Ele lê a sua caixa de entrada. Veja exatamente como tratamos isso.
O Voix só funciona porque você deixa ele ver o seu e-mail. Nós o projetamos para que a confiança seja a parte fácil: acesso mínimo, nada enviado sem você, e um botão de desligar em um clique.
Somente leitura para te resumir
O seu primeiro login pede gmail.readonly e nada mais. O Voix lê o seu e-mail recente sob demanda. Ele não modifica, marca nem apaga nada.
Você aprova cada envio
Pedimos gmail.send depois, no contexto, na primeira vez que você aprova uma resposta escrita. Não aprove nenhuma e o Voix nunca terá permissão para enviar. Nada sai da sua caixa de entrada por conta própria, jamais.
Não treinamos com o seu e-mail
O seu e-mail é processado para ordenar e escrever. Ele é tratado pelo nosso provedor de IA sob termos comerciais, nunca usado para treinar modelos de IA, e nunca vendido ou compartilhado com anunciantes.
Criptografado em repouso
Os dados ficam no Supabase, sobre AWS nos EUA (us-east-1), ao abrigo das Cláusulas Contratuais Padrão da UE. O tráfego é TLS 1.2+, o armazenamento é AES-256 em repouso, e o seu token OAuth é criptografado em uma tabela acessível só pelo servidor.
Você pode apagar tudo
Desconecte o Gmail ou o Slack em um clique, ou apague a sua conta: cada linha ligada a você é apagada em até 30 dias, os backups em até 90.
Escopo mínimo, por concepção
gmail.readonly para começar, gmail.send só depois que você aprova uma resposta, e um escopo de calendário somente leitura apenas se você adicionar o seu calendário. Não modificar, não marcar, não acesso completo à caixa de entrada, mesmo que isso permitisse mais recursos.
Suas linhas são só suas
A parede é levantada pelo próprio banco de dados. A segurança em nível de linha faz com que uma consulta só possa devolver linhas com o seu identificador de usuário, então uma conta não alcança a de outra nem se a aplicação acima errasse. Um teste automático comprova isso a cada mudança.
gmail.readonlyLê aproximadamente os últimos 14 dias do seu e-mail de Principal e Atualizações, até cerca de 90 mensagens, para extrair o remetente, o assunto e o texto do e-mail para a ordenação. Sem isso, o Voix não consegue contar o que há na sua caixa de entrada.
gmail.sendNão é pedido no cadastro. O Google só mostra essa permissão na primeira vez que você aprova uma resposta escrita, e você pode recusar. Uma vez concedida, ela envia uma resposta em seu nome a partir da sua própria conta, apenas depois que você aprova um rascunho. Cada envio é uma ação explícita. O Voix nunca envia de forma autônoma.
Enviamos esses escopos para a verificação de escopo restrito do Google em 6 de agosto de 2026, e a revisão do Google está em andamento. Ela não foi concluída, e a avaliação de segurança CASA que vem depois ainda não começou. Mais sobre como tratamos os seus dados está na Política de Privacidade.
Mail.Read · Calendars.Read · Chat.Read · Mail.SendSe você conectar o Microsoft 365: Mail.Read e Calendars.Read para ler o seu e-mail e o seu calendário do Outlook, e Chat.Read apenas onde a leitura do Teams estiver ligada. Mail.Send não é pedido na conexão. Igual ao Gmail, ele é solicitado depois, na primeira vez que você aprova uma resposta para enviar pelo Outlook.
im:read · im:history · users:read · search:read · chat:writeSe você conectar o Slack: im:read e im:history para ler as suas mensagens diretas, users:read para transformar identificadores de remetente em nomes, e search:read para achar as suas menções em canais e responder perguntas em todo o Slack. chat:write só é usado para enviar uma resposta que você já aprovou, nunca por conta própria.
Você verá um aviso do Google. Ele está certo.
Quando você conecta o Gmail, o Google mostra uma tela dizendo que não verificou este aplicativo, e o botão para continuar vem marcado como “não seguro”. Essa tela está certa. A verificação completa do Google é uma revisão de segurança de vários meses que ainda não fizemos, e preferimos avisar antes de você ver a explicar depois. O login em si não muda: ele é somente leitura, não pode apagar nem alterar nada na sua caixa, e você pode revogá-lo na sua conta do Google quando quiser.
Se essa tela for um não para você, é um não razoável. Desconectar é um clique, e apagar a sua conta revoga a permissão no próprio Google e remove cada linha que guardamos, em vez de apenas escondê-la.
Cada empresa que toca nos seus dados, e o que ela vê.
Login somente leitura. Enviar é uma permissão separada, e nada é enviado sem o seu toque.
O conteúdo dos seus resumos é apagado automaticamente depois de 30 dias. O corpo completo dos e-mails nunca é armazenado.
Alguns dos nossos subprocessadores estão nos EUA. As transferências a partir da UE são protegidas pelas Cláusulas Contratuais Padrão (CCP). Todo o detalhe na Política de Privacidade e no DPA.
| Subprocessador | O que ele vê | Usado para treinar IA? | Retenção |
|---|---|---|---|
| SupabaseBanco de dados · AWS us-east-1, EUA | A linha da sua conta, os tokens de conexão criptografados e o resultado do resumo: a transcrição e a lista ordenada. Nunca o corpo completo dos e-mails. | Não. Só infraestrutura. | O conteúdo dos resumos é limpo automaticamente depois de 30 dias. Tudo é apagado quando você apaga a sua conta. Transferência: CCP. |
| AnthropicClaude, ordena as suas mensagens e escreve respostas · EUA | De forma transitória, a cada resumo: remetente, assunto, o texto completo de cada mensagem (limitado a cerca de 6.000 caracteres por e-mail e sinalizado onde é cortado) e o texto extraído de anexos em PDF ou Word, dos seus últimos 14 dias. O Voix não guarda nada disso. | Não. Os termos comerciais da API da Anthropic excluem o treinamento com dados da API. | A Anthropic apaga automaticamente as entradas e saídas da API em até 30 dias. Ainda não assinamos um adendo de retenção zero de dados, e dizemos isso com clareza. Transferência: CCP. |
| GoogleAPI do Gmail, login e texto-para-fala do Cloud · EUA | O seu Gmail, pelo escopo somente leitura que você concede. O serviço de texto-para-fala recebe a transcrição do resumo para gerar o áudio. | Não. A política das APIs do Workspace do Google obriga o Voix a nunca treinar um modelo com os seus dados do Gmail, e o que enviamos é processado apenas para prestar o serviço. | Processamento transitório. Transferência: CCP. |
| VercelHospedagem da aplicação e logs do servidor · EUA | O tráfego das requisições e os logs do servidor. Não a sua caixa de entrada. | Não. | Retenção padrão de logs. Transferência: CCP. |
| ClerkLogin · EUA | O seu nome, o seu e-mail e a sua sessão de login. | Não. | Até você apagar a conta. Transferência: CCP. |
| PostHogAnálise de produto e monitoramento de erros · UE, Frankfurt | Só eventos de uso anônimos. Sem cookies, desligado até você aceitar o banner, nunca conteúdo de e-mail, gravação de sessão desativada. | Não. | Residente na UE. |
| StripePagamentos · EUA/UE | Os dados do seu cartão vão direto para a Stripe. O Voix nunca vê o número do cartão. | Não. | Conforme os termos da Stripe. Transferência: CCP. |
Só se você usar o recurso: Resend (e-mail matinal), Microsoft (se você conectar o Outlook), Slack (se você conectar o Slack), Twilio e Vapi (chamadas privadas, ainda não ativas), Meta (caixas de entrada empresariais do WhatsApp e do Instagram, ainda não ativas), Modal e ElevenLabs (síntese da voz assinatura e avaliação de voz, ainda não ativas). As mesmas regras: sem treinamento, o mínimo de dados necessário.
Apagar e exportar são autoatendimento (art. 17 e 20 do GDPR): apagar a sua conta revoga as permissões do Google e do Slack no próprio provedor e depois remove cada linha.
Dúvidas sobre os seus dados?
Vamos responder com clareza.