Anexo de tratamento de dados

Este anexo integra os termos de uso e vale para toda organização que assina o FrontDesk 4U. Ele descreve, para efeito da Lei 13.709/2018, como tratamos os dados pessoais que passam pelo sistema a mando de quem contrata.

1. Papéis

• Controlador: a organização que assina. É ela quem decide atender por WhatsApp, quais campos criar, o que perguntar e por quanto tempo guardar.
• Operador: Bruno Vilela Magalhaes Tecnologia da Informacao LTDA, CNPJ 68.048.192/0001-40. Tratamos os dados apenas para prestar o serviço.
• Encarregado do operador: Bruno Vilela Magalhães, pelo [email protected].
• Para os dados de cadastro e cobrança de quem assina, somos controladores, e isso está na política de privacidade.

2. Objeto, finalidade e duração

Tratamos os dados para receber, organizar e responder o atendimento da organização, agendar horário, enviar lembrete e produzir os relatórios do próprio painel dela e, a pedido dela, somar o uso dos arquivos para ampliar o espaço. Nada além disso. O tratamento dura enquanto durar o contrato, mais os prazos do item 11.

3. Instruções do controlador

• Só tratamos conforme instrução do controlador, que é o próprio uso do produto e o pedido escrito.
• Nenhum dado de atendimento alimenta treinamento de modelo, estudo de mercado ou produto nosso.
• Ligar a assistente de IA é instrução do controlador, dada no próprio painel: enquanto ligada, o conteúdo da conversa vai ao provedor do modelo escolhido, apenas para gerar a resposta, e a nota de voz vai à OpenAI, apenas para ser transcrita, salvo se o controlador desligar a transcrição.
• Se uma instrução parecer ilegal, avisamos por escrito e não executamos até ela ser revista.
• Acesso da nossa equipe ao conteúdo só acontece para resolver falha, e fica registrado.

4. Confidencialidade

Quem tem acesso técnico está sob dever de sigilo, que sobrevive ao fim do contrato. O acesso é dado pelo mínimo necessário e retirado quando deixa de ser preciso.

5. Acesso do suporte

O suporte não entra na organização do controlador por conta própria. Quem administra libera o acesso quando quer ajuda, pelo prazo que escolher, escolhe o alcance, e encerra quando quiser.

• O alcance padrão é de leitura: o suporte lê a configuração da organização. Marcando a permissão de escrita, ele também conserta fluxo, modelo, campo, catálogo, etiqueta, horário de atendimento, canal, delegação e regra de lembrete.
• Nos dois alcances, o suporte não abre conversa, mensagem, anexo, ficha de contato nem agenda, e não mexe em usuário, grupo de permissão, assinatura nem dados da organização.
• Fora desse acesso, quem administra a Tech 4 U faz três ações na assinatura do controlador, cada uma com registro na auditoria dele: confirma a empresa pelo Pix que ela manda, ou desfaz a confirmação; libera as compras suspensas por aviso de fraude ou contestação; e amplia, a pedido, o espaço dos arquivos, que pode depois voltar ao do plano ou a um valor menor, sem apagar arquivo. Para analisar o espaço, vê só somas: quanto os arquivos ocupam, por tipo e por origem, quantos contatos têm arquivo e o tamanho do maior, sem abrir nenhum arquivo e sem nome, telefone ou conversa.
• O chamado aberto pelo Relatar problema do painel, e a conversa dele, não dependem desse acesso. A equipe da Tech 4 U lê os dois na caixa de entrada dela, só em texto. Eles ficam guardados enquanto a organização existir e são apagados junto com ela. Fora do horário de atendimento, a assistente de IA da Tech 4 U pode responder o chamado, e o texto dele vai ao provedor do modelo que ela usa, só para gerar a resposta. Não pedimos dados de clientes nem outros dados sensíveis. Se você incluir algum, a decisão é sua: não controlamos o que é enviado, mas não pedimos nem usamos esse tipo de dado.
• O aviso por e-mail aos administradores diz qual alcance foi liberado.
• Cada liberação e cada encerramento entram no registro de auditoria do controlador, e os administradores recebem aviso por e-mail.
• O acesso vence sozinho no prazo escolhido, e no máximo em 72 horas.
• Quem atende entra com identidade própria. O operador nunca pede a senha de quem usa o sistema.
• Fora disso, o acesso a dado do controlador só acontece para manter o serviço de pé, pelo mínimo necessário, com registro.

6. Medidas de segurança

• Conexão cifrada em todo acesso ao painel e à interface de programação.
• Senha guardada com algoritmo de hash próprio para senha, nunca em texto puro.
• Credencial de terceiro guardada cifrada, e nunca devolvida pela interface.
• Separação entre organizações garantida por filtro obrigatório em toda consulta ao banco.
• Acesso por papel e permissão, com cada pessoa vendo apenas a fila que lhe cabe.
• Registro de auditoria das ações sensíveis, com autor, data e alvo.
• Cópia de segurança na DigitalOcean, incluída em todo plano e guardada por 7 dias, do banco de dados, dos anexos e das conexões dos canais pelo QR code; perda máxima de minutos no banco, volta em até 8 horas úteis depois de sabermos da falha e restauração ensaiada a cada 6 meses.
• Prazo de retenção de anexo, inclusive do áudio da nota de voz, configurável pela própria organização.
• Os modelos prontos de lembrete, confirmação e cancelamento que vão ao titular levam só o nome dele, o dia, a hora, o profissional e o nome, o endereço e o telefone da organização, nunca o serviço, a especialidade ou o procedimento. O aviso ao profissional leva o serviço. Modelo escrito pelo controlador leva o que ele escrever.

7. Suboperadores

O controlador autoriza os suboperadores abaixo. Mudança na lista é avisada por e-mail com 30 dias de antecedência, e o controlador pode se opor por escrito — nesse caso, pode encerrar o contrato sem multa.

Os dois provedores de IA só recebem dado enquanto o controlador mantém a assistente ligada, e só aquele cujo modelo ele escolheu, exceto a OpenAI, que recebe a nota de voz para transcrição qualquer que seja o modelo. Desligada a assistente, nenhum deles recebe nada. A outra exceção é o chamado do suporte, do item 5: fora do horário de atendimento da Tech 4 U, o texto dele vai ao provedor do modelo que a assistente da Tech 4 U usa, esteja a assistente do controlador ligada ou não.

Nenhum provedor de IA recebe arquivo para gerar resposta: à assistente só vai texto. Foto, documento, vídeo e qualquer outro anexo enviado pelo titular ficam na infraestrutura do operador, cifrados, e a conversa vai direto para uma pessoa da organização, sem assistente e sem fluxo automático. A nota de voz vai à OpenAI só para ser transcrita; a assistente e os fluxos recebem apenas o texto.

A OpenAI guarda o texto que a assistente manda por até 30 dias, só para detectar abuso, e depois apaga; a nota de voz, ela transcreve e não guarda. O Google, no Gemini pago, que é o que usamos, guarda o que recebe por até 55 dias, só para detectar abuso. Nenhum dos dois usa esse conteúdo para treinar modelo.

A tabela diz, de cada suboperador, para quê, onde e a base da transferência para fora do Brasil, pelas regras da Agência Nacional de Proteção de Dados (ANPD); o item 8 explica cada base.

8. Transferência internacional

Parte da infraestrutura fica fora do Brasil, nos países da tabela do item 7. A transferência é contínua, pela internet e com conexão cifrada, enquanto durar o contrato e os prazos do item 11, e cada fornecedor recebe só o que a tarefa dele pede. A base de cada transferência está na última coluna da tabela:

• Cláusulas-padrão da Agência Nacional de Proteção de Dados (ANPD), da Resolução CD/ANPD nº 19/2024, adotadas na íntegra pelo próprio fornecedor: Google, no Gemini; Stripe, nos Estados Unidos; e Meta, na API oficial, no contrato que o controlador aceita com o WhatsApp. O texto delas está nos sites da Google, da Stripe e do WhatsApp.
• Adequação da União Europeia, reconhecida pela ANPD na Resolução CD/ANPD nº 32/2026: a parte da Stripe na Irlanda.
• Acordo de tratamento de dados do próprio fornecedor, que não adota as cláusulas-padrão da ANPD: DigitalOcean, Amazon Web Services, Cloudflare e OpenAI.
• Termos do WhatsApp que o controlador aceitou no aplicativo do número, no canal pelo WhatsApp Web.
• Informar a transferência aos titulares cabe ao controlador. A tabela do item 7 traz o país, a finalidade e a base de cada fornecedor, e o item 6 da política de privacidade remete a ela.

9. Direitos dos titulares

• Quem responde ao titular é o controlador, porque é ele quem tem a relação com a pessoa.
• Pedido que chegue a nós é repassado ao controlador em até dois dias úteis, sem resposta nossa.
• O produto já entrega os meios: exportar o nome, o telefone e o e-mail dos contatos, corrigir a ficha e apagar o histórico do contato.
• Se o controlador precisar de ajuda técnica para atender um pedido, ajudamos sem cobrar.

10. Incidente de segurança

• Incidente de segurança que atinja dados pessoais tratados para o controlador é avisado a ele em até 48 horas depois de tomarmos conhecimento, por e-mail ao dono e aos administradores da organização.
• O aviso traz o que o controlador precisa para comunicar à Agência Nacional de Proteção de Dados (ANPD): a descrição do incidente e a causa, quando conhecida; a natureza e a categoria dos dados atingidos; quantos titulares foram atingidos e quantos têm dados nas atividades atingidas; a data do incidente e a do nosso conhecimento; as medidas de segurança de antes e de depois; os riscos e os possíveis impactos aos titulares; o que já fizemos e o que vamos fazer; e a nossa identificação como operador. O que ainda não soubermos em 48 horas segue em complemento, assim que apurado.
• Quem decide comunicar, e comunica, à ANPD e aos titulares é o controlador, com o nosso apoio técnico.
• Todo incidente, avisado ou não, entra no nosso registro de incidentes, guardado por cinco anos.

11. Fim do contrato, devolução e exclusão

• Durante o contrato, o controlador exporta pelo próprio painel, quando quiser, o nome, o telefone e o e-mail dos contatos e o catálogo.
• Sem plano, seja porque o período pago acabou sem renovar, a assinatura foi encerrada por falta de pagamento ou a pedido, o teste grátis terminou sem assinatura ou a organização foi criada sem teste e nunca assinou, a organização fica em somente leitura: consulta e exporta até o 83º dia. No 60º dia, avisamos por e-mail a data da exclusão. Do 83º ao 90º dia, ela fica fora do ar, com tudo guardado, e quem a administrava pode restaurá-la para exportar; sem isso, no 90º dia, o conteúdo é apagado.
• Os registros de acesso ao painel ficam 6 meses, e o registro do servidor até 6 meses, também depois do fim do contrato: a Tech 4 U os guarda por obrigação própria, como manda o Marco Civil da Internet, e depois os apaga.
• Se o controlador pede a exclusão com um período pago em curso, tudo funciona até o fim dele, inclusive exportar. Depois, a organização fica sete dias fora do ar, com tudo guardado, e quem a administrava pode restaurá-la para exportar; sem isso, passados os sete dias, o conteúdo é apagado.
• Se o controlador pede a exclusão sem período pago, a organização sai do ar na hora e fica sete dias com tudo guardado: nesse prazo, quem a administrava pode restaurá-la e exportar; sem isso, passados os sete dias, o conteúdo é apagado.
• A organização que ocupa o CNPJ de outra empresa, que prova pelo Pix da conta dela que o CNPJ é seu, é apagada na hora, sem os sete dias (termos, §3).
• A tela de excluir lembra de exportar antes. Quem administra pode apagar de vez antes do fim dos sete dias, pelo painel; com um período pago em curso, apagar antes do fim dele se pede por escrito.
• Cópia de segurança expira pelo ciclo normal de retenção, em até 30 dias.
• O que guardamos como controladores depois disso está no item 7 da política de privacidade.

12. Prestação de contas

Uma vez por ano, ou quando houver mudança relevante, respondemos por escrito o questionário de segurança do controlador. Auditoria presencial é possível, combinada com 30 dias de antecedência, em horário comercial, sem acesso a dado de outra organização, e com o custo por conta de quem pede.

13. Responsabilidade

Cada parte responde pelo que decide e pelo que faz, nos termos dos artigos 42 a 45 da LGPD. Respondemos pelos danos causados por descumprimento nosso deste anexo ou por instrução do controlador que tenhamos executado fora do combinado.

14. Vigência

Este anexo vale enquanto durar o contrato principal e, no que trata de sigilo e exclusão, sobrevive a ele. Mudança relevante é avisada por e-mail com 30 dias de antecedência.