Este documento diz por quanto tempo a UDISOFTBOX CONSULTORIA E TECNOLOGIA LTDA ("INGESTIA") guarda cada registro que cria ao operar a plataforma ingestia.io, por que guarda e com que base legal — e o que acontece quando o prazo vence. Integra a Política de Privacidade.
As tabelas da seção 2 não são descritivas: elas são a mesma lista que o programa de expurgo lê para apagar. Prazo publicado aqui e prazo executado pelo sistema são, por construção, o mesmo valor.
1. Os dois lados da linha
A INGESTIA trata dois conjuntos de dados muito diferentes, e a retenção funciona de maneira oposta em cada um:
| Quem decide o prazo | Onde está descrito | |
|---|---|---|
| Dados de negócio do Cliente (o que ele carrega, transforma e analisa) | O Cliente. A INGESTIA é operadora; o prazo é instrução do controlador | Acordo de Tratamento de Dados (DPA) e as configurações do próprio ambiente |
| Registros operacionais da Plataforma (auditoria, execuções, entregas, alertas, telemetria do site) | A INGESTIA, pelas tabelas abaixo | Este documento |
A INGESTIA não apaga por conta própria o dado de negócio dentro do ambiente de um cliente ativo. Fazer isso seria decidir, no lugar do controlador, o fim de um tratamento que não é nosso.
2. Prazos dos registros operacionais
2.1 Registros de auditoria, entrega e aquisição
| Registro | Prazo | Para quê | Base legal |
|---|---|---|---|
| Trilha de auditoria (quem fez o quê, com o SQL e o custo da execução) | 730 dias | Investigação de incidente e prestação de contas | Obrigação legal/registro das operações (art. 7º, II e art. 37) e legítimo interesse (art. 7º, IX) |
| Execução de relatório enviado (o número que foi à página) | 365 dias | Comprovação do que foi entregue ao Cliente | Legítimo interesse e exercício regular de direitos (art. 7º, IX e art. 10) |
| Execução de painel (fotografia materializada e custo) | 90 dias | Cache operacional e histórico de atualização | Legítimo interesse (art. 7º, IX) |
| Recibo de entrega (e-mail, WhatsApp, webhook) | 180 dias | Comprovação e rastreio do envio | Legítimo interesse (art. 7º, IX) |
| Disparo de alerta | 180 dias | Histórico de o que disparou, quando e para quem | Legítimo interesse (art. 7º, IX) |
| Contato de interesse comercial sem conversão | 730 dias | Prospecção; vencido o prazo sem contratação, sai por minimização | Consentimento e/ou legítimo interesse (art. 7º, I e IX), com minimização (art. 6º, III) |
| Evento de funil do visitante do site | 365 dias | Medir o que funciona na divulgação ao longo de um ciclo anual | Legítimo interesse (art. 7º, IX), com minimização (art. 6º, III) |
| Engajamento por página do visitante (tempo ativo, rolagem, cliques) | 180 dias | Diagnosticar a jornada e corrigir a página | Legítimo interesse (art. 7º, IX), com minimização (art. 6º, III) |
Os dois últimos dizem respeito a quem apenas visitou o site e nunca se tornou cliente. Eles estão aqui com prazo porque coletar comportamento de visitante sem prazo de descarte é o oposto de minimização. O que se coleta está descrito no Aviso de Privacidade do Site.
2.2 Registros da Ingestia Academy
| Registro | Prazo | Para quê | Base legal |
|---|---|---|---|
| Tentativa de exame de certificação (formulário sorteado, respostas, nota por domínio) | 730 dias | Sustentar a credencial emitida durante a validade de 24 meses, o recurso do candidato e a apuração de fraude | Execução de serviço solicitado e exercício regular de direitos (art. 7º, V e VI); legítimo interesse — integridade da certificação (art. 7º, IX) |
| Tentativa de quiz de aula (respostas e nota) | 730 dias | Progresso e melhor resultado por aula enquanto a credencial é válida | Execução de serviço solicitado (art. 7º, V); legítimo interesse (art. 7º, IX), com minimização (art. 6º, III) |
| Telemetria da Academy (exame iniciado/enviado, credencial emitida/verificada, limite de taxa) | 365 dias | Diagnóstico e prevenção à fraude | Legítimo interesse (art. 7º, IX) |
A tentativa de exame conta o prazo a partir do envio; a tentativa que expirou sem ser enviada conta a partir do início. Sem isso, a prova abandonada ficaria para sempre — justamente a que não tem valor nenhum guardar.
2.3 Registros de execução: duas datas, e por quê
Execução de pipeline, de agente, de fluxo, de consulta e de esteira de publicação deixa dois tipos de registro na mesma linha: um resumo (status, duração, custo, volume) e um detalhe (o log da execução, o SQL executado, a saída de cada etapa). Eles não têm o mesmo valor com o tempo: o log perde utilidade em semanas, enquanto o resumo é o que explica a fatura e o histórico de um ano.
Por isso a retenção aqui tem dois prazos: o detalhe é esvaziado primeiro e, depois, a linha inteira é apagada. É minimização aplicada dentro do registro, e não só a ele.
| Registro | Detalhe esvaziado em | Linha apagada em | Base legal |
|---|---|---|---|
| Execução de pipeline (status, volume trazido, custo · log da execução) | 90 dias | 365 dias | Execução de contrato e cobrança (art. 7º, V); legítimo interesse (art. 7º, IX), com minimização (art. 6º, III) |
| Tarefa de uma execução de pipeline (log e SQL da tentativa) | 30 dias | 90 dias | Legítimo interesse (art. 7º, IX), com minimização (art. 6º, III) |
| Execução de agente (custo e proveniência · passos e configuração usada) | 90 dias | 365 dias | Execução de serviço solicitado e cobrança (art. 7º, V); legítimo interesse (art. 7º, IX) |
| Execução de fluxo (status e custo · dados que dispararam) | 90 dias | 365 dias | Execução de serviço solicitado e cobrança (art. 7º, V); legítimo interesse (art. 7º, IX) |
| Caixa de um fluxo em uma execução (entrada e saída da caixa) | 30 dias | 90 dias | Legítimo interesse (art. 7º, IX), com minimização (art. 6º, III) |
| Execução de consulta (bytes e custo · texto do SQL) | 90 dias | 365 dias | Execução de contrato e cobrança (art. 7º, V); legítimo interesse (art. 7º, IX) |
| Turno de conversa do Assistente de Ajuda (pergunta e resposta · fontes citadas) | 90 dias | 365 dias | Execução de serviço solicitado (art. 7º, V); legítimo interesse — suporte (art. 7º, IX) |
| Passagem pela esteira de publicação (o que foi enviado e o resultado · estado anterior do ambiente) | 90 dias | 365 dias | Legítimo interesse — registro de mudança (art. 7º, IX), com minimização (art. 6º, III) |
| Etapa de uma passagem pela esteira (log da etapa) | 90 dias | 180 dias | Legítimo interesse (art. 7º, IX), com minimização (art. 6º, III) |
| Sessão de cluster de processamento (horas e custo · bibliotecas instaladas) | 90 dias | 365 dias | Execução de contrato e cobrança (art. 7º, V); legítimo interesse (art. 7º, IX) |
| Lançamento da conta pré-paga (recarga e cobrança, com o saldo resultante) | — | 1.825 dias (5 anos) | Obrigação legal e fiscal (art. 7º, II; CTN art. 173 e 174) e exercício regular de direitos (art. 7º, VI e art. 10) |
O último é o prazo mais longo de toda esta política, e é deliberado: o lançamento da conta pré-paga é extrato financeiro, não registro operacional. É a prova do que o Cliente pagou e do que foi debitado, para os dois lados. Apagá-lo no prazo de um log destruiria a defesa do Cliente numa contestação de cobrança — e a nossa. Ele também não tem "detalhe a esvaziar": a linha é pequena e inteira necessária.
O detalhe de execução é apagado antes do resumo a que pertence — nunca o contrário. Resumo sem detalhe é um histórico mais pobre; detalhe sem resumo seria um registro órfão, que não se consegue explicar nem a quem perguntar.
3. Como o prazo é executado
- O expurgo roda automaticamente, uma vez por dia.
- Ele conta o prazo a partir de uma data definida por registro — criação, enfileiramento, disparo, início, fim ou última atualização, conforme a natureza de cada um — e apaga o que está além dela. Quando a data principal de um registro pode estar vazia (uma prova nunca enviada, uma etapa que nunca começou), o prazo conta a partir da data alternativa declarada; registro sem nenhuma das duas não é apagado, porque sem data não há prazo vencido.
- Apaga em lotes sucessivos, até não haver mais registro vencido, com orçamento de tempo por execução. O lote limita cada passagem para não travar a base; o orçamento limita a execução. Se o orçamento terminar antes de esgotar um passivo acumulado, o restante sai na execução seguinte — e isso é registrado no resultado da execução.
- Falha é incidente, não silêncio. Se o expurgo de algum registro falhar, a execução é marcada como falha e sinalizada à operação. Expurgo que não expurga é promessa descumprida ao titular, e não pode terminar reportando sucesso.
Até 5 de outubro de 2026 os seis primeiros prazos da seção 2.1 estavam declarados internamente e não eram executados por nenhuma rotina. A publicação deste documento acompanha a entrada do expurgo automático em operação. Registramos a data porque transparência sobre o prazo inclui transparência sobre quando ele passou a ser cumprido.
Em 6 de outubro de 2026 fecharam as duas lacunas que restavam: os registros da Academy (seção 2.2) passaram a ser expurgados de fato — até então tinham prazo publicado e nenhuma rotina os executava —, e os registros de execução (seção 2.3) ganharam prazo, que antes não tinham nenhum. Na mesma data, o teto fixo de linhas por execução foi substituído pelo orçamento de tempo descrito acima: com um teto fixo, um volume diário maior que ele deixava a fila de registros vencidos crescer para sempre.
4. O que NÃO tem prazo, e por quê
A partir de 6 de outubro de 2026, todo prazo declarado nesta política é executado por rotina. Não há prazo publicado aguardando quem o execute. O que permanece sem prazo é apenas o seguinte, e por razão própria:
- Credencial de certificação da Ingestia Academy. É registro público e verificável por terceiros, e vive até eventual revogação. Na exclusão da conta ela não é apagada: é anonimizada — o nome do titular sai, a verificação continua respondendo. O oposto deixaria uma credencial órfã com o nome de quem pediu exclusão.
- Registros de conta e contratação (dados cadastrais, faturamento, contratos). Seguem os prazos legais e prescricionais aplicáveis, e não um prazo escolhido por nós.
- Dados de negócio do Cliente no ambiente dele (seção 1): o prazo é instrução do controlador, não nossa.
5. Cópias de segurança
Cópia de segurança não é cópia de uso. Quando um registro é apagado da base ativa, ele pode permanecer por um tempo em cópia de segurança até que o ciclo daquela cópia se encerre. Durante esse período a cópia é isolada, não retorna ao uso ordinário e não alimenta nenhuma funcionalidade. É o tratamento previsto no DPA.
6. Fim do contrato e exclusão pedida pelo titular
- Encerramento do contrato: o Cliente pode exportar seus dados durante a vigência e por 30 dias após o encerramento; depois, os dados ativos são eliminados em até 30 dias, conforme o DPA.
- Exclusão pedida de dentro da Plataforma: o titular com papel de proprietário pode solicitar a exclusão do ambiente e da conta pela própria tela de configurações. O pedido abre uma carência de 30 dias, e só depois dela a eliminação é executada — automaticamente, por rotina diária. Durante a carência: nada é apagado, o ambiente continua funcionando (dá para consultar e exportar), um aviso aparece em todas as telas com os dias restantes, e o pedido pode ser cancelado a qualquer momento pela mesma tela. Apenas as execuções agendadas ficam pausadas, para não consumir crédito em dados que serão apagados. A carência existe porque a eliminação é irreversível: ela é o intervalo em que um pedido feito por engano — ou por quem não devia ter acesso à conta — ainda pode ser desfeito.
- Pedido ao Encarregado: qualquer titular pode exercer os direitos do art. 18 da LGPD pelo canal de privacidade, inclusive eliminação, confirmação de tratamento e portabilidade.
7. Alteração de prazo
Mudança de prazo nestas tabelas é mudança no sistema, não só no texto: é a mesma lista. Alteração material é publicada aqui com nova data de atualização, e fica registrada no Histórico de Versões.
8. Contato
Encarregado de dados: Encarregado de Dados (DPO) — encarregado@ingestia.io · Canal: privacidade@ingestia.io