Documento legal
Política de Privacidade
Em vigor desde 23 de setembro de 2026. Aplica-se ao Cori Central e a tudo que roda em coricentral.com.
Em resumo
O Cori Central é um sistema que empresas contratam para atender clientes pelo WhatsApp, cobrar e emitir nota fiscal. Quase todo dado pessoal que passa por aqui é da empresa que contratou — ela decide o que guardar e por quê, e nós só operamos o sistema para ela.
Não vendemos dados, não os usamos para publicidade e não os usamos para treinar modelos de inteligência artificial próprios. Você pode pedir acesso, correção ou exclusão dos seus dados a qualquer momento pelo e-mail privacidade@coricentral.com — como fazer isso está na seção 11.
O resumo é só para facilitar a leitura. O que vale é o texto completo abaixo.
1. Quem somos
O Cori Central é operado por GVSI Capital LTDA, inscrita no CNPJ sob o nº 58.660.640/0001-08, com sede em Rua Maria Luzia Gonçalves, 259 — Colina da Praia, Itabira/MG, CEP 35900-970, Brasil.
Esta política se aplica ao site coricentral.com, ao sistema Cori Central (incluindo os endereços de cada cliente no formato nome-do-cliente.coricentral.com) e às integrações que o sistema faz em nome de quem o contrata.
Ela não se aplica aos sites, lojas e páginas de checkout das empresas que usam o Cori Central. Cada uma delas tem a sua própria política.
2. Dois papéis diferentes — leia esta parte
A LGPD (Lei 13.709/2018) separa quem decide o que fazer com um dado (controlador) de quem executa esse tratamento por conta de outro (operador). O Cori Central é as duas coisas, em situações diferentes — e é isso que determina a quem você deve pedir alguma coisa.
| Situação | Nosso papel | Quem decide |
|---|---|---|
| Você visita coricentral.com ou pede uma demonstração pelo formulário | Controladora | Nós |
| Você trabalha numa empresa cliente e tem login no sistema | Controladora | Nós, quanto à sua conta de acesso |
| Você é contato, cliente ou aluno de uma empresa que usa o Cori Central, e os seus dados estão lá dentro | Operadora | A empresa que atende você |
Se os seus dados estão no sistema porque você é cliente de alguma empresa, quem responde por eles é essa empresa, não nós. Não podemos apagar, corrigir ou entregar esses dados por conta própria — seria mexer no cadastro de um cliente sem ordem dele.
Mesmo assim, escreva para privacidade@coricentral.com: nós encaminhamos o seu pedido à empresa responsável em até 5 dias úteis e dizemos a você para quem ele foi.
3. Que dados tratamos
3.1. Quando somos controladora
- Pedido de demonstração: nome, empresa, WhatsApp, tamanho da equipe e a ferramenta que você usa hoje — os campos do formulário do site.
- Conta de acesso ao sistema: nome, e-mail, foto de perfil (se você enviar uma) e o registro de quando você entrou e o que fez nas telas que guardam histórico.
- Registros de acesso: endereço IP, data e hora, e navegador usado — o que o art. 15 do Marco Civil da Internet manda guardar.
- Mensagens de suporte que você nos envia.
3.2. Quando somos operadora
São os dados que a empresa cliente insere, importa ou recebe pelo sistema. O que existe depende do que ela usa:
- Contatos: nome, telefone, e-mail, CPF ou CNPJ, endereço, etiquetas e campos personalizados criados por ela.
- Conversas de WhatsApp: o conteúdo das mensagens trocadas (texto, áudio, imagem, vídeo e documento), com data, hora e status de entrega. Os arquivos ficam guardados para que a conversa possa ser reaberta depois.
- Vendas e cobranças: pedidos, valores, forma de pagamento, parcelas, vencimentos e status.
- Notas fiscais: os dados que a emissão exige — nome, documento e endereço de quem compra.
- Contratos, projetos e tarefas: o que a empresa registrar nesses módulos.
Dados de cartão de crédito. O número do cartão e o código de segurança passam pelo nosso servidor apenas para serem repassados na hora ao gateway de pagamento (Pagar.me) e não são gravados no nosso banco de dados. Do cartão, guardamos só o identificador que o gateway devolve, a bandeira e os quatro últimos dígitos — o suficiente para uma cobrança seguinte e para você reconhecer o cartão na tela.
4. Para que usamos, e com que base legal
| Para que | Base legal (LGPD) |
|---|---|
| Responder a um pedido de demonstração e conversar sobre contratação | Art. 7º, V — providências preliminares a um contrato, a seu pedido |
| Fornecer o sistema a quem o contratou, e dar suporte | Art. 7º, V — execução do contrato |
| Operar o tratamento que a empresa cliente determina (atender, cobrar, emitir nota) | Art. 7º — a base é a que a empresa cliente, como controladora, definir |
| Emitir nota fiscal e guardar registro financeiro | Art. 7º, II — cumprimento de obrigação legal |
| Guardar registro de acesso ao sistema | Art. 7º, II — art. 15 do Marco Civil da Internet |
| Manter o sistema de pé: segurança, prevenção a fraude e correção de defeito | Art. 7º, IX — legítimo interesse |
| Defender nossos direitos em processo | Art. 7º, VI — exercício regular de direitos |
5. Com quem compartilhamos
Não vendemos dados pessoais e não os cedemos para publicidade de terceiros. Compartilhamos com quem é necessário para o sistema funcionar, e só o necessário. Esta é a lista completa de quem pode tratar dados a nosso pedido:
| Quem | Para quê | Onde fica |
|---|---|---|
| Supabase | Banco de dados e armazenamento de arquivos | EUA |
| Vercel | Hospedagem do sistema e do site | EUA |
| Meta Platforms | WhatsApp Business Platform: enviar e receber as mensagens | EUA |
| Pilot Status | Provedor que conecta os números de WhatsApp | Brasil |
| Pagar.me | Processar pagamentos e assinaturas | Brasil |
| Notazz | Emitir notas fiscais | Brasil |
| Resend | Enviar e-mails do sistema | EUA |
| Brevo | Enviar e-mails do sistema (alternativa ao Resend) | França |
| DeepSeek | Modelo de linguagem do agente de IA que responde e resume conversas | China |
| OpenAI | Transcrever áudio, gerar voz e gerar texto de apoio | EUA |
| ElevenLabs | Transcrever áudio e gerar voz | EUA |
| Sentry | Registro de erros do sistema, para corrigir defeitos | EUA |
Também compartilhamos quando a lei ou uma ordem judicial exige, e podemos transferir os dados em caso de reorganização societária — situação em que esta política continua valendo para quem os receber.
6. WhatsApp, Meta e o agente de IA
O Cori Central envia e recebe mensagens pela WhatsApp Business Platform, a API oficial da Meta. Isso significa que o conteúdo das conversas passa pela infraestrutura da Meta e fica sujeito também às políticas dela. WhatsApp e Meta são marcas da Meta Platforms, Inc., sem vínculo societário com este produto.
Quando uma empresa cliente conecta um número de WhatsApp ao sistema, ela nos autoriza a acessar, em nome dela, a conta WhatsApp Business correspondente — para enviar e receber mensagens, gerir modelos de mensagem e ler os indicadores de qualidade do número. Essa autorização vale enquanto o número estiver conectado, e ela pode retirá-la a qualquer momento desconectando o número.
O agente de IA
Quando a empresa cliente liga o agente de inteligência artificial, o conteúdo das mensagens daquela conversa é enviado ao provedor do modelo (hoje a DeepSeek) para que a resposta seja gerada. O mesmo vale para transcrição de áudio e geração de voz, que passam pela OpenAI ou pela ElevenLabs conforme a configuração.
Não usamos esse conteúdo para treinar modelos próprios, e não o usamos para nenhuma finalidade além de produzir a resposta pedida. O conteúdo enviado a esses provedores fica sujeito às políticas de privacidade deles, listadas na seção 5.
Com o agente de IA desligado, nenhum conteúdo de conversa é enviado a provedor de IA. O interruptor fica nas configurações, por número e por atendimento, e é a empresa cliente quem decide.
7. Transferência internacional
Parte dos fornecedores da seção 5 está fora do Brasil — Estados Unidos, França e China. Isso significa que dados tratados pelo sistema podem ser armazenados ou processados nesses países, conforme o art. 33 da LGPD, com base na execução do contrato e nas cláusulas contratuais firmadas com cada fornecedor.
Chamamos atenção para um caso em especial: o modelo de linguagem usado pelo agente de IA é operado por empresa sediada na China. Uma empresa cliente que não queira enviar conteúdo de conversa para fora do Brasil deve manter o agente de IA desligado.
8. Por quanto tempo guardamos
| O quê | Por quanto tempo |
|---|---|
| Dados inseridos pela empresa cliente (contatos, conversas, vendas) | Enquanto durar o contrato dela, e pelo prazo de exclusão da seção 11 depois disso |
| Registro técnico de cada mensagem recebida no webhook | 7 dias |
| Eventos brutos recebidos de gateways e integrações | Cerca de 96 dias |
| Planilhas geradas sob demanda dentro do sistema | 24 horas, depois o arquivo é apagado |
| Registros de acesso ao sistema | 6 meses (art. 15 do Marco Civil) |
| Registros financeiros e fiscais | 5 anos, por obrigação legal, mesmo após o fim do contrato |
| Pedido de demonstração que não virou contrato | Até 2 anos, ou antes se você pedir a exclusão |
9. Como protegemos
- Todo tráfego entre o seu navegador e o sistema é cifrado (HTTPS).
- Isolamento por cliente no banco de dados: cada empresa cliente só alcança as próprias linhas, e a regra é aplicada pelo próprio banco, não apenas pela tela.
- Chaves e segredos de integração ficam em cofre, e não são legíveis pelas contas comuns do sistema.
- Acesso por papel: cada pessoa vê apenas as telas que o administrador liberou.
- O painel que administra todos os clientes exige verificação em duas etapas, e é separado do sistema do dia a dia.
Nenhum sistema é imune. Se acontecer um incidente de segurança com risco relevante, comunicaremos a Autoridade Nacional de Proteção de Dados e os afetados, na forma do art. 48 da LGPD. Quando o dado for de uma empresa cliente, comunicaremos a ela, que é a controladora.
10. Seus direitos
O art. 18 da LGPD garante a você o direito de pedir:
- confirmação de que tratamos dados seus, e acesso a eles;
- correção de dado incompleto, inexato ou desatualizado;
- anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo;
- portabilidade a outro fornecedor;
- eliminação dos dados tratados com o seu consentimento;
- informação sobre com quem compartilhamos;
- revogação do consentimento, quando foi ele a base do tratamento.
Respondemos em até 15 dias. Para proteger você, podemos pedir informação que confirme a sua identidade antes de atender — e essa informação é usada só para isso.
11. Como pedir a exclusão dos seus dados
Escreva para privacidade@coricentral.com com o assunto “Exclusão de dados”, dizendo qual é o seu caso:
Se você contratou o Cori Central
Peça o encerramento da conta. Antes de apagar, damos 30 dias para você exportar o que quiser levar. Passado esse prazo, apagamos os dados da sua operação, exceto o que a lei manda guardar (registro fiscal e financeiro, por 5 anos, e registro de acesso, por 6 meses).
Se os seus dados estão no sistema por causa de uma empresa que atende você
Quem pode apagá-los é essa empresa — veja a seção 2. Diga no e-mail qual é ela, ou por qual número de WhatsApp vocês falaram, e encaminhamos o seu pedido em até 5 dias úteis, avisando você para quem foi.
Se você conectou um número de WhatsApp ao Cori Central
Para cortar o nosso acesso à sua conta WhatsApp Business, remova o aplicativo em Configurações do negócio → Integrações, no Gerenciador de Negócios da Meta, ou peça a desconexão pelo próprio sistema. A partir daí não enviamos nem recebemos mensagem por aquele número. Para apagar também o histórico já guardado, peça no mesmo e-mail.
Se você só pediu uma demonstração
Responda o e-mail que trocamos, ou escreva para o endereço acima. Apagamos em até 15 dias.
13. Crianças e adolescentes
O Cori Central é vendido a empresas e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de crianças e adolescentes. Se descobrirmos que um dado desses chegou até nós sem o consentimento previsto no art. 14 da LGPD, apagaremos.
14. Mudanças nesta política
Podemos atualizar este texto. A data no topo sempre diz desde quando a versão vigente vale. Se a mudança alterar de forma relevante o que fazemos com dados pessoais, avisaremos as empresas clientes por e-mail antes de ela passar a valer.
15. Como falar conosco
Para qualquer assunto de privacidade — pedido do art. 18, dúvida sobre esta política ou comunicação de incidente — escreva para privacidade@coricentral.com.
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.
Leia também os nossos Termos de Uso.
GVSI Capital LTDA
CNPJ 58.660.640/0001-08
Rua Maria Luzia Gonçalves, 259 — Colina da Praia, Itabira/MG, CEP 35900-970, Brasil
privacidade@coricentral.com