A DAG Solução Digital LTDA, inscrita no CNPJ sob o nº 38.861.097/0001-08, com sede em Chapecó/SC ("nós", "nosso"), opera o sistema IA Atendente ("Serviço"), uma plataforma de atendimento automatizado por inteligência artificial para WhatsApp e Instagram. Esta política explica quais dados pessoais tratamos, com que finalidade, com base em qual fundamento legal e quais são os seus direitos, conforme a Lei nº 13.709/2018 (LGPD).
1. Nosso papel: controlador e operador
O Serviço é contratado por empresas e profissionais ("Cliente Empresarial") para atender seus próprios clientes, pacientes ou leads. Por isso, atuamos em dois papéis distintos:
Como controlador: em relação aos dados dos representantes do Cliente Empresarial que acessam o painel (nome, e-mail, dados de acesso e de cobrança).
Como operador: em relação aos dados das pessoas atendidas pela IA (clientes finais, pacientes, leads). Nesse caso, o Cliente Empresarial é o controlador e define as finalidades do tratamento; nós apenas processamos os dados conforme as instruções dele e desta política.
Se você foi atendido pela IA de uma empresa e quer exercer seus direitos, pode nos procurar diretamente pelos canais da seção 12 - encaminharemos ao controlador quando necessário.
2. Dados pessoais que tratamos
Dados de identificação e contato: nome, número de telefone (WhatsApp), nome de usuário e identificador do Instagram, e-mail.
Conteúdo das conversas: mensagens de texto, imagens, documentos, vídeos e áudios trocados com a IA, incluindo a transcrição de mensagens de voz.
Dados de agendamento: datas, horários, tipo de serviço ou consulta, histórico de comparecimento, cancelamentos e remarcações.
Dados de agenda do Cliente Empresarial: quando o Google Calendar é conectado, acessamos os eventos dos calendários autorizados para verificar disponibilidade e criar compromissos.
Dados cadastrais e comerciais: em módulos de vendas e CRM, dados de empresas (CNPJ, endereço), registros de visitas e de acompanhamento comercial.
Dados técnicos: registros de acesso ao painel, endereço IP, data e hora das operações e logs de erro, conforme exigido pelo Marco Civil da Internet.
3. Finalidades e bases legais
Cada tratamento tem uma finalidade específica e uma base legal correspondente:
Prestar o serviço de atendimento automatizado (responder mensagens, agendar, confirmar, lembrar e remarcar) - execução de contrato e procedimentos preliminares, art. 7º, V, e legítimo interesse do controlador, art. 7º, IX.
Enviar lembretes, confirmações e comunicações operacionais - execução de contrato, art. 7º, V.
Sincronizar compromissos com o Google Calendar - consentimento do titular ao autorizar a conexão, art. 7º, I, revogável a qualquer momento.
Garantir segurança, prevenir fraudes e abusos e manter registros de acesso - cumprimento de obrigação legal, art. 7º, II, e legítimo interesse, art. 7º, IX.
Melhorar a qualidade do atendimento - legítimo interesse, art. 7º, IX, sempre com dados minimizados e sem uso do conteúdo das conversas para treinar modelos próprios de IA.
Não utilizamos dados pessoais para publicidade comportamental, nem os vendemos, alugamos ou cedemos a terceiros para fins comerciais.
4. Dados pessoais sensíveis
Parte dos Clientes Empresariais são profissionais e estabelecimentos de saúde. Nesses casos, o conteúdo das conversas pode conter dados pessoais sensíveis relativos à saúde (art. 5º, II), como o motivo de uma consulta ou informações informadas espontaneamente pelo paciente.
Esses dados são tratados exclusivamente para tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde (art. 11, II, "f"), sob a responsabilidade do Cliente Empresarial na condição de controlador.
Não utilizamos dados de saúde para qualquer finalidade comercial, de perfilamento ou de comunicação de marketing.
A IA é orientada a não solicitar informações clínicas além do necessário para o agendamento e a não divulgar dados cadastrais do paciente durante a conversa.
5. Uso de inteligência artificial
O atendimento é gerado por modelos de linguagem de terceiros. Para que a IA responda, o conteúdo das conversas é transmitido a provedores de IA, que atuam como nossos operadores:
OpenAI, L.L.C. - geração de respostas e transcrição de mensagens de áudio.
Anthropic, PBC - geração de respostas.
Google LLC - geração de respostas (Gemini) e integração com o Google Calendar.
Esses provedores tratam os dados apenas para retornar a resposta solicitada, sob obrigação contratual de confidencialidade. Utilizamos suas ofertas comerciais de API, nas quais o conteúdo enviado não é usado para treinar os modelos deles.
Você sempre pode pedir atendimento humano. Basta solicitar na conversa que um responsável do estabelecimento assume o atendimento.
6. Decisões automatizadas
O Serviço executa automaticamente ações como sugerir horários, criar, confirmar e cancelar agendamentos, e classificar o interesse de um contato. Nos termos do art. 20 da LGPD, você tem direito a solicitar a revisão humana de qualquer decisão tomada exclusivamente por meio automatizado que afete seus interesses. Nenhuma decisão sobre concessão de crédito, contratação, diagnóstico ou tratamento médico é tomada pela IA.
7. Com quem compartilhamos dados
Compartilhamos dados pessoais apenas com quem é necessário para operar o Serviço:
Meta Platforms, Inc. - envio e recebimento de mensagens pelo WhatsApp Business Platform e pelo Instagram.
Provedores de IA - OpenAI, Anthropic e Google, conforme a seção 5.
Google LLC - leitura e escrita de eventos nos calendários autorizados.
Hetzner Online GmbH - hospedagem dos servidores e armazenamento de arquivos enviados nas conversas.
Sistemas de gestão do Cliente Empresarial - quando ele integra o Serviço ao seu próprio sistema de agenda ou prontuário, os dados de agendamento são enviados a esse sistema, sob responsabilidade dele.
Serviços auxiliares de consulta pública - BrasilAPI (dados cadastrais de empresas por CNPJ) e OpenStreetMap/Nominatim (conversão de endereço em coordenadas, nos módulos de visitas comerciais).
Autoridades públicas - quando houver obrigação legal, ordem judicial ou requisição de autoridade competente.
8. Transferência internacional de dados
Parte dos operadores acima está sediada fora do Brasil, notadamente nos Estados Unidos (Meta, OpenAI, Anthropic e Google) e na Alemanha (Hetzner). Isso significa que seus dados podem ser transferidos e processados nesses países.
Essas transferências ocorrem com fundamento no art. 33, II, "d", e no art. 33, V, da LGPD - cláusulas contratuais padrão e demais garantias contratuais firmadas com cada fornecedor, e necessidade para a execução do contrato. Selecionamos fornecedores que oferecem compromissos formais de proteção de dados compatíveis com a legislação brasileira.
9. Por quanto tempo guardamos
Conversas e agendamentos: enquanto durar a relação com o Cliente Empresarial, para manter o histórico e a continuidade do atendimento.
Registros de acesso ao painel: pelo prazo de 6 meses, conforme o art. 15 do Marco Civil da Internet.
Dados de cobrança: pelos prazos exigidos pela legislação fiscal.
Encerrado o contrato ou atendido um pedido de exclusão, os dados são eliminados ou anonimizados, salvo quando a guarda for exigida por lei ou necessária para exercício regular de direitos.
10. Segurança
Comunicação criptografada em trânsito (HTTPS/TLS).
Criptografia em repouso de dados sensíveis do cadastro, como nome, telefone, conteúdo de mensagens e tokens de acesso.
Isolamento lógico entre os dados de cada Cliente Empresarial, de modo que um não acesse os dados de outro.
Controle de acesso por autenticação e perfis de permissão.
Nenhum sistema é totalmente imune a incidentes. Caso ocorra incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos do art. 48 da LGPD.
11. Seus direitos
Conforme o art. 18 da LGPD, você pode solicitar a qualquer momento:
confirmação da existência de tratamento dos seus dados;
acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
portabilidade a outro fornecedor, mediante requisição expressa;
eliminação dos dados tratados com base no seu consentimento;
informação sobre as entidades com as quais compartilhamos seus dados;
informação sobre a possibilidade de não consentir e as consequências da negativa;
revogação do consentimento;
revisão de decisões tomadas exclusivamente de forma automatizada (art. 20);
oposição a tratamento fundamentado em legítimo interesse, em caso de descumprimento da lei.
12. Como exercer seus direitos
Escreva para o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO), nos termos do art. 41 da LGPD:
Responderemos em até 15 dias. Podemos solicitar informações adicionais para confirmar sua identidade antes de atender ao pedido, como medida de segurança. Quando atuarmos como operador, encaminharemos a solicitação ao Cliente Empresarial responsável e o informaremos disso.
O Serviço não se destina ao uso direto por menores de 18 anos. Quando o atendimento envolver um menor - por exemplo, o agendamento de uma consulta para um filho -, o tratamento ocorre no melhor interesse do menor (art. 14) e pressupõe que a interação seja conduzida por seu responsável legal.
14. Alterações desta política
Podemos atualizar esta política para refletir mudanças no Serviço ou na legislação. A data da última atualização está indicada no topo da página. Alterações relevantes serão comunicadas aos Clientes Empresariais pelos canais de contato cadastrados.