Pular para o conteúdo principal

LGPD na prática

Conformidade com a Lei Geral de Proteção de Dados não é uma página de promessas: é um conjunto de mecanismos que funcionam sozinhos, o tempo todo. Esta página lista o que a plataforma efetivamente faz — medida a medida — organizado pelas obrigações da lei.

Consentimento e transparência​

  • Aceite registrado com prova, e só a prova. O aceite dos termos de uso e da política de privacidade fica gravado com a versão aceita, a data, o endereço IP e o contexto. A prova — versão e data — sobrevive ao encerramento da conta, porque prova legal não se apaga junto (LGPD, art. 8º, §2º). O que não sobrevive é o que identifica a pessoa: no encerramento, o endereço IP e o navegador são apagados do registro. Guardamos o suficiente para provar que houve aceite, não para reconstruir quem estava do outro lado.
  • Microfone só com permissão. Antes de qualquer conversa por voz no navegador, um aviso explica o que será captado e transmitido — recusar significa que o microfone não é tocado.
  • Aviso em ligações telefônicas. Números de telefone atendidos pelo agente aceitam um aviso de consentimento falado ao atender — quem liga sabe, desde o primeiro segundo, que fala com um atendimento automatizado.

Minimização: o agente só vê o necessário​

  • Ferramentas por especialista. Cada agente acessa apenas as ferramentas declaradas na configuração dele — o que não foi dado não existe.
  • Alcance de rede restrito. Os destinos que o agente alcança na internet são limitados por lista explícita, especialista a especialista.
  • Fontes de dados em modo leitura. Bancos e APIs conectados como fonte externa são consultados em somente leitura.
  • Visitantes anônimos veem menos. No agente público, o raciocínio interno do agente e os detalhes técnicos não são transmitidos ao visitante, e cada visitante fica isolado dos demais.

Segurança do tratamento​

  • Cofre de credenciais. Senhas e chaves entram uma vez e nunca são exibidas de volta — nem no painel, nem na conversa, nem ao modelo de IA. Um dado sigiloso coletado por formulário vira uma referência opaca; o valor real não passa pelo modelo nem fica no histórico, e não aparece em nenhuma resposta de ferramenta, nem se o agente tentar exibi-lo.
  • Criptografia forte em repouso. Tokens de contas conectadas via OAuth são cifrados e amarrados à organização e ao usuário donos — dado de outra organização ou de outro usuário não abre.
  • PII protegida nos registros técnicos. Os logs de operação têm redação automática de PII: e-mail, CPF, telefone e CEP são substituídos por marcadores antes de qualquer registro. Já os rastros técnicos de diagnóstico podem conter o conteúdo das conversas — e são apagados automaticamente em 7 dias.

Isolamento e controle de acesso​

  • Compartimentação por organização. Toda requisição carrega a identidade da organização, verificada criptograficamente; requisições sem ela são rejeitadas. Conversas, arquivos, memórias e créditos de uma organização são invisíveis para as demais.
  • Papéis com limites reais. Administrador, operador, atendente e usuário têm alcances distintos — ações administrativas exigem o papel certo e são recusadas para os demais, inclusive quando o pedido vem por conversa, via Aura.
  • Sessões que expiram. Sessões de visitantes têm prazo de inatividade — visitante que se foi não permanece.

Prevenção de abuso​

  • Limites por visitante no widget e por origem na API pública, antes mesmo da autenticação.
  • Origens permitidas: o widget só carrega nos domínios que você liberou.
  • Teto de custo por conversa e limite de ligações simultâneas por organização.

Auditoria​

  • Trilha de atendimento. Cada transferência para humano registra a linha do tempo: quem assumiu, quando devolveu, quem encerrou e com qual desfecho.
  • Trilha administrativa. Operações financeiras e de conta geram registro estruturado de quem fez o quê, em qual organização — sem jamais registrar dados de pagamento.

Direitos do titular​

  • Acesso e portabilidade. A qualquer momento, sem encerrar nada, um administrador da organização pede a cópia em Gerenciar conta → Dados da organização. O pacote é montado em segundo plano e chega por e-mail ao administrador titular — o administrador ativo mais antigo da organização —, no endereço já verificado do cadastro dele: um ZIP com manifesto.json na raiz, uma pasta por serviço com JSON por superfície (para outro fornecedor conseguir importar), conversas/ em Markdown e arquivos/ com os bytes originais. O link vale 72 horas e o pacote fica no ar por 7 dias; um pedido novo gera um pacote novo e invalida o anterior — o link já enviado deixa de valer, e os bytes antigos são recolhidos pela varredura de retenção na hora seguinte. O manifesto.json também diz o que ficou de fora e por quê — em particular as credenciais (tokens de canal, segredos do cofre), que são apagadas no encerramento e nunca exportadas: um arquivo baixável com o token do bot vivo dentro seria pior que não exportar nada. A exportação é da organização, só um administrador pode pedi-la, e o link vai para o administrador titular — aqui "titular" é o administrador responsável pela conta na plataforma, não o dono dos dados no sentido da LGPD —, que nem sempre é quem pediu. Ela inclui dados de outras pessoas, não só de quem clicou: de quem foi atendido (telefone, transcrição do atendimento) e da própria equipe do cliente — as notas internas, as respostas prontas e a auditoria de quem assumiu cada atendimento. Quem repassa esse pacote a outro fornecedor está repassando isso junto.

    O que o pacote NÃO cobre. Ele reúne os dados da operação; a fatia de cobrança — e-mail do cadastro, extrato da carteira, prova de aceite dos termos — vem por um segundo botão na mesma tela, o recorte de cobrança, e não aparece no manifesto.json, porque o manifesto só contabiliza os dados da operação. É a única ausência que o manifesto não declara sozinho.

  • Eliminação de verdade. O encerramento da conta agenda a remoção automática: o histórico e o estado das conversas, a memória do agente, as habilidades autorais da organização, os arquivos que elas compartilham entre si, as credenciais de canal e do cofre, a configuração da organização (prompt base e especialistas), o e-mail do titular no cadastro de cobrança — e o login das pessoas da organização (administradores, atendentes e usuários) que só serviam a ela, porque cadastro também é dado pessoal. O apagamento só é dado por completo quando todos os dados envolvidos são removidos; o que falhar é retentado, nunca reportado como concluído. Isso vale também para o que depende de um terceiro, como um número de WhatsApp: se o provedor ainda não liberou o número, ele fica em quarentena — não recebe nem envia mensagens e não pode mais ser gerenciado — até a liberação se completar. Não há nada a fazer da sua parte.

  • Saída de um membro da equipe. Quando um administrador remove alguém, o login da pessoa é apagado (quando só servia a esta organização) e, em até cerca de 2 horas, o identificador dela é trocado por um identificador anônimo da organização (Ex-membro) em tudo o que ela fez — conversas, atendimentos, tarefas agendadas, jornadas e disparos. O perfil de atendente, as notificações no navegador e as preferências de alerta dela são apagados, e as autorizações de "Conectar sua conta" feitas por ela também. O que a plataforma não reescreve: as credenciais e sessões que a pessoa conectou (ficam na organização, e quem administra apaga ou troca as pessoais), o nome dela escrito em texto livre, os relatórios e pacotes exportados antes da remoção, o registro do aceite dos termos (sem o IP e o navegador) e os registros técnicos e as cópias de segurança anteriores, até serem descartados. O passo a passo da tela está em Membros.

  • Esquecimento seletivo. Sem encerrar nada, qualquer lembrança da memória do agente pode ser apagada individualmente, a pedido.

observação

Requisitos além do padrão — retenção específica do seu setor, relatório de impacto, acordo de tratamento de dados — são conversas que temos com prazer. Fale com a gente.