Política de Privacidade

2.1Formulário de diagnóstico (site institucional)

Ao clicar em “Agendar diagnóstico” você preenche um formulário com nove campos:

Junto com os campos, o site envia a via escolhida (A ou B, ou nenhuma, quando o formulário abre fora dos cards de oferta), os parâmetros utm_* do endereço da página, quando existem, o identificador do clique no anúncio do Google, quando você chegou por um (seção 2.6), e um identificador aleatório gerado no seu navegador. Esse último existe para o mesmo envio não ser contado duas vezes na medição de anúncios e para a conversão dele poder ser retirada depois, se a equipe concluir que o pedido está fora do perfil (seção 5).

Quando o envio é aceito, esses dados viram um e-mail enviado para contato@illumiai.com, com a resposta endereçada ao e-mail que você digitou. O que você escrever no campo de texto livre entra nesse e-mail exatamente como foi escrito, então evite incluir dados sensíveis, senhas ou informações de terceiros.

Eles também são gravados na plataforma interna de gestão da illumi, que roda em servidor próprio e registra o contato, a empresa e o que você descreveu, para o atendimento acompanhar a conversa do começo ao fim. Até agosto de 2026 esta página dizia que os dados do formulário não eram gravados em banco; passaram a ser quando essa plataforma entrou no ar, e a frase estava desatualizada.

Gravar em vez de digitar. O campo de texto livre dos dois formulários do site — “problema que quer resolver”, no diagnóstico, e “o que mais trava sua escala hoje”, na página de metodologia — tem um botão de microfone. Se você usar, o navegador pede a sua permissão, grava até 90 segundos e envia esse áudio ao nosso servidor, que o encaminha ao OpenRouter para ser transcrito. A transcrição volta ao mesmo provedor para um segundo passo, que reescreve a sua fala tirando hesitação e repetição, para ela caber no campo. Esse texto — que não é literalmente o que você falou, e sim uma versão organizada — volta para o campo, onde você lê e edita antes de enviar. Transcrição e reescrita automáticas erram, e o que vale é o que ficar escrito na tela quando você apertar o botão. Nossa regra para esse segundo passo é não acrescentar nada: se ele trouxer um número que você não disse, o texto reescrito é descartado e você recebe a transcrição literal.

A gravação não é guardada. Ela existe durante a requisição, vira texto e é descartada: não é escrita em disco, não vai para banco nenhum e não é usada para identificar você por voz. O que fica registrado dessa chamada é apenas o dado técnico — data e hora, tamanho do arquivo, formato, tempo e custo —, sem o áudio e sem a transcrição, por 180 dias. Você nunca é obrigado a usar o microfone: digitar faz exatamente a mesma coisa.

Antes de o envio virar e-mail ou registro, o conteúdo do formulário passa por uma triagem automatizada, descrita na seção 10. Se ela concluir que o preenchimento não é um contato de verdade, o formulário não é encaminhado: não vira e-mail, não é gravado na plataforma de gestão, e você vê na tela uma mensagem dizendo que ele não foi aceito. No formulário de agendamento de diagnóstico, ela também pode concluir que o pedido não se encaixa no serviço: aí o envio é encaminhado e guardado, e passa por revisão humana. Leia a seção 10 antes de enviar, se isso for importante para você.

2.2illumi Connect: cadastro, pagamento e liberação de acesso

Para assinar o illumi Connect pedimos nome completo, e-mail e WhatsApp. O CPF é pedido no pagamento com cartão, porque o meio de pagamento exige. O campo some da tela quando você volta para o PIX, mas o que já foi digitado continua no formulário: se você preencheu o CPF e depois trocou de forma de pagamento, ele vai junto no pedido, é gravado no banco e chega ao Mercado Pago.

Esses dados são gravados em um banco Postgres na infraestrutura da illumi, na tabela de compras, junto com:

• valor, forma de pagamento e situação da compra;
• identificador e situação do pagamento no Mercado Pago;
• endereço IP e user-agent de quem fez a compra;
• cookies de anúncio _fbp e _fbc, quando existem no seu navegador;
• parâmetros utm_source, utm_medium, utm_campaign, utm_content e utm_term da URL;
• endereço da página de onde a compra partiu;
• marcações de entrega: se a conta na plataforma Lumion foi criada, o identificador dessa conta e se o e-mail de boas-vindas saiu.

O banco também tem colunas de endereço (CEP, logradouro, número, complemento, bairro, cidade e UF) herdadas da versão anterior do fluxo. Elas nunca foram preenchidas e o site não pede esses dados.

No mesmo banco existe uma tabela de leads, herdada da operação anterior, de quando o formulário era preenchido antes do pagamento. Ela guarda nome, e-mail, telefone, origem e situação do contato, os identificadores _fbp e _fbc, os parâmetros utm_*, o endereço da página e o user-agent. O site de hoje não grava nada nela: o que está lá veio da base histórica descrita na seção 6.

Se a cobrança online estiver indisponível, o formulário registra o cadastro por outro caminho: nome, e-mail, WhatsApp, forma de pagamento escolhida e o CPF, se preenchido, são enviados por e-mail para a illumi, e o atendimento segue pelo WhatsApp.

O aviso automático do Mercado Pago e a rotina que confere pagamentos pendentes podem trazer de volta dados do pagador informados lá (e-mail, nome e CPF) e gravá-los na mesma tabela, inclusive criando o registro da compra quando ele não existia aqui.

2.3Grupo de WhatsApp do illumi Connect

Com o pagamento confirmado, você recebe por e-mail o convite do grupo de WhatsApp. É a entrega do que foi contratado (art. 7º, V), e tem uma consequência que precisa estar escrita aqui:

• ao entrar no grupo, o nome e o número de telefone da sua conta de WhatsApp ficam visíveis para todos os outros membros. A illumi não controla o que cada um faz com esse contato. Os Termos de uso proíbem usar o grupo para vender e repassar contato de membro, mas isso obriga quem participa, não impede tecnicamente;
• o conteúdo das mensagens é tratado pela Meta, sob a política de privacidade do WhatsApp. A illumi não guarda cópia dessas conversas fora do aplicativo;
• sair do grupo é feito por você, no próprio WhatsApp, a qualquer momento. A saída não apaga as mensagens que você já enviou nem o que os outros membros já viram.

2.4Dados coletados automaticamente no seu navegador

O site carrega serviços de medição de anúncios antes de qualquer ação sua: a tag do Google em todas as rotas, e o pixel do Meta na página inicial, na página de metodologia e nas páginas do illumi Connect.

• Pixel do Meta. Carregado da Meta na página inicial, na página de metodologia e nas páginas do illumi Connect. Dispara PageView em todo carregamento e, conforme o que você faz, Lead (envio do formulário de diagnóstico ou do da página de metodologia, nas mesmas condições da conversão do Google, logo abaixo), InitiateCheckout (geração do PIX ou abertura do checkout de cartão) e Purchase (página de confirmação de pagamento aprovado). São dois pixels diferentes: um para o site institucional, que vale também na página de metodologia, e outro para o illumi Connect.
• Tag do Google (Google Ads). Carregada em todas as rotas do site. Registra uma conversão quando você envia o formulário de diagnóstico ou o da página de metodologia e a triagem da seção 10 não o recusa, não o desqualifica nem pede correção. Junto dessa conversão, a tag recebe o seu e-mail e o seu telefone embaralhados em SHA-256 no próprio navegador, antes de saírem da página — recurso que o Google chama de conversões otimizadas para leads. Por esse caminho, o texto em claro não chega ao Google.

Os eventos enviados pelo navegador levam dados do que aconteceu (nome do conteúdo, categoria, moeda, valor e o identificador do evento). O nome não é enviado por esse caminho. E-mail e telefone também não, com a única exceção da conversão do Google descrita acima, que os leva embaralhados; ao pixel do Meta eles nunca vão pelo navegador. O que essas bibliotecas coletam por conta própria, como cookies, endereço da página e origem da visita, é definido pelo Meta e pelo Google, não pelo código do site.

Existem ainda dois envios que não partem do seu navegador e não dependem de cookie: um para a Meta, feito pelo nosso servidor no momento do envio do formulário, e outro para o Google Ads, feito depois pela plataforma de gestão da illumi, conforme o andamento do seu contato. Os dois levam os seus dados de contato embaralhados. Eles são o ponto mais sensível desta política e estão descritos na seção 5, com o que o bloqueio de cookies alcança e o que não alcança.

Não há Google Analytics neste site. Também não usamos contêiner do Google Tag Manager: a tag do Google Ads (gtag.js) é carregada direto de googletagmanager.com, que é o servidor do Google para essa biblioteca. Nenhuma outra ferramenta de análise de audiência roda aqui.

2.5Dados técnicos do servidor

Toda requisição carrega o seu endereço IP e o user-agent do navegador. Usamos esses dois dados para:

• Limitar requisições, para conter robôs e envios repetidos. Nas rotas de cobrança, o e-mail que você digita também entra nessa contagem: sem isso, trocar de IP burlaria o limite. Essa contagem de curto prazo fica só na memória do servidor, apagada periodicamente e a cada nova versão publicada, e não vai para banco nem para terceiros.
• Limitar o uso diário da triagem e da transcrição, que são pagas por chamada. Desde 01/09/2026 essa contagem é gravada em banco, porque uma contagem que some a cada nova versão publicada não segura um dia inteiro. O que fica gravado não é o seu IP: é um código embaralhado dele (SHA-256 com uma chave secreta nossa), do qual não dá para voltar ao endereço. Ele serve só para duas coisas: contar quantas vezes o mesmo visitante usou essas duas funções no dia e, desde 29/09/2026, reconhecer o reenvio de quem a triagem acabou de pedir que detalhasse o formulário, para esse reenvio seguir sem um novo pedido (seção 10.1). É apagado junto do registro, em 180 dias. Não vai para terceiros.
• Medir anúncios. No envio do formulário de diagnóstico ou do da página de metodologia e nos eventos de pagamento, IP e user-agent são enviados à Conversions API do Meta, sem embaralhamento. No fluxo do illumi Connect eles também são gravados na tabela de compras.

Registros de acesso à aplicação. O proxy que recebe o tráfego do site anota cada requisição, inclusive as de quem só passa pela página: endereço IP, data e hora, método, caminho pedido, código de resposta, bytes enviados, página de origem, user-agent e o tempo que a resposta levou. Descrevendo o estado real: esses registros ficam dentro do próprio proxy, não são copiados para fora dele, não são lidos de forma rotineira e são apagados quando o proxy reinicia. O registro cobre só o intervalo desde o último reinício, e o proxy reinicia por conta própria, a cada atualização dele ou da máquina. Ou seja, a illumi hoje não guarda esses registros pelos seis meses que o art. 15 do Marco Civil da Internet exige de quem oferece uma aplicação de internet. A correção está em aberto.

A illumi é provedora de aplicação de internet. Não guardamos registros de conexão: eles são obrigação de quem fornece o seu acesso à internet, não nossa.

Os registros de erro da aplicação guardam falhas de funcionamento. Quando a liberação de acesso de um comprador falha, esses registros e os avisos internos por e-mail contêm o e-mail da pessoa, para o problema ser resolvido na mão.

2.6O que fica guardado no seu próprio navegador

• illumiConnectPago (localStorage): marca que este navegador já concluiu uma assinatura, para a página não pedir pagamento de novo. Não tem prazo de expiração definido pelo site.
• illumiConnectCompra (sessionStorage): guarda o número da compra (um identificador aleatório, não um dado seu), para confirmar o pagamento quando você volta do banco ou do cartão. É apagado quando a compra é confirmada ou quando você fecha a aba. Até 01/09/2026 esta chave guardava o e-mail digitado no checkout, sob o nome illumiConnectEmail; ela deixou de existir e é apagada automaticamente onde ainda estiver.
• illumi:clique-google (localStorage): quando você chega ao site por um anúncio do Google, o endereço da página traz um identificador do clique nesse anúncio (gclid, gbraid ou wbraid). O próprio site lê esse identificador do endereço e o guarda, com a data da chegada, para que um formulário enviado depois, em outra página ou outra visita, ainda leve o clique que trouxe você. Ele vale por até 90 dias: passado esse prazo, deixa de ser usado e é apagado na visita seguinte. Quando não há clique no endereço nem guardado dentro do prazo, o site usa, no envio do formulário, o gclid que a própria tag do Google gravou no cookie _gcl_aw, se existir.

As duas primeiras não são enviadas a ninguém. O identificador de clique vai junto do formulário de diagnóstico ou do da página de metodologia, se você enviar um, fica registrado na plataforma de gestão da illumi e pode ser enviado por ela ao Google Ads, como descrito na seção 5. Você pode apagar as três limpando os dados do site no seu navegador.

2.7Miniaturas de vídeo

As páginas com vídeo mostram só a miniatura até você clicar no play. A miniatura, porém, é carregada de terceiros já no primeiro acesso: do YouTube (Google) na página inicial e do api.video na página do illumi Connect. Isso expõe seu IP e user-agent a esses dois serviços antes de qualquer clique. O vídeo em si, e os cookies do player, só entram depois que você aperta o play.

As fontes do site são servidas do nosso próprio domínio. Nenhuma requisição vai para servidores de fontes de terceiros.

10.1Triagem automatizada do formulário

No momento em que você envia um dos formulários do site, o conteúdo preenchido passa por uma triagem automatizada. Ela decide se o envio é encaminhado à illumi e, no formulário de agendamento de diagnóstico, também se o pedido se encaixa no serviço que a illumi presta. As duas decisões têm efeito sobre você — por isso estão descritas aqui em detalhe.

O que acontece quando ela recusa. O formulário não é encaminhado: não vira e-mail para a illumi, não é gravado na plataforma interna de gestão, e não gera contato. Na tela aparece uma mensagem dizendo que o preenchimento não foi aceito. Ela é redigida pelo mesmo modelo de linguagem que fez a triagem, e passa antes por um filtro nosso que a descarta — trocando-a por uma frase fixa escrita por pessoa — se ela repetir palavras do que você enviou, trouxer link, número ou endereço, ou sair do tom. Nenhum atendimento nasce desse envio.

O que acontece quando ela desqualifica. Só no formulário de agendamento de diagnóstico. O envio é encaminhado e fica guardado: vira e-mail para a illumi e é gravado na plataforma interna de gestão, marcado como fora do perfil. Na tela aparece um texto fixo, escrito por pessoa, dizendo que o diagnóstico não é o caminho certo agora e que os seus dados passam por uma auditoria humana. O envio não dispara a conversão do formulário nas ferramentas de anúncio. Uma pessoa da illumi revisa todo envio desqualificado e pode reabri-lo; a decisão final é dela, e o envio reaberto passa a seguir o caminho de qualquer outro contato, inclusive a conversão de lead qualificado da seção 5, se a primeira reunião for agendada. O caminho inverso também existe, e ele é humano: quando é a equipe, e não a triagem, que conclui que um pedido já encaminhado está fora do perfil, a conversão que o formulário registrou no Google Ads é retirada, como descrito na seção 5.

O que ela julga, e o que ela não julga. A triagem julga a autenticidade do preenchimento — se ele parece de uma pessoa real procurando a illumi, ou se é teste do campo, robô, brincadeira, divulgação ou tentativa de manipular o sistema — e, para o terceiro resultado descrito abaixo, se a descrição do problema é suficiente para a illumi trabalhar. Sendo exato sobre essa segunda avaliação: ela olha o quanto foi contado, e nunca a qualidade da sua escrita, o seu português ou a sua forma de se expressar; ela só pede mais, e nunca recusa por isso. No formulário de agendamento de diagnóstico, ela avalia ainda se o pedido se encaixa no serviço, por dois critérios e só por eles: se o pedido é sobre a operação de uma empresa — e não, por exemplo, sobre seguidores, uma causa sem negócio, um problema pessoal ou ganhar dinheiro — e se quem preencheu decide sobre essa operação — e não, por exemplo, um autônomo sem empresa ou alguém em cargo operacional. Ela não avalia o seu porte, o faturamento da empresa, o seu e-mail nem a sua escrita, e nenhum desses é motivo para desqualificar.

Há um terceiro resultado, e ele não recusa nada. Quando o preenchimento parece de uma pessoa real mas está curto demais para a illumi entender o problema, o envio fica esperando: nada é encaminhado ainda, nada é descartado, e a tela pede que você detalhe um campo específico. O que você escreveu continua no formulário, e ao reenviar o texto segue normalmente. É uma pausa, não uma recusa — e é por isso que o pedido aparece com todas as letras, em vez de o envio simplesmente sumir. E o pedido aparece uma vez só. Se você reenviar em até meia hora, a triagem não pede de novo, e o modelo de linguagem só pode aceitar o envio ou, no diagnóstico, desqualificá-lo pelos dois critérios acima; nos dois casos ele é encaminhado. Para reconhecer o reenvio, usamos o código embaralhado do IP descrito na seção 2.5.

Como funciona, em termos gerais. Primeiro passam verificações objetivas no nosso servidor: um campo escondido que nenhuma pessoa vê e que só um programa preenche, a comparação do que foi digitado com os textos de exemplo que aparecem em cinza dentro dos próprios campos, e a repetição do mesmo valor em vários campos de identidade. Quando essas verificações não decidem nada, o conteúdo do formulário é enviado a um modelo de linguagem, pelo OpenRouter, que responde se o preenchimento parece autêntico — e, no diagnóstico, se ele se encaixa nos dois critérios acima — e escreve a frase que vai para a tela no caso da recusa. O resultado só é considerado quando o modelo se declara seguro; em qualquer outra situação — inclusive falha, demora, indisponibilidade ou resposta fora do formato esperado — o envio é aceito. A regra é essa: na dúvida, o formulário é válido.

O que fica registrado. Guardamos, em banco próprio, o resultado da triagem e os dados técnicos dela: data e hora, qual formulário, um código embaralhado do conteúdo (que não permite reconstruí-lo), o identificador do envio, a decisão, a categoria e o nome das regras acionadas, a mensagem que apareceu na sua tela, o tempo que levou e o custo da chamada. Nada do que você preencheu é copiado para esse registro — nem nome, nem e-mail, nem o texto livre. O único campo de texto solto é a mensagem que apareceu na sua tela, e ela existe porque a illumi precisa saber o que a própria página disse; é o filtro do parágrafo anterior que impede essa frase de repetir o que você escreveu. Sendo exato: esse filtro compara palavras a partir de quatro letras, então ele é uma barreira forte, não uma garantia matemática. O registro é apagado depois de 180 dias.

Se você acha que a triagem errou — e ela erra. Duas coisas funcionam, e a primeira é imediata:

• Reenviar. Cada envio recusado é julgado do zero, e um reenvio tem chance real de ser aceito: a recusa fica no registro técnico descrito acima, mas não vira bloqueio nem influencia a próxima análise. O site limita doze envios a cada dez minutos por origem, então pode ser preciso esperar antes de tentar de novo. O envio desqualificado não precisa ser reenviado — ele já está com a equipe — e, repetido igual nos trinta minutos seguintes, recebe o mesmo resultado.
• Falar com uma pessoa. O WhatsApp (62) 99175-4361 e o e-mail contato@illumiai.com não passam por triagem nenhuma. Escrevendo por qualquer um dos dois, você fala direto com a illumi.

Revisão por uma pessoa (art. 20 da LGPD). Você pode pedir revisão de decisão tomada apenas de forma automatizada. Escreva para contato@illumiai.com com o assunto “LGPD”. Para o envio desqualificado, a revisão é completa: os dados ficam na plataforma de gestão, e uma pessoa reanalisa o caso — como, de todo modo, a equipe faz com todo desqualificado. Para o envio recusado, sendo exato sobre o que conseguimos fazer e sobre o que não conseguimos: como não guardamos o que você preencheu, não temos como localizar o seu envio nem reanalisar o texto dele. O que fazemos é explicar o critério, examinar o funcionamento da triagem no período e tratar o seu caso por uma pessoa, pelo canal humano acima — que resolve na prática o mesmo que a revisão resolveria. É por isso que os dois caminhos do parágrafo anterior existem: nenhum deles depende de a illumi reconstruir o que não foi guardado.

Você também pode se opor a esse tratamento, pelo mesmo canal, como a qualquer outro apoiado em legítimo interesse.