Esta política explica como a Assistente Labs (CNPJ 41.222.918/0001-07) trata dados pessoais no Assistente — plataforma de atendimento por WhatsApp com inteligência artificial, agenda e mensagens programadas —, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD).
1. Os dois papéis que exercemos
- Controladora — para os dados das pessoas que criam conta e usam o painel (nome, e-mail, senha, papéis, registros de acesso). Decidimos como esses dados são tratados.
- Operadora — para os dados dos clientes finais que conversam pelo WhatsApp do negócio que contratou o Assistente (as conversas, os contatos, os agendamentos). Nesse caso, quem decide é o negócio (a controladora); nós tratamos esses dados só para prestar o serviço, sob instrução dele.
2. Quais dados tratamos
- Cadastro e equipe: nome, e-mail e senha (guardada apenas como hash, nunca em texto claro) das pessoas que usam o painel; papéis e permissões; convites.
- Conversas do WhatsApp: as mensagens trocadas entre os clientes finais e o número do negócio — texto e mídia. Elas podem conter dados sensíveis (numa clínica, por exemplo, uma conversa pode revelar dado de saúde), e por isso recebem o tratamento mais restrito da plataforma: o corpo das mensagens nunca aparece em registros técnicos (logs).
- Contatos e agenda: nome, telefone, ficha, etiquetas, documentos e agendamentos dos clientes finais.
- Base de conhecimento: os documentos e textos que o negócio cadastra para a assistente responder (tabelas de preço, regras, catálogos).
- Registros técnicos e de auditoria: ações sensíveis feitas no painel (quem fez, o quê e quando — registro imutável), identificadores de rastreio e logs de funcionamento, sem conteúdo de mensagem.
3. Para que usamos
- Prestar o serviço: receber e responder mensagens, organizar filas, agendar;
- Gerar as respostas da assistente com IA (ver seção 4) e os lembretes de horário;
- Manter a conta segura: autenticação, permissões, auditoria e rastreio de falhas;
- Cumprir obrigações legais e responder a autoridades quando exigido.
Não vendemos dados pessoais e não usamos as conversas para publicidade. Hoje o site e o painel não usam cookies de rastreamento nem ferramentas de análise de terceiros; a sessão de login usa armazenamento local do navegador.
4. Inteligência artificial
Para responder um cliente, enviamos ao provedor de IA apenas o necessário daquela conversa: as mensagens recentes e os trechos relevantes da base de conhecimento do negócio. O provedor processa esse material para gerar a resposta (e os vetores de busca da base) e está obrigado por contrato a não usá-lo para treinar modelos próprios. A execução de cada resposta fica registrada para supervisão do negócio.
5. Com quem compartilhamos (subprocessadores)
| Quem | Para quê |
|---|---|
| Meta Platforms (WhatsApp Business Platform) | Envio e recebimento das mensagens de WhatsApp. |
| OpenAI | Geração das respostas da assistente e dos vetores de busca da base de conhecimento. |
| Amazon Web Services (AWS) | Hospedagem da plataforma, banco de dados e armazenamento de arquivos. |
Alguns desses fornecedores processam dados fora do Brasil; a transferência internacional segue os mecanismos previstos na LGPD (art. 33). Mudanças nesta lista serão publicadas aqui.
6. Por quanto tempo guardamos
Prazos de expurgo automático já em vigor na plataforma:
| Dado | Prazo |
|---|---|
| Payload bruto recebido do WhatsApp (a cópia crua da mensagem, usada para investigar falhas de entrega) | 30 dias |
| Registros internos de processamento de eventos | 7 a 30 dias |
| Sessões encerradas e tokens de e-mail usados ou expirados | 7 dias |
| Chaves técnicas de idempotência | 24 horas |
As conversas, os contatos e a base de conhecimento ficam guardados enquanto a conta do negócio existir, porque são o histórico de atendimento dele. A retenção configurável por conta e a exclusão em um clique estão no plano do produto e ainda não foram lançadas; até lá, pedidos de exclusão são atendidos pelos canais da seção 9.
7. Lembretes e opt-out
A assistente envia lembretes de horário pelo WhatsApp. O cliente final pode pedir, na própria conversa, para não receber mais lembretes — o pedido é registrado com data e autoria (auditoria) e passa a valer imediatamente: nenhum lembrete novo é programado e os já programados deixam de ser enviados. O pedido vale até a própria pessoa desfazer.
8. Como protegemos
- Isolamento por conta: cada acesso ao banco é restrito à conta dona do dado;
- Senhas e tokens guardados apenas como hash;
- Permissões por papel, com registro imutável das ações sensíveis;
- Corpo de mensagem de cliente nunca vai para logs;
- Tráfego cifrado (TLS). A criptografia adicional em repouso está em implantação e será refletida aqui quando concluída.
9. Seus direitos (art. 18 da LGPD)
Qualquer titular pode pedir: confirmação de tratamento, acesso, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamentos e revogação de consentimento. Se você é cliente final de um negócio que usa o Assistente, o pedido deve ser feito ao negócio (a controladora dos seus dados) — e nós daremos a ele todo o suporte para atender. Pedidos diretos: [canal do encarregado (DPO) a definir na revisão jurídica]. Respondemos nos prazos da LGPD.
10. Alterações
Esta política pode mudar quando o produto mudar. A versão vigente fica sempre nesta página, com a data de atualização no topo; mudanças relevantes serão avisadas dentro da conta. Veja também os Termos de uso.