Aviso de Privacidade da FirstOnAI
Versão 1.2 — vigente a partir de 28 de setembro de 2026
Este Aviso explica quais dados pessoais a FirstOnAI trata, para quê, com quem compartilha, por quanto tempo guarda e como você exerce seus direitos, conforme a Lei nº 13.709/2018 (LGPD).
1. Quem é o controlador
- Controlador: 69.345.249 PAULO HENRIQUE CANDIDO SILVA (nome empresarial), empresário individual responsável pela marca FirstOnAI, CNPJ 69.345.249/0001-35, Rua Assungui, 50 — Vila Gumercindo, São Paulo/SP
- Canal de privacidade: contato@firstonai.com.br
- Formulário de direitos: nesta página, ao final
A FirstOnAI é controladora dos dados tratados na plataforma: cadastro, conta, análises, pagamentos, suporte, segurança, comunicações e site. Se você inserir na plataforma dados pessoais de terceiros, você é responsável por ter base legal para isso.
2. De quem tratamos dados
- Usuários e visitantes: quem visita o site, solicita análise gratuita, cria conta ou contrata.
- Pessoas mencionadas em informações públicas de empresas: a análise trabalha com dados de empresas, mas informações públicas sobre empresas, respostas de IA e fontes citadas podem conter nomes de pessoas naturais — por exemplo, profissionais liberais, empresários individuais ou sócios identificados publicamente. Tratamos essas informações apenas como parte da análise solicitada (seção 4, item "Análise").
3. Quais dados tratamos
| Categoria | Exemplos |
|---|---|
| Cadastro e autenticação | nome, e-mail, telefone/WhatsApp (quando informado), identificador da conta; se você entrar com Google ou com a Apple, nome, e-mail (inclusive o endereço de encaminhamento da Apple, se você ocultar o seu) e identificador fornecidos por eles |
| Empresa analisada | nome, site, domínio, setor, cidade/região, serviços, concorrentes indicados |
| Informações públicas | conteúdo público do site da empresa e de outras fontes públicas relevantes para a análise |
| Análise | perguntas enviadas às IAs, respostas recebidas, fontes, menções, posições, métricas, recomendações, conteúdos gerados, histórico |
| Assinatura e pagamento | plano, status, valor, moeda, datas, identificadores da transação e da assinatura; bandeira e últimos dígitos do cartão, quando informados pelo processador. Não recebemos o número completo do cartão. |
| Suporte | mensagens, anexos que você enviar, registros de atendimento |
| Comunicações | preferências de comunicação e pedidos para parar de receber mensagens comerciais (canal, data e hora) |
| Técnicos e de segurança | endereço IP, navegador, dispositivo, data e hora, sessão, eventos de uso, falhas, tentativas de acesso; sinais técnicos da verificação anti-robô (Cloudflare Turnstile) no formulário da análise gratuita |
| Cookies e analytics | identificadores e eventos do Google Analytics 4, somente se você aceitar cookies de analytics |
Não solicitamos dados pessoais sensíveis nem dados de clientes finais da empresa analisada.
4. Finalidades e bases legais
| Finalidade | Dados | Base legal (LGPD) |
|---|---|---|
| Realizar a análise solicitada (gratuita ou paga) e entregar o resultado por painel, e-mail ou WhatsApp | cadastro, empresa, informações públicas, análise | Execução de contrato ou de procedimentos preliminares a pedido do titular (art. 7º, V) |
| Análise de informações públicas que citem pessoas naturais | nomes e dados profissionais públicos | Legítimo interesse (art. 7º, IX e §§3º, 4º e 7º; art. 10), limitado ao necessário para a análise |
| Criar e administrar a conta, autenticar | cadastro, técnicos | Execução de contrato (art. 7º, V) |
| Processar pagamentos, emitir comprovantes e documentos fiscais | pagamento, cadastro | Execução de contrato (art. 7º, V) e obrigação legal (art. 7º, II) |
| Avisos operacionais: confirmação de pedido, conclusão da análise, link do relatório, conta, segurança, cobrança, cancelamento, mudanças contratuais | cadastro, pagamento | Execução de contrato (art. 7º, V) |
| Suporte e atendimento | suporte, cadastro | Execução de contrato (art. 7º, V) e exercício regular de direitos (art. 7º, VI) |
| Segurança, prevenção a fraude e registros de acesso | técnicos | Legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI) |
| Medição de audiência e uso do site (Google Analytics 4) | cookies e analytics | Legítimo interesse (art. 7º, IX), com aviso no site |
| Mensagens comerciais por e-mail ou WhatsApp, inclusive acompanhamento após uma análise gratuita | nome, e-mail/telefone, resumo do resultado da sua análise | Legítimo interesse (art. 7º, IX), só para quem solicitou a análise ou contratou, com opção de parar a qualquer momento |
| Melhoria do produto com estatísticas agregadas | dados de uso e de análise, agregados ou anonimizados | Legítimo interesse (art. 7º, IX) |
| Cumprir obrigações legais e ordens de autoridades; defender direitos | conforme o caso | Obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI) |
Acompanhamento comercial. Ao solicitar a análise gratuita ou contratar, você recebe por WhatsApp e e-mail o resultado da análise e mensagens de acompanhamento sobre os planos da FirstOnAI. Você pode parar de receber mensagens comerciais a qualquer momento, sem custo: responda "SAIR" no WhatsApp, use o link de descadastro no e-mail ou o formulário ao final desta página. Parar não afeta os avisos operacionais do serviço.
Decisões automatizadas. A pontuação e as métricas da análise são geradas automaticamente e se referem à presença digital de empresas. Não usamos esses resultados para tomar decisões sobre pessoas. Se entender que uma decisão exclusivamente automatizada afetou seus interesses, você pode pedir revisão (art. 20).
5. Inteligência artificial
Para executar a análise, enviamos aos provedores de IA somente o necessário para cada etapa:
- consulta de visibilidade: a pergunta pesquisada e, conforme o provedor, o país, a cidade e UF confirmadas por você e o fuso horário (no Gemini, apenas o idioma), com instrução para pesquisar na web;
- análise do site: o domínio e trechos públicos de páginas do site da empresa (títulos, descrições e textos), previamente limpos de e-mails, telefones, nomes de pessoas e outros dados pessoais incidentais;
- geração das perguntas: categoria, produtos e serviços, cidade e UF e o perfil comercial da empresa;
- análise das respostas: nome comercial e variações da marca, a pergunta, a resposta da IA, fontes e citações, e um identificador técnico aleatório sem vínculo direto com você;
- plano de ação: empresa, domínio, descrição comercial, métricas, posicionamento, concorrentes, pontos fortes e fracos, fontes públicas, problemas e oportunidades.
Não enviamos aos provedores de IA: seu nome, e-mail, telefone ou WhatsApp, CPF, endereço IP, identificador da conta, cookies ou tokens, senha ou credenciais, dados de pagamento, histórico de suporte, preferências de comunicação ou mensagens trocadas pelo WhatsApp.
Usamos exclusivamente as versões comerciais (pagas) das APIs de OpenAI, Anthropic e Google. Nas condições atuais desses serviços, os dados enviados pela API não são usados para treinar modelos por padrão, mas cada provedor pode conservá-los por período limitado, conforme seus próprios termos, para operação, segurança e prevenção de abuso. Não afirmamos que nenhum dado é retido por eles. Você pode pedir informações atualizadas sobre essas condições pelo canal de privacidade.
As respostas de IA são probabilísticas e podem conter erros. Conteúdos gerados precisam de revisão humana (Termos de Uso e Contratação, seção 6).
6. Com quem compartilhamos
| Fornecedor | Para quê |
|---|---|
| OpenAI, L.L.C. | processar perguntas e respostas da análise (modelos de IA via API) |
| Anthropic, PBC | processar perguntas e respostas da análise (modelos de IA via API) |
| Google LLC | processar perguntas e respostas da análise (Gemini via API); medição de audiência (Google Analytics 4, se você aceitar); login com Google, se você escolher |
| Apple Inc. | login com a Apple, se você escolher |
| Cloudflare, Inc. | verificação anti-robô (Turnstile) no formulário da análise gratuita, para prevenir abuso e fraude |
| Stripe, Inc. | processar pagamentos com Apple Pay e Google Pay |
| Mercado Pago | processar pagamentos com cartão de crédito, no ambiente do Mercado Pago |
| Resend | enviar e-mails |
| CoverCut, com a infraestrutura da Meta (WhatsApp) | enviar mensagens por WhatsApp (número, nome quando informado, status de entrega, histórico necessário e descadastro) |
| Vercel | hospedar o site e a aplicação |
| Neon | banco de dados |
| Better Auth | autenticação |
Também podemos compartilhar dados com autoridades quando houver obrigação legal ou ordem válida, e com assessores (contabilidade, advogados) sob dever de confidencialidade.
Não vendemos dados pessoais e não os usamos para publicidade comportamental de terceiros.
7. Transferência internacional
Vários desses fornecedores tratam dados fora do Brasil, incluindo nos Estados Unidos. Fazemos essas transferências com base nos mecanismos do art. 33 da LGPD aplicáveis a cada finalidade:
- para prestar o serviço que você pediu (análise, pagamento, hospedagem, e-mails operacionais): quando a transferência for necessária à execução do contrato com você (art. 33, IX, c/c art. 7º, V) ou com base em cláusulas-padrão contratuais aprovadas pela ANPD, quando firmadas com o fornecedor;
- para medição de audiência e acompanhamento comercial (Google Analytics, e-mail e WhatsApp): com base em cláusulas-padrão contratuais aprovadas pela ANPD ou em outras garantias do art. 33, II, firmadas com o fornecedor;
- para fornecedores na União Europeia: com base na decisão de adequação da ANPD (Resolução CD/ANPD nº 32/2026).
Você pode pedir, pelo canal de privacidade, informações sobre o mecanismo usado para cada fornecedor.
8. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Conta, perfil, análises e relatórios | enquanto a conta existir; após a exclusão, eliminação dos sistemas ativos em até 30 dias |
| Análise gratuita sem criação de conta | 12 meses contados da geração da análise; depois, os dados operacionais são excluídos |
| Arquivo de contratação (somente para quem contratou plano pago) | 5 anos após a exclusão da conta ou o fim do contrato, em arquivo separado e de acesso restrito (detalhes abaixo) |
| Contatos para marketing | até você pedir para parar ou se opor, ou 12 meses sem interação, o que ocorrer primeiro |
| Registros de descadastro de mensagens comerciais | o necessário para comprovar e respeitar o pedido, por até 5 anos |
| Lista de bloqueio de marketing | mantemos apenas o mínimo necessário (e-mail ou telefone, de forma protegida) para não voltar a enviar mensagens a quem pediu para parar |
| Registros de acesso e segurança | 6 meses |
| Eventos no Google Analytics 4 | 14 meses |
| Atendimento e suporte, inclusive por WhatsApp | 24 meses após a última interação |
| Cópias de segurança (backups) | até 90 dias; dados excluídos podem permanecer nelas até o fim desse ciclo |
| Pagamentos e documentos fiscais/contábeis | pelo prazo exigido pela legislação fiscal e contábil |
| Dados anonimizados ou agregados | podem ser mantidos, desde que não permitam identificação |
Arquivo de contratação. Se você contratou um plano pago, ao excluir a conta mantemos, separado da operação e com acesso restrito, somente: sua identificação, e-mail e telefone usados; versão e hash dos Termos aceitos; data, hora, IP e navegador do aceite; plano, preço e oferta apresentados; pagamentos, cancelamentos e reembolsos; comunicações relevantes; o relatório entregue, com as perguntas, respostas das IAs, fontes, modelo e metodologia usados; e o pedido e o comprovante de exclusão. Esse arquivo serve apenas para comprovar a contratação e defender direitos (art. 7º, VI, e art. 16, I, da LGPD) e nunca é usado para marketing ou operação. Havendo reclamação ou processo, os dados relacionados ficam bloqueados até o encerramento definitivo.
Fora desses casos, podemos manter dados por mais tempo apenas quando necessário para cumprir obrigação legal ou defender direitos, sempre com acesso restrito.
Backups. São protegidos, com acesso restrito, e não são usados para restaurar isoladamente uma conta que pediu exclusão, salvo por necessidade de segurança, recuperação de desastre ou obrigação legal.
Dados já enviados a fornecedores (item 6) são eliminados conforme as opções e os prazos de cada fornecedor. Quando você pede a exclusão, removemos os dados dos nossos sistemas e usamos as ferramentas de exclusão que os fornecedores oferecem, quando existentes.
9. Segurança
Adotamos medidas técnicas e administrativas razoáveis e proporcionais ao risco para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou divulgação (art. 46 da LGPD). Nenhum sistema é totalmente imune a incidentes.
Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos você e a ANPD nos prazos da regulamentação.
10. Cookies
O site usa cookies necessários ao funcionamento (login, sessão e segurança) e cookies de medição de audiência (Google Analytics 4). Não usamos cookies de publicidade. Um aviso no rodapé informa esse uso na primeira visita.
| Categoria | Fornecedor | Finalidade | Duração | Base legal |
|---|---|---|---|---|
| Autenticação e sessão | FirstOnAI | manter você conectado e proteger a conta | enquanto durar a sessão, até alguns dias | Necessário ao serviço |
| Aviso de cookies | FirstOnAI | lembrar que você fechou o aviso | até 12 meses | Necessário ao serviço |
| Segurança do pagamento | Stripe | prevenção a fraude no pagamento | de minutos a 1 ano | Necessário ao serviço |
| Analytics | Google (Google Analytics 4) | medir navegação e conversões | até 2 anos | Legítimo interesse |
Você pode bloquear ou apagar cookies nas configurações do seu navegador; bloquear os cookies necessários pode impedir o login. Para se opor à medição de audiência, use o formulário ao final desta página ou o complemento de desativação do Google Analytics. Os dados do Google Analytics são processados pelo Google, inclusive fora do Brasil.
Pagamentos pelo Mercado Pago são concluídos no ambiente do próprio Mercado Pago, que aplica sua política de cookies.
11. Seus direitos
Você pode pedir, a qualquer momento (art. 18 da LGPD):
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- portabilidade, nos termos da regulamentação;
- eliminação de dados tratados com base no consentimento;
- informação sobre com quem compartilhamos seus dados;
- informação sobre a possibilidade de não consentir e suas consequências;
- revogação do consentimento, quando o tratamento se basear nele;
- oposição a tratamento baseado em legítimo interesse, como mensagens comerciais e medição de audiência;
- revisão de decisões automatizadas (art. 20).
Como pedir: pelo formulário abaixo ou por e-mail a contato@firstonai.com.br. Confirmamos o recebimento imediatamente. Pedidos de acesso em formato simplificado são atendidos de imediato quando possível; a declaração completa é fornecida em até 15 dias (art. 19). Podemos pedir informações razoáveis para confirmar sua identidade — normalmente, apenas a confirmação de acesso ao e-mail ou telefone cadastrado.
Alguns dados podem não ser eliminados quando a lei permitir ou exigir a retenção (item 8); nesse caso, explicaremos o motivo.
Para parar de receber mensagens comerciais: use o link de descadastro no e-mail, responda "SAIR" no WhatsApp ou use o formulário.
Excluir a conta: no painel (Conta › Excluir conta) ou pelo formulário. Se houver assinatura ativa, a exclusão cancela a renovação (Termos de Uso e Contratação, seção 12).
Se não ficar satisfeito com nossa resposta, você pode peticionar à ANPD (art. 18, §1º) — https://www.gov.br/anpd.
12. Crianças e adolescentes
O serviço é destinado a maiores de 18 anos em atividade profissional. Não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos esse tratamento, eliminaremos os dados.
13. Mudanças neste Aviso
A versão vigente fica nesta página, com número de versão e data. Mudanças relevantes — novas finalidades, novas categorias de dados ou troca do controlador — serão informadas por e-mail e na plataforma antes de produzirem efeito. Se a mudança afetar tratamento baseado em consentimento, você poderá revogá-lo.