Política de Privacidade — Auvo CMMS

Versão: 2026-10-11.1 · Vigência a partir de: 11/10/2026 · Idioma: português do Brasil

---

1. Do que trata este documento

O Auvo CMMS é um sistema de gestão de manutenção usado por empresas para organizar ordens de serviço, ativos, equipes de campo e estoque. Esta Política explica quais dados pessoais o sistema trata, para quê, com quem são compartilhados, por quanto tempo ficam e quais direitos o titular tem.

Ela cobre a aplicação web, o aplicativo móvel, a API pública, o portal público de abertura de chamados e as páginas, públicas ou na Área do Cliente, em que o cliente de uma empresa usuária lê, aceita ou recusa uma proposta comercial.

2. Quem é controlador e quem é operador

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD) separa quem decide o tratamento (controlador) de quem executa por conta do controlador (operador). No Auvo CMMS os dois papéis existem ao mesmo tempo, e é importante não confundi-los:

Consequência prática: se você é técnico, gestor ou solicitante de uma empresa que usa o Auvo CMMS, quem decide sobre os seus dados operacionais é o seu empregador ou contratante, não a Auvo. Pedidos sobre esses dados são encaminhados a ele — a Auvo coopera e dá o suporte técnico necessário (seção 8).

3. Que dados pessoais o sistema trata

O inventário abaixo descreve o que o sistema efetivamente armazena. Nem todo cliente usa todos os módulos: campos de módulos não utilizados permanecem vazios.

3.1. Identificação e contato do usuário

Nome, nome completo, nome de exibição, e-mail, telefone, foto de perfil, idioma preferido, cargo, matrícula, tipo de registro, departamento, data de admissão e de desligamento, jornada diária, habilidades, limite diário de ordens de serviço e custo por hora.

3.2. Documentos de identificação e dados cadastrais sensíveis

CPF, RG e órgão emissor, data de nascimento, gênero, tipo sanguíneo, nome e telefone de contato de emergência, e endereço residencial completo (logradouro, número, complemento, bairro, cidade, estado e CEP).

Tipo sanguíneo é dado pessoal sensível (dado referente à saúde, art. 5º, II da LGPD). O campo existe para uso em emergência em campo e só deve ser preenchido pelo cliente se houver base legal para isso.

3.3. Documentos ocupacionais e de saúde ocupacional

O módulo de conformidade guarda, por colaborador, documentos com validade: ASO (Atestado de Saúde Ocupacional), NR-10, NR-35, certificações e demais documentos definidos pelo cliente. De cada um são registrados os metadados: número, órgão emissor, data de emissão, data de validade, situação (válido, a vencer, vencido), observações, quem cadastrou e quem verificou.

A foto do documento pode ser enviada pelo aplicativo. O colaborador pode enviar, pelo aplicativo, a foto de um documento que a empresa exige dele — inclusive do ASO. A foto (JPEG, PNG ou WEBP, de até 10 MB) é guardada num repositório de arquivos privado, separado dos demais arquivos e sem endereço público, junto com o nome original do arquivo, o tamanho e o tipo. Ela só é aberta, para conferência, por quem tem na empresa cliente a permissão de verificar documentos, por um link temporário, válido por 5 minutos. O documento enviado fica em análise e só passa a contar depois de aprovado por quem confere; na recusa, o motivo é registrado.

O ASO é dado pessoal sensível de saúde. O sistema não tem campo para o resultado clínico do exame, mas guarda a foto do atestado quando o colaborador a envia pelo aplicativo — com tudo o que estiver escrito nele. A existência e a validade do atestado são, por si, dados de saúde. O tratamento se apoia no cumprimento de obrigação legal e regulatória do empregador em segurança e saúde do trabalho (art. 11, II, "a" da LGPD).

O sistema também registra verificações de conformidade: quando um técnico é impedido de executar uma ordem de serviço por documento vencido, ficam gravados o motivo, quem verificou, e — se houve liberação excepcional — quem liberou e com que justificativa.

3.4. Localização geográfica do técnico

Este é o tratamento mais sensível do produto e merece descrição literal. Quando o rastreamento está ativo, o aplicativo envia e o sistema armazena:

• latitude, longitude, altitude, precisão, rumo e velocidade;
• data e hora da coleta e do recebimento;
• identificador do aparelho, tipo de rede, nível de bateria e se está carregando;
• tipo de atividade detectada (parado, caminhando, em veículo) e modo de rastreamento em uso;
• vínculo com a ordem de serviço e o local que estavam sendo atendidos;
• entradas e saídas de cercas virtuais (geofences) definidas pelo cliente;
• a última posição conhecida de cada técnico, exibida no mapa ao vivo;
• resumo diário: distância percorrida, minutos em movimento, parado, em trânsito, em local e atendendo ordens de serviço, número de visitas e de registros de entrada e saída — e, enquanto os pontos detalhados do dia existem, o trajeto do dia compactado (a sequência das posições, sem o horário de cada uma), que sai junto com eles (seção 6).

Consentimento: o rastreamento depende de consentimento do técnico, dado no aplicativo. Cada aceite fica guardado em registro próprio, com a versão do termo, o resumo (hash) do texto do termo que o aplicativo envia junto com o aceite, o endereço IP, a identificação do aparelho e a data e hora — no aceite da versão 1.0 que chega sem o texto, o resumo guardado é o da identificação da versão. O consentimento pode ser revogado a qualquer momento, na tela Privacidade do aplicativo; a revogação fica registrada, com data e hora, e continua registrada mesmo que o técnico volte a aceitar: o novo aceite ganha um registro novo, e o anterior não é reescrito. A exceção é a revogação feita num aparelho sem conexão que só chega ao servidor depois de um aceite feito mais tarde: vale o aceite, que é o ato mais recente, e essa revogação não ganha registro próprio. Revogado o consentimento, o aplicativo interrompe a coleta e apaga os pontos de GPS que ainda guardava no aparelho (os resumos diários e os eventos de cerca que o aparelho recebeu do servidor continuam nele), o servidor recusa posições novas daquele técnico e ele deixa de aparecer no mapa ao vivo; o que já tinha sido enviado segue os prazos da seção 6, salvo pedido de exclusão.

Novo aceite do termo: o termo de consentimento tem número de versão. Quando o técnico aceita uma versão mais nova, o registro do aceite anterior não é apagado nem reescrito: é encerrado, com a data e a hora da substituição, e o registro novo aponta para ele. Os dois ficam guardados como prova, cada um com a sua versão, o seu resumo, o seu endereço IP, o seu aparelho e a sua data. De toda versão posterior à 1.0, o aceite só é registrado se trouxer o texto do termo; e o aceite de versão igual ou anterior à que está valendo não altera o registro. Estas regras de registro valem para os aceites e as revogações feitos a partir da vigência desta versão: antes dela, o aceite dado depois de uma revogação reaproveitava o registro anterior.

O termo em uso: o termo que o aplicativo registra hoje é o de versão 1.0, cujo texto fala em coleta durante o horário de trabalho configurado pela empresa — ele não descreve a coleta sem janela de que trata o parágrafo "Janela e limites", abaixo. O aceite é registrado em dois momentos. O primeiro é a abertura do aplicativo enquanto não há registro de aceite nem de revogação daquele técnico: o aceite é registrado assim que a permissão de localização do aparelho está concedida — quando o sistema pede a permissão, no momento em que o técnico a concede; quando ela já tinha sido concedida antes, por outra pessoa no mesmo aparelho ou para o carimbo das fotos (seção 3.6), sem nenhuma pergunta ao técnico. O segundo é a tela Privacidade, quando ele ativa o rastreamento. Nesses dois momentos o texto integral do termo não é exibido: a tela Privacidade mostra o que é coletado e se a empresa dele tem horário de coleta.

Trilha de acesso: consultar o rastro de outra pessoa deixa registro de quem consultou, de quem, e em que período (art. 37 da LGPD).

Janela e limites: a empresa cliente pode configurar o horário permitido de rastreamento — os dias da semana e a faixa de horas de cada um —, e então o aplicativo só coleta dentro dele, salvo enquanto o aparelho ainda não conseguiu ler esse horário: nesse caso ele segue coletando por até 8 horas, à espera da leitura. Se a empresa não configura horário — e é assim que toda conta nasce —, não há janela: com o rastreamento ativado, a localização é coletada a qualquer hora do dia e em qualquer dia da semana, inclusive fora do expediente. A empresa configura também os intervalos de coleta, os limites de bateria abaixo dos quais a coleta fica menos frequente (ela não para por causa da bateria) e os prazos de retenção (seção 6).

3.5. Assinatura de ordem de serviço

Ao concluir um atendimento, a Plataforma coleta assinatura do cliente e do técnico. De cada assinatura ficam gravados:

• a imagem da assinatura manuscrita, armazenada no serviço de arquivos;
• nome, número do documento (CPF ou CNPJ) e cargo de quem assinou;
• data e hora da assinatura, sempre gerada pelo servidor;
• um resumo criptográfico (SHA-256) da imagem, que permite verificar depois que o arquivo guardado é o mesmo que foi assinado.

Checklists executados em campo também podem conter assinatura do técnico e do revisor.

Assinatura à distância, por link

Quando não há responsável no local para assinar, a empresa contratante pode pedir a assinatura por e-mail ou WhatsApp. Nesse caminho, além dos itens acima, ficam gravados:

• o e-mail e/ou telefone do destinatário informados por quem pediu a assinatura, e o canal usado. Eles servem para enviar o pedido e para a empresa saber, depois, para quem ele foi;
• o endereço de rede (IP) e o identificador do navegador (user-agent) de quem assinou, no momento do aceite;
• o texto da declaração que foi exibido e aceito, guardado como resumo criptográfico — é o que permite afirmar, depois, exatamente o que a pessoa leu.

O link é pessoal, tem prazo de validade e deixa de funcionar assim que a assinatura é registrada ou quando a empresa o cancela. Ele dá acesso ao documento daquela ordem de serviço — o mesmo que a empresa já pode compartilhar por link público.

Quem recebe um pedido de assinatura e não reconhece o serviço não precisa fazer nada: basta ignorar a mensagem, e o link vence sozinho. Para pedir a exclusão desses registros, use os canais da seção de direitos do titular — observando que a assinatura é prova de execução de um serviço e a sua retenção segue a regra da seção correspondente.

Como o arquivo é servido: na configuração de produção recomendada, o repositório de arquivos é público e o endereço gravado para cada foto, anexo ou assinatura é permanente e não exige autenticação — quem obtiver o endereço abre o arquivo. O endereço não é adivinhável (a chave contém identificador aleatório), mas também não expira. Vale para todos os arquivos da seção 3.6.

3.6. Fotos, arquivos e texto livre de campo

Fotos de campo anexadas a ordens de serviço e a chamados, arquivos anexados (fotos, PDFs, planilhas), respostas de checklist, comentários, apontamentos de horas trabalhadas, laudos e manuais de ativo.

Texto livre e fotos são imprevisíveis: podem conter rosto de pessoas, placa de veículo, crachá ou informação de saúde. O cliente, como controlador, deve orientar seus usuários sobre o que registrar.

Carimbo de data e localização na foto: a empresa pode ligar, nas regras de ordem de serviço, o carimbo das fotos tiradas com a câmera no checklist e nos anexos da ordem de serviço. Ligado, o aplicativo grava na própria imagem a data e a hora da captura e as coordenadas (latitude e longitude) do aparelho naquele momento — ou o aviso de que a localização estava indisponível ou era simulada. O carimbo passa a fazer parte da imagem e vai com ela a todo lugar em que a foto aparece ou é enviada, e desligar a regra vale só para as fotos seguintes: as que já foram carimbadas continuam carimbadas. Com a regra ligada, o aplicativo pede a permissão de localização do aparelho ao abrir a tela em que a foto é tirada; essa leitura de posição é feita para a foto e não depende do rastreamento da seção 3.4 nem do consentimento dele. Mas a permissão concedida para a foto é a mesma que o rastreamento usa e, por isso, pode levar ao registro do aceite do rastreamento sem pergunta ao técnico (seção 3.4, "O termo em uso"). A regra nasce desligada, e a foto escolhida da galeria não é carimbada. Ligá-la é decisão da empresa cliente, controladora desse dado (seção 2).

3.6.1. Ditado: a transcrição de voz nos campos de texto

Vários campos do aplicativo têm um botão de microfone que transcreve a fala em texto — comentário e relato de conclusão da ordem de serviço, mensagens do chat e campos de texto do checklist. O Jonas em campo (seção 3.11, item h) usa o mesmo reconhecimento para ouvir as respostas do técnico — e, com o microfone dele ligado, abre o microfone sozinho depois de cada pergunta, sem o toque no botão.

A transcrição é feita pelo reconhecimento de voz do sistema operacional do próprio aparelho, e o aplicativo pede o modo offline sempre que ele está disponível. Quando o aparelho não tem o pacote de idioma instalado, o sistema operacional pode processar o áudio nos servidores dele — Google, no Android; Apple, no iOS. Nesse caso o áudio é tratado pelo fornecedor do sistema operacional, sob a política de privacidade dele. A Auvo não recebe nem armazena o áudio da fala em momento algum.

Nos campos de texto, o que chega à Auvo é o texto que o técnico confirmar no campo, e ele segue o mesmo destino de qualquer texto digitado ali. No Jonas em campo é diferente: a resposta curta é entendida no próprio aparelho e não vai ao fornecedor do modelo pelo Jonas — o valor que o técnico mantém é gravado como qualquer resposta do checklist e segue o caminho dela, inclusive a correção ortográfica do item (a) da seção 3.11, quando é texto. A fala que o microfone capta sozinho e que precisa do modelo aparece escrita na tela e só vai ao fornecedor se for mandada — com o toque em "Mandar" ou com a palavra "mandar" (ou "enviar") dita em seguida —; "Descartar" a apaga sem envio. Quando é o técnico que toca para contar ("Contar o que fiz", "Contar o que usei", "Contar o defeito") ou digita um texto para o Jonas, o que for dito — inclusive por outra pessoa perto do aparelho — ou digitado vai ao fornecedor assim que termina, sem nova confirmação. O item (h) da seção 3.11 descreve o que vai junto.

Síntese de voz do Jonas em campo. O Jonas lê em voz alta frases fixas do aplicativo com o que está no aparelho — o nome do checklist, os títulos das seções, as instruções e as perguntas dele, o nome do equipamento e o eco da resposta — e, quando as causas prováveis chegam, o começo do problema informado na abertura como o servidor o devolve: o título e a descrição da ordem de serviço (em preventiva e inspeção, só a descrição), sem a linha "Aberto por" que identifica o solicitante e com e-mail, CPF, CNPJ e telefone substituídos por marcadores. Se ainda restar algo com cara de contato — um "@", a expressão "aberto por" ou seis algarismos ou mais em sequência, mesmo separados por espaço, ponto ou traço —, o problema não é lido. O resto do texto, inclusive um nome de pessoa escrito no meio dele, é lido como está. O eco da resposta diz só "sim", "não", a opção escolhida, o número, a data ou a hora; a resposta de texto ecoa "Anotado", e o texto ditado não é lido de volta. O texto escrito pelo modelo de IA (as causas sugeridas, os passos, uma pergunta de dúvida) aparece só na tela e não é lido em voz alta.

A leitura é feita de um de dois modos:

• pela voz natural, quando a Auvo a libera no ambiente e a empresa não a desligou: o texto de cada frase vai ao servidor da Auvo, que o envia à OpenAI para gerar o áudio — uma voz sintetizada por inteligência artificial, e não a de uma pessoa. A Auvo recebe esse áudio e o guarda, e o aparelho também o guarda (seção 3.11, item h);
• pela síntese de voz do sistema operacional do aparelho nos demais casos — voz natural desligada, sem saldo, num teto ou sem conexão — e quando a voz natural falha ou demora: a mesma frase é dita pela voz do aparelho, sem repetição. O aplicativo prefere a voz instalada no próprio aparelho; quando a voz disponível no idioma é uma voz de rede, o sistema operacional pode enviar o texto lido aos servidores do fornecedor dele — Google, no Android; Apple, no iOS —, sob a política de privacidade dele. Nesse modo, a Auvo não recebe o áudio sintetizado.

Quem estiver perto do aparelho pode ouvir a leitura; o técnico desliga a voz pelo ícone de som da tela do Jonas.

Este item descreve o ditado como forma de ENTRADA. Se esse texto é depois enviado a um modelo de IA é assunto da seção 3.11, e depende de qual função está ligada.

3.7. Solicitante do portal público

O portal de abertura de chamados é acessível sem login. De quem abre um chamado são coletados: nome, e-mail, telefone, departamento, descrição do problema, fotos anexadas e a identificação do local ou ativo (inclusive por leitura de QR Code).

Rastreio do chamado: o acompanhamento é consultado informando o código do chamado e o e-mail do solicitante, que viajam no endereço da consulta (query string). O e-mail funciona como a credencial dessa consulta e, por viajar no endereço, aparece nos registros técnicos de acesso e de monitoramento (seção 3.14).

Conversa com o assistente: se a empresa ligou o atendimento por IA (seção 3.11, item g), a Área do Cliente mostra um botão de conversa. O que a pessoa escreve ali, e o que é tratado por causa disso, está descrito naquele item.

3.8. Veículos, ausências e capacidade

Placa, estado de emplacamento, RENAVAM, modelo, fabricante, ano, cor, quilometragem, validade do CRLV, seguradora e apólice do veículo do colaborador; e períodos de férias, afastamento e treinamento, com datas e observações, usados no cálculo de capacidade da equipe.

O motivo detalhado de um afastamento pode revelar dado de saúde. O campo de observação é livre e o cliente deve evitar registrar informação clínica.

3.8.1. Comprovantes de despesa e reembolso

O técnico que paga do próprio bolso — pedágio, estacionamento, material de ferragista, refeição, hospedagem — fotografa o comprovante e pede reembolso. Ficam registrados: valor, data civil do gasto, categoria, descrição, a ordem de serviço a que a despesa se liga quando houver, nome e CNPJ do fornecedor, a chave do documento fiscal, a fotografia do comprovante, quem aprovou ou recusou e quando, o motivo escrito da recusa e a referência do pagamento do reembolso.

A coordenada do momento da foto é gravada apenas quando o aparelho já tinha autorização de localização concedida antes, por outra finalidade. O aplicativo nunca pede permissão de localização por causa do cupom: sem autorização prévia, a despesa é registrada sem coordenada.

Quem enxerga: a própria pessoa que lançou a despesa, sempre; quem tem permissão de aprovar ou de administrar despesas; e quem tem permissão de leitura, dentro do recorte de locais a que tem acesso.

A fotografia do comprovante só é servida no detalhe da despesa, por endereço temporário que expira em 15 minutos. Ela não aparece em listagem, no documento da ordem de serviço, em link público, na sincronização do aplicativo móvel nem na API pública. É exceção à regra geral dos arquivos do sistema, cujo endereço é permanente na configuração de produção recomendada (seção 7).

A fotografia é guardada com ou sem a leitura por IA descrita na seção 3.11, item (d) — ela é o próprio comprovante da despesa, e existe independentemente daquela função. O que a leitura por IA muda é apenas se a imagem também vai ao fornecedor do modelo.

Base legal: execução do contrato de trabalho ou de prestação de serviço entre o titular e a empresa cliente (art. 7º, V) e cumprimento de obrigação legal fiscal e trabalhista (art. 7º, II) — o comprovante é o que sustenta a natureza indenizatória do reembolso e a dedutibilidade da despesa. É por isso que ele é guardado por 5 anos (seção 6) e não é apagado pela lixeira.

3.9. Autenticação e segurança

Resumo criptográfico (hash) da senha — a senha em texto nunca é armazenada —, identidades de login federado (Google e Microsoft), data do último acesso, tokens de redefinição de senha, tokens de notificação push do aparelho e chaves de API criadas pelo cliente, com registro de uso.

3.10. Registros de acesso e trilha de auditoria

Cada alteração relevante é registrada com quem fez, o que mudou, quando, de qual endereço IP e com qual navegador ou aplicativo. Esses registros existem para segurança, apuração de incidentes e cumprimento do art. 15 do Marco Civil da Internet.

O que "o que mudou" guarda: depende da operação. Na criação de um registro, a trilha grava a cópia integral do registro criado; na alteração, apenas os campos alterados — e a exclusão lógica, adotada nas entidades principais (seção 7), é registrada como alteração, gravando apenas o carimbo de exclusão. Na eliminação definitiva a partir da lixeira, a trilha guarda apenas quem eliminou, o quê e quando, sem cópia do registro eliminado; a cópia integral do registro apagado existe somente nas entidades que não têm exclusão lógica e são apagadas diretamente. No cadastro de um usuário, a cópia gravada na criação inclui CPF, RG, data de nascimento e endereço — ou seja, existe uma segunda cópia desses campos fora da tabela de usuários. O resumo criptográfico da senha não entra nessa cópia: desde setembro de 2026 ele é substituído por uma marca antes de gravar, como os demais segredos (tokens de acesso, chaves e dados bancários de fornecedores). Cadastros gravados antes disso ainda guardam, na trilha, uma segunda cópia desse resumo; a exportação da seção 8 a entrega também substituída pela marca. Também não vão para a trilha campos de arquivo, imagem e conteúdo muito extenso.

Retenção: a trilha de auditoria não tem expurgo automático. Diferente dos pontos de GPS, das notificações e dos registros de uso da API pública, nada apaga registro antigo de auditoria — eles permanecem por prazo indeterminado (seção 6).

3.11. Uso da inteligência artificial

O produto usa modelos de IA de terceiro (seção 5.2) em funções com oito regimes diferentes. Ler apenas o título "IA" e supor que todas funcionam do mesmo jeito seria errado:

(a) Correção ortográfica — integra a base e vem LIGADA por padrão. Não consome créditos da carteira de IA e não pede aceite do usuário. Ela envia ao fornecedor do modelo, como escrito, o texto de:

• respostas de texto livre de checklist — campos de texto curto e de parágrafo — e as observações de qualquer campo do checklist, quando o checklist é concluído;
• comentários de ordem de serviço criados pelo aplicativo, na sincronização do celular.

Não são enviados por essa função: título, descrição e solução da ordem de serviço, dados de chamado, nem comentário escrito pela aplicação web.

Não há filtro de dados pessoais nesse envio. O texto do técnico vai íntegro. Se ele escrever nome, CPF, telefone ou endereço na observação de um checklist, esse conteúdo vai junto.

Como desligar: por ambiente, com a variável AI_SPELLCHECK_ENABLED=false; por empresa, em Configurações. Não há desligamento individual pelo técnico. Enquanto os dois interruptores estiverem ligados e houver credencial do fornecedor configurada no ambiente, a correção roda para todas as empresas daquele ambiente — inclusive as que nunca usaram as funções de IA que consomem créditos.

Reescrita — opcional, e vem DESLIGADA. A empresa pode escolher, em Configurações, que o texto seja reescrito para ficar mais claro em vez de apenas corrigido. É o mesmo texto, enviado ao mesmo fornecedor, com outra instrução: melhorar a clareza sem mudar o sentido e sem acrescentar fato. Se o texto reescrito perder um número ou um código que estava no original, ele é descartado e o campo fica como estava. O original fica guardado, e o usuário pode voltar a ele campo a campo. Depende de dois passos independentes: a Auvo liberar a reescrita no ambiente e a empresa ligá-la — e ela nasce desligada nos dois.

(b) Funções de IA que consomem créditos — disponíveis a toda empresa, e só enviam quando usadas. São sete, e a lista é completa:

Elas não dependem de contratação à parte: ficam disponíveis a toda empresa cliente, e cada uso consome créditos da carteira de créditos de IA da empresa (Termos de Uso, cláusula 4.3). A origem do crédito — o crédito de boas-vindas que toda empresa recebe, a franquia de um plano ou uma recarga — não muda nada do que é enviado. Elas enviam dados ao fornecedor (seção 5) apenas quando usadas, e o envio é consequência de uma ação do usuário — com três exceções: a geração agendada do plano de rotas, descrita logo abaixo; a auditoria da ordem de serviço concluída, no item (e); e o diário de obra da IA de Obras é redigido automaticamente no fim de cada dia, para as obras que tiveram movimento, sem que ninguém o peça. Nas duas primeiras, a empresa cliente liga a função uma vez e ela passa a rodar sozinha; o diário não tem interruptor próprio (ver abaixo). As três só rodam enquanto houver saldo na carteira.

Dois outros módulos consomem créditos e têm regime próprio: o Atendimento ao cliente, no item (g) — quem provoca o envio é o cliente da empresa cliente, que não é usuário do produto —, e o Jonas em campo, no item (h) — o microfone abre sozinho depois de cada pergunta, e a fala que ele capta só vai ao fornecedor quando é mandada; a que o técnico conta depois de tocar para contar vai sem nova confirmação.

O que sai em cada um:

• o Agente envia, na conversa, a pergunta e os dados necessários para respondê-la, com o filtro descrito no fim deste item. Tem ainda dois gestos fora da conversa, cada um a pedido do usuário, aos quais esse filtro não se aplica: no mapeamento de planilha — o botão do Jonas na importação de clientes, colaboradores, locais e ativos —, envia a lista de campos do sistema, os títulos das colunas e até três linhas de exemplo da planilha (até 60 colunas, cada célula cortada em 60 caracteres), como estão: numa planilha de clientes ou de colaboradores, isso inclui nome, documento, telefone e e-mail de pessoas; e, no esboço de painel do módulo Painéis ("Monte conversando com o Jonas"), envia a descrição escrita pelo usuário e o catálogo das fontes e dos campos que ele pode usar — chave, tipo e rótulo de cada campo, inclusive rótulos que a empresa personalizou —, sem valores de registro;
• a IA de Manuais envia a pergunta, as fotos anexadas à conversa e o arquivo do manual — que fica ARMAZENADO no fornecedor do modelo, e não é enviado de novo a cada pergunta. Envia também, em toda pergunta da conversa, o histórico daquele equipamento que quem pergunta pode ver: o total de ordens de serviço concluídas, as falhas que mais se repetem (só a quem não tem acesso restrito a lojas) e, das dez ordens concluídas mais recentes, o código, a data, o tipo, o componente e a posição, a duração, o título, o problema, a causa e a solução apontados, as peças usadas, a descrição da ordem sem a linha que identifica o solicitante, as notas de pausa e de conclusão, as falhas observadas, o resumo dos checklists executados (itens não conformes, observações e medidas), as tarefas e os comentários e, só para quem não tem perfil de solicitante nem de prestador, também os comentários internos da equipe, os comentários do chamado de origem e a avaliação do cliente (nota e comentário). Nenhum nome de pessoa é lido de campo próprio — nem autor de comentário, nem quem executou —, e e-mail, CPF, CNPJ e telefone escritos nesses textos são substituídos por marcadores antes do envio; essa substituição não é garantia: um nome escrito no meio do texto vai como está;
• o Validador de OS, na validação de foto, envia a fotografia anexada ao checklist, como capturada e sem filtro, junto do critério escrito pelo gestor; o que a auditoria da ordem concluída envia está no item (e);
• a Roteirização envia ao Google os endereços, as coordenadas e as janelas de horário — e a coordenada de partida e retorno do técnico, que pode ser a residência dele, quando cadastrada. O resumo em linguagem natural do plano de rotas é gerado pelo fornecedor do modelo e recebe contagens, quilometragem, dias, o código das ordens de serviço e o motivo de cada uma que ficou de fora; os técnicos aparecem nele por apelido ("Técnico A"), não por nome;
• a IA de Obras envia o que o sistema apurou da obra, conforme o gesto: no planejamento, a descrição que o usuário escreve ao pedir o plano, a data de início prevista e os nomes dos tipos de projeto, dos tipos de ordem de serviço e dos checklists cadastrados pela empresa, entre os quais o modelo escolhe; na explicação de atraso, o código e o nome da obra, as etapas com prazos, situação e andamento, e os indicadores de atraso calculados pelo sistema; e, no diário automático, o código e o nome da obra, o código e o título das ordens de serviço concluídas no dia na obra, quantos apontamentos de hora começaram no dia e o total de horas lançadas. Nenhum campo de nome de pessoa é lido — nem de técnico, nem de cliente —, mas a descrição, o nome da obra e os títulos são texto livre e vão como escritos;
• a Análise de Renovação de Contratos envia os termos do contrato de manutenção — código, nome, moeda, vigência, valor mensal, visitas incluídas, margem mínima, se cobre corretivas, índice e mês de reajuste e aviso prévio — e os indicadores mensais calculados pelo sistema nos meses fechados mais recentes (doze, por padrão): receita, custo, margem, ordens de serviço cobertas e extras, visitas, cumprimento de prazos e de SLA e NPS agregado. As observações de renovação e de escopo escritas no contrato não são enviadas, e nenhum campo de nome de pessoa é lido;
• a IA da Orçamentação tem três gestos, cada um a pedido do usuário: explicar a margem, que envia só números calculados pelo sistema (margem, piso configurado, preço líquido, custo estimado, mediana do histórico da própria empresa e moeda); sugerir itens, que envia a descrição do trabalho escrita pelo usuário — ou pelo técnico, no levantamento de campo — e uma lista fechada de materiais do catálogo da empresa, com código, nome e unidade, entre os quais o modelo escolhe — ele não inventa item; e rascunhar a apresentação da proposta, que envia o título e o escopo do orçamento. Nenhum dos três envia os campos de contato do cliente nem dados do aceite, mas título, escopo e descrição são texto livre e vão como escritos: não há filtro de dados pessoais nesse envio.

A exceção: a geração agendada do plano de rotas. A Roteirização Inteligente pode ser configurada pela empresa cliente para montar o planejamento sozinha, no dia da semana e na hora que ela escolher. Nesse caminho, o envio ao Google acontece sem que ninguém clique naquele momento — quem decidiu foi a própria empresa, ao ligar a função em Configurações. O que é enviado é exatamente o mesmo da montagem manual: endereços, coordenadas, janelas de horário e o ponto de partida e retorno de cada técnico. Nenhum dado novo e nenhum fornecedor novo.

O plano assim montado não escala ninguém: ele fica aguardando a decisão de uma pessoa, e só altera a agenda da equipe quando alguém o aplica. Quem recebe o aviso de que há um planejamento novo é quem tem permissão para aplicá-lo.

A função nasce desligada e depende de dois passos independentes: a Auvo liberar a geração agendada para a conta e a empresa ligá-la na tela. Para desligá-la, basta desmarcá-la em Configurações → Roteirização — e o técnico continua sem poder ligá-la ou desligá-la por conta própria, porque a decisão é da empresa.

A outra exceção: o diário de obra. No fim de cada dia, a partir das 18h30 no fuso da empresa, o sistema redige sozinho um rascunho do diário de cada obra em execução que teve movimento no dia (ordem de serviço concluída ou hora lançada), sem que ninguém clique naquele momento. Ele não tem interruptor próprio: roda para toda empresa que tem o módulo de obras (Projetos), enquanto houver saldo na carteira de créditos de IA. O que é enviado é o retrato do dia descrito acima, e nada além dele. O rascunho não vira diário: ele fica aguardando que uma pessoa o leia, edite e confirme. Se ninguém confirmar, ele expira.

Ficam registradas a conversa, as mensagens, as ferramentas acionadas e o consumo de créditos de cada uso (seção 3.16).

Para que esses módulos não tratem dados da empresa, basta não usá-los: nenhum deles envia dado sem uso. Das três funções que rodam sozinhas, a geração agendada do plano de rotas e a auditoria da ordem concluída nascem desligadas e são desligadas pela empresa nas configurações de cada uma; o diário de obra não tem interruptor próprio (ver acima).

Na conversa com o Agente — e apenas nela — o conteúdo que as ferramentas de leitura devolvem passa por um filtro que classifica cada campo e decide por classe:

• Identificação de pessoa — CPF, RG, e-mail, telefone, endereço e CEP, data de nascimento, número de documento, documento de quem assinou a ordem de serviço, imagem da assinatura, endereço de rede e identificador de navegador de quem assinou à distância, contato de emergência, dado de saúde, coordenada de GPS e credenciais de acesso: removidos sempre, para todos os perfis, sem exceção por permissão.
• Remuneração de pessoa — salário, valor-hora e diária: removidos sempre, para todos os perfis. Um usuário com acesso a indicadores financeiros continua sem ver quanto alguém ganha.
• Valores de negócio — custo de ordem de serviço, preço de material, valor de compra: enviados apenas a usuários com a permissão de indicadores (analytics.view) cujo acesso não esteja restrito a lojas ou a uma carteira de clientes. Para os demais, são removidos.
• Custo agregado por pessoa — comparar ou ordenar valores por técnico: não é oferecido a nenhum perfil, tenha ele a permissão que tiver.
• Textos livres conhecidos: truncados em 500 caracteres.

Quando algo é removido, o resultado informa ao assistente que houve remoção e por qual razão, para que a resposta ao usuário diga que o dado existe e não foi exibido — nunca que ele não existe.

O nome da pessoa permanece — sem ele o agente não consegue responder "quantas ordens o João tem" nem atribuir tarefa a alguém. O filtro age por nome de campo: o que estiver escrito dentro de um texto livre não é removido, apenas cortado no limite.

A Auvo pode desligar o envio de valores de negócio a qualquer tempo, por decisão operacional, sem que isso altere as demais regras acima.

(c) Encerramento por voz — integra a base e vem LIGADO. Na folha de conclusão da ordem de serviço, o técnico pode tocar em "Preencher falando" e dizer o que encontrou e o que fez. O aplicativo transcreve a fala no aparelho (seção 3.6.1) e envia o texto transcrito ao fornecedor do modelo, que devolve uma sugestão de preenchimento dos campos da conclusão.

Vai junto do texto, e nada além disto:

• o tipo da ordem de serviço (corretiva, preventiva, inspeção) e o nome do equipamento;
• o título da ordem de serviço, aparado nos primeiros 80 caracteres;
• as listas de opções entre as quais o modelo pode escolher — nome e posição das peças daquele equipamento, nome dos códigos de problema, causa e solução cadastrados pela empresa, e nome, código e unidade dos materiais com saldo no estoque do técnico ou citados na fala.

Não são enviados: o áudio, fotos, nome ou dados do cliente, endereço, coordenada de GPS, valores de custo, nem qualquer campo fora da lista acima. Esta lista vale para o "Preencher falando"; o Jonas em campo, que também recebe a fala do técnico, tem lista própria, no item (h).

Três coisas distinguem esta função das anteriores:

• Ela não grava nada. A resposta do modelo vira sugestão na tela, assinalada como vinda de IA; quem conclui a ordem de serviço é o técnico, revisando o que foi preenchido.
• É um gesto separado do ditado. O microfone dos campos de texto continua sendo apenas transcrição (seção 3.6.1) e não envia nada a este fornecedor. Nesta função, só o botão "Preencher falando" envia. Ela continua disponível, e sem consumir créditos, com o Jonas em campo ligado ou não.
• Vem ligado, e desligar é da empresa. Esta função já vem habilitada em todas as contas: o botão aparece para o técnico de toda empresa que não a desligou, sem que ninguém precise pedir. Quem não quiser que o texto transcrito vá ao fornecedor do modelo desliga em Configurações, com efeito para a empresa inteira. A Auvo mantém um interruptor de ambiente (WO_CLOSE_DRAFT_ENABLED) capaz de retirar a função de toda a base de uma vez; ele existe para incidente e manutenção, não para liberar conta a conta.

Como desligar: por empresa, em Configurações → IA nos textos do técnico. Não há desligamento individual pelo técnico.

Não há filtro de dados pessoais nesse envio, pela mesma razão do item (a): a fala do técnico vai íntegra. Se ele disser o nome ou o telefone do cliente ao descrever o atendimento, esse conteúdo vai junto.

(d) Leitura do cupom de despesa — integra a base e vem LIGADA. Ao lançar um reembolso (seção 3.8.1), o técnico pode tocar em "Ler cupom". O aplicativo envia a fotografia do comprovante ao fornecedor do modelo, que devolve uma sugestão de preenchimento do formulário: valor, data de emissão, CNPJ e nome do emitente, chave de acesso do documento fiscal, tipo de documento e uma categoria sugerida. A leitura é sugestão, não lançamento: quem lança a despesa é a pessoa, que confere o que foi preenchido antes de salvar.

Vai junto, e nada além disto:

• a fotografia do comprovante, como capturada e sem filtro — é o único conteúdo enviado.

Não são enviados, porque nada além da imagem sai do aplicativo: o restante do formulário da despesa, a ordem de serviço a que ela se liga, o cadastro de quem lança nem o histórico de despesas anteriores.

A função só opera com rede, e é no estacionamento e na loja de ferragens que o cupom aparece: sem conexão não há leitura, e o técnico digita os campos. Falha do fornecedor também nunca chega ao técnico como erro — a resposta é "não consegui", e ele digita.

Três coisas distinguem esta função das anteriores:

• É a primeira função da base cuja entrada é uma IMAGEM. Os itens (a) e (c) enviam texto escrito ou falado pelo próprio técnico. Aqui sai uma fotografia inteira de um documento emitido por terceiro, e o que está enquadrado nela não é previsível de antemão.
• É módulo da base. Não se contrata, não entra na fatura e não consome os créditos da carteira de IA do item (b). Em troca há um teto de leituras por usuário a cada 24 horas: estourado o teto, a resposta é "não consegui" e o técnico digita.
• Vem ligada, e desligar é da empresa. Esta função já vem habilitada em todas as contas: o botão aparece para o técnico sem que ninguém precise pedir. Quem não quiser que o comprovante vá a terceiro desliga em Configurações → Despesas, com efeito imediato e para a empresa inteira. A Auvo mantém um interruptor de ambiente (EXPENSE_OCR_ENABLED) capaz de retirar a função de toda a base de uma vez; ele existe para incidente e manutenção, não para liberar conta a conta.

Como desligar: por empresa, em Configurações → Despesas. Não há desligamento individual pelo técnico.

Há, na mesma tela, um caminho que não envia nada. O botão de ler o QR Code do cupom faz a leitura inteira dentro do aparelho: a chave de acesso de 44 caracteres impressa no QR é interpretada localmente — UF, mês de emissão, CNPJ do emitente e modelo do documento — sem rede e sem que imagem, texto ou chave saiam do celular. É o contrário da leitura por IA, e existe justamente para quem não quer que o comprovante vá a terceiro.

Não há filtro de dados pessoais nesse envio. A imagem vai íntegra, como fotografada — o que estiver enquadrado nela é enviado. Um cupom fiscal pode trazer o CPF do consumidor, quando ele é informado na compra, e a relação de itens comprados, que pode revelar dado sensível: a nota de farmácia é o exemplo incômodo. A instrução dada ao modelo proíbe transcrever CPF ou nome do consumidor, e o sistema descarta esses campos se vierem na resposta — mas isso é instrução ao modelo e descarte na volta, não é garantia técnica de que a imagem não contenha esses dados nem de que o fornecedor não os processe. Quem não quiser correr esse risco tem o caminho do QR Code acima ou o desligamento em Configurações.

O que NÃO segue com a imagem: o arquivo enviado ao fornecedor é uma cópia gerada no servidor, redimensionada e recomprimida. Os metadados embutidos pela câmera não são copiados para ela — a coordenada de GPS, o instante da captura e o modelo do aparelho que o arquivo original possa carregar ficam para trás. O mesmo vale para a fotografia de checklist do item (b).

(e) Validador de OS — auditoria da ordem de serviço concluída. Consome créditos, e roda SEM clique. É a segunda função do Validador de OS (item b). Quando uma ordem de serviço é concluída, o sistema — alguns minutos depois, sem que ninguém clique naquele momento — monta um retrato em texto do serviço executado e o envia ao fornecedor do modelo, que devolve uma classificação (conforme, em atenção ou fora do padrão), os achados com o trecho do texto que sustenta cada um, e as ações que sugere. Quem decidiu que isso aconteça foi a empresa cliente, em três passos independentes: a Auvo libera a função para a conta; a empresa a liga na Central de IA; e a empresa escreve, para cada tipo de ordem, a regra com os critérios que quer auditados e as instruções ao modelo. Ordem de um tipo sem regra ativa não é analisada, e a função nasce desligada em toda conta.

Vai junto, e nada além disto:

• código, título, tipo e prioridade da ordem;
• a descrição de abertura, sem a linha "Aberto por" que identifica o solicitante;
• o relato do técnico na conclusão e as falhas registradas na ordem;
• as notas de pausa da ordem — escritas por quem pausou, que pode ser o gestor —, em bloco separado do relato do técnico, justamente para que o julgamento não as atribua a ele;
• os comentários da ordem, pelo conteúdo, sem o nome de quem escreveu;
• o checklist executado: o nome do roteiro, a situação da execução, quantos itens ficaram não conformes, e, de cada campo, a pergunta, a resposta e a observação — mais o veredito em texto que a validação de foto já deu àquela foto (aprovada ou reprovada, o motivo e a observação de segurança, quando houver);
• fatos medidos pelo sistema: a duração do atendimento, o padrão histórico de duração daquele tipo de serviço (mediana e percentil 90), quantas respostas foram registradas e em quanto tempo, se houve evidência perdida, e a qualidade do registro — uma nota de 0 a 100 calculada pelo próprio sistema, sem IA, a partir de quantos campos obrigatórios foram respondidos, de haver foto onde o roteiro a exige, de as não conformidades do checklist terem sido tratadas e de quanto tempo levou o preenchimento, acompanhada dos códigos do que a descontou;
• as instruções escritas pelo gestor na regra e a lista de etiquetas que ele autorizou a IA a sugerir.

Todo texto livre passa por uma redação automática antes de sair: e-mails, CPF, CNPJ e telefones são substituídos por marcadores. Nenhum campo de nome é lido — nem de pessoa (técnico, solicitante, autor de comentário), nem de equipamento, nem de local; também não são lidos endereço, coordenada de GPS, valores e custos, assinatura, arquivo e código de barras. Nenhuma imagem sai por esta função: a fotografia do checklist entra apenas como o texto do veredito que a validação de foto do item (b) já produziu — e é aquela validação, sob as regras daquele item, que envia a imagem. O texto tem tamanho máximo; o que exceder é cortado antes do envio.

"Campo não lido" não é o mesmo que "palavra que nunca aparece". O título da ordem, a descrição e as observações vão como foram escritos, e é comum que carreguem o nome do equipamento ou do local: uma ordem gerada por plano de preventiva costuma ter título como "PM - Mensal - Chiller 01 - Bloco B", montado pelo modelo de título que a própria empresa configurou. O que a redação garante é o filtro por padrão (e-mail, CPF, CNPJ, telefone); o que a empresa escreve em texto livre é dela.

A redação é por padrão de texto, não é garantia. Um nome escrito dentro de uma observação, ou um documento num formato que o padrão não reconhece, vai junto — pela mesma razão do item (a).

Constatações feitas pelo próprio sistema, sem IA. Além do que o modelo aponta, a regra pode ligar duas verificações que o sistema faz sozinho, sem enviar nada ao fornecedor do modelo:

• qualidade do registro abaixo da faixa: quando a nota fica abaixo dos limites definidos na regra — os que a empresa escolheu ou, se ela não escolheu, os do padrão do sistema —, o sistema registra uma constatação de atenção ou de fora do padrão;
• foto repetida: com o critério de anexos ligado, o sistema compara a impressão digital (hash) das fotos anexadas à ordem por quem a executou com a das fotos anexadas a outras ordens da mesma empresa nos 365 dias anteriores. A foto repetida vira uma constatação de atenção para o gestor conferir. A impressão digital não permite reconstruir a imagem, e a imagem não sai por esta função. Foto anexada por quem não executou o serviço (por exemplo, uma foto de referência posta pelo gestor) não entra na comparação.

Essas constatações seguem o mesmo caminho das demais: quem as lê é o gestor com permissão de aprovar ordens; o técnico vê só a classificação; e nenhuma consequência para ele é automática — a decisão é de uma pessoa, registrada.

O que acontece com o resultado:

• Quem lê o julgamento é o gestor com permissão de aprovar ordens de serviço. O técnico vê, na própria ordem, a classificação — e é avisado dela, se a empresa ligar esse aviso. Ele não recebe o raciocínio do modelo nem a lista de achados, e não tem acesso à fila de análises. O que ele pode ler é o comentário que a empresa escolheu aplicar na ordem (item abaixo): esse comentário é escrito pelo modelo e costuma dizer o que motivou a constatação — é ele que existe para dar o retorno a quem executou o serviço.
• No modo manual, que é o padrão, toda ação sugerida — comentário na ordem, etiqueta, nova ordem de serviço — fica como proposta e só acontece se um gestor a aplicar, com registro de quem e quando.
• No modo automático, que a empresa escolhe, o sistema aplica sozinho o comentário (interno por padrão, fora do documento entregue ao cliente) e a etiqueta nas classificações que a empresa indicou. O comentário aparece assinado por "Jonas", um usuário de sistema criado para isso, e fica registrado como gerado por IA. Nova ordem de serviço nunca é criada sozinha: é sempre proposta a um gestor. Comentário e etiqueta automáticos são reversíveis — o gestor os desfaz um a um, e ao contestar a análise o sistema desfaz tudo o que aplicou por conta própria.
• A classificação não produz efeito sobre o técnico por si: não altera pagamento, avaliação, escala nem vínculo, e as métricas da função são por tipo de ordem, regra e critério — nunca por técnico. Qualquer resultado pode ser revisado, contestado ou reanalisado por um gestor, e a revisão fica registrada. É a revisão humana que o art. 20 da LGPD assegura ao titular: aqui, a decisão nunca é da máquina.

Cada análise que chama o modelo consome créditos da carteira de créditos de IA da empresa. A análise que só usa as verificações do próprio sistema não chama o modelo e não consome crédito. Os resultados — classificação, achados, raciocínio e ações — ficam guardados por 180 dias e são então eliminados; o comentário e a etiqueta aplicados seguem a vida da ordem de serviço.

Como desligar: por empresa, na Central de IA → Validador → Configurações, ou desativando a regra do tipo de ordem — com efeito imediato para as ordens concluídas dali em diante. Por ambiente, a Auvo mantém a liberação conta a conta (WO_VALIDATOR_TENANTS) e um interruptor geral (WO_VALIDATOR_ENABLED). Não há desligamento individual pelo técnico.

(f) Resumo da ordem de serviço — integra a base, sob pedido. Na tela da ordem de serviço, o usuário pode pedir ao assistente um resumo dela. Só acontece quando alguém pede. O sistema monta um retrato em texto da ordem e o envia ao fornecedor do modelo, que devolve um resumo curto, os pontos principais e as pendências. Vai junto, e nada além disto:

• código, título, tipo, situação e prioridade da ordem; o nome do equipamento e do local; as datas de abertura, agendamento, prazo, início, conclusão ou cancelamento; e a duração do atendimento;
• a descrição de abertura, sem a linha "Aberto por" que identifica o solicitante;
• as notas registradas nas mudanças de situação e as falhas descritas na ordem;
• o checklist executado — pergunta, resposta e observação de cada campo — e, das fotografias, apenas o veredito em texto que a validação de foto do item (b) já deu, quando houver;
• os materiais usados (nome, unidade e quantidade);
• os comentários da ordem, pelo conteúdo, sem o nome de quem escreveu.

Todo texto livre passa pela mesma redação automática do item (e) — e-mails, CPF, CNPJ e telefones viram marcadores —, com a mesma ressalva: é filtro por padrão de texto, não garantia. Não vão: nome de pessoa em campo próprio (técnico, solicitante, autor), endereço, coordenada, custos e valores, assinatura, arquivos e imagens. O resumo aparece marcado como gerado por IA, fica guardado junto da ordem de serviço e é eliminado com ela; pedir de novo só gera outro envio se a ordem tiver mudado.

Como desligar: por ambiente, a Auvo liga ou desliga a função para todas as empresas; por empresa, em Configurações — inclusive antes de a Auvo liberá-la, e a recusa vale desde o primeiro dia. Ligada no ambiente, ela vale para toda empresa que não a desligou e não consome créditos da carteira de IA, porque integra a base.

(g) Atendimento ao cliente — consome créditos, e quem conversa é gente de FORA da empresa. O módulo "Jonas no atendimento" coloca um assistente de IA em quatro lugares, que a empresa liga separadamente: na Área do Cliente, o portal que a empresa cliente oferece aos clientes dela; no chat do site, um botão que a empresa cola no site dela; no e-mail de atendimento, um endereço que a empresa divulga ou para o qual encaminha o e-mail de atendimento que já usa; e no WhatsApp, pelo número da própria empresa. Quem escreve ali não é usuário do Auvo CMMS: é o cliente da empresa cliente — um síndico, um gerente de loja — ou, no site, no e-mail e no WhatsApp, qualquer pessoa, inclusive quem ainda não é cliente. A empresa cliente é a controladora desses dados; a Auvo trata por conta dela (seção 2).

O assistente só existe depois de dois passos independentes: a Auvo libera a função para a conta; e a empresa o liga, e liga cada canal que quiser, na Central de IA. O chat do site depende ainda de a Auvo liberar esse canal e de a empresa listar os sites onde ele pode aparecer: fora da lista, ele não abre. Em qualquer conta, nasce desligado.

Cada conversa consome créditos da carteira de IA da empresa. Como quem escreve é gente de fora, há freios de consumo: um limite de processamento por mensagem; uma reserva de saldo que as conversas de quem não entrou com conta não consomem; e um teto diário de conversas nos canais externos. Atingido um freio, ou sem saldo na carteira, a conversa vai para uma pessoa da equipe, sem resposta da máquina.

A primeira mensagem de toda conversa é fixa e não pode ser alterada pela empresa: ela diz que a pessoa está falando com o assistente virtual daquela empresa e que pode pedir uma pessoa a qualquer momento. A empresa pode acrescentar uma saudação, que vem depois, em mensagem separada — nunca no lugar do aviso. O pedido de uma pessoa ("falar com uma pessoa") é reconhecido pelo sistema sem passar pelo modelo, e a conversa vai para a equipe.

No chat do site, antes da primeira mensagem, o navegador de quem abre a conversa passa por uma verificação de que há uma pessoa, e não um programa, feita pelo Cloudflare Turnstile (seção 5.2): ele recebe o endereço de rede e sinais técnicos do navegador, e devolve só "passou" ou "não passou". Na maioria das vezes a verificação é invisível. Nada da conversa vai à Cloudflare. A verificação existe porque o chat do site é público: sem ela, um programa poderia abrir conversas em série e esgotar o atendimento da empresa. Pelo mesmo motivo, o sistema limita quantas conversas um mesmo navegador e um mesmo endereço de rede abrem por dia — o endereço de rede fica guardado nesses contadores por até 24 horas, e depois some. No chat do site, o chamado aberto pelo assistente sempre passa pela aprovação de alguém da equipe, qualquer que seja a escolha da empresa para a Área do Cliente.

No e-mail de atendimento, o e-mail recebido chega pelo Resend (seção 5.2), o mesmo fornecedor que já envia os e-mails do produto, e o sistema lê dele: o remetente, o destinatário, o assunto, o texto e o identificador da mensagem (para manter o fio da conversa). Anexos não são lidos nesta versão. Antes de qualquer resposta, o sistema confere se o domínio que aparece como remetente autenticou o e-mail pelo DMARC — a checagem de que quem enviou é de fato aquele domínio: e-mail sem essa prova nunca é respondido pela máquina — vai para uma pessoa da equipe, sem resposta automática, porque responder a um remetente falsificado seria mandar e-mail a quem não escreveu. Ele só entra numa conversa já aberta quando chega pelo endereço de resposta daquela conversa — um endereço próprio de cada conversa, que só quem recebeu o e-mail do assistente conhece; fora disso, abre uma conversa separada. Acima de um limite diário, e-mails sem essa prova não viram conversa — inclusive as respostas a conversas já encerradas. Com a conta da empresa bloqueada, inclusive por falta de pagamento, nenhum e-mail vira conversa; fica só o registro técnico descrito abaixo. Quem não é conhecido da empresa (nem conta da Área do Cliente, nem contato de cliente cadastrado) também vai para uma pessoa, recebendo só um aviso fixo de que a mensagem chegou — a empresa pode escolher que o assistente responda a qualquer pessoa. Respostas automáticas que se declaram como tal (de não entrega, de listas, de ausência marcada no cabeçalho) são ignoradas; o e-mail que só parece automático pelo assunto vai para uma pessoa, sem resposta da máquina; e o sistema não responde duas vezes ao mesmo endereço em poucos minutos, para não entrar em conversa com outra máquina. A resposta sai em nome da empresa, com o aviso de que foi escrita por um assistente de IA ao final. Os metadados de cada e-mail recebido (remetente, destinatário e assunto) ficam guardados por 30 dias, para conferência; o conteúdo segue a conversa.

No WhatsApp, a empresa conecta o próprio número da conta WhatsApp Business dela, pela API oficial da Meta (seção 5.2), com uma credencial gerada para o aplicativo da Auvo na Meta. Ao desconectar, o que ainda chegar do número desconectado é descartado sem ser gravado. Se nenhuma outra empresa usa a mesma conta, a Auvo pede à Meta que pare de enviar os avisos dela, e, quando a Meta não confirma o pedido, a tela avisa a empresa para retirar o aplicativo da Auvo da conta; se outra empresa usa a mesma conta, os avisos continuam chegando para o número dela. As mensagens enviadas a esse número chegam pela Meta, e o sistema lê delas: o número de quem escreve, o nome do perfil do WhatsApp e o texto. Fotos, áudios, documentos e localizações não são lidos nesta versão — a conversa registra o tipo ("[imagem]", "[áudio]") e, quando há, a legenda que a pessoa escreveu, que o assistente lê; do resto, ele avisa que só lê texto. O número de quem escreve fica guardado cifrado, para que a resposta chegue a ele, e é eliminado com a conversa; o identificador que a Meta dá a cada mensagem, que contém o número, é guardado só como resumo criptográfico (hash). O número também serve de contato de retorno do chamado aberto ou do contato registrado a partir da conversa, e aí segue a vida deles; ele aparece ainda no pedido do assistente que a equipe aprova, que é eliminado com a conversa. Ele não prova de qual cliente a pessoa é, e por isso não dá acesso a dado nenhum da conta de ninguém: a única consulta que ele permite é a situação de um chamado pelo código, quando o chamado foi aberto com esse mesmo número. A resposta sai pelo número da empresa — a longa, em mais de uma mensagem —, e a primeira resposta do assistente começa com o aviso de que é um assistente de IA.

Quem escreve PARAR (ou STOP, DESCADASTRAR, DETENER, DAR DE BAJA) deixa de receber mensagens da empresa por esse número — inclusive o aviso de que o técnico saiu para a visita — e pode voltar escrevendo VOLTAR. O PARAR vale mesmo com o assistente desligado. Se a pessoa escrever de novo sem dizer VOLTAR, a mensagem chega à equipe, mas nada é enviado a ela. O contrário não vale: quem só pediu para não receber o aviso de chegada do técnico continua sendo atendido quando escreve à empresa.

Pela regra da Meta, depois de 24 horas sem mensagem da pessoa só é possível responder com um modelo de mensagem aprovado por ela, e a resposta vai inteira dentro dele ou não vai. O número e o texto de cada mensagem recebida ficam cifrados no registro de entrada só até ela ser processada — em claro fica só uma chave derivada do número com um segredo do servidor, que mantém a ordem das mensagens da mesma pessoa; o registro, sem o número e o texto, é eliminado em 30 dias. Vão para uma pessoa da equipe, sem resposta da máquina: muitas mensagens em sequência, como as de outro robô; as que chegam com o assistente desligado ou indisponível; as que passam do limite diário de conversas do canal ou encontram a carteira sem saldo; e as que chegam com a janela de 24 horas já fechada. Uma resposta que a Meta pode não ter entregado também passa a conversa para a equipe. Com a conta da empresa bloqueada, inclusive por falta de pagamento, a mensagem não é atendida nem vira conversa — fica só o registro de entrada, sem o número e o texto, pelos mesmos 30 dias (o PARAR vale do mesmo jeito).

Se a empresa exige login na Área do Cliente, nenhum canal sem conta — o site, o e-mail ou o WhatsApp — abre chamado sem a aprovação de alguém da equipe, nem consulta a situação de um chamado por código: a porta que a empresa fechou no portal não reabre por outro canal.

Vai ao fornecedor do modelo (seção 5.2), e nada além disto:

• o que a pessoa escreve na conversa, como ela escreveu — inclusive o nome, o e-mail ou o telefone que ela informar para receber retorno e, no WhatsApp, o número de quem escreve quando ele é usado como esse contato. Esta função não aplica redação automática à conversa: o assistente precisa do contato para abrir o chamado em nome da pessoa;
• as mensagens anteriores da mesma conversa (até as 30 mais recentes), inclusive as respostas que alguém da equipe escreveu;
• o nome da empresa, o nome e o tom do assistente e as preferências de estilo que a empresa escreveu;
• os trechos da base de conhecimento que a própria empresa escreveu e que casam com a pergunta;
• quando a pessoa pede a situação de um chamado informando código e e-mail (no WhatsApp, o código de um chamado aberto com o mesmo número): o código, o título, a situação e a data daquele chamado — a mesma consulta que o rastreio público já permite (seção 3.7);
• quando a pessoa entrou com a conta dela na Área do Cliente: o nome dela e, sob pedido, o que a conta já pode ver ali — os chamados (código, título, situação, data e nome do local), as ordens de serviço (código, título, situação e datas de agendamento, início e conclusão) e os nomes dos locais da empresa dela. Nada de outro cliente: a consulta é recortada pela conta, a cada mensagem.

Não vão: nome de técnico, checklist, fotos, anexos, custos, valores, coordenadas e endereços dos locais. Nesta versão a conversa não aceita arquivos.

O que o assistente pode FAZER são duas coisas, e só elas:

• abrir um chamado para a equipe da empresa — o mesmo que o formulário da Área do Cliente já permite a qualquer pessoa. A empresa escolhe se ele abre sozinho, se pede a aprovação de alguém da equipe antes, ou se não abre;
• registrar um contato de quem ainda não é cliente e pede orçamento ou quer falar com a empresa — só no chat do site, no e-mail de atendimento e no WhatsApp, que é onde chega quem ainda não é cliente: nome da pessoa, nome da empresa dela, e-mail ou telefone, o que ela procura e, se ela informar, o CNPJ, conferido apenas quanto aos dígitos e quanto a já existir cliente com ele — nenhuma consulta externa é feita, e a resposta a quem conversa é a mesma nos dois casos: se o CNPJ já está na carteira, só a equipe fica sabendo, e aprovar não cria cadastro repetido. Esse registro sempre passa pela aprovação de alguém da equipe com permissão de cadastrar clientes, e só vira cadastro depois dela, com exatamente o que foi aprovado; a empresa pode também desligá-lo. Quem entrou com a conta da Área do Cliente já é cliente, e para ele esta função não existe.

Ele não aprova, não recusa, não cancela, não altera cadastro existente e não fala em valores. Nenhuma decisão com efeito sobre a pessoa é tomada pela máquina — e a equipe pode assumir a conversa a qualquer momento, o que cala o assistente naquela conversa até que ela seja devolvida.

Quem lê as conversas é quem, na empresa cliente, tem a permissão de atendimento. A conversa parada por 72 horas é encerrada; as mensagens e os pedidos do assistente são eliminados 180 dias depois do encerramento. O chamado aberto pela conversa segue a vida dos chamados, e o contato registrado segue a vida do cadastro de clientes da empresa (seção 6).

(h) Jonas em campo — consome créditos, e o microfone abre sozinho; a fala que ele capta só vai ao fornecedor quando é mandada, e a que o técnico conta depois de tocar para contar vai sem nova confirmação. No aplicativo, dentro de uma ordem de serviço, o técnico pode tocar no botão do Jonas, cujo rótulo muda conforme a etapa da ordem (por exemplo, "Começar com o Jonas" ou "Responder com o Jonas"): o Jonas conduz o preenchimento — uma pergunta do checklist por vez, a falha, os materiais, o relato, a foto e a assinatura — e lê as perguntas em voz alta (seção 3.6.1). Quem decide o que perguntar é o próprio aplicativo, a partir do que falta preencher; perguntar não envia nada ao fornecedor do modelo — com a voz natural, o texto da pergunta vai à OpenAI para ser falado (abaixo). A transcrição da fala é a do sistema operacional do aparelho (seção 3.6.1): o áudio da fala não chega à Auvo.

O microfone abre sozinho. O microfone do Jonas vem ligado; o técnico escolhe "Só tocar" no primeiro uso ou o desliga pelo ícone de microfone da tela do Jonas. Ligado, depois de ler cada pergunta (ou de mostrá-la, com o som desligado) — e também depois do convite para contar o material usado, o defeito ou o relato — o Jonas abre o microfone sem novo toque e escuta até a fala terminar ou o silêncio o fechar. O que o reconhecimento captar nesse intervalo — inclusive a fala de outra pessoa perto do aparelho — é tratado como fala do técnico: a resposta curta é gravada como resposta; a fala que precisa do modelo aparece escrita e espera ser mandada ou descartada, como descrito abaixo; e, no passo do relato, o que for dito entra no rascunho do relato, no aparelho, sem ir ao fornecedor do modelo.

O envio ao fornecedor do modelo acontece em dois momentos, os dois com o Jonas aberto pelo técnico — nada sai ao abrir a ordem de serviço, e nenhuma rotina automática envia:

• ao entrar no Jonas, o sistema pede um diagnóstico: as causas prováveis do problema informado na abertura da ordem e o que verificar em cada uma. Ordem sem equipamento, ou cujo problema informado tem menos de 15 letras e algarismos, não gera envio; e o diagnóstico já gerado para a mesma entrada é mostrado de novo sem novo envio;
• quando é mandada uma fala que o microfone captou sozinho — depois de uma pergunta, cinco palavras ou mais que não respondem a ela; depois do convite para contar o material usado ou o defeito, a fala que não é um comando do Jonas (como "pular", "nada", "repete" ou "parar") —: ela aparece escrita na tela e só sai com o toque em "Mandar" ou com a palavra "mandar" (ou "enviar") dita em seguida — o aparelho não distingue quem a diz —, e "Descartar" a apaga sem envio; e quando o técnico toca para contar ("Contar o que fiz", "Contar o que usei", "Contar o defeito") ou digita um texto para o Jonas: o que o microfone captar até o fim da fala — inclusive a fala de outra pessoa perto do aparelho — ou o texto digitado vai assim que termina, sem nova confirmação. Nos dois casos, o texto vai ao fornecedor do modelo para ser interpretado em propostas de preenchimento, e a interpretação é cobrada nos termos da cláusula 4.4.3 dos Termos de Uso. A fala cortada no limite de tempo nunca vai ao fornecedor: quando o técnico tocou para contar, entra no rascunho do relato; nos demais casos, só entra nele com o toque em "Guardar no relato" (ou a palavra "guardar"). As respostas curtas às perguntas ("sim", "120", o nome de uma opção) são entendidas no próprio aparelho, sem o modelo de IA, e não vão ao fornecedor do modelo pelo Jonas; o valor que o técnico mantém é gravado como qualquer resposta do checklist e segue o caminho dela (inclusive o item a, quando é texto).

Vai ao fornecedor do modelo, e nada além disto:

• na interpretação da fala: o texto da fala, cortado num limite de tamanho; o tipo e o título da ordem de serviço — o título marcado como texto de quem abriu o chamado, sem a linha "Aberto por" que identifica o solicitante e com e-mail, CPF, CNPJ e telefone substituídos por marcadores —; a categoria, o fabricante e o modelo do equipamento (o nome dele só quando falta o modelo); a estrutura do checklist em execução — as perguntas, os tipos, as unidades, as faixas e as opções — e quais itens dele ainda faltam (as respostas já dadas não vão); as listas de opções da empresa entre as quais o modelo escolhe — problemas, causas e soluções, nome e posição das peças daquele equipamento, e nome, código e unidade dos materiais do estoque do técnico ou citados na fala —; quais desses campos da conclusão já estão preenchidos; a etapa do roteiro e o idioma do técnico — o idioma em que o aplicativo está no aparelho dele, que é o da fala; sem esse sinal, o do cadastro do usuário ou da empresa;
• no diagnóstico: o problema informado — o título e a descrição da ordem (em preventiva e inspeção, só a descrição), sem a linha "Aberto por" e com e-mail, CPF, CNPJ e telefone substituídos por marcadores —; a categoria, o fabricante e o modelo do equipamento (o nome só quando falta o modelo); o histórico de manutenção daquele equipamento, montado pelo próprio sistema a partir das até 5 ordens concluídas mais recentes que quem usa o Jonas pode ver, em até 6.000 caracteres — de cada ordem, o código, a data de conclusão, o título, o tipo (inclusive o tipo próprio da empresa), o componente atendido e a posição dele, a duração, falha, causa e solução, as falhas observadas e a gravidade delas, peças e materiais usados, o relato, as notas de pausa e de conclusão, as tarefas com medições, as respostas e observações dos checklists, os comentários (inclusive os internos), os comentários do chamado de origem e a nota e o comentário da pesquisa de satisfação do cliente — e as falhas que mais se repetem no equipamento, com e-mail, CPF, CNPJ e telefone substituídos por marcadores; o relato da última visita, com a mesma substituição, e as peças mais usadas no equipamento; o texto das páginas do manual do equipamento escolhidas pelo sistema para aquele problema; e o idioma do técnico. Quando o manual é grande, uma chamada anterior envia o problema informado e o idioma do manual, para preparar a busca das páginas.

Não vão: o áudio, fotos, assinaturas, arquivos, nome e dados do cliente em campo próprio, endereço, coordenada de GPS, custos e valores registrados no sistema, e nome de pessoa em campo próprio (técnico, solicitante, autor de comentário). Como nos itens (c) e (e), "campo não lido" não é "palavra que nunca aparece": a fala vai íntegra, como transcrita — se o técnico disser o nome ou o telefone do cliente, ou se outra pessoa falar perto do aparelho, esse conteúdo vai junto —, e o título, a descrição, o histórico, o manual e os nomes cadastrados vão como foram escritos. A substituição de e-mail, CPF, CNPJ e telefone por marcadores alcança só o título, a descrição, o histórico e o relato da última visita — não a fala, o texto das páginas do manual nem os nomes cadastrados (do checklist, das opções, do equipamento e dos materiais) — e é filtro por padrão de texto, não garantia.

O que acontece com o resultado:

• O servidor não grava nada na ordem de serviço. O que volta são propostas, conferidas de novo no aparelho. Cada proposta precisa trazer o trecho literal da fala que a sustenta, e a que não traz é descartada — é o que impede que um texto escrito no título, num rótulo ou no manual vire ação. Não existe ação de concluir checklist nem ordem de serviço pelo Jonas.
• As respostas do checklist entram na hora, marcadas como preenchidas pelo Jonas e com desfazer de um toque; a leitura de medidor e a resposta que a conferência não consegue garantir pedem um toque de confirmação antes de gravar. Material usado só é baixado do estoque depois de um toque de confirmação.
• Falha, causa, solução, peça trocada e relato vão para o rascunho da folha de conclusão, que o técnico confere; quando a fala descreve o serviço, o relato proposto é a própria fala, nunca texto do modelo. A fala de que nada se aproveita, ou cuja interpretação falha, também vai para o rascunho do relato, para não se perder. Concluir o checklist e a ordem de serviço é sempre um toque do técnico.
• As causas prováveis aparecem com a fonte de cada uma — página do manual, ordem do histórico ou conhecimento geral do modelo —, e o sistema confere a página e o trecho citados, rebaixando o que não confere. Procedimento passo a passo só aparece quando está numa página do manual que confere; sugestão de burlar proteção é descartada sempre; e, em equipamento que o sistema reconhece como de suporte à vida, não há passos, o único aviso é o dessa classe, e das verificações ficam só as de olhar e perguntar — à equipe clínica, por exemplo —, sem instrumento, sem mão no equipamento ou no circuito do paciente e sem mexer em ajuste ou alarme, e as de acionar quem pode intervir nele, como a engenharia clínica ou a assistência técnica autorizada. Avisos fixos, escritos pela Auvo, aparecem por classe de risco (eletricidade, gás refrigerante, altura, espaço confinado, vaso de pressão e suporte à vida). A sugestão pode errar e não substitui o manual, as normas de segurança nem o julgamento do técnico.

A voz natural vai a outro fornecedor, a OpenAI. Com a voz natural (seção 3.6.1), o Jonas fala com uma voz sintetizada por inteligência artificial. Para cada frase, o aplicativo envia ao servidor da Auvo o texto e o idioma, e o servidor envia à OpenAI o texto da frase, as instruções de sotaque e de tom do idioma, escritas pela Auvo e as mesmas para todas as empresas, e a voz escolhida; a OpenAI devolve o áudio. O texto é o que o Jonas lê em voz alta (seção 3.6.1), e o aplicativo pode pedir com antecedência a fala da próxima pergunta do checklist — com o título da seção e as instruções que vêm antes dela —, que vai mesmo que não chegue a ser lida. Não vão à OpenAI: o áudio do microfone; a fala e o texto que o técnico manda ao Jonas; as respostas de texto do checklist e o texto ditado; o texto escrito pelo modelo de IA; e nenhuma identificação da empresa, de quem usa, da ordem de serviço ou do aparelho — o pedido parte do servidor da Auvo. A OpenAI trata o texto sob a política dela para a API, que, consultada nesta versão, informa não usar o conteúdo enviado para treinar modelos e manter os registros de monitoramento de abuso — que podem conter esse conteúdo — por até 30 dias, salvo quando a lei exigir prazo maior ou quando isso for razoavelmente necessário para proteger os serviços dela ou terceiros. A voz natural consome créditos (Termos de Uso, cláusula 4.4.3).

O que fica guardado:

• o diagnóstico — as causas, as fontes citadas (páginas e trechos do manual, códigos e trechos das ordens do histórico) e os avisos —, com o usuário que o pediu, a ordem e o equipamento, por 180 dias, e então é eliminado. Enquanto existe, ele é reaproveitado, sem novo envio, quando a mesma entrada se repete;
• a fala não é gravada no banco de dados pela interpretação. Para não cobrar duas vezes o mesmo gesto, a resposta da interpretação — que pode conter trechos da fala e, quando ela vira relato, a fala inteira — fica numa memória temporária do servidor por 2 minutos;
• os valores que o técnico mantém ficam na ordem de serviço como qualquer resposta dele — inclusive a fala que ficar no rascunho do relato, se ele concluir sem tirá-la; a indicação de que o campo foi preenchido pelo Jonas fica só no aparelho. No aparelho, a sessão do Jonas daquela ordem — o que ele preencheu, o valor anterior de cada campo (para desfazer), o rascunho da conclusão e as propostas à espera de toque — fica guardada por até 30 dias sem uso e é apagada ao sair da conta;
• o áudio da voz natural: cada frase gerada pela OpenAI e entregue ao aplicativo fica guardada no banco de dados da Auvo, por empresa, para ser repetida sem novo envio nem novo débito. Guarda-se o áudio, que diz o texto da frase, identificado por um resumo criptográfico; o registro não guarda o texto escrito, quem pediu nem a ordem de serviço. O áudio sem uso por 30 dias é eliminado, também depois de a voz natural ser desligada. No aparelho, o aplicativo guarda as frases que recebeu numa pasta de cache de até cerca de 15 MB — as usadas há mais tempo saem primeiro —, apaga as sem uso há mais de 30 dias quando volta a usar a voz natural e apaga todas ao sair da conta;
• o acervo das frases fixas, que é a exceção às duas regras acima: as falas que o Jonas diz sempre com as mesmas palavras, em qualquer empresa — confirmações, avisos e instruções que são texto do próprio aplicativo, em português e em espanhol —, foram geradas uma única vez pela Auvo e ficam num acervo comum a todas as empresas, sem prazo de eliminação. Esse acervo guarda só o áudio e o resumo criptográfico que o identifica: nenhum texto escrito e nenhum dado de empresa, de usuário ou de ordem de serviço — a frase que leva o nome de um checklist, de um equipamento, uma resposta ou qualquer outro conteúdo da empresa não entra nele. A frase que está no acervo é servida dali, sem novo envio à OpenAI, sem registro de uso e sem débito de créditos;
• o consumo de créditos de cada uso, no extrato da carteira (seção 3.16).

Quem pode usar: o usuário com a permissão do Jonas em campo que vê a ordem de serviço no aplicativo e que a executa, ou que tem permissão para atribuir ou concluir ordens de serviço, ou ainda, se a ordem não tem responsável nem executor, qualquer usuário com a permissão do Jonas que a veja. A permissão do Jonas em campo vem com os perfis de acesso de proprietário, administrador, gestor, supervisor e técnico. A empresa escolhe quem usa o Jonas pelo perfil de acesso de cada usuário: a permissão não se retira por pessoa nem por função personalizada na tela Funções — para que ninguém o use, a empresa o desliga em Configurações (abaixo). Técnico de prestador externo vinculado não usa o Jonas. A função depende só de decisões da Auvo: liberá-la no ambiente — para uma lista de empresas, no piloto, ou para todas — e ativar a carteira de créditos de IA da conta, o que não depende de saldo nem de ato da empresa. Liberada, ela vem ligada em toda empresa que não a desligou. O saldo não decide se ela aparece: sem saldo, o Jonas continua conduzindo o preenchimento, e deixam de ser iniciados a interpretação, o diagnóstico e as frases novas da voz natural (Termos de Uso, cláusula 4.4.3). A voz natural depende de mais uma liberação da Auvo no ambiente e, liberada, também vem ligada em toda empresa que não a desligou. Como desligar: por empresa, em Configurações → IA nos textos do técnico, no cartão Jonas em campo, por quem administra as configurações da empresa — a função inteira, só o diagnóstico ou só a voz natural, cujo interruptor aparece quando a Auvo a libera. Não há desligamento individual pelo técnico; ele usa o Jonas só se tocar no botão, e o "Preencher falando" (item c) continua disponível.

3.12. Pesquisa de satisfação e notificações

Respostas de pesquisa NPS, preferências de notificação e o histórico de avisos enviados ao usuário.

3.12.1. Aviso de que o técnico está a caminho

Quando o técnico marca no aplicativo que saiu para a visita, a empresa pode avisar o contato do cliente — por e-mail, WhatsApp ou mensagem de texto (SMS), o primeiro canal disponível. É uma mensagem por ordem de serviço, e ela diz apenas isto: o nome da empresa, que o técnico está a caminho, a janela de horário prevista quando há como calculá-la, e o endereço da página de acompanhamento da visita.

Não vão na mensagem o nome ou o telefone do técnico, o endereço a ser visitado, o título ou o código da ordem de serviço, o equipamento, nem qualquer valor. A lista de campos é fechada em código, e não é configurável pela empresa.

A janela de horário só aparece quando existe posição recente do técnico e há como calcular o trajeto até o local. Sem isso, a mensagem sai sem horário — o aviso nunca traz uma estimativa que não foi medida. A posição usada é a do rastreamento de GPS descrito na seção 3.4, e ela não é transmitida ao destinatário: só o resultado em minutos vira uma faixa de horário.

Ficam registrados o contato usado, o canal, o texto exato enviado, a janela prevista e o desfecho do envio, pelo prazo da seção 6.

Para parar de receber: a página de acompanhamento, cujo endereço vai na própria mensagem, tem no rodapé a opção de não receber mais avisos daquela empresa. O pedido vale imediatamente e para todas as visitas seguintes daquela empresa. Responder STOP à mensagem de texto também interrompe os envios, pelo próprio canal da operadora.

A função nasce desligada e depende de dois interruptores: o do ambiente, da Auvo, e o da empresa. A empresa pode desligá-la a qualquer momento para todos os clientes dela.

3.13. Aceite destes documentos

Ao aceitar os Termos de Uso, esta Política ou o DPA na Plataforma, ficam registrados: usuário, empresa, qual documento, qual versão, o resumo SHA-256 do texto exibido, data e hora, endereço IP e identificação do navegador ou aplicativo.

3.14. Registros técnicos de operação e monitoramento de erros

Para operar a plataforma e diagnosticar falhas, a Auvo mantém registros técnicos da aplicação e um serviço externo de monitoramento de erros (seção 5.2). Neles:

• o e-mail do usuário aparece em texto claro em alguns eventos — login, login federado, criação de usuário, criação de um novo ambiente com seu primeiro administrador, envio da pesquisa de satisfação e pedido de redefinição de senha, este último registrado mesmo quando o endereço informado não corresponde a nenhuma conta;
• o monitoramento de erros recebe o endereço da requisição, inclusive a query string, o que pode incluir o e-mail informado no rastreio de chamado (seção 3.7) — esse e-mail não é mascarado;
• antes do envio ao monitoramento de erros, o sistema retira o cabeçalho de autorização e os cookies da requisição e o e-mail, o nome de usuário e o endereço de rede de quem está usando; e, na API e na aplicação web, mascara os códigos de acesso que viajam no endereço — como os dos links públicos de ordem de serviço, de assinatura, de pesquisa de satisfação e de convite — e o CNPJ consultado, deixando visível só uma parte deles. No aplicativo móvel, o endereço é enviado sem a query string. Seguem no relatório de erro a mensagem do erro, que pode conter dado que estivesse escrito nela, e identificadores internos: o da empresa e, no aplicativo móvel, o do usuário.

Esses registros servem apenas à operação e ao diagnóstico, e o acesso a eles é restrito ao pessoal técnico da Auvo.

3.15. Proposta comercial e aceite pelo cliente da empresa

A empresa que usa o Auvo CMMS para vender serviços pode montar um orçamento e enviá-lo ao cliente dela como proposta comercial. Nesse caminho o sistema trata dados de pessoas de fora da empresa: o contato do cliente que recebe a proposta e quem a aceita ou recusa em nome dele. A controladora desses dados é a empresa que envia a proposta (seção 2).

No orçamento e no envio ficam registrados: o nome do cliente; o nome, o e-mail e o telefone do contato; o destinatário do envio — nome, e-mail ou telefone, quando informados — e o canal usado; a data e a hora do envio; e o documento da proposta congelado no envio (a versão), que guarda também o nome do cliente e os contatos. O e-mail é entregue pelo fornecedor de e-mail transacional (seção 5.2). Pelo WhatsApp, a mensagem é enviada pelo próprio usuário da empresa, no aplicativo dele: o sistema apenas monta o texto e o endereço, e não tem conta de WhatsApp. O usuário também pode copiar o endereço da proposta e enviá-lo por outro meio.

O link da proposta abre o documento sem login para quem tiver o endereço. Ele vale 90 dias a contar do último envio — ou até uma semana depois do último dia de validade da proposta, se isso for mais tarde, mas nunca mais de um ano e uma semana depois do envio — e, quando o cliente aceita ou recusa, passa a valer até, no mínimo, 90 dias depois da decisão; a empresa pode desativá-lo a qualquer momento, o que não alcança o PDF que já tenha sido baixado. Pelo mesmo link, quem o tem baixa os anexos que a empresa escolheu mostrar na proposta. Ler a proposta não registra o endereço de rede nem o navegador de quem leu: ficam só a contagem de aberturas e as datas da primeira e da última. Depois do aceite, a página pública mostra o nome de quem aceitou, o documento mascarado e a data — sem a imagem da assinatura e sem o endereço de armazenamento dos anexos. Junto com a proposta vai o endereço para aceitar ou recusar, que vale 30 dias a contar do último envio — ou até uma semana depois do último dia de validade da proposta, se isso for mais tarde, mas nunca mais de um ano e uma semana depois do envio —, deixa de mostrar a proposta depois da decisão e é cancelado quando a empresa desativa o acesso. A validade da proposta vale primeiro: vencida a validade, o sistema não registra o aceite, ainda que o endereço de aceite esteja dentro do prazo — a página informa que a proposta venceu, e aceitar passa a depender de a empresa enviar a proposta de novo, com validade nova.

Ao aceitar, o representante do cliente informa o nome — e, se quiser, o documento (CPF ou CNPJ) e o cargo — e desenha a assinatura. Ficam gravados:

• a imagem da assinatura manuscrita, no serviço de arquivos, e um resumo criptográfico (SHA-256) dela;
• o nome, o número do documento e o cargo informados;
• o endereço de rede (IP) e a identificação do navegador (user-agent) no momento do aceite;
• a versão e o resumo criptográfico do texto da declaração exibida e aceita;
• a data e a hora, geradas pelo servidor, e a versão da proposta que foi aceita.

Ao recusar, ficam gravados o motivo escrito, quando houver, o endereço de rede, a identificação do navegador e a data e a hora.

Na Área do Cliente, quando a empresa libera ali a área de propostas, quem entra com a conta de acesso de um cliente vê as propostas enviadas a esse cliente — todas as contas daquele cliente veem as mesmas, qualquer que tenha sido o contato que as recebeu — enquanto a empresa não desativar o acesso a elas: é o mesmo documento do link, com as mesmas regras depois do aceite. Por ali, a pessoa pode aceitar ou recusar a proposta da mesma forma e no mesmo prazo do endereço de aceite — e com a mesma regra: proposta com a validade vencida não pode ser aceita. Ficam gravadas as mesmas informações descritas acima e, além delas, a conta com que a pessoa entrou (o identificador da conta e o e-mail dela, mascarado), que fica registrada na trilha de auditoria descrita na seção 3.10 — por prazo indeterminado e mesmo depois que o registro do aceite ou da recusa for eliminado. Abrir a proposta ali também não registra o endereço de rede nem o navegador.

Quem vê: dentro da empresa, o documento de quem assinou aparece sempre mascarado, e o nome de quem aceitou fica também no histórico do orçamento; a imagem da assinatura e o endereço de rede aparecem apenas para quem pode ver os contatos do cliente e não tem perfil de técnico nem de prestador externo — os perfis cuja visão de clientes é recortada pela carteira. O PDF da proposta aceita, que o cliente baixa pelo link, traz a assinatura desenhada, o nome, o documento mascarado e a data. O pacote de exportação da seção 8 traz o registro do aceite e da recusa — com o documento inteiro, o endereço de rede e o navegador —, sem a imagem da assinatura e sem as chaves de acesso.

Base legal: procedimentos preliminares e execução de contrato (art. 7º, V) para o envio e a negociação; legítimo interesse e exercício regular de direitos (art. 7º, IX e VI) para o registro do aceite e da recusa, que é a prova de que a proposta foi aceita, por quem e em que termos.

Retenção: o registro de aceite ou recusa não é apagado pela lixeira nem pela exclusão do orçamento — o banco de dados recusa excluir definitivamente o orçamento que tem pedido de assinatura. Ele é mantido pelo prazo da seção 6.

3.16. Cobrança e carteira de créditos de IA

Para cobrar a assinatura, a Auvo trata, como controladora (seção 2):

• os dados fiscais da empresa contratante — razão social, CNPJ, endereço, inscrições estadual e municipal e retenção de ISS —, o e-mail financeiro, que recebe faturas, notas fiscais e avisos de cobrança, o telefone de contato da cobrança e até três e-mails em cópia, que recebem os avisos de cobrança enviados pela própria Auvo — e qualquer um deles pode ser de uma pessoa;
• as faturas, os pagamentos e as notas fiscais: valores, vencimentos, situação, forma de pagamento e o histórico dos avisos de atraso enviados;
• o cartão de crédito cadastrado para a cobrança recorrente — apenas a bandeira, os últimos dígitos e a validade. O número e o código de segurança são digitados numa página segura da Superlógica (seção 5.2) e não passam pela Auvo;
• o aceite expresso de cada contratação feita na Plataforma — a primeira assinatura, o plano de créditos, a recarga, a alteração do limite de usuários e a inclusão ou a retirada de módulo de preço fixo (o cadastro do cartão não registra aceite): o usuário que aceitou, a versão e o resumo (hash) dos Termos de Uso aceitos, a data e a hora, o endereço IP e a identificação do navegador;
• o extrato da carteira de créditos de IA: para cada uso que consome créditos, a função usada, o usuário que a acionou — quando houve um —, a data e a hora, o custo cobrado pelo fornecedor, o câmbio, o divisor da função e o valor debitado; cada devolução de um uso não cobrado; e cada entrada de crédito (plano, recarga, boas-vindas e ajustes).

Na Plataforma, esses dados são vistos apenas pelo proprietário da conta e pelos administradores da empresa. Os demais usuários não veem o valor do saldo, as faturas nem o extrato — apenas, quando falta saldo, o aviso de que a função está indisponível.

Os avisos de atraso vão por e-mail — pela Superlógica, ao e-mail financeiro, ou pela Auvo, ao proprietário da conta, aos administradores, ao e-mail financeiro e aos e-mails em cópia — e podem aparecer numa faixa na Plataforma para o proprietário e os administradores (Termos de Uso, cláusula 10.3).

4. Para que os dados são usados e com que base legal

O que a Auvo não faz: não vende dados pessoais, não faz publicidade comportamental, não cria perfis para terceiros e não usa os dados do cliente para treinar modelos de inteligência artificial.

5. Com quem os dados são compartilhados

5.1. Dentro da empresa cliente

O sistema é multiempresa e cada ambiente é isolado no banco de dados. Dentro de um ambiente, o acesso depende do papel e das permissões que o próprio cliente configurou — inclusive o recorte por loja ou unidade, que limita o gestor a ver apenas os locais aos quais está vinculado.

5.2. Fornecedores que tratam dados por conta da Auvo (suboperadores)

A lista acima é a relação vigente, confirmada pela Auvo nesta versão, dos fornecedores que tratam dados pessoais por nossa conta. As regras para inclusão de novo suboperador e o direito de objeção do cliente estão no DPA.

5.3. Outros compartilhamentos

• Autoridades, mediante ordem judicial ou requisição legal — com informação ao cliente sempre que a lei permitir.
• Entre empresas conectadas na rede prestador ↔ tomador, quando o próprio cliente cria a conexão e define as regras de compartilhamento. Nesse caso o compartilhamento é ato do cliente, não da Auvo.
• Sucessão empresarial, em caso de reorganização societária, mantidas as obrigações desta Política.
• Link público de ordem de serviço, quando um usuário do cliente o gera para mostrar o atendimento a terceiro. Quem tiver o endereço abre a ordem sem login e vê, além do histórico e dos anexos, o nome, o cargo e o número do documento (CPF/CNPJ) de quem assinou. O prazo de validade do link é opcional: se não for informado na criação, o link não expira. Ele pode ser desativado a qualquer momento por quem o criou.
• Link público da proposta comercial, quando a empresa envia a proposta ao cliente dela. Quem tiver o endereço abre o documento sem login, no prazo da seção 3.15: itens e valores conforme o modo de preço escolhido, os anexos que a empresa escolheu mostrar e, depois do aceite, o nome de quem aceitou, o documento mascarado e a data. O destinatário pode encaminhar o endereço, e a empresa pode desativá-lo.
• Integrações que a empresa liga. Quando a empresa conecta o ERP dela (hoje Omie, TOTVS Protheus e Sankhya), com as credenciais dela, o sistema envia ao ERP os pedidos de compra e os títulos a pagar gerados por compras, ordens de serviço e reparos e, no Omie e no Sankhya, o cadastro dos clientes da empresa — razão social, nome, CPF ou CNPJ, inscrições, e-mail, nome e telefone do contato e endereço —, e lê do ERP materiais, estoque e fornecedores e, no Omie e no Sankhya, também clientes. Quando a empresa cadastra um webhook, o sistema entrega por HTTPS, com assinatura, ao endereço que ela informar, o registro de cada evento escolhido — ordens de serviço, ativos, SLA, preventivas, estoque, checklists, leituras de medidor, rede prestador ↔ tomador, clientes e orçamentos. Nos dois casos o destino é escolhido pela empresa.
• Login único. Quando a empresa habilita a entrada com conta Google ou Microsoft, quem escolhe entrar assim se autentica no Google ou na Microsoft, que recebe o pedido de entrada vindo do Auvo CMMS e devolve à Auvo o identificador, o e-mail e os dados básicos do perfil da conta, como o nome. A Auvo usa só o identificador e o e-mail, com a indicação de que o e-mail foi verificado, e não guarda o resto.
• Mensagens de WhatsApp montadas pelo sistema. Para enviar por WhatsApp o link da ordem de serviço, o pedido de assinatura, a pesquisa de satisfação ou a proposta comercial, o sistema monta o texto, com o link, e o endereço da conversa — com o número do destinatário, quando informado. Quem envia é o usuário, pela conta de WhatsApp dele (Meta); nesse caminho o servidor da Auvo não envia nada à Meta.
• Consulta pública de CNPJ. Para preencher o cadastro de cliente ou de fornecedor e os dados de cobrança, e quando o Agente de IA consulta um CNPJ, o sistema busca o número em bases públicas do cadastro de CNPJ — BrasilAPI e OpenCNPJ e, quando configurada, CNPJá —, que recebem apenas o número do CNPJ consultado.

5.4. Transferência internacional

Parte dos fornecedores acima trata dados fora do Brasil. Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, com cláusulas contratuais e garantias de segurança nos contratos com cada fornecedor, na forma das cláusulas contratuais de proteção de dados firmadas com cada um deles, que reproduzem as obrigações desta Política e do DPA.

6. Por quanto tempo os dados ficam guardados

Comprovante de despesa: os 5 anos não são escolha de produto. O comprovante é o que sustenta a natureza indenizatória do reembolso — sem ele o pagamento pode ser reclassificado como verba salarial — e a dedutibilidade da despesa perante o fisco. Por isso ele sobrevive à exclusão da despesa: a lixeira não o apaga.

Guarda fiscal da cobrança: faturas, notas fiscais e registros de pagamento sustentam a apuração de tributos da Auvo e podem ser exigidos pelo fisco enquanto o crédito tributário não estiver prescrito — em regra, 5 (cinco) anos. Por isso não são eliminados com o término do contrato nem a pedido, dentro desse prazo (art. 16, I da LGPD); não há rotina de expurgo automático depois dele.

Auditoria: os registros de auditoria são mantidos por prazo indeterminado, porque nenhuma rotina de expurgo automático existe hoje. O piso legal é de 6 (seis) meses para registros de acesso a aplicação, pelo art. 15 do Marco Civil da Internet. Escrever aqui um prazo de descarte que o sistema não executa seria descrever controle inexistente — quando a rotina existir, esta linha passa a trazer o prazo efetivo.

Eliminação após o término do contrato: não existe processo automático que apague o ambiente de um cliente encerrado — não há sequer registro da data de término no sistema. A eliminação é ato manual de operação da Auvo, executado mediante solicitação. Enquanto não for solicitada e executada, os dados permanecem em produção.

Cópias de segurança: desde outubro de 2026 há rotina automática de cópia de segurança do banco de dados e dos arquivos enviados, descrita no Anexo II do DPA, com as cópias guardadas no mesmo fornecedor que hospeda a produção (seção 5.2). Por isso, o dado eliminado em produção continua nas cópias automáticas até elas expirarem — no máximo, cerca de 90 dias —, protegido como o DPA determina (cláusula 10.3). Além das automáticas, a Auvo tira cópias manuais antes de alterações do banco de dados e de mudanças de infraestrutura; essas não expiram sozinhas e ficam guardadas até a Auvo apagá-las. Ficam ressalvados os dados cuja guarda seja obrigatória por lei.

Arquivos do orçamento: o anexo removido enquanto o orçamento está aberto sai do serviço de arquivos, salvo quando ainda é usado — em especial quando uma proposta já enviada o cita: nesse caso ele fica, porque faz parte do documento que o cliente recebeu. A pedido da empresa controladora, a Auvo remove também o arquivo citado; a proposta passa a mostrar só o nome dele.

Retenção da localização: os pontos de GPS, a última posição conhecida e o trajeto do dia guardado no resumo diário saem no prazo dos pontos detalhados; os resumos diários (sem o trajeto) e os eventos de cerca virtual, no prazo dos resumos. A rotina que os elimina roda a cada 6 horas, para todas as empresas: em funcionamento normal, o dado sai até 6 horas depois de vencer o prazo.

Exclusão antecipada de localização: o titular pode pedir a exclusão dos seus dados de GPS antes do prazo de retenção. Não há, hoje, botão para isso no aplicativo nem na aplicação web: o pedido é feito à empresa, que é a controladora; se for escrito à Auvo — ao suporte indicado na tela Privacidade do aplicativo ou ao encarregado (seção 8) —, é encaminhado a ela. Quem executa a exclusão é a Auvo, como ato manual de operação. A exclusão apaga os pontos de GPS, a última posição, os resumos diários, os eventos de cerca virtual e o registro de quando o aparelho se comunicou com o servidor; encerra o consentimento; e troca por um aviso de remoção o texto dos alertas de cerca virtual já enviados aos gestores. O que estiver nas cópias de segurança segue o parágrafo "Cópias de segurança", acima.

7. Segurança

Medidas técnicas e organizacionais adotadas:

• tráfego criptografado em trânsito (TLS);
• senhas armazenadas, na tabela de usuários, apenas como resumo criptográfico com salt (bcrypt) — a senha em texto nunca é gravada. A trilha de auditoria substitui esse resumo por uma marca; atenção à seção 3.10: cadastros gravados antes de setembro de 2026 ainda guardam na trilha uma segunda cópia dele;
• isolamento entre empresas: os registros de cada empresa são ligados ao identificador dela, e a aplicação filtra as consultas por ele — é esse filtro, escrito no código da aplicação, que sustenta o isolamento hoje. Há políticas de isolamento provisionadas no próprio banco de dados, e a aplicação já se conecta a ele com o usuário de acesso restrito que elas alcançam. Mesmo assim, elas estão inertes em quase todas as rotas: quase todas deixam passar a consulta que chega sem a identificação da empresa na sessão do banco, e a aplicação só informa essa identificação em poucas operações — o envio da sincronização do aplicativo móvel, as exclusões e alterações em massa e as exportações em planilha, entre elas. Fora dessas operações, essas políticas não bloqueiam nada, e o isolamento depende só do filtro da aplicação;
• controle de acesso por papel e por permissão, com escopo por local para gestores de unidade;
• chaves de API com escopo por recurso e limite de requisições, com registro de uso;
• trilha de auditoria com IP e identificação do dispositivo;
• dados de cartão de crédito não chegam à Auvo: o número e o código de segurança são digitados na página segura da Superlógica, e o sistema guarda apenas bandeira, últimos dígitos e validade;
• exclusão lógica com lixeira e restauração, antes da eliminação definitiva;
• monitoramento de erros da aplicação, nos componentes em que o serviço de monitoramento está configurado (seção 3.14); não há, nesta data, alerta automático de disponibilidade;
• filtro que remove dados pessoais e valores financeiros do conteúdo devolvido pelas ferramentas do Agente de IA antes do envio ao fornecedor do modelo. Esse filtro não alcança a correção ortográfica, que envia o texto como escrito (seção 3.11);
• a página pública da proposta comercial não entrega o endereço de armazenamento dos anexos nem a imagem da assinatura de quem aceitou — os anexos são entregues pela própria Plataforma, a partir do link; as imagens da própria empresa (logo, capa e fotos da apresentação) são servidas por endereço assinado que, na configuração de produção recomendada, também abre o arquivo sem prazo;
• arquivos (fotos, anexos, assinaturas) recebem chave com identificador aleatório; na configuração de produção recomendada, porém, o endereço é público e permanente, sem autenticação (seção 3.5).

Nenhum sistema é imune. Em caso de incidente de segurança relevante, a Auvo comunica o cliente (controlador) em prazo curto, nos termos do DPA, para que ele avalie a comunicação à ANPD e aos titulares.

8. Direitos do titular (art. 18 da LGPD)

Todo titular pode, a qualquer momento e gratuitamente:

1. confirmar se há tratamento de seus dados;
2. acessar os dados;
3. corrigir dados incompletos, inexatos ou desatualizados;
4. pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. pedir a portabilidade a outro fornecedor, mediante requisição expressa;
6. pedir a eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses de guarda obrigatória do art. 16;
7. ser informado sobre com quem os dados foram compartilhados;
8. ser informado sobre a possibilidade de não consentir e sobre as consequências da negativa;
9. revogar o consentimento — em especial o do rastreamento de localização, revogável no próprio aplicativo;
10. opor-se a tratamento feito com base em legítimo interesse;
11. pedir revisão de decisão automatizada que afete seus interesses.

O que a exportação em autoatendimento entrega

O administrador do ambiente pode baixar, em Configurações, um arquivo estruturado (JSON) com o conteúdo da empresa. Ele não é completo, e é honesto dizer o que cobre e o que não cobre.

Cobre: usuários, locais, ativos e leituras de medidor, ordens de serviço e seus comentários, chamados e seus comentários, materiais, movimentações de estoque, fornecedores, pedidos de compra, pedidos de cotação a prestadores com os destinatários e as propostas recebidas, documentos de colaborador, bases de saída dos técnicos, despesas e os dados dos comprovantes (sem a fotografia), verificações de conformidade, orçamentos de venda com itens, versões enviadas, links de envio, registros de aceite e recusa (sem as chaves de acesso e sem o endereço dos arquivos), histórico, atividades e resultado, os dados dos anexos de orçamento (nome, tipo, tamanho e resumo, sem o arquivo) e a biblioteca de apresentação da proposta (textos e dados das fotos, sem o arquivo), e a trilha de auditoria.

Fica de fora, entre outros: respostas de checklist, fotos e anexos, dados de GPS, apontamentos de horas, ausências, veículos e planos de manutenção preventiva. Cada coleção é limitada a 20.000 registros; o próprio arquivo indica quais foram cortadas.

Cuidado com o conteúdo do arquivo: ele inclui a trilha de auditoria e, portanto, entrega a quem baixa o que ela guarda — inclusive CPF, RG e endereço de quem foi cadastrado (seção 3.10) — e, do orçamento de venda, o documento inteiro de quem assinou a proposta (seção 3.15). Os segredos — o resumo criptográfico da senha, tokens de acesso, chaves e dados bancários de fornecedores — saem substituídos por uma marca, inclusive nos registros de auditoria gravados antes dessa regra; é o que a nota do próprio arquivo declara.

Como exercer

• Se você é usuário de uma empresa cliente (técnico, gestor, solicitante): o controlador dos seus dados operacionais é essa empresa. Procure o setor responsável dela. Se preferir escrever à Auvo, encaminharemos ao controlador e daremos o apoio técnico necessário.
• Se você recebeu uma proposta comercial de uma empresa que usa o Auvo CMMS, ou a aceitou ou recusou em nome de um cliente dela: a controladora é a empresa que enviou a proposta; procure-a. O registro do aceite não se apoia em consentimento, e a empresa pode mantê-lo enquanto for necessário ao exercício regular de direitos (art. 7º, VI); a remoção de um arquivo anexado é feita pela Auvo a pedido da empresa.
• Se o pedido é sobre dados em que a Auvo é controladora (cadastro do contratante, faturamento e cobrança, extrato da carteira de créditos de IA, registros de acesso e aceites), escreva ao encarregado.

Encarregado pelo Tratamento de Dados Pessoais (DPO): Valmir Vieira Caixeta Junior — clientes@auvo.com.br

Prazo de resposta: até 15 (quinze) dias, conforme art. 19, II da LGPD. Pode ser necessário confirmar sua identidade antes de atender ao pedido — justamente para não entregar seus dados a outra pessoa.

Você também pode reclamar à ANPD — Autoridade Nacional de Proteção de Dados (www.gov.br/anpd).

9. Cookies e armazenamento local

A aplicação web usa cookie de sessão e armazenamento local do navegador para manter o usuário autenticado e guardar preferências de interface (idioma, tema, filtros). São estritamente necessários ao funcionamento; sem eles não é possível permanecer logado.

O produto não usa cookies de publicidade, de rede social nem de análise comportamental de terceiros.

Na Área do Cliente e no chat do site, quando o atendimento por IA está ligado, o navegador guarda um identificador aleatório — que não carrega nome, e-mail nem qualquer dado da pessoa — para agrupar as conversas de quem não entrou com uma conta e para os limites diários por navegador, e a prova de posse da conversa em andamento somente enquanto a aba estiver aberta. No chat do site, esse armazenamento é do endereço do Auvo CMMS, e não do site onde o chat aparece: o site da empresa não o lê, e nós não lemos nada do site dela.

O aplicativo móvel armazena dados no aparelho para funcionar sem conexão — inclusive ordens de serviço, fotos e pontos de GPS ainda não sincronizados, a sessão do Jonas em campo e o áudio da voz natural dele (seção 3.11, item h). Sair da conta no aplicativo apaga esse armazenamento local.

10. Crianças e adolescentes

O Auvo CMMS é um sistema corporativo e não se destina a menores de 18 anos. A Auvo não coleta conscientemente dados de crianças e adolescentes.

11. Alterações desta Política

Cada versão publicada tem número de versão, data de vigência e resumo SHA-256 do texto integral. Mudanças relevantes são comunicadas na Plataforma. O histórico de versões e o aceite de cada usuário ficam registrados.

12. Contato

• Encarregado (DPO): Valmir Vieira Caixeta Junior — clientes@auvo.com.br
• Controlador — dados de cadastro, faturamento e cobrança: Auvo Tecnologia S.A., CNPJ 10.426.136/0001-11, Rua Itumbiara, 505, Cidade Jardim, Goiânia/GO, CEP 74413-120