Acordo de Tratamento de Dados

1. Partes e papéis

O escritório ou a empresa que contrata o CRM ("controlador") decide por que e como os dados pessoais dos seus contatos, clientes e pessoas atendidas são tratados. A IA Escritório ("operadora") trata esses dados em nome do controlador, só para prestar o CRM. Este acordo integra os Termos de Uso do CRM e da loja, na mesma versão.

2. Instruções do controlador

As instruções do controlador são dadas pelo uso do próprio sistema (o que a equipe cadastra, importa, configura, envia e apaga) e por escrito ao e-mail de suporte. A operadora não trata os dados de outra forma e avisa o controlador se uma instrução lhe parecer contrária à LGPD.

3. O que é tratado e para quê

Nome, telefone, CPF quando informado, mensagens do WhatsApp e arquivos trocados pela linha conectada, interações das redes sociais (se a função estiver ligada), assunto, etapa, tarefas e anotações da equipe. Finalidade única: organizar e registrar o atendimento do controlador, enviar as mensagens e campanhas que ele comandar e guardar o histórico. A operadora não usa esses dados para finalidade própria, não os vende e não os usa para treinar modelos de inteligência artificial.

4. Deveres do controlador

• Ter base legal para cada contato que inserir, importar ou contatar, em especial nas campanhas (relação prévia ou consentimento registrado), e responder por ela.
• Informar às pessoas atendidas como os dados delas são tratados e atender os pedidos dos titulares (acesso, correção, exclusão, oposição), com as ferramentas do sistema.
• Inserir só os dados necessários ao atendimento e controlar quem da equipe tem acesso a cada setor.

5. Deveres da operadora

• Tratar os dados só conforme este acordo e as instruções do controlador.
• Manter os dados de cada contratante separados dos demais e guardar sigilo, exigindo o mesmo de quem tem acesso (a equipe técnica só acessa dados de contratante para suporte pedido por ele, segurança ou ordem legal).
• Aplicar medidas de segurança: tráfego cifrado, senhas com hash, verificação em duas etapas, conteúdo das conversas e credenciais cifrados em repouso, registro das ações administrativas e cópias de segurança cifradas.
• Ajudar o controlador a responder pedidos de titulares e da Autoridade Nacional de Proteção de Dados.

6. Suboperadores

O controlador autoriza a operadora a usar fornecedores das categorias abaixo, que recebem só o necessário para a sua parte do serviço e estão sujeitos a obrigações de segurança e confidencialidade. Nova categoria é avisada por e-mail com 15 dias de antecedência; quem não concordar pode cancelar sem multa.

• Infraestrutura de hospedagem, armazenamento e rede em nuvem: hospedagem do CRM, do banco de dados, das rotinas automáticas e das cópias de segurança cifradas. Usado sempre. Pode tratar dados fora do Brasil.
• Provedores de mensageria e integração com o WhatsApp: conexão da linha do contratante e transporte das mensagens pelo WhatsApp. Usado sempre que houver linha conectada. Pode tratar dados fora do Brasil.
• Redes sociais do contratante: interações recebidas pelas interfaces oficiais das redes sociais. Usado só se a captação pelas redes sociais estiver ligada na conta. Pode tratar dados fora do Brasil.
• Serviço de envio de e-mails transacionais: envio dos e-mails do sistema (convite, senha, avisos). Usado sempre (dados da equipe do contratante, não das pessoas atendidas). Pode tratar dados fora do Brasil.
• Instituições e sistemas de processamento de pagamentos: cobrança da assinatura por cartão, Pix ou outro meio oferecido na contratação. Usado sempre que houver cobrança.
• Provedor de identidade escolhido pelo usuário: entrada no CRM com uma conta de terceiros (por exemplo, Google). Usado só para quem escolhe entrar dessa forma. Pode tratar dados fora do Brasil.
• Ferramentas de segurança e monitoramento: alertas técnicos de falha e registro de tentativas de ataque, sem o conteúdo das conversas e com identificadores em forma irreversível. Usado sempre. Pode tratar dados fora do Brasil.
• Loja da IA Escritório: contratação e cobrança da assinatura e controle do período de teste. Usado sempre.

O CONTRATANTE declara estar ciente e concorda que os fornecedores de cada categoria podem ser substituídos a qualquer tempo, mantidos padrões equivalentes de segurança e confidencialidade. A relação atualizada de categorias e fornecedores pode ser solicitada ao suporte.

7. Transferência internacional

Parte dos suboperadores trata dados fora do Brasil, só para prestar o serviço e com obrigações de segurança e confidencialidade, nos termos dos arts. 33 a 36 da LGPD.

8. Incidentes de segurança

Confirmado incidente de segurança que possa trazer risco ou dano relevante aos dados do controlador, a operadora o comunica por e-mail ao administrador da conta em até 48 horas, com o que aconteceu, os dados e titulares atingidos (no que for possível saber), as medidas tomadas e o que o controlador precisa fazer, para que ele cumpra o art. 48 da LGPD.

9. Devolução e eliminação

O controlador baixa os próprios dados em Configurações → Meus dados a qualquer momento, inclusive com a conta bloqueada e depois do cancelamento, e pode excluir a conta por lá; a exclusão apaga os dados na hora, restando só o registro de que houve a exclusão e o que a lei mandar guardar.

O controlador declara estar ciente e concorda com a eliminação após o encerramento sem exclusão. Encerrada a assinatura, os dados ficam guardados por 30 (trinta) dias, período em que o contratante pode baixar uma cópia, e depois são eliminados automaticamente, com aviso por e-mail 30 e 7 dias antes. As cópias de segurança expiram no seu próprio ciclo de retenção. Ficam ressalvados os registros que a lei manda guardar (por exemplo, fiscais, de pagamento, de aceite destes Termos e os registros de acesso exigidos pelo Marco Civil da Internet) e o necessário para a defesa em processo, pelos prazos legais.

10. Auditoria

A operadora fornece, mediante pedido por escrito e com prazo razoável, as informações necessárias para demonstrar o cumprimento deste acordo (por exemplo, descrição das medidas de segurança e registros de acesso administrativo à conta do controlador). Verificações adicionais são combinadas entre as partes, sem expor dados de outros contratantes nem a segurança do serviço.

11. Contato

Canal do encarregado e assuntos de dados pessoais: suporte@iaescritorio.com.br.