Política de Privacidade e Proteção de Dados
Versão 1.2, vigente desde 14/09/2026. Elaborada conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018) e o Marco Civil da Internet (Lei 12.965/2014).
Esta Política explica como [RAZÃO SOCIAL DA EMPRESA LTDA] (“Alô, flow!”, “nós”), CNPJ [00.000.000/0001-00], trata dados pessoais na plataforma Alô, flow!. Ela vale para três grupos de pessoas: (a) Usuários do painel, que são as pessoas das empresas clientes que acessam o sistema; (b) Consumidores finais, que conversam com a atendente virtual pelo WhatsApp da empresa cliente; e (c) visitantes do site.
1. Quem é controlador e quem é operador
- Dados dos Usuários do painel e dos visitantes: Alô, flow! é a controladora.
- Dados dos Consumidores finais: a empresa cliente é a controladora (é ela que decide atender seus consumidores pelo WhatsApp e com qual finalidade) e Alô, flow! é a operadora, tratando os dados por conta da cliente, conforme os Termos de Uso. Pedidos de titulares sobre essas conversas devem ser dirigidos à empresa cliente; nós a apoiamos no atendimento.
2. Quais dados tratamos e por quê
| Quem | Dados | Finalidade | Base legal (art. 7º da LGPD) |
|---|---|---|---|
| Usuário do painel | Nome, e-mail, papel na equipe, data e hora dos acessos, endereço IP e dados técnicos do navegador | Autenticação por link de acesso, controle de permissões, segurança e registros de acesso exigidos por lei | Execução de contrato (V); cumprimento de obrigação legal (II, Marco Civil art. 15); legítimo interesse em segurança (IX) |
| Consumidor final | Número de WhatsApp, nome de perfil, conteúdo das mensagens, transcrição de áudios, descrição de imagens recebidas, compromissos (nome, data, horário, pessoas, serviço/quarto), o que a pessoa procura quando o atendimento qualifica interessados (por exemplo, tipo de imóvel, região e faixa de valor), etiquetas e memória de atendimento (preferências e combinados) | Prestar o atendimento em nome da empresa cliente, agendar/reservar, encaminhar o contato a quem vai atendê-lo (por exemplo, o corretor da vez), avisar a equipe, medir o funil de atendimento | Definida pela empresa cliente como controladora; em regra, execução de contrato ou procedimentos preliminares a pedido do titular (V) e legítimo interesse (IX) |
| Equipe da empresa cliente (números autorizados) | Nome e telefone | Avisar quem a cliente escolheu quando a atendente virtual precisa de uma pessoa ou lhe encaminha um contato, com o resumo da conversa | Execução de contrato (V) |
| Visitante do site | Dados técnicos de acesso (IP, navegador), sem cookies de rastreamento | Entrega das páginas e segurança | Legítimo interesse (IX); obrigação legal (II) |
Áudios e imagens: os áudios enviados por consumidores são transcritos em texto por serviço de inteligência artificial e o arquivo de áudio não é armazenado por nós. Imagens recebidas não são armazenadas; a conversa registra apenas que uma imagem foi enviada e sua legenda. Fotos e áudios que a empresa cliente cadastra sobre o próprio negócio (quartos, pratos) ficam armazenados para envio aos consumidores.
Dados sensíveis: a plataforma não foi desenhada para coletar dados sensíveis (art. 5º, II). Em clínicas, o consumidor pode espontaneamente mencionar informação de saúde ao agendar. A empresa cliente, como controladora, deve ter base legal para isso (por exemplo, tutela da saúde, art. 11, II, “f”) e nós tratamos esse conteúdo apenas para executar o atendimento, com as medidas de segurança desta Política.
3. Inteligência artificial
- As respostas da atendente virtual são geradas por modelo de linguagem da Google (Gemini), acessado pela API para empresas. Enviamos ao modelo o conteúdo necessário para responder: as orientações da empresa cliente, o histórico da conversa em curso e, quando existir, a memória de atendimento daquele contato. Não enviamos dados de outros clientes nem de outras conversas.
- Conforme os termos da API paga da Google, os dados enviados não são usados para treinar os modelos da Google. Não treinamos modelos próprios com dados de clientes ou consumidores.
- A atendente se identifica como virtual sempre que perguntada. Decisões que afetem direitos (por exemplo, confirmar um agendamento) só acontecem por meio de regras fixas, e a empresa cliente pode exigir confirmação humana.
- O titular pode solicitar à empresa cliente a revisão por uma pessoa de qualquer decisão tomada com base no atendimento automatizado (art. 20 da LGPD).
4. Com quem compartilhamos (operadores e suboperadores)
| Provedor | Para quê | Onde os dados ficam |
|---|---|---|
| Supabase | Banco de dados, autenticação por e-mail e armazenamento de mídias cadastradas | Região São Paulo (AWS sa-east-1), Brasil |
| Vercel | Hospedagem da aplicação, processamento das requisições e registros técnicos | Estados Unidos e rede global de borda (transferência internacional, art. 33, com cláusulas contratuais do provedor) |
| Google (Gemini API) | Geração das respostas e transcrição de áudios | Estados Unidos e outros países onde a Google opera (transferência internacional, art. 33) |
| Meta Platforms (WhatsApp) | Canal de mensagens escolhido pelo consumidor e pela empresa cliente | Conforme a política de privacidade do WhatsApp |
| Infraestrutura própria de integração com o WhatsApp | Receber e enviar as mensagens do número da empresa cliente | Servidor contratado por Alô, flow! |
| Intermediário de pagamento | Cobrança das assinaturas das empresas clientes (dados de faturamento da empresa, não dos consumidores) | Brasil |
Não vendemos dados pessoais. Não compartilhamos dados de consumidores com anunciantes. Podemos compartilhar dados com autoridades quando houver obrigação legal ou ordem judicial.
5. Por quanto tempo guardamos
- Conversas, contatos, compromissos e memória de atendimento: enquanto durar o contrato com a empresa cliente, ou até a empresa cliente apagar (a memória de cada contato pode ser apagada no painel). Após o encerramento do contrato, 30 dias para exportação e depois exclusão ou anonimização.
- Rastro técnico das respostas da IA (registros de cada turno e versões de instruções): apagado automaticamente após o prazo de retenção configurado pela empresa cliente, por padrão 90 dias.
- Registros de acesso ao painel (data, hora, IP): 6 meses, conforme o art. 15 do Marco Civil da Internet.
- Dados de faturamento: pelo prazo exigido pela legislação fiscal.
6. Segurança
- Isolamento por empresa cliente em toda leitura e escrita: nenhuma conversa alcança dados de outra empresa, e isso é verificado por testes automatizados a cada alteração do sistema.
- Acesso ao painel apenas por link de e-mail ou conta Google; não armazenamos senhas.
- Comunicação criptografada (HTTPS) em todas as páginas e integrações; mídias em armazenamento privado com links temporários.
- Chaves e credenciais guardadas apenas no servidor, fora do código e do navegador.
- Acesso da nossa equipe restrito por papel e registrado.
- Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos a empresa cliente e, quando cabível, a Autoridade Nacional de Proteção de Dados (ANPD), no prazo previsto na regulamentação vigente.
7. Seus direitos (art. 18 da LGPD)
Você pode pedir, a qualquer momento:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- portabilidade, informação sobre compartilhamentos e sobre a possibilidade de não consentir;
- revogação do consentimento, quando essa for a base legal;
- revisão de decisões automatizadas.
Usuários do painel e visitantes: escrevam para privacidade@[seudominio].com.br. Consumidores finais: dirijam-se à empresa que os atendeu pelo WhatsApp (a controladora); se preferirem, escrevam para nós e encaminharemos à empresa cliente. Respondemos em até 15 dias. Você também pode reclamar à ANPD.
8. Crianças e adolescentes
A plataforma é destinada a empresas e ao atendimento de pessoas adultas. Não direcionamos o serviço a crianças. Se uma empresa cliente atender menores (por exemplo, agendamento feito por responsável), ela deve observar o art. 14 da LGPD.
9. Cookies
Usamos apenas cookies estritamente necessários para manter a sessão do painel. Detalhes na Política de Cookies.
10. Encarregado (DPO) e contato
Encarregado pelo tratamento de dados pessoais: privacidade@[seudominio].com.br. Endereço postal: [Endereço completo, Cidade/UF, CEP].
11. Alterações
Podemos atualizar esta Política. A versão vigente fica sempre nesta página, com data. Mudanças relevantes serão avisadas às empresas clientes por e-mail ou no painel.