Política de Privacidade

[RAZÃO SOCIAL], inscrita no CNPJ [CNPJ], com sede em [ENDEREÇO COMPLETO], opera o TIMBE: uma secretária virtual que atende no WhatsApp em nome de outros negócios e um serviço de criação de micro-sites.

Essa operação tem dois papéis diferentes, e isso muda quem responde pelo quê:

• Somos controladores dos dados dos nossos próprios clientes (as empresas que contratam o TIMBE), de seus responsáveis e usuários do painel, e dos dados de contato comercial que coletamos em prospecção.
• Somos operadores — não controladores — dos dados de quem conversa com a secretária virtual de um estabelecimento. Se você mandou mensagem para uma clínica, um salão ou qualquer negócio atendido pelo TIMBE, quem decide sobre esses dados é o estabelecimento; nós apenas processamos sob instrução dele. Pedidos sobre essas conversas são atendidos, mas encaminhados ao estabelecimento quando ele precisa decidir.

• De quem conversa com a secretária virtual: número de WhatsApp, nome do perfil, conteúdo das mensagens trocadas e, quando há marcação, data, horário e serviço agendado.
• De clientes contratantes: razão social ou nome, responsável, e-mail, telefone, endereço, horário de funcionamento e registros de mensalidade.
• De prospecção comercial: dados públicos de estabelecimentos (nome, endereço, telefone comercial, avaliação) obtidos do Google Places, usados para oferecer nossos serviços.
• De uso do painel: cookies estritamente necessários para manter sua sessão autenticada. Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros.

Não pedimos e não precisamos de dados sensíveis (saúde, biometria, convicções). Se você escrever esse tipo de informação numa conversa, ela será tratada como o restante do conteúdo — e é mais um motivo para o prazo de retenção abaixo existir.

• Execução de contrato (art. 7º, V) — prestar o serviço contratado: responder no WhatsApp, registrar agendamentos, cobrar mensalidade, publicar o micro-site.
• Legítimo interesse (art. 7º, IX) — prospecção comercial com dados públicos de empresas e melhoria do serviço. Você pode se opor a qualquer momento pelo canal da seção 7.
• Obrigação legal (art. 7º, II) — guarda de registros fiscais e contábeis.

Não vendemos dados pessoais e não os usamos para publicidade de terceiros.

As respostas da secretária virtual são geradas por inteligência artificial, não por uma pessoa. O conteúdo da sua mensagem é enviado ao provedor de IA para que a resposta seja formulada, junto com as informações que o estabelecimento cadastrou sobre o próprio negócio.

Você pode pedir atendimento humano a qualquer momento — basta escrever isso na conversa. O sistema encerra o atendimento automatizado e encaminha o caso para uma pessoa do estabelecimento. Não tomamos decisões automatizadas com efeito jurídico sobre você: a secretária informa, tira dúvidas e marca horários.

• Conversas, mensagens e agendamentos: 24 meses contados da última interação. Depois disso, uma rotina automática mensal anonimiza os registros de forma irreversível: o número de telefone é substituído por um identificador aleatório, o nome é removido e o conteúdo das mensagens é apagado. O que resta são contadores sem qualquer vínculo com você, que usamos para métrica e faturamento.
• Cadastro de clientes contratantes e registros de pagamento: enquanto durar a relação contratual e, depois dela, pelos prazos legais aplicáveis (fiscais e prescricionais).
• Dados de prospecção: até que o contato comercial se encerre ou até pedido de remoção.

Você pode pedir a eliminação antes desse prazo (seção 7). Nesse caso, a anonimização é aplicada imediatamente aos seus registros.

Para funcionar, o serviço depende de fornecedores que tratam dados por nossa conta. Nenhum deles recebe autorização para usar esses dados para finalidade própria:

• Meta (WhatsApp Cloud API) — transporte das mensagens no WhatsApp.
• Anthropic (Claude) — geração das respostas da secretária virtual e dos micro-sites.
• OpenAI — indexação da base de conhecimento do estabelecimento para que a secretária encontre a informação certa.
• Supabase — banco de dados e autenticação, hospedados em São Paulo (AWS, região sa-east-1).
• Google (Places API) — busca de estabelecimentos na prospecção comercial.
• Provedor de hospedagem e Cloudflare — publicação do painel e dos micro-sites.

Transferência internacional: Anthropic, OpenAI, Meta, Google e Cloudflare processam dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências são feitas com base nas garantias contratuais oferecidas por esses fornecedores, nos termos do art. 33 da LGPD.

A LGPD garante a você confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, revogação de consentimento e eliminação dos seus dados. Para exercer qualquer um deles, escreva para [E-MAIL DO ENCARREGADO].

Respondemos em até 15 dias. Podemos pedir informações para confirmar sua identidade — é uma proteção contra alguém pedir os seus dados se passando por você. Quando o pedido for sobre uma conversa com um estabelecimento atendido pelo TIMBE, encaminhamos o pedido a ele, que é o controlador daqueles dados, e executamos o que ele determinar.

Encarregado pelo tratamento de dados (DPO): [NOME DO ENCARREGADO] — [E-MAIL DO ENCARREGADO].

Cada estabelecimento atendido tem seus dados isolados no banco por regras de acesso aplicadas na própria camada de dados, de modo que um cliente não alcança o dado de outro nem por acesso direto à API. O tráfego é criptografado em trânsito, as credenciais de integração ficam restritas a acesso administrativo, e o acesso ao painel exige autenticação individual.

Nenhum sistema é imune a incidentes. Se ocorrer um incidente de segurança com risco relevante, comunicaremos os titulares afetados e a Autoridade Nacional de Proteção de Dados nos prazos da lei.

Esta política pode ser atualizada para refletir mudanças no serviço ou na legislação. A data de última atualização no topo indica a versão vigente; mudanças relevantes são comunicadas aos clientes contratantes.