Política de Privacidade

2.1Formulário de diagnóstico (site institucional)

Ao clicar em “Agendar diagnóstico” você preenche um formulário com nove campos:

Junto com os campos, o site envia a via escolhida (A ou B, ou nenhuma, quando o formulário abre fora dos cards de oferta) e um identificador aleatório gerado no seu navegador, que existe só para o mesmo envio não ser contado duas vezes na medição de anúncios.

Quando o envio é aceito, esses dados viram um e-mail enviado para contato@illumiai.com, com a resposta endereçada ao e-mail que você digitou. O que você escrever no campo de texto livre entra nesse e-mail exatamente como foi escrito, então evite incluir dados sensíveis, senhas ou informações de terceiros.

Eles também são gravados na plataforma interna de gestão da illumi, que roda em servidor próprio e registra o contato, a empresa e o que você descreveu, para o atendimento acompanhar a conversa do começo ao fim. Até agosto de 2026 esta página dizia que os dados do formulário não eram gravados em banco; passaram a ser quando essa plataforma entrou no ar, e a frase estava desatualizada.

Gravar em vez de digitar. O campo de texto livre dos dois formulários do site — “problema que quer resolver”, no diagnóstico, e “o que mais trava sua escala hoje”, na página de metodologia — tem um botão de microfone. Se você usar, o navegador pede a sua permissão, grava até 90 segundos e envia esse áudio ao nosso servidor, que o encaminha ao OpenRouter para ser transcrito. A transcrição volta ao mesmo provedor para um segundo passo, que reescreve a sua fala tirando hesitação e repetição, para ela caber no campo. Esse texto — que não é literalmente o que você falou, e sim uma versão organizada — volta para o campo, onde você lê e edita antes de enviar. Transcrição e reescrita automáticas erram, e o que vale é o que ficar escrito na tela quando você apertar o botão. Nossa regra para esse segundo passo é não acrescentar nada: se ele trouxer um número que você não disse, o texto reescrito é descartado e você recebe a transcrição literal.

A gravação não é guardada. Ela existe durante a requisição, vira texto e é descartada: não é escrita em disco, não vai para banco nenhum e não é usada para identificar você por voz. O que fica registrado dessa chamada é apenas o dado técnico — data e hora, tamanho do arquivo, formato, tempo e custo —, sem o áudio e sem a transcrição, por 180 dias. Você nunca é obrigado a usar o microfone: digitar faz exatamente a mesma coisa.

Antes de o envio virar e-mail ou registro, o conteúdo do formulário passa por uma triagem automatizada, descrita na seção 10. Se ela concluir que o preenchimento não é um contato de verdade, o formulário não é encaminhado: não vira e-mail, não é gravado na plataforma de gestão, e você vê na tela uma mensagem dizendo que ele não foi aceito. Leia a seção 10 antes de enviar, se isso for importante para você.

2.2illumi Connect: cadastro, pagamento e liberação de acesso

Para assinar o illumi Connect pedimos nome completo, e-mail e WhatsApp. O CPF é pedido no pagamento com cartão, porque o meio de pagamento exige. O campo some da tela quando você volta para o PIX, mas o que já foi digitado continua no formulário: se você preencheu o CPF e depois trocou de forma de pagamento, ele vai junto no pedido, é gravado no banco e chega ao Mercado Pago.

Esses dados são gravados em um banco Postgres na infraestrutura da illumi, na tabela de compras, junto com:

• valor, forma de pagamento e situação da compra;
• identificador e situação do pagamento no Mercado Pago;
• endereço IP e user-agent de quem fez a compra;
• cookies de anúncio _fbp e _fbc, quando existem no seu navegador;
• parâmetros utm_source, utm_medium, utm_campaign, utm_content e utm_term da URL;
• endereço da página de onde a compra partiu;
• marcações de entrega: se a conta na plataforma Lumion foi criada, o identificador dessa conta e se o e-mail de boas-vindas saiu.

O banco também tem colunas de endereço (CEP, logradouro, número, complemento, bairro, cidade e UF) herdadas da versão anterior do fluxo. Elas nunca foram preenchidas e o site não pede esses dados.

No mesmo banco existe uma tabela de leads, herdada da operação anterior, de quando o formulário era preenchido antes do pagamento. Ela guarda nome, e-mail, telefone, origem e situação do contato, os identificadores _fbp e _fbc, os parâmetros utm_*, o endereço da página e o user-agent. O site de hoje não grava nada nela: o que está lá veio da base histórica descrita na seção 6.

Se a cobrança online estiver indisponível, o formulário registra o cadastro por outro caminho: nome, e-mail, WhatsApp, forma de pagamento escolhida e o CPF, se preenchido, são enviados por e-mail para a illumi, e o atendimento segue pelo WhatsApp.

O aviso automático do Mercado Pago e a rotina que confere pagamentos pendentes podem trazer de volta dados do pagador informados lá (e-mail, nome e CPF) e gravá-los na mesma tabela, inclusive criando o registro da compra quando ele não existia aqui.

2.3Grupo de WhatsApp do illumi Connect

Com o pagamento confirmado, você recebe por e-mail o convite do grupo de WhatsApp. É a entrega do que foi contratado (art. 7º, V), e tem uma consequência que precisa estar escrita aqui:

• ao entrar no grupo, o nome e o número de telefone da sua conta de WhatsApp ficam visíveis para todos os outros membros. A illumi não controla o que cada um faz com esse contato. Os Termos de uso proíbem usar o grupo para vender e repassar contato de membro, mas isso obriga quem participa, não impede tecnicamente;
• o conteúdo das mensagens é tratado pela Meta, sob a política de privacidade do WhatsApp. A illumi não guarda cópia dessas conversas fora do aplicativo;
• sair do grupo é feito por você, no próprio WhatsApp, a qualquer momento. A saída não apaga as mensagens que você já enviou nem o que os outros membros já viram.

2.4Dados coletados automaticamente no seu navegador

O site carrega serviços de medição de anúncios antes de qualquer ação sua: a tag do Google em todas as rotas, e o pixel do Meta na página inicial e nas páginas do illumi Connect.

• Pixel do Meta. Carregado da Meta na página inicial e nas páginas do illumi Connect. Dispara PageView em todo carregamento e, conforme o que você faz, Lead (envio do formulário de diagnóstico), InitiateCheckout (geração do PIX ou abertura do checkout de cartão) e Purchase (página de confirmação de pagamento aprovado). São dois pixels diferentes, um para o site institucional e outro para o illumi Connect.
• Tag do Google (Google Ads). Carregada em todas as rotas do site. Registra uma conversão quando o formulário de diagnóstico é enviado com sucesso.

Os eventos enviados pelo navegador levam dados do que aconteceu (nome do conteúdo, categoria, moeda, valor e o identificador do evento). Nome, e-mail e telefone não são enviados por esse caminho. O que essas bibliotecas coletam por conta própria, como cookies, endereço da página e origem da visita, é definido pelo Meta e pelo Google, não pelo código do site.

Existe um segundo envio para a Meta, feito pelo nosso servidor, que não depende de cookie nem do navegador e leva os seus dados de contato embaralhados. Ele é o ponto mais sensível desta política e está descrito na seção 5, com o que o bloqueio de cookies alcança e o que não alcança.

Não há Google Analytics neste site. Também não usamos contêiner do Google Tag Manager: a tag do Google Ads (gtag.js) é carregada direto de googletagmanager.com, que é o servidor do Google para essa biblioteca. Nenhuma outra ferramenta de análise de audiência roda aqui.

2.5Dados técnicos do servidor

Toda requisição carrega o seu endereço IP e o user-agent do navegador. Usamos esses dois dados para:

• Limitar requisições, para conter robôs e envios repetidos. Nas rotas de cobrança, o e-mail que você digita também entra nessa contagem: sem isso, trocar de IP burlaria o limite. Essa contagem de curto prazo fica só na memória do servidor, apagada periodicamente e a cada nova versão publicada, e não vai para banco nem para terceiros.
• Limitar o uso diário da triagem e da transcrição, que são pagas por chamada. Desde 01/09/2026 essa contagem é gravada em banco, porque uma contagem que some a cada nova versão publicada não segura um dia inteiro. O que fica gravado não é o seu IP: é um código embaralhado dele (SHA-256 com uma chave secreta nossa), do qual não dá para voltar ao endereço. Ele serve só para contar quantas vezes o mesmo visitante usou essas duas funções no dia, e é apagado junto do registro, em 180 dias. Não vai para terceiros.
• Medir anúncios. No envio do formulário de diagnóstico e nos eventos de pagamento, IP e user-agent são enviados à Conversions API do Meta, sem embaralhamento. No fluxo do illumi Connect eles também são gravados na tabela de compras.

Registros de acesso à aplicação. O proxy que recebe o tráfego do site anota cada requisição, inclusive as de quem só passa pela página: endereço IP, data e hora, método, caminho pedido, código de resposta, bytes enviados, página de origem, user-agent e o tempo que a resposta levou. Descrevendo o estado real: esses registros ficam dentro do próprio proxy, não são copiados para fora dele, não são lidos de forma rotineira e são apagados quando o proxy reinicia. O registro cobre só o intervalo desde o último reinício, e o proxy reinicia por conta própria, a cada atualização dele ou da máquina. Ou seja, a illumi hoje não guarda esses registros pelos seis meses que o art. 15 do Marco Civil da Internet exige de quem oferece uma aplicação de internet. A correção está em aberto.

A illumi é provedora de aplicação de internet. Não guardamos registros de conexão: eles são obrigação de quem fornece o seu acesso à internet, não nossa.

Os registros de erro da aplicação guardam falhas de funcionamento. Quando a liberação de acesso de um comprador falha, esses registros e os avisos internos por e-mail contêm o e-mail da pessoa, para o problema ser resolvido na mão.

2.6O que fica guardado no seu próprio navegador

• illumiConnectPago (localStorage): marca que este navegador já concluiu uma assinatura, para a página não pedir pagamento de novo. Não tem prazo de expiração definido pelo site.
• illumiConnectCompra (sessionStorage): guarda o número da compra (um identificador aleatório, não um dado seu), para confirmar o pagamento quando você volta do banco ou do cartão. É apagado quando a compra é confirmada ou quando você fecha a aba. Até 01/09/2026 esta chave guardava o e-mail digitado no checkout, sob o nome illumiConnectEmail; ela deixou de existir e é apagada automaticamente onde ainda estiver.

Nada disso é enviado a terceiros. Você pode apagar os dois limpando os dados do site no seu navegador.

2.7Miniaturas de vídeo

As páginas com vídeo mostram só a miniatura até você clicar no play. A miniatura, porém, é carregada de terceiros já no primeiro acesso: do YouTube (Google) na página inicial e do api.video na página do illumi Connect. Isso expõe seu IP e user-agent a esses dois serviços antes de qualquer clique. O vídeo em si, e os cookies do player, só entram depois que você aperta o play.

As fontes do site são servidas do nosso próprio domínio. Nenhuma requisição vai para servidores de fontes de terceiros.

10.1Triagem automatizada do formulário

No momento em que você envia um dos formulários do site, o conteúdo preenchido passa por uma triagem automatizada. Ela decide se o envio é encaminhado à illumi, e a decisão tem efeito sobre você — por isso ela está descrita aqui em detalhe.

O que acontece quando ela recusa. O formulário não é encaminhado: não vira e-mail para a illumi, não é gravado na plataforma interna de gestão, e não gera contato. Na tela aparece uma mensagem dizendo que o preenchimento não foi aceito. Ela é redigida pelo mesmo modelo de linguagem que fez a triagem, e passa antes por um filtro nosso que a descarta — trocando-a por uma frase fixa escrita por pessoa — se ela repetir palavras do que você enviou, trouxer link, número ou endereço, ou sair do tom. Nenhum atendimento nasce desse envio.

O que ela julga, e o que ela não julga. A triagem julga a autenticidade do preenchimento — se ele parece de uma pessoa real procurando a illumi, ou se é teste do campo, robô, brincadeira, divulgação ou tentativa de manipular o sistema — e, para o terceiro resultado descrito abaixo, se a descrição do problema é suficiente para a illumi trabalhar. Sendo exato sobre essa segunda avaliação: ela olha o quanto foi contado, e nunca a qualidade da sua escrita, o seu português ou a sua forma de se expressar; ela só pede mais, e nunca recusa por isso. A triagem também não avalia você, sua empresa, seu porte, seu cargo nem se você é um cliente adequado. Decidir se um contato interessa comercialmente é decisão de uma pessoa, depois, e nunca dela.

Há um terceiro resultado, e ele não recusa nada. Quando o preenchimento parece de uma pessoa real mas está curto demais para a illumi entender o problema, o envio fica esperando: nada é encaminhado ainda, nada é descartado, e a tela pede que você detalhe um campo específico. O que você escreveu continua no formulário, e ao reenviar o texto segue normalmente. É uma pausa, não uma recusa — e é por isso que o pedido aparece com todas as letras, em vez de o envio simplesmente sumir.

Como funciona, em termos gerais. Primeiro passam verificações objetivas no nosso servidor: um campo escondido que nenhuma pessoa vê e que só um programa preenche, a comparação do que foi digitado com os textos de exemplo que aparecem em cinza dentro dos próprios campos, e a repetição do mesmo valor em vários campos de identidade. Quando essas verificações não decidem nada, o conteúdo do formulário é enviado a um modelo de linguagem, pelo OpenRouter, que responde se o preenchimento parece autêntico e escreve a frase que vai para a tela. O resultado só é considerado quando o modelo se declara seguro; em qualquer outra situação — inclusive falha, demora, indisponibilidade ou resposta fora do formato esperado — o envio é aceito. A regra é essa: na dúvida, o formulário é válido.

O que fica registrado. Guardamos, em banco próprio, o resultado da triagem e os dados técnicos dela: data e hora, qual formulário, um código embaralhado do conteúdo (que não permite reconstruí-lo), o identificador do envio, a decisão, a categoria e o nome das regras acionadas, a mensagem que apareceu na sua tela, o tempo que levou e o custo da chamada. Nada do que você preencheu é copiado para esse registro — nem nome, nem e-mail, nem o texto livre. O único campo de texto solto é a mensagem que apareceu na sua tela, e ela existe porque a illumi precisa saber o que a própria página disse; é o filtro do parágrafo anterior que impede essa frase de repetir o que você escreveu. Sendo exato: esse filtro compara palavras a partir de quatro letras, então ele é uma barreira forte, não uma garantia matemática. O registro é apagado depois de 180 dias.

Se você acha que a triagem errou — e ela erra. Duas coisas funcionam, e a primeira é imediata:

• Reenviar. Cada envio é julgado do zero, e um reenvio tem chance real de ser aceito: a recusa fica no registro técnico descrito acima, mas não vira bloqueio nem influencia a próxima análise. O site limita doze envios a cada dez minutos por origem, então pode ser preciso esperar antes de tentar de novo.
• Falar com uma pessoa. O WhatsApp (62) 99175-4361 e o e-mail contato@illumiai.com não passam por triagem nenhuma. Escrevendo por qualquer um dos dois, você fala direto com a illumi.

Revisão por uma pessoa (art. 20 da LGPD). Você pode pedir revisão de decisão tomada apenas de forma automatizada. Escreva para contato@illumiai.com com o assunto “LGPD”. Sendo exato sobre o que conseguimos fazer, e sobre o que não conseguimos: como não guardamos o que você preencheu, não temos como localizar o seu envio nem reanalisar o texto dele. O que fazemos é explicar o critério, examinar o funcionamento da triagem no período e tratar o seu caso por uma pessoa, pelo canal humano acima — que resolve na prática o mesmo que a revisão resolveria. É por isso que os dois caminhos do parágrafo anterior existem: nenhum deles depende de a illumi reconstruir o que não foi guardado.

Você também pode se opor a esse tratamento, pelo mesmo canal, como a qualquer outro apoiado em legítimo interesse.