhe: abrir um link
em português ou em inglês não grava nada. É cookie funcional: não identifica a
pessoa, não acompanha navegação fora do site e não alimenta publicidade.
Apagá-lo pelo navegador faz o site voltar a decidir pelo idioma configurado no
próprio navegador.
Cookies de acesso
O cookie __Host-citavel_sessao mantém você conectado por até 30 dias depois
de entrar. O cookie __Host-citavel_google_fluxo existe só durante o "Entrar
com Google": guarda, por até 10 minutos, um código que liga a volta do Google
ao pedido que saiu deste navegador, e é apagado quando o Google devolve você ao
site. Os dois são cookies funcionais, como o de idioma: só funcionam neste
site, não acompanham navegação fora dele e não alimentam publicidade.
Registros técnicos
Os registros de funcionamento dos nossos serviços (logs) giram por tamanho: cada serviço guarda no máximo três arquivos de 10 MB, e o mais antigo é sobrescrito. Quando um envio de e-mail falha, o registro mostra o endereço mascarado. O proxy do servidor, que recebe as visitas antes do site, registra a cada acesso o endereço IP, a data e a hora, a página pedida e o navegador. Serve para segurança e diagnóstico. Hoje esse registro do proxy não tem descarte automático: o prazo de guarda está sendo definido, e esta política será atualizada quando estiver.
O que NÃO coletamos
CPF · cartão de crédito · dados de pessoa natural fora do papel profissional · dado sensível (Art. 5º, II) · localização de dispositivo · dado de menor.
Ao verificar páginas de terceiros que a IA citou, nosso sistema descarta deliberadamente nomes de pessoas naturais encontrados nessas páginas: apenas nome de empresa, nota agregada e contagem de avaliações são registrados.
2. Por que tratamos, e com que base legal
| Finalidade | Base legal |
|---|---|
| Gerar a auditoria e entregá-la | Legítimo interesse (Art. 7º, IX) até a contratação; execução de contrato (Art. 7º, V) depois |
| Contato profissional por e-mail com oferta | Legítimo interesse (Art. 7º, IX) — avaliação documentada e arquivada |
| Falar com você sobre o resultado do teste grátis (WhatsApp ou e-mail), repassar o seu contato à equipe comercial e, se você deixou o e-mail, enviar o link do laudo | Consentimento (Art. 7º, I), pela caixa de aceite desmarcada, com data, hora e versão do texto registradas |
| Medir qual vídeo ou campanha trouxe cada teste e cada contato | Legítimo interesse (Art. 7º, IX): dado próprio, sem cookie de terceiro, limitado a cinco campos |
| Enviar o resumo semanal aos clientes, por e-mail | Execução de contrato (Art. 7º, V) |
| Cobrança e emissão fiscal | Execução de contrato e obrigação legal (Art. 7º, II e V) |
| Gerir o Perfil da Empresa no Google e reportar o desempenho dele | Execução de contrato (Art. 7º, V), com o aceite expresso exigido pela política do Google; aqui agimos como operadora do cliente |
| Entrar na conta (link, senha ou Google) e avisar quando o acesso a ela muda | Execução de contrato (Art. 7º, V) e legítimo interesse na segurança da conta |
| Segurança e prevenção a abuso, inclusive a verificação humana e o limite de uso por código derivado do IP | Legítimo interesse (Art. 7º, IX) |
Você pode se opor ao tratamento por legítimo interesse a qualquer momento — ver seção 6. É um pedido, não uma negociação: é honrado de imediato.
3. Com quem compartilhamos
Não vendemos, não alugamos e não cedemos dados. Compartilhamos com quem é necessário para o serviço funcionar:
| Operador | Para quê | Onde processa |
|---|---|---|
| OpenRouter | Levar as perguntas aos modelos de IA. Por trás dela, os provedores dos modelos (OpenAI, Google e Perplexity) recebem o texto da pergunta e fazem a busca na web | EUA |
| Serper | Ler o mapa do Google: categoria e cidade e, no plano pago, também o nome do negócio | EUA |
| Cloudflare (Turnstile) | Verificação humana nos formulários do site; recebe o IP e sinais do navegador | EUA |
| Resend | Entregar os e-mails: link de entrada, link do laudo, avisos de segurança, resumo semanal e o aviso de contato à equipe comercial | EUA |
| "Entrar com Google", quando você escolhe esse caminho | EUA | |
| Hostinger | Servidor onde ficam o site, o banco de dados e as respostas brutas dos motores | Europa |
Transferência internacional
Parte do tratamento ocorre fora do Brasil. As transferências se apoiam nas hipóteses do Art. 33 da LGPD e ficam limitadas ao necessário para o serviço funcionar, com as cláusulas contratuais e os compromissos de segurança de cada operador.
O que vai aos modelos de IA é o texto da pergunta ("qual a melhor pizzaria em Salvador?") e, em alguns passos do plano pago, o nome da empresa monitorada — não dado pessoal de consumidor.
4. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Contato deixado no teste grátis e a origem do acesso gravada com ele | 12 meses do pedido, apagado automaticamente; antes disso, a qualquer momento, a seu pedido |
| Progresso da auditoria mostrado na tela enquanto ela roda | 7 dias |
| Código derivado do IP, usado no limite de uso | 2 dias |
| Auditorias grátis, respostas brutas dos motores e a origem do acesso gravada no teste (sem contato) | Sem descarte automático hoje. São dados de empresa, apagados a pedido |
| Auditorias e histórico de medição de clientes | Durante o contrato e por 5 anos após, para comparação histórica e defesa em eventual questionamento |
| Contato de quem pediu descadastro | Permanentemente, em lista de supressão — é o que garante que a exclusão não seja desfeita por reimportação de base |
| Contato de prospect que não respondeu | 12 meses do último contato |
| Identificador da conta Google vinculada | Enquanto o vínculo existir; apagado ao desvincular ou pelo "não fui eu" |
| Sessões de acesso | 7 dias depois de vencerem |
| Tentativas de senha erradas | 7 dias depois da última |
| Código do link "não fui eu" | 30 dias depois de o link vencer |
| Registros técnicos | Os dos serviços giram por tamanho; o do proxy ainda não tem prazo definido (seção 1, "Registros técnicos") |
| Registros fiscais e de pagamento | Pelo prazo da legislação tributária |
A lista de supressão é uma exceção deliberada e favorável ao titular: guardamos o mínimo necessário (um identificador) para não voltar a te contatar.
5. Segurança
Criptografia em trânsito (TLS) em toda comunicação; controle de acesso restrito a quem opera o serviço; credenciais de terceiros nunca gravadas em registro de depuração — há verificação automatizada impedindo isso; respostas brutas armazenadas separadamente do banco principal.
Nenhuma medida elimina risco por completo. Em caso de incidente com risco relevante, comunicamos você e a ANPD nos termos do Art. 48.
6. Seus direitos
Você pode, a qualquer momento: confirmar a existência do tratamento · acessar seus dados · corrigi-los · pedir anonimização, bloqueio ou eliminação · pedir portabilidade · saber com quem compartilhamos · se opor ao tratamento · revogar consentimento.
Como exercer: escreva para contato@gomio.com.br. Respondemos em até 15 dias.
Para sair da lista de e-mail: basta responder qualquer mensagem nossa pedindo para sair. Não precisa de cadastro, login ou justificativa.
Você também pode reclamar diretamente à ANPD (gov.br/anpd).
7. Sobre a medição — o que ela é e o que ela não é
Isto não é uma ressalva escondida no rodapé; é como o produto se sustenta.
Consultamos os assistentes de IA por API. A resposta que uma pessoa vê no aplicativo pode diferir da que recebemos, porque o aplicativo tem localização do aparelho, memória da conta e testes de interface que a API não tem. Em busca local essa diferença tende a ser maior, não menor.
Por isso: entregamos as perguntas literais para você conferir no seu próprio celular, registramos a versão exata de cada modelo consultado, e a detecção de menção é determinística — casamento exato de nome, nunca estimativa por IA.
Também por isso não prometemos posição. O que prometemos e o que não prometemos está nos Termos de Uso.
8. Alterações
Mudanças relevantes são comunicadas por e-mail aos clientes e publicadas em https://chancela.gomio.com.br/pt-BR/privacidade, com nova versão e data. Versões anteriores ficam disponíveis mediante pedido.