Política de Privacidade
Como tratamos dados pessoais: papéis, finalidades, bases legais, retenção, segurança e direitos do titular.
Última revisão: 2 de novembro de 2026
1. Definições
Esta política descreve como o Traction, plataforma operada por TRACTION INOVA SIMPLES (I.S.), inscrita no CNPJ sob o nº 68.995.199/0001-79, com sede em Rua Rosalia de Jesus Rovalo, 497, CEP 38414-342, Uberlândia/MG, trata dados pessoais no site institucional e na prestação do serviço.
Os termos abaixo são usados com o significado que a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD) lhes dá.
- Titular: a pessoa natural a quem os dados pessoais se referem.
- Controlador: quem decide sobre o tratamento dos dados pessoais.
- Operador: quem trata dados pessoais em nome do controlador.
- Empresa: a pessoa jurídica que contrata a plataforma e opera a própria conta.
- Cliente final: a pessoa que conversa com a empresa pelos canais de mensagem conectados.
- Usuário: a pessoa da equipe da empresa que acessa a plataforma com login próprio.
- Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico (art. 5º, II, da LGPD).
- Tratamento: toda operação realizada com dados pessoais, como coleta, armazenamento, uso, compartilhamento e eliminação.
- Encarregado: a pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a Agência Nacional de Proteção de Dados (ANPD).
2. Quem somos e papéis no tratamento
Para os dados de clientes finais que trafegam nas conversas (nome, telefone, mensagens, mídias e transcrições), a empresa contratante é a CONTROLADORA e a plataforma atua como OPERADORA, tratando esses dados apenas conforme as instruções da empresa. Para os dados de cadastro, dos usuários e de uso da própria plataforma, a plataforma é a CONTROLADORA.
Quando atuamos como operadora, tratamos os dados apenas para prestar o serviço contratado e segundo as instruções lícitas da empresa (art. 39 da LGPD). Não usamos esses dados para finalidades próprias, não os vendemos, não os usamos para publicidade, não os cedemos a terceiros para fins comerciais e não os usamos para treinar modelos de inteligência artificial.
Na prática: pedidos de titulares sobre conversas devem ser dirigidos primeiro à empresa com quem a pessoa falou; a nossa equipe apoia a empresa a responder dentro dos prazos legais. Pedidos sobre dados de cadastro e de uso da plataforma são respondidos diretamente por nós.
Mantemos registro das operações de tratamento que realizamos, como exige o art. 37 da LGPD.
3. Dados que tratamos
Os dados variam conforme a relação de cada pessoa com o serviço.
- Visitantes do site institucional: o site não tem formulário de cadastro. O contato comercial é feito por e-mail ou por um link para o WhatsApp, e só tratamos o que a pessoa escolher nos enviar por esses canais. O provedor de rede registra dados técnicos de acesso, como o endereço IP, para entregar e proteger o site.
- Empresa contratante e seus usuários: razão social, CNPJ, nome, e-mail corporativo, telefone, perfil de acesso, registros de autenticação, preferências de uso, metas comerciais atribuídas pela gestão, mensagens trocadas no chat interno da equipe, notificações recebidas, os documentos que a empresa carrega na base de conhecimento e as mensagens de voz que a própria equipe grava para enviar aos clientes finais.
- Clientes finais da empresa: número de telefone, identificadores do canal (como o identificador do WhatsApp, do Instagram ou do Messenger), nome — informado pela pessoa, recebido do canal ou do perfil público do Instagram —, e-mail e data de nascimento quando informados, conteúdo das mensagens, mídias enviadas, transcrições de áudio, anotações e etiquetas da equipe, agendamentos, registros de oposição a mensagens automáticas e a informação de que o contato chegou por um anúncio (origem do anúncio e parâmetros da campanha).
- Informações geradas a partir das conversas: resumo do atendimento, sentimento e classificação do contato, respostas às perguntas de triagem com o trecho em que aparecem, temperatura e nota de interesse — ver o item 5.
- Dados técnicos e de uso: registros de acesso e de eventos (data, hora, endereço IP, navegador e ação executada), métricas de uso do serviço e de consumo de recursos de inteligência artificial (quantidades e custos, sem o conteúdo das mensagens).
4. Finalidades e bases legais
Cada tratamento tem finalidade determinada e base legal correspondente, nos termos dos arts. 7º e 11 da LGPD. Tratamos somente os dados necessários a cada finalidade (art. 6º, III).
- Prestar o serviço contratado, criar e administrar contas e dar suporte — art. 7º, V (execução de contrato e procedimentos preliminares a ele).
- Responder a quem nos procura pelo site para conhecer o produto — art. 7º, V (procedimentos preliminares relacionados a contrato, a pedido do titular).
- Guardar registros de acesso e cumprir obrigações legais e regulatórias — art. 7º, II (obrigação legal), inclusive o art. 15 do Marco Civil da Internet.
- Prevenir fraude, abuso e acesso indevido, garantir a segurança e a estabilidade do serviço e medir o seu funcionamento de forma agregada — art. 7º, IX (legítimo interesse), sempre limitado ao necessário e respeitando as legítimas expectativas do titular.
- Defender direitos em processo judicial, administrativo ou arbitral — art. 7º, VI (exercício regular de direitos).
- Enviar comunicações não essenciais, quando houver — art. 7º, I (consentimento), revogável a qualquer momento.
- Tratamento de dados de clientes finais nas conversas — realizado por conta e ordem da empresa contratante, que é a controladora e define a base legal da sua própria operação, inclusive para dados sensíveis (item 6).
5. Tratamento por inteligência artificial
O atendimento automático usa modelos de inteligência artificial fornecidos por terceiros. O conteúdo das mensagens necessárias à resposta é enviado ao fornecedor do modelo que gera as respostas, que o trata como operador e não o utiliza para treinar modelos próprios, conforme os contratos firmados. Imagens e documentos enviados nas conversas não são enviados ao modelo; o áudio é enviado apenas para ser transcrito.
Além do fornecedor que gera as respostas, usamos um segundo operador especializado em classificação, o TypeSafe (TypeSafe AI Inc., com servidores nos Estados Unidos). A cada turno automático ele recebe a última mensagem do cliente final e até três mensagens anteriores da conversa (do cliente final e do assistente), a lista de serviços da empresa e a resposta que a inteligência artificial pretende enviar e, quando a empresa carrega documentos na base de conhecimento, os trechos desses documentos relevantes para aquela pergunta. Esse fornecedor não gera texto: devolve apenas decisões e probabilidades tipadas (classificações), utilizadas somente para a classificação solicitada. A transferência internacional se dá nos termos do art. 33 da LGPD.
A plataforma também classifica automaticamente o interesse de cada contato a partir do conteúdo das próprias mensagens — intenção de compra, urgência, sinal de orçamento e aderência aos serviços da empresa —, do que resultam uma temperatura (quente, morno ou frio) e uma nota. Essa classificação é apenas um apoio para a equipe da empresa priorizar o atendimento: não bloqueia, não recusa e não condiciona o atendimento de ninguém. Nos termos do art. 20 da LGPD, o titular pode solicitar a revisão dessa decisão automatizada e informações sobre os critérios utilizados (art. 20, § 1º), pela empresa com quem falou ou pelo canal indicado ao final.
Durante o atendimento automático, a inteligência artificial também extrai das mensagens as respostas às perguntas de triagem configuradas pela empresa, com o trecho da conversa em que cada resposta aparece, e registra um breve resumo do caso quando a conversa é passada para a equipe; essas informações, assim como a temperatura e a nota, ficam visíveis para a equipe da empresa no painel do contato, que pode conferi-las a qualquer momento.
Mensagens de áudio podem ser transcritas automaticamente para que a conversa possa ser lida e respondida.
Outras decisões automáticas apoiam o atendimento: o encaminhamento da conversa ao fluxo ou à especialidade adequada; a passagem automática para a equipe quando o cliente final pede para falar com uma pessoa, quando uma resposta é retida por uma regra de segurança ou quando o assistente não consegue prosseguir; a filtragem de trechos da base de conhecimento inadequados para a resposta; e a interrupção definitiva das mensagens automáticas quando o cliente final pede para não recebê-las (item 8). Nenhuma dessas decisões impede que a equipe da empresa atenda a pessoa, e todas podem ser revistas na forma do art. 20 da LGPD.
Respostas geradas por inteligência artificial podem conter erros. A conversa pode ser assumida por uma pessoa da equipe da empresa a qualquer momento. Quando o assistente identifica que o cliente final pediu para falar com uma pessoa, a equipe da empresa é avisada para assumir o atendimento.
Enviamos ao fornecedor do modelo apenas o necessário para a resposta. O que o cliente final escreve na conversa é enviado ao fornecedor sem filtragem; por isso, dados de pagamento (como número de cartão) não devem ser enviados pela conversa.
6. Dados sensíveis
Pela natureza dos serviços atendidos, as conversas podem conter dados pessoais sensíveis, sobretudo dados referentes à saúde — como queixas, condições de pele, histórico de procedimentos e de tratamentos —, e outros dados que o cliente final escolha informar ou que as perguntas de triagem configuradas pela empresa solicitem, como condição de saúde, deficiência, renda familiar ou histórico previdenciário.
Esses dados são tratados exclusivamente para o atendimento solicitado pelo cliente final, em nome da empresa contratante, que, como controladora, responde pela base legal do art. 11 da LGPD aplicável à sua atividade — por exemplo, a tutela da saúde em procedimento realizado por profissionais de saúde (art. 11, II, "f"), o exercício regular de direitos (art. 11, II, "d") ou o consentimento específico e destacado do titular (art. 11, I).
Da nossa parte, aplicamos salvaguardas reforçadas: os dados sensíveis não são usados para publicidade, para perfilamento comercial nem para treinar modelos; o acesso fica restrito à empresa a que pertencem; e o assistente automático opera sob regras fixas que o proíbem de fazer diagnóstico, prescrever tratamento ou dar orientação técnica que dependa de um profissional, com retenção automática da resposta e passagem para a equipe quando uma resposta viola essas regras.
Recomendamos que a empresa configure apenas as perguntas de triagem estritamente necessárias e oriente a sua equipe a não solicitar dados sensíveis além do que o atendimento exige.
A plataforma não é prontuário eletrônico: registros clínicos devem ser mantidos pela empresa no sistema próprio.
7. Canais de mensagem conectados
WhatsApp oficial: as mensagens passam pela WhatsApp Business Platform, da Meta. Recebemos da Meta o número, o nome de perfil e, quando existir, o nome de usuário do cliente final, além do conteúdo das mensagens e das mídias.
WhatsApp por QR Code: quando a empresa opta por esse canal não oficial, as mensagens passam pelo provedor de conexão por QR Code contratado por nós, nas condições descritas nos Termos de Uso.
Instagram: quando a empresa conecta a sua conta profissional pelo login do Instagram, recebemos as mensagens diretas enviadas a ela e o identificador de cada pessoa no Instagram. Para que a equipe saiba com quem está falando, consultamos uma única vez, no primeiro contato, o nome e o nome de usuário do perfil dessa pessoa, informações que o próprio Instagram disponibiliza à conta com quem ela conversa. Esse nome só é gravado quando o contato ainda não tem nome, e a equipe pode alterá-lo.
Messenger: o canal do Messenger, quando conectado, funciona do mesmo modo, com o identificador da pessoa no Messenger.
Mensagens de voz da equipe: quando um usuário grava uma mensagem de voz para o cliente final, o áudio é guardado no armazenamento de arquivos da plataforma, vinculado à conversa, e enviado pelo canal da conversa — no WhatsApp oficial, pela Meta; no canal por QR Code, por um link temporário, válido por poucos minutos, entregue somente ao provedor desse canal. A gravação só começa quando o usuário aciona o microfone e permite o acesso no navegador, e é sempre indicada na tela enquanto dura.
Anúncios: quando o cliente final chega por um anúncio que abre a conversa, a Meta informa a origem do anúncio, que registramos para mostrar à empresa quais campanhas trazem contatos.
Os nomes, mensagens e mídias recebidos dos canais da Meta são usados somente para o atendimento da empresa, nas condições das políticas da Meta, e podem ter a exclusão solicitada na forma do item 15.
8. Mensagens automáticas e direito de oposição
Em nome da empresa, a plataforma pode enviar mensagens automáticas ao cliente final, como confirmações e lembretes de agendamento, retomadas de conversas sem resposta e mensagens configuradas pela empresa para cada etapa do atendimento.
Mensagens de marketing pelo WhatsApp oficial seguem as políticas da Meta, que exigem autorização prévia do cliente final; obter e guardar essa autorização é responsabilidade da empresa.
Quando o cliente final pede para não receber mensagens — por palavras como "sair", "parar" ou "não quero mais receber", por um pedido em linguagem natural ou pelo bloqueio de mensagens de marketing no próprio WhatsApp —, as mensagens automáticas e de marketing para ele são interrompidas em definitivo, e isso fica registrado. A equipe da empresa continua podendo responder a mensagens que a própria pessoa enviar.
Avisos que dizem respeito a um compromisso ou prazo do próprio atendimento do cliente final podem ser enviados mesmo após a oposição, por serem informação necessária ao serviço que ele solicitou, e não marketing.
9. Operadores, subprocessadores e compartilhamento
Para operar o serviço contamos com fornecedores que tratam dados em nosso nome, sob contrato e com obrigações de segurança e confidencialidade, cada um apenas para a sua função:
- Meta Platforms (WhatsApp Business Platform, Instagram e Messenger): transmissão das mensagens, mídias e identificadores dos canais oficiais, e leitura dos números de anúncios autorizada pela empresa.
- Google Cloud (Vertex AI): modelos de inteligência artificial para geração de respostas, extração de informações e transcrição de áudio.
- TypeSafe AI Inc. (Estados Unidos): classificação por inteligência artificial, que apenas devolve decisões tipadas sobre a conversa, sem gerar texto.
- Microsoft Azure: servidores da aplicação e banco de dados, na região do Chile.
- Supabase: autenticação (login) e armazenamento de arquivos, com os dados hospedados no Brasil (São Paulo).
- Cloudflare: rede, proteção e entrega de conteúdo, por onde passa todo o tráfego do site e da plataforma.
- Resend: envio de e-mails transacionais, como ativação de conta, recuperação de acesso e alertas operacionais.
- Sentry: monitoramento de erros da aplicação, quando ativado, recebendo apenas os dados técnicos de uma falha, com filtros que removem dados pessoais, para que ela possa ser corrigida.
- Google (Google Agenda): somente quando a empresa conecta uma conta Google, nas condições do item 15.
- Instituição financeira pela qual recebemos o pagamento das assinaturas, cobradas diretamente pela nossa equipe, sem meio de pagamento integrado à plataforma.
- Provedor de conexão por QR Code, quando a empresa opta por esse canal não oficial (ver a cláusula específica nos Termos de Uso).
Integrações escolhidas pela empresa: a empresa pode conectar à plataforma os seus próprios sistemas e aplicativos — por chave de API, por webhooks de saída ou por aplicativos de inteligência artificial que ela autorize, como assistentes conectados pelo protocolo MCP. Nesses casos, os dados que a empresa decide acessar ou enviar chegam a esses sistemas por instrução dela, como controladora; os webhooks de saída levam apenas identificadores, nome e etapa do contato e dados de agendamento, nunca o conteúdo das mensagens. A empresa pode revogar cada acesso a qualquer momento.
Autoridades: dados podem ser fornecidos a autoridades públicas apenas quando houver obrigação legal ou ordem judicial, limitados ao que for exigido.
Não vendemos dados pessoais.
10. Transferência internacional
A aplicação e o banco de dados rodam em servidores da Microsoft Azure no Chile; o login e os arquivos ficam no Brasil. Outros fornecedores também processam dados fora do Brasil: os modelos de inteligência artificial do Google rodam em infraestrutura global, e a Meta, a TypeSafe, a Cloudflare, a Resend e a Sentry operam principalmente a partir dos Estados Unidos.
Essas transferências são feitas com base no art. 33 da LGPD, especialmente no inciso IX, por serem necessárias à execução do contrato com a empresa e dos procedimentos que ela solicita, e com fornecedores que se comprometem contratualmente com a segurança e a confidencialidade dos dados, observada a regulamentação da ANPD sobre transferência internacional.
A relação de fornecedores é revisada periodicamente e a cada nova contratação.
11. Retenção e eliminação
Guardamos cada conjunto de dados pelo tempo necessário à sua finalidade e aos prazos legais, e o eliminamos depois, ressalvadas as hipóteses de conservação do art. 16 da LGPD.
- Dados de cadastro da empresa e dos usuários: enquanto a conta estiver ativa e, depois do encerramento, pelo prazo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos.
- Conversas, contatos, mídias e mensagens de voz: enquanto a conta da empresa estiver ativa. A empresa pode pedir a eliminação a qualquer momento ou no encerramento da conta; executamos o pedido em até 30 dias.
- Sinais de priorização de leads (temperatura e nota): seguem a retenção do contato e da conversa a que se referem, e são eliminados junto com eles.
- Registros de tentativas de acesso (identificação usada, endereço IP, navegador e resultado — nunca a senha): 190 dias, prazo que cobre os seis meses mínimos exigidos pelo art. 15 do Marco Civil da Internet (Lei nº 12.965/2014), com eliminação automática ao fim do prazo.
- Notificações da plataforma: 90 dias. Registro de chamadas de integrações por chave de API e de aplicativos conectados: 90 dias. Registro de entregas de webhooks de saída: 30 dias. Cópia técnica dos eventos recebidos dos canais: 7 dias. Todos eliminados automaticamente.
- Números de anúncios lidos da Meta: apagados quando a empresa desconecta a conta de anúncios ou quando a Meta nos repassa um pedido de desautorização ou de exclusão.
- Eventos de uso de inteligência artificial (cobrança e antiabuso) e registros de auditoria (quem fez o quê): enquanto a conta da empresa estiver ativa e, depois do encerramento, pelo prazo necessário ao cumprimento de obrigações legais e ao exercício regular de direitos.
- Registros de solicitações de exclusão recebidas da Meta: pelo prazo necessário para comprovar o atendimento dessas solicitações.
- Cópias de segurança: o provedor do banco de dados mantém cópias de segurança que são substituídas automaticamente no seu ciclo de rotação; um dado eliminado pode permanecer nelas apenas até essa substituição, sem acesso nem uso para qualquer finalidade.
12. Segurança e isolamento entre empresas
Os dados de cada empresa são isolados: a aplicação delimita toda consulta pela empresa do usuário autenticado, o banco de dados mantém regras de acesso por empresa como camada adicional de proteção, e nenhum usuário enxerga dados de outra empresa.
A sessão é mantida em cookies HttpOnly e Secure, inacessíveis a scripts do navegador; o único cookie legível pelo navegador guarda apenas o horário de expiração da sessão, sem nenhum dado pessoal. Credenciais e tokens de integração são cifrados em repouso com criptografia autenticada e exibidos mascarados na interface e nos registros. Todo o tráfego é cifrado em trânsito (HTTPS), com política de transporte estrito.
As tentativas de acesso são limitadas para conter ataques de senha, e as notificações recebidas dos canais da Meta têm a assinatura verificada antes de qualquer processamento.
O acesso interno é restrito ao necessário para operar e dar suporte ao serviço. Quando a nossa equipe entra na conta de uma empresa para prestar suporte, essa entrada exige um motivo, expira sozinha e fica registrada.
Essas medidas seguem o art. 46 da LGPD e são revistas continuamente.
13. Incidentes de segurança
Mantemos um processo de resposta a incidentes de segurança. Se um incidente puder acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos termos do art. 48 da LGPD e do Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024), no prazo de três dias úteis contados do conhecimento de que o incidente afetou dados pessoais.
Quando o incidente envolver dados que tratamos como operadora, avisamos a empresa contratante, que é a controladora, sem demora injustificada, com as informações de que ela precisa para cumprir as próprias obrigações.
14. Direitos do titular
Nos termos do art. 18 da LGPD, o titular pode solicitar confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, informação sobre compartilhamentos, informação sobre a possibilidade de não fornecer consentimento e revogação do consentimento.
O titular também pode pedir a revisão de decisões tomadas exclusivamente com base em tratamento automatizado que afetem os seus interesses — como a priorização de atendimento descrita no item 5 — e informações sobre os critérios utilizados, nos termos do art. 20 e do seu § 1º.
Para exercer esses direitos, escreva para [email protected]. Para proteger os seus dados, podemos pedir informações que confirmem a sua identidade antes de atender. O atendimento é gratuito (art. 18, § 5º). A confirmação de existência ou o acesso aos dados é fornecido de imediato em formato simplificado ou, por declaração clara e completa, em até 15 dias contados do pedido (art. 19).
Pedidos relativos a conversas devem ser dirigidos à empresa com quem o titular falou, que é a controladora desses dados; se chegarem a nós, encaminhamos o pedido a essa empresa e a apoiamos no atendimento. Quando dados forem corrigidos, eliminados, anonimizados ou bloqueados, comunicamos os fornecedores com quem foram compartilhados, nos termos do art. 18, § 6º.
O titular também pode peticionar diretamente à Agência Nacional de Proteção de Dados (ANPD).
15. Exclusão de dados e integrações com a Meta e o Google
A plataforma expõe os endpoints de desautorização e de exclusão de dados exigidos pela Meta. Uma solicitação recebida por esses canais elimina os dados de conexão derivados da Meta — tokens de acesso e identificadores da conta conectada — e desativa a integração correspondente.
Quem conectou uma conta do Facebook ou do Instagram à plataforma pode pedir a exclusão desses dados removendo o aplicativo em "Aplicativos e sites", nas configurações da própria conta, e solicitando ali a exclusão dos dados — a Meta nos repassa o pedido pelo canal de exclusão acima — ou escrevendo para o canal indicado ao final.
No Instagram, o mesmo pedido apaga também o acesso à conta profissional conectada; o nome e o nome de usuário consultados para identificar os contatos fazem parte do histórico de atendimento da empresa e seguem a regra do parágrafo seguinte.
O histórico de atendimento da empresa (conversas, contatos e anotações) NÃO é eliminado por essa solicitação: esses dados pertencem à operação da empresa, que é a controladora, e são excluídos pela nossa equipe a pedido dela, feito pelo contato indicado ao final, inclusive no encerramento da conta.
Cada solicitação recebe um código de acompanhamento com página pública de status.
Google Agenda: quando a empresa conecta uma conta Google em Configurações › Conexões, o Traction cria nessa conta uma agenda própria e escreve somente nela os agendamentos marcados na plataforma: título, descrição e data e horário de início e fim; quando o agendamento é cancelado, o evento correspondente é removido dessa agenda. Os dados de cadastro do cliente final (nome, telefone e e-mail do cadastro) não são enviados ao Google. O título e a descrição vão como a equipe da empresa os escreveu — os títulos criados pelo assistente automático não levam dados pessoais —, por isso a equipe não deve escrever dados pessoais nesses campos. Não lemos nenhuma outra agenda nem outro dado da conta, além do endereço de e-mail usado para identificar a conexão, e os tokens de acesso ficam cifrados em repouso. A empresa pode revogar o acesso a qualquer momento, desconectando a conta em Conexões ou removendo o acesso nas permissões da própria conta Google; a agenda criada permanece na conta, e a empresa pode apagá-la quando quiser. O uso e a transferência, pelo Traction, para qualquer outro aplicativo, de informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use).
Anúncios da Meta: quando a empresa conecta a sua conta de anúncios da Meta em Configurações › Conexões, o Traction pede somente a permissão de leitura de anúncios (ads_read) e lê, da conta de anúncios escolhida pela empresa, o nome, o identificador e a moeda da conta e, por campanha e por anúncio, o valor investido, as impressões e os cliques de cada dia. Esses números aparecem somente para a gestão da empresa, ao lado dos contatos que chegaram por esses anúncios. Nada é criado, alterado ou pausado na conta de anúncios, e nenhum dado sobre as pessoas alcançadas pelos anúncios é lido. Guardamos também o identificador do usuário do Facebook que concedeu o acesso, apenas para atender aos pedidos de desautorização e de exclusão da Meta descritos acima, e o token de acesso fica cifrado em repouso. A empresa pode encerrar a leitura a qualquer momento desconectando a conta de anúncios em Configurações › Conexões — o caminho recomendado —, o que também apaga os números já lidos. Remover o aplicativo em "Integrações comerciais", nas configurações da própria conta do Facebook, também revoga o acesso, mas desconecta ao mesmo tempo os canais de Facebook e de WhatsApp oficial da empresa ligados por essa pessoa, que usam o mesmo aplicativo da Meta. Um pedido de desautorização ou de exclusão de dados recebido da Meta apaga o acesso e também os números já lidos.
17. Responsabilidades da empresa contratante
Como controladora dos dados dos seus clientes finais, a empresa contratante se compromete a:
- informar os seus clientes, na própria política de privacidade, que usa a plataforma para atender pelos canais de mensagem, com apoio de inteligência artificial;
- ter base legal para o tratamento que realiza, inclusive para dados sensíveis e dados de crianças e adolescentes;
- obter a autorização exigida pelas políticas da Meta antes de enviar mensagens de marketing;
- configurar apenas as perguntas de triagem e as automações necessárias ao atendimento;
- atender, com o nosso apoio, os pedidos de titulares sobre as conversas;
- manter seguras as credenciais de acesso da sua equipe e revogar o acesso de quem deixa a empresa.
18. Crianças e adolescentes
A plataforma é destinada ao uso profissional por empresas e não se dirige a menores de 18 anos.
Quando o atendimento da empresa envolver dados de crianças ou adolescentes — por exemplo, um responsável que agenda um atendimento para o filho —, cabe a ela tratá-los no seu melhor interesse e com a base legal adequada, nos termos do art. 14 da LGPD e do Enunciado CD/ANPD nº 1/2023, inclusive obtendo o consentimento específico de pelo menos um dos pais ou do responsável legal quando essa for a base aplicável.
19. Alterações desta política
Esta política pode ser atualizada. A data da última revisão é indicada no topo da página e nesta seção: 2 de novembro de 2026.
Alterações relevantes são comunicadas às empresas contratantes pelos canais de contato cadastrados antes de entrarem em vigor. As versões anteriores são mantidas em arquivo e podem ser solicitadas pelo canal indicado ao final.
20. Encarregado e canal de comunicação com o titular
O canal de comunicação com os titulares e com a Agência Nacional de Proteção de Dados (ANPD) é o endereço [email protected]. Pedidos, dúvidas e reclamações sobre proteção de dados devem ser enviados para ele.
Respondemos no prazo legal. O titular também pode peticionar diretamente à ANPD.