Acordo de Tratamento de Dados Pessoais (DPA)

Operadora:

Natario Labs Desenvolvimento de Programas Ltda.

CNPJ nº 67.312.898/0001-04

Endereço: Av. Epitácio Pessoa, 2990, ap. 703, Lagoa, Rio de Janeiro/RJ

E-mail de contato e privacidade: contato@natariolabs.com.br

Encarregado pelo Tratamento de Dados Pessoais:

Thiago Torres Natario, formalmente designado pela Natario Labs Desenvolvimento de Programas Ltda.

Canal do encarregado:

contato@natariolabs.com.br

Controladora:

A empresa-cliente titular da Organização cadastrada no BioZap, identificada pelos dados informados no cadastro e na contratação do plano.

Neste DPA, a Natario Labs poderá ser chamada de “Natario Labs”, “BioZap” ou “Operadora”, e a empresa-cliente, de “Cliente” ou “Controladora”.

Em relação aos dados pessoais dos clientes finais tratados na Plataforma, o Cliente é o controlador e a Natario Labs é a operadora.

A Natario Labs trata esses dados somente para prestar o serviço contratado e conforme as instruções documentadas do Cliente, que são:

• os Termos de Uso e este DPA;
• as configurações feitas pelo Cliente no painel, como a base de conhecimento, a voz do assistente, o horário e o contato do atendimento humano, a ativação ou desativação da inteligência artificial e as respostas automáticas aos comentários do Instagram;
• as solicitações formais enviadas pelo Cliente pelos canais de contato.

Em relação aos dados de cadastro, autenticação, cobrança e suporte dos usuários do painel, a Natario Labs atua como controladora, conforme a Política de Privacidade.

A Natario Labs informará o Cliente quando, a seu ver, uma instrução violar a LGPD ou outra norma aplicável.

Para os fins deste Acordo, aplicam-se as seguintes definições:

ANPD: Autoridade Nacional de Proteção de Dados.

Anonimização: utilização de meios técnicos razoáveis e disponíveis por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a uma pessoa.

BioZap: plataforma tecnológica de atendimento por WhatsApp e por mensagens diretas do Instagram operada pela Natario Labs.

Cliente ou Controladora: pessoa jurídica, empresário individual ou profissional que contrata o BioZap para atender os próprios clientes.

Cliente final ou titular: pessoa natural que entra em contato com o Cliente pelo WhatsApp ou pelo Instagram utilizando a infraestrutura do BioZap.

Controlador: agente de tratamento responsável pelas decisões referentes às finalidades e aos elementos essenciais do tratamento de dados pessoais.

Dado anonimizado: dado que não permite a identificação de seu titular, considerando os meios técnicos razoáveis e disponíveis no momento do tratamento.

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.

Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico vinculado a pessoa natural.

Encarregado: pessoa formalmente indicada pelo agente de tratamento para atuar como canal de comunicação entre a Natario Labs, os titulares e a ANPD, além de desempenhar as demais atribuições previstas na legislação.

Incidente de segurança: evento confirmado que comprometa ou possa comprometer a confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais, incluindo acesso, aquisição, uso, alteração, divulgação, perda ou destruição não autorizados ou acidentais.

Instruções documentadas: as descritas na cláusula 2.

LGPD: Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais.

Operador: agente de tratamento que realiza o tratamento de dados pessoais em nome do controlador e de acordo com suas instruções.

Plataforma: conjunto de sistemas, painéis, integrações, bancos de dados, recursos de inteligência artificial e funcionalidades que compõem o BioZap.

Suboperador: terceiro contratado pela Natario Labs para auxiliar nas operações de tratamento executadas em nome do Cliente.

Titular: pessoa natural a quem se referem os dados pessoais tratados.

Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional.

Tratamento: toda operação realizada com dados pessoais, incluindo coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.

Este DPA disciplina as operações de tratamento de dados pessoais realizadas por meio do BioZap no atendimento dos clientes finais do Cliente pelo WhatsApp e, quando o Cliente conecta a conta profissional do Instagram, pelas mensagens diretas do Instagram. A conexão do Instagram depende da liberação da Meta, conforme a cláusula 7.1 dos Termos de Uso.

O BioZap poderá disponibilizar as seguintes funcionalidades:

• recebimento de mensagens;
• envio de mensagens;
• envio de fotos, vídeos, documentos e mensagens de voz ao cliente final pelos usuários autorizados, pelo WhatsApp ou pelo Instagram;
• aviso de mensagem nova aos usuários autorizados, por notificação no navegador e no aplicativo do BioZap;
• organização de conversas;
• manutenção de histórico;
• identificação de contatos;
• cadastro de contatos pelo Cliente, um a um ou importados de um arquivo ou da agenda do celular, com nome, número de WhatsApp e observações sobre o atendimento, que o assistente lê na conversa com o cliente final;
• classificação e etiquetagem de atendimentos;
• registro do valor da negociação de cada cliente final e das tarefas da equipe do Cliente, com o aviso a quem cuida delas na hora marcada;
• agenda de horários do Cliente, com quem atende, os serviços, os horários de trabalho e as folgas, onde o assistente e os usuários autorizados marcam, remarcam e desmarcam os horários dos clientes finais, com o lembrete do horário pelo WhatsApp, links secretos para calendários de terceiros e a planilha dos horários, que o dono e os administradores do Cliente baixam;
• ligação dessa agenda com a agenda do Google de cada pessoa que atende, quando o Cliente a liga;
• geração de respostas automatizadas;
• resumo das mensagens mais antigas de cada conversa, guardado com ela, para o assistente lembrar do contexto;
• transferência para atendimento humano;
• cadastro de base de conhecimento;
• controle de usuários e permissões;
• registro de atividades;
• recursos de segurança;
• integração com a WhatsApp Business Platform;
• integração com as mensagens diretas do Instagram, pela conta profissional conectada pelo Cliente;
• integração com os comentários dos posts e reels dessa conta, com resposta no comentário, ocultação e mensagem no direct de quem comentou;
• integração com serviços de inteligência artificial.

O tratamento será limitado ao necessário para:

• atender aos clientes finais;
• responder às solicitações recebidas;
• prestar as informações que o Cliente cadastrou na base de conhecimento;
• organizar o histórico das conversas;
• permitir atendimento humano;
• manter o funcionamento e a segurança da Plataforma;
• cumprir obrigações legais;
• exercer regularmente direitos;
• atender aos direitos dos titulares.

O Cliente, como controlador:

• define as finalidades do atendimento;
• determina quais informações são necessárias;
• identifica e documenta as bases legais;
• informa os clientes finais sobre o tratamento, em aviso de privacidade próprio;
• define os fluxos de atendimento e o conteúdo da base de conhecimento;
• determina os prazos ordinários de retenção;
• decide sobre o atendimento aos direitos dos titulares;
• decide sobre eventual envio de comunicações institucionais ou comerciais;
• define a utilização das respostas geradas por inteligência artificial;
• decide quais fotos, vídeos, documentos e mensagens de voz os usuários autorizados enviam aos clientes finais e envia somente os dados pessoais necessários ao atendimento;
• não insere na base de conhecimento dados pessoais desnecessários ao atendimento.

Por meio do BioZap e conforme as instruções do Cliente, a Natario Labs:

• recebe, registra e armazena as mensagens enviadas pelo WhatsApp e as mensagens diretas enviadas à conta do Instagram conectada pelo Cliente;
• recebe, registra e armazena os comentários feitos nos posts e reels dessa conta, quando o Cliente concede a permissão de comentários;
• executa, nessa conta, as ações sobre comentários pedidas pelos usuários autorizados (responder no comentário, ocultar ou mostrar o comentário e mandar mensagem no direct de quem comentou) e as respostas automáticas por palavra-chave configuradas pelo Cliente, com o texto escrito por ele, sem inteligência artificial;
• guarda em área restrita do banco de dados a chave de acesso dessa conta do Instagram, renova a chave automaticamente e a apaga quando a conta é desconectada ou quando o acesso é removido no Instagram;
• envia à API de inteligência artificial o necessário para gerar as respostas às mensagens, sem o texto dos comentários do Instagram e sem os arquivos que os usuários autorizados enviam ao cliente final;
• recebe em armazenamento privado os arquivos que os usuários autorizados enviam ao cliente final pela conversa, confere o tipo, o tamanho e o conteúdo, entrega o arquivo à Meta e o apaga do armazenamento logo depois do envio, conforme a cláusula 28;
• disponibiliza as conversas no painel aos usuários autorizados pelo Cliente;
• permite o atendimento humano;
• executa as exclusões solicitadas, incluindo as pedidas pelo Cliente no próprio Instagram;
• administra backups e controles de segurança.

A Natario Labs se obriga a:

• não tratar os dados para finalidade própria ou incompatível com o serviço;
• não vender, alugar ou usar os dados para publicidade ou para treinamento de modelos de inteligência artificial;
• manter os dados de cada Cliente logicamente separados dos demais;
• exigir confidencialidade das pessoas autorizadas;
• auxiliar o Cliente no atendimento aos direitos dos titulares e na resposta a incidentes;
• ao fim do contrato, eliminar ou disponibilizar os dados conforme a cláusula 28.

A Natario Labs também usa o BioZap para atender os clientes dos próprios produtos, como o Biomapa, o BioZap, o Brand Studio e o TeleBloq.

Nesse uso não há empresa-cliente distinta: a Natario Labs é controladora e responsável técnica ao mesmo tempo, responde integralmente pelo tratamento perante a LGPD e observa as mesmas regras deste DPA sobre segurança, suboperadores, retenção, exclusão e incidentes.

Poderão ter dados tratados no contexto deste DPA:

• clientes, pacientes e potenciais clientes do Cliente;
• representantes legais;
• responsáveis por crianças ou adolescentes;
• pessoas que comentam nos posts e reels da conta do Instagram conectada pelo Cliente;
• outras pessoas naturais que se comuniquem com o Cliente pelo WhatsApp ou pelo Instagram.

Poderão ser tratados:

• número de telefone;
• identificador do WhatsApp;
• identificador da pessoa no Instagram;
• nome de perfil e @usuário do Instagram;
• imagem de perfil disponibilizada pelo WhatsApp, quando acessível;
• conteúdo das mensagens;
• respostas geradas pela inteligência artificial;
• respostas enviadas por atendente humano;
• fotos, vídeos, documentos e mensagens de voz que os usuários autorizados enviam ao cliente final pela conversa, com o tipo do arquivo, o nome do documento e, no WhatsApp, o identificador do arquivo na Meta;
• data e horário das mensagens;
• status de envio, entrega e leitura;
• direção da mensagem;
• histórico das conversas;
• etiquetas;
• classificações;
• observações relacionadas ao atendimento;
• identificação do atendente;
• registro de transferência para atendimento humano;
• preferências de contato;
• registros de consentimento;
• registros de oposição;
• solicitações de cancelamento;
• texto dos comentários feitos nos posts e reels da conta do Instagram conectada;
• identificador e @usuário de quem comentou;
• identificadores do comentário, do comentário respondido e da publicação comentada, e o tipo da publicação;
• respostas escritas no comentário, mensagens enviadas no direct a partir de um comentário e a indicação de comentário oculto;
• valor, descrição, código Pix e situação das cobranças que o Cliente manda pela conversa;
• informações fornecidas voluntariamente pelo próprio titular.

O BioZap não acessa fontes externas para complementar automaticamente os dados do titular.

O tratamento é limitado:

• às informações fornecidas pelo próprio titular;
• aos dados técnicos disponibilizados pelo WhatsApp e pelo Instagram;
• às informações inseridas pelo Cliente para conduzir e organizar o atendimento.

Dependendo da atividade do Cliente, especialmente no caso de clínicas, consultórios e profissionais de saúde, é previsível que clientes finais forneçam dados pessoais sensíveis durante as conversas.

Poderão ser tratados, conforme o conteúdo enviado pelo cliente final:

• sintomas;
• condições médicas;
• medicamentos;
• tratamentos;
• dados de exames;
• informações sobre histórico de saúde;
• informações genéticas;
• informações biométricas;
• dados sobre vida sexual;
• outras informações classificadas como sensíveis pela LGPD.

O tratamento de dados pessoais sensíveis deverá:

• estar vinculado a finalidade legítima;
• possuir base legal adequada;
• ser limitado ao necessário;
• observar medidas reforçadas de segurança;
• respeitar os direitos dos titulares;
• impedir acessos desnecessários;
• observar o sigilo aplicável.

O Cliente deverá orientar os clientes finais a não enviar:

• senhas;
• códigos de autenticação;
• dados bancários desnecessários;
• números completos de cartão;
• informações de terceiros sem autorização;
• documentos que não sejam necessários ao atendimento.

O Cliente, como controlador, deverá identificar e documentar a base legal aplicável a cada finalidade. A Natario Labs não substitui o Cliente na escolha da base legal nem na obtenção de consentimento, quando necessário.

Conforme a operação, poderão ser utilizadas as seguintes bases legais:

• execução de contrato ou de procedimentos preliminares relacionados ao contrato;
• cumprimento de obrigação legal ou regulatória;
• exercício regular de direitos;
• legítimo interesse, após avaliação de necessidade, proporcionalidade e impacto;
• proteção da vida ou da incolumidade física;
• tutela da saúde, quando preenchidos os requisitos legais;
• consentimento;
• prevenção à fraude e segurança do titular nos processos de identificação e autenticação.

No caso de dados pessoais sensíveis, deverão ser observadas as hipóteses previstas no art. 11 da LGPD.

A tutela da saúde somente deverá ser utilizada quando o tratamento estiver relacionado a procedimento realizado por profissional de saúde, serviço de saúde ou autoridade sanitária, nos limites da legislação.

Quando o tratamento estiver fundamentado em consentimento, este deverá ser:

• livre;
• informado;
• inequívoco;
• específico;
• destacado, quando envolver dados sensíveis;
• demonstrável;
• passível de revogação.

Todas as operações deverão observar os princípios previstos na LGPD, incluindo:

• finalidade;
• adequação;
• necessidade;
• livre acesso;
• qualidade dos dados;
• transparência;
• segurança;
• prevenção;
• não discriminação;
• responsabilização e prestação de contas.

Nenhum dado deverá ser tratado em quantidade superior à necessária para a finalidade informada.

Os dados poderão ser tratados para:

• identificar o cliente final;
• receber e responder mensagens;
• fornecer as informações cadastradas pelo Cliente;
• prestar suporte;
• organizar o atendimento;
• registrar o histórico da conversa;
• transferir a conversa para atendimento humano;
• gerar respostas automatizadas;
• esclarecer dúvidas;
• administrar preferências de contato;
• organizar os clientes finais com etiquetas e etapas definidas pelo Cliente;
• enviar, a pedido do Cliente, disparos de modelos de mensagem aprovados aos clientes finais que ele escolher;
• registrar consentimentos e oposições, inclusive os pedidos para não receber disparos;
• entregar, a pedido do Cliente, os dados e os avisos de eventos aos sistemas que ele escolher, pela API e pelos webhooks;
• atender, pelo chat no site do Cliente, os visitantes que escreverem nele, e limitar o número de mensagens para evitar abuso;
• medir, a pedido do Cliente, a satisfação dos clientes finais com o atendimento e calcular os relatórios do atendimento;
• organizar o atendimento por setores definidos pelo Cliente, com o menu de escolha do setor;
• guardar as notas internas que a equipe do Cliente escreve nas conversas, visíveis só para a equipe e nunca enviadas ao cliente final nem à inteligência artificial, e as respostas rápidas que a equipe usa;
• distribuir as conversas entre as pessoas da equipe do Cliente e registrar quem cuida de cada uma;
• atender aos direitos dos titulares;
• prevenir fraudes;
• proteger a segurança da Plataforma;
• investigar incidentes;
• cumprir obrigações legais;
• exercer regularmente direitos;
• produzir registros de auditoria.

Os dados não serão tratados para finalidades incompatíveis com aquelas informadas ao titular.

Os dados tratados por meio do BioZap não serão:

• vendidos;
• alugados;
• comercializados;
• utilizados para publicidade comportamental de terceiros;
• utilizados para formação de perfis comerciais não relacionados ao atendimento;
• utilizados para treinamento de modelos de inteligência artificial;
• compartilhados para finalidades incompatíveis com o atendimento;
• utilizados para discriminação ilegal.

O BioZap utiliza a API da Anthropic para auxiliar na geração de respostas automatizadas.

Para produzir uma resposta, poderão ser enviados:

• a mensagem fornecida pelo cliente final;
• as fotos e os arquivos PDF que o cliente final envia na conversa, sem cópia guardada no BioZap;
• o contexto estritamente necessário da conversa;
• as instruções configuradas pelo Cliente;
• os trechos pertinentes da base de conhecimento.

Somente serão enviados os dados necessários para gerar a resposta solicitada.

De acordo com as condições contratuais aplicáveis à API utilizada pelo BioZap:

• os dados não são utilizados para treinamento de modelos;
• os dados não são utilizados para desenvolvimento dos modelos;
• os dados não são utilizados para melhoria dos modelos;
• os dados não são utilizados para publicidade;
• os dados não são utilizados para formação de perfis comerciais;
• os dados são processados exclusivamente para gerar a resposta solicitada.

A Natario Labs não utilizará o conteúdo das conversas para treinar modelos próprios de inteligência artificial.

Os comentários do Instagram não passam pela inteligência artificial: o texto do comentário não é enviado à Anthropic, e a mensagem automática enviada no direct de quem comentou é o texto fixo configurado pelo Cliente.

As fotos, os vídeos, os documentos e as mensagens de voz que os usuários autorizados enviam ao cliente final pela conversa não passam pela inteligência artificial: o arquivo não é enviado à Anthropic. A legenda e o nome do documento ficam no histórico da conversa, como qualquer resposta da equipe, e podem compor o contexto de uma resposta automatizada posterior naquela conversa.

Quando o cliente final envia uma mensagem de áudio, o áudio é transcrito por um serviço de terceiro (OpenAI/Whisper) apenas para gerar a resposta; envia-se somente o áudio necessário e os dados não são utilizados para treinamento de modelos.

Quando o Cliente anexa ao assistente da base de conhecimento conversas exportadas do WhatsApp, o arquivo é lido no servidor e não é armazenado. Antes do envio à Anthropic, os nomes de quem participa da conversa são trocados por rótulos e os números de telefone, os endereços de e-mail e os números de documento são retirados. Ficam armazenados apenas os artigos e as regras de tom que o Cliente revisar e aplicar.

O mesmo vale quando o Cliente pede ao assistente da base que leia as conversas que já estão na Plataforma: entram só as mensagens dos clientes finais e as respostas da equipe, com os nomes trocados por rótulos e sem os números de telefone, os endereços de e-mail e os números de documento, e esse material não é armazenado.

Na barra de assistente do painel, usada pelo dono ou por um administrador do Cliente, podem ser enviados ao modelo, para responder às perguntas sobre o próprio atendimento, os números do atendimento, a configuração, os títulos da base de conhecimento, o nome dos contatos e trechos das mensagens recentes dos clientes finais, sem números de telefone, endereços de e-mail e números de documento. Nenhuma mudança sugerida pela barra é gravada sem a confirmação de quem perguntou.

Quando o dono ou um administrador do Cliente liga a conta do BioZap a um assistente de inteligência artificial de terceiros pelo conector do BioZap (seção 4.10 da Política de Privacidade), o conteúdo da base de conhecimento e dos modelos de mensagem que esse assistente lê é enviado a ele por instrução do próprio Cliente, e o fornecedor do assistente não é suboperador da Natario Labs. O conector não dá acesso aos dados dos clientes finais.

As respostas geradas por inteligência artificial podem conter:

• erros;
• omissões;
• ambiguidades;
• informações imprecisas;
• informações desatualizadas;
• interpretações inadequadas ao contexto.

A inteligência artificial do BioZap não deverá:

• realizar diagnóstico médico;
• prescrever medicamentos;
• recomendar início, alteração ou interrupção de tratamentos;
• interpretar exames de maneira conclusiva;
• substituir profissional legalmente habilitado;
• prestar atendimento de emergência;
• tomar decisão jurídica autônoma;
• tomar decisão financeira ou de crédito autônoma;
• produzir efeito relevante sem análise humana;
• solicitar senhas;
• solicitar códigos de autenticação;
• solicitar números completos de cartão;
• solicitar dados financeiros desnecessários.

Sempre que a natureza da solicitação exigir, deverá ser disponibilizado atendimento humano.

O BioZap é utilizado para apoio ao atendimento e geração de respostas.

Caso o Cliente utilize os resultados da Plataforma em decisão unicamente automatizada que afete os interesses do titular, caberá a ele informar essa circunstância e assegurar os direitos do art. 20 da LGPD, incluindo a revisão da decisão.

O BioZap é uma ferramenta tecnológica de atendimento e não substitui consulta, diagnóstico, prescrição ou acompanhamento médico.

As respostas automatizadas não deverão ser apresentadas como:

• diagnóstico;
• prescrição;
• interpretação definitiva de exame;
• recomendação de tratamento;
• orientação para interromper medicamento;
• substituição de avaliação profissional.

O BioZap não é canal de emergência.

Em situações de urgência ou emergência médica, o cliente final deverá procurar serviço de saúde ou entrar em contato com o Serviço de Atendimento Móvel de Urgência - SAMU, pelo número 192.

A Natario Labs não monitora as conversas em tempo real para identificar emergências.

O acesso aos dados será limitado:

• aos usuários autorizados pelo Cliente no painel;
• às pessoas autorizadas da Natario Labs, quando necessário para suporte, segurança ou cumprimento de obrigação legal;
• aos suboperadores tecnicamente necessários;
• às autoridades competentes, quando houver obrigação legal ou ordem válida.

O acesso deverá observar:

• necessidade;
• menor privilégio;
• autenticação;
• registro de atividades, quando disponível;
• confidencialidade;
• segregação de funções.

Poderemos receber solicitações de dados pessoais formuladas por autoridades públicas, policiais, administrativas ou judiciais.

Nesses casos, aplicamos os seguintes processos:

• análise obrigatória da legitimidade de cada solicitação, incluindo a competência da autoridade e o fundamento legal invocado;
• exigência de instrumento formal e válido, não sendo atendidos pedidos informais;
• contestação das solicitações consideradas ilegais, abusivas ou excessivas, pelos meios cabíveis;
• minimização, divulgando apenas o mínimo de informação necessária para atender ao pedido;
• registro interno da solicitação, contendo data, autoridade solicitante, objeto, fundamentação jurídica, resposta dada e pessoas envolvidas.

Quando a solicitação envolver dados tratados em nome do Cliente, ele será informado, salvo quando a comunicação for vedada por lei ou por ordem judicial.

O titular será notificado sempre que a legislação permitir.

Todas as pessoas autorizadas a acessar dados pessoais deverão estar sujeitas a dever de confidencialidade legal, contratual ou funcional.

Os dados somente poderão ser utilizados:

• para o atendimento;
• para suporte técnico;
• para segurança;
• para cumprimento de obrigação legal;
• para execução das atividades autorizadas.

A obrigação de confidencialidade permanecerá após o encerramento do vínculo da pessoa autorizada com a Natario Labs.

A Natario Labs adotará medidas técnicas, administrativas e organizacionais compatíveis com a natureza dos dados e os riscos do tratamento.

As medidas poderão incluir:

• criptografia em trânsito por HTTPS ou TLS;
• criptografia em repouso fornecida pelos provedores;
• segregação lógica dos dados;
• Row Level Security - RLS;
• controle de acesso baseado em funções;
• autenticação de usuários;
• restrição de privilégios;
• gestão de credenciais;
• armazenamento protegido de segredos;
• validação de webhooks;
• proteção de endpoints;
• registros de acesso;
• monitoramento técnico;
• atualização de componentes;
• backups;
• procedimentos de resposta a incidentes;
• revisão periódica das permissões;
• exclusão de acessos desnecessários;
• confidencialidade dos colaboradores e prestadores.

As medidas poderão ser atualizadas para acompanhar mudanças tecnológicas, novos riscos e alterações na operação.

Nenhum sistema conectado à internet é absolutamente imune a falhas, ataques ou incidentes.

Os dados armazenados no Supabase deverão ser protegidos por mecanismos de segregação lógica.

Entre os controles utilizados está o Row Level Security - RLS, destinado a restringir o acesso às informações de acordo com as permissões atribuídas.

Credenciais, tokens e segredos técnicos deverão:

• permanecer em ambiente privado;
• ser acessados apenas por funções autorizadas do servidor;
• não ser expostos no navegador;
• não ser incluídos em repositórios públicos;
• ser substituídos em caso de suspeita de comprometimento.

O banco de dados principal utilizado pelo BioZap por meio do Supabase está hospedado em infraestrutura localizada em São Paulo, Brasil.

O armazenamento principal no Brasil não impede que determinadas operações necessárias ao funcionamento da Plataforma envolvam processamento ou transferência internacional de dados.

A Natario Labs utiliza os suboperadores abaixo para prestar o serviço ao Cliente. Nenhum deles recebe os dados para publicidade ou venda.

Finalidades:

• hospedagem do banco de dados;
• gerenciamento das informações;
• autenticação, quando aplicável;
• armazenamento da base de conhecimento;
• armazenamento das conversas;
• armazenamento das configurações;
• armazenamento privado das fotos, dos vídeos, dos documentos e das mensagens de voz que os usuários autorizados enviam ao cliente final, só até o envio, conforme a cláusula 28.

Localização principal:

• São Paulo, Brasil.

Finalidade:

• processamento das informações necessárias para geração das respostas automatizadas.

Dados envolvidos:

• mensagem enviada pelo cliente final;
• contexto necessário da conversa;
• instruções configuradas pelo Cliente;
• trechos relevantes da base de conhecimento.

Não recebe o texto dos comentários do Instagram nem os arquivos que os usuários autorizados enviam ao cliente final.

Os dados não serão utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Finalidades:

• transmissão das mensagens;
• recebimento das mensagens;
• entrega das mensagens;
• funcionamento da WhatsApp Business Platform;
• mensagens diretas do Instagram, quando o Cliente conecta a conta profissional;
• comentários dos posts e reels dessa conta, respostas no comentário, ocultação e mensagem no direct de quem comentou, quando o Cliente concede a permissão de comentários;
• entrega das fotos, dos vídeos, dos documentos e das mensagens de voz que os usuários autorizados enviam ao cliente final pela conversa.

Dados envolvidos:

• número de telefone;
• identificadores do WhatsApp e do Instagram;
• nome de perfil e @usuário do Instagram;
• conteúdo das mensagens;
• fotos, vídeos, documentos e mensagens de voz enviados pelos usuários autorizados; no WhatsApp, a Meta guarda o arquivo enviado por 30 dias;
• texto dos comentários e das respostas no comentário;
• identificadores dos comentários e das publicações comentadas;
• metadados de mensageria.

Quando o Cliente conecta um número que continua no app WhatsApp Business (coexistência), a Meta também entrega ao BioZap as mensagens que a equipe envia pelo app, os contatos salvos no app e, se o Cliente autorizar, o histórico das conversas dos últimos 180 dias, tratados como as demais conversas.

Finalidades:

• hospedagem da aplicação;
• execução de funções;
• processamento de requisições técnicas;
• disponibilização do painel e dos endpoints.

As funções da aplicação são executadas na região de São Paulo, Brasil.

Finalidade:

• transcrição de mensagens de áudio (voz para texto), quando o cliente final envia um áudio;
• voz das respostas do assistente (texto para voz), quando o Cliente liga a resposta em áudio.

Dados envolvidos:

• arquivo de áudio enviado pelo cliente final;
• texto da resposta do assistente, quando ela sai em áudio.

Localização principal:

• Estados Unidos.

Uso para treinamento:

• os dados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Finalidade:

• cobrança da assinatura do BioZap.

Dados envolvidos:

• e-mail do usuário que contrata, identificador da Organização e plano escolhido;
• dados do cartão, digitados diretamente na página de pagamento do Stripe.

O Stripe não recebe o conteúdo das conversas nem dados dos clientes finais. Para esses dados de cobrança, a Natario Labs é controladora, conforme a Política de Privacidade.

Finalidade:

• entrega das notificações de mensagem nova aos usuários autorizados que usam o aplicativo do BioZap no celular.

Dados envolvidos:

• o código de notificação do aparelho;
• o título e o texto da notificação: o nome da Organização, o nome ou o número do cliente final e o começo da mensagem recebida, com até 140 letras.

A Expo repassa a notificação ao serviço de notificações do Google, no Android, e ao da Apple, no iPhone, que a entregam ao aparelho. As notificações no navegador vão pelo serviço de notificações do próprio navegador, como o do Google, o da Apple ou o da Mozilla, com o mesmo conteúdo. Esses serviços recebem o conteúdo da notificação só para entregá-la.

Finalidade:

• cobrança da assinatura contratada pelo aplicativo do BioZap, feita pela App Store ou pelo Google Play.

Dados envolvidos:

• identificador da Organização, plano, valor, datas e identificador da compra informados pela loja.

A loja processa o pagamento com os dados da conta de quem compra, que a Natario Labs não recebe. A RevenueCat e as lojas não recebem o conteúdo das conversas nem dados dos clientes finais. Para esses dados de cobrança, a Natario Labs é controladora, conforme a Política de Privacidade.

Poderão ser utilizados fornecedores de:

• autenticação;
• segurança;
• monitoramento;
• e-mail transacional;
• suporte;
• armazenamento;
• continuidade de negócios.

A contratação de fornecedor não autoriza o uso dos dados para finalidades incompatíveis com a prestação do serviço.

Quando o Cliente conecta a própria agenda do Google, a Natario Labs, em nome do Cliente, consulta a disponibilidade da agenda e cria nela os eventos dos horários marcados no atendimento, com o nome, o número de WhatsApp e o serviço informados pelo cliente final. O Google atua como fornecedor do próprio Cliente, nos termos do contrato entre o Cliente e o Google, e não como suboperador contratado pela Natario Labs.

A Natario Labs não lê o conteúdo dos eventos da agenda do Cliente: recebe só os intervalos ocupados e os eventos que o próprio assistente criou. Com o lembrete automático ligado pelo Cliente, guarda o dia e a hora desses eventos e o cliente final a quem pertencem, para enviar o lembrete em nome do Cliente. A chave de acesso fica em área restrita do banco de dados e é apagada, com pedido de revogação ao Google, quando o Cliente desconecta a agenda.

Com o Google Agenda de quem atende ligado pelo Cliente, cada pessoa que atende conecta a própria conta do Google, e a Natario Labs, em nome do Cliente, consulta só os intervalos ocupados da agenda principal dela e cria, muda e apaga nela apenas os eventos dos horários marcados para ela no BioZap, com o dia e a hora, o serviço, o nome e o número de WhatsApp do cliente final. A chave de acesso de cada pessoa fica em área restrita do banco de dados e é apagada quando o Cliente a desliga.

Quando o Cliente cria uma chave da API ou cadastra um webhook, a Natario Labs, em nome do Cliente, entrega ao sistema que ele escolheu os dados que esse sistema pede pela API ou os avisos dos eventos escolhidos, que podem incluir nome, telefone, etiquetas, etapa do funil, observações e o conteúdo das mensagens dos clientes finais. Esses sistemas são fornecedores do próprio Cliente, nos termos dos contratos entre o Cliente e cada um deles, e não suboperadores contratados pela Natario Labs.

A Natario Labs guarda da chave apenas uma impressão que não permite recuperá-la, assina cada aviso com o segredo do webhook, guardado em área restrita do banco de dados, e mantém os avisos por até 7 dias, para novas tentativas de entrega e conferência. O Cliente pode revogar a chave e apagar o webhook a qualquer momento.

Finalidade:

• cópia da voz que o Cliente grava no painel, quando usa a voz própria nas respostas em áudio;
• voz das respostas do assistente (texto para voz) com essa cópia.

Dados envolvidos:

• gravação da voz da pessoa autorizada pelo Cliente, enviada uma vez para criar a cópia e não guardada pelo BioZap;
• texto da resposta do assistente, quando ela sai em áudio com a voz própria.

Localização principal:

• Estados Unidos.

A cópia da voz fica na HeyGen até o Cliente apagá-la no painel ou excluir a conta.

A classificação de cada fornecedor como operador, suboperador ou controlador independente dependerá:

• da atividade efetivamente realizada;
• das decisões tomadas pelo fornecedor;
• das finalidades do tratamento;
• dos contratos aplicáveis;
• da legislação aplicável.

Quando o fornecedor atuar como operador ou suboperador, a Natario Labs deverá buscar estabelecer obrigações relacionadas a:

• confidencialidade;
• segurança;
• limitação de finalidade;
• resposta a incidentes;
• eliminação ou devolução de dados;
• cooperação;
• observância da legislação.

Quando o fornecedor atuar como controlador independente, seu tratamento estará sujeito às respectivas políticas, contratos e responsabilidades legais.

A Natario Labs poderá substituir ou contratar novos suboperadores quando necessário para:

• melhorar a Plataforma;
• garantir continuidade;
• aumentar a segurança;
• incluir funcionalidades;
• reduzir riscos;
• atender a exigências legais ou técnicas.

Antes da contratação, deverá ser considerada a adequação do suboperador ao tipo de dado e ao risco da operação.

Alterações relevantes deverão ser refletidas na Política de Privacidade e nos registros internos aplicáveis.

A lista vigente de suboperadores é a desta página, identificada pela data da última atualização. A inclusão ou substituição de suboperador que receba dados de clientes finais será comunicada ao Cliente com antecedência razoável, por aviso no painel ou por e-mail. O Cliente que discordar poderá cancelar a assinatura e encerrar a conta, sem multa, conforme os Termos de Uso.

Determinadas operações poderão envolver processamento ou transferência internacional de dados, especialmente por meio:

• da Anthropic;
• da OpenAI (transcrição de áudio e voz das respostas);
• da HeyGen (voz própria nas respostas em áudio);
• da Meta;
• do WhatsApp;
• da Vercel;
• do Stripe, na cobrança da assinatura;
• de outros fornecedores internacionais de tecnologia.

As transferências internacionais deverão observar:

• os arts. 33 a 36 da LGPD;
• a regulamentação da ANPD;
• os contratos aplicáveis;
• os princípios da finalidade, necessidade, transparência e segurança.

Poderão ser utilizados, conforme o caso:

• cláusulas-padrão contratuais aprovadas pela ANPD;
• cláusulas-padrão equivalentes reconhecidas pela ANPD;
• cláusulas contratuais específicas;
• normas corporativas globais;
• decisões de adequação;
• execução de contrato;
• outras hipóteses legalmente admitidas.

A existência de transferência internacional não autoriza o fornecedor a utilizar os dados para finalidade própria incompatível.

Pedidos relacionados às conversas mantidas com o Cliente devem ser dirigidos preferencialmente ao próprio Cliente, que é o controlador. Se chegarem à Natario Labs, ela identificará o Cliente responsável, encaminhará o pedido e o auxiliará tecnicamente, sem eliminar, alterar ou fornecer os dados sem autorização do Cliente, salvo obrigação legal ou ordem válida de autoridade competente.

O titular poderá solicitar, nos limites da legislação:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização de dados desnecessários ou excessivos;
• bloqueio;
• eliminação;
• portabilidade, quando regulamentada e tecnicamente aplicável;
• informação sobre compartilhamentos;
• informação sobre a possibilidade de negar consentimento;
• revogação do consentimento;
• oposição ao tratamento irregular;
• revisão de decisão automatizada;
• petição perante a ANPD;
• reclamação perante os órgãos de defesa do consumidor.

As solicitações dirigidas à Natario Labs poderão ser encaminhadas para:

E-mail de privacidade: contato@natariolabs.com.br

Canal do encarregado: contato@natariolabs.com.br

A Natario Labs poderá solicitar informações adicionais para confirmar a identidade do solicitante e evitar fraude ou divulgação indevida.

As solicitações deverão ser:

• registradas;
• analisadas;
• classificadas;
• respondidas dentro do prazo legal aplicável;
• documentadas para fins de prestação de contas.

A resposta poderá ser limitada quando:

• houver obrigação legal de conservação;
• o pedido envolver direitos de terceiros;
• não for possível confirmar a identidade do solicitante;
• houver risco à segurança;
• o pedido for manifestamente abusivo;
• existir outra limitação prevista em lei.

Os dados serão mantidos somente pelo período necessário para:

• realizar o atendimento;
• manter o histórico necessário;
• cumprir a finalidade informada;
• atender a obrigações legais;
• prevenir fraudes;
• investigar incidentes;
• exercer regularmente direitos;
• cumprir ordem de autoridade.

A retenção não deverá exceder o necessário para a finalidade correspondente.

Os prazos ordinários de conservação das conversas são definidos pelo Cliente. Ao fim do contrato, os dados dos sistemas ativos serão eliminados, devolvidos ou disponibilizados para exportação, conforme os Termos de Uso e a Política de Privacidade.

As fotos, os vídeos, os documentos e as mensagens de voz que os usuários autorizados enviam ao cliente final ficam no armazenamento privado do BioZap só até o envio e são apagados logo depois do envio. Se o envio não acontecer, a faxina automática, que roda uma vez por dia, apaga todo arquivo guardado ali há mais de uma hora. No WhatsApp, a Meta guarda o arquivo enviado por 30 dias; no Instagram, o BioZap não guarda cópia do arquivo. O registro do envio na conversa segue o prazo das conversas.

Após o recebimento, a validação e a instrução do Cliente, os dados abrangidos por uma solicitação legítima de exclusão serão removidos dos sistemas ativos do BioZap em até 24 horas.

O prazo de 24 horas será contado após:

• confirmação da identidade do solicitante, quando necessária;
• identificação dos dados abrangidos;
• validação da legitimidade do pedido;
• instrução do Cliente, quando o pedido vier do cliente final;
• confirmação de que não existe obrigação legal de conservação.

O pedido de exclusão que o Cliente faz no próprio Instagram, para os dados enviados ao BioZap pela conta conectada, vale como instrução do Cliente: a conexão da conta, as conversas e mensagens do Instagram recebidas por ela, os comentários recebidos por ela, as respostas automáticas criadas só para essa conta e os contatos do Instagram que ficarem sem conversa são apagados em até 24 horas, e o Instagram recebe um código de confirmação e o endereço da página de status do pedido.

A exclusão poderá ser total ou parcial.

A conservação poderá ocorrer quando necessária para:

• cumprimento de obrigação legal ou regulatória;
• exercício regular de direitos;
• prevenção a fraudes;
• investigação de incidentes;
• cumprimento de ordem de autoridade;
• outras hipóteses previstas no art. 16 da LGPD.

Os dados mantidos por obrigação legal permanecerão protegidos e não serão utilizados para finalidade incompatível.

A Natario Labs realiza backups para fins de:

• continuidade do serviço;
• recuperação de falhas;
• segurança;
• recuperação de desastre.

Após a exclusão dos sistemas ativos, determinados dados poderão permanecer temporariamente em cópias de segurança protegidas.

Os backups serão sobrescritos ou eliminados ao final do respectivo ciclo técnico de retenção.

Enquanto permanecerem em backups, os dados:

• não serão utilizados para atendimentos ordinários;
• não serão utilizados para publicidade;
• não serão utilizados para análise comercial;
• não serão utilizados para treinamento de inteligência artificial;
• terão acesso restrito;
• somente poderão ser utilizados para recuperação de falha ou desastre;
• deverão ser novamente submetidos aos registros de exclusão em caso de restauração.

O prazo de exclusão de até 24 horas refere-se aos sistemas ativos e não representa eliminação imediata das cópias de segurança.

Caso seja necessário restaurar um backup, a Natario Labs deverá:

• restringir a restauração ao necessário;
• registrar o procedimento;
• controlar os acessos;
• verificar os pedidos de exclusão realizados após a data do backup;
• reaplicar as exclusões pendentes;
• evitar a reativação indevida de dados eliminados.

Ao identificar possível incidente de segurança, a Natario Labs deverá:

• conter o evento;
• preservar evidências;
• avaliar os sistemas afetados;
• identificar as categorias de dados;
• estimar os titulares afetados;
• avaliar os riscos;
• documentar as medidas adotadas;
• corrigir vulnerabilidades;
• considerar a necessidade de comunicação.

O incidente deverá ser registrado mesmo quando não houver obrigação de comunicação à ANPD ou aos titulares.

Quando a Natario Labs identificar incidente de segurança envolvendo dados tratados em nome do Cliente, comunicará o Cliente sem demora injustificada, com as informações disponíveis listadas abaixo, e cooperará com a investigação.

A comunicação à ANPD e aos titulares cabe, como regra, ao Cliente controlador, quando o incidente puder acarretar risco ou dano relevante.

Quando o incidente envolver dados dos quais a Natario Labs é controladora, ela fará a comunicação à ANPD e aos titulares no prazo regulamentar aplicável.

A comunicação deverá conter, conforme as informações disponíveis:

• descrição da natureza do incidente;
• categorias de dados afetados;
• categorias e quantidade estimada de titulares;
• medidas técnicas e de segurança utilizadas;
• riscos relacionados ao incidente;
• medidas adotadas ou planejadas;
• informações de contato do encarregado;
• justificativa em caso de comunicação incompleta ou realizada em etapas.

Informações complementares poderão ser fornecidas posteriormente, conforme o avanço da investigação.

Em caso de incidente, deverão ser adotadas medidas razoáveis para:

• preservar logs;
• preservar registros;
• evitar alteração indevida de evidências;
• documentar decisões;
• identificar responsáveis pelas ações de resposta;
• cooperar com autoridades;
• permitir investigação posterior.

A preservação deverá observar os princípios da necessidade, segurança e limitação de acesso.

O Cliente avaliará a necessidade de elaborar Relatório de Impacto à Proteção de Dados Pessoais, especialmente quando:

• houver tratamento de alto risco;
• houver tratamento relevante de dados sensíveis;
• houver utilização de tecnologia inovadora;
• houver decisão automatizada relevante;
• a ANPD determinar;
• o contexto da operação justificar avaliação formal de riscos.

A Natario Labs fornecerá as informações técnicas necessárias sobre as operações que realiza em nome dele.

O relatório poderá conter:

• descrição das operações;
• finalidades;
• bases legais;
• categorias de dados;
• categorias de titulares;
• riscos;
• medidas de mitigação;
• fornecedores;
• transferências internacionais;
• prazos de retenção;
• procedimentos de segurança.

Caso o atendimento do Cliente envolva crianças ou adolescentes, deverá ser observado seu melhor interesse.

Nesse caso, caberá ao Cliente:

• utilizar base legal adequada;
• fornecer informações claras e acessíveis;
• limitar a coleta ao necessário;
• adotar segurança reforçada;
• avaliar a participação dos pais ou responsáveis;
• evitar práticas manipulativas;
• impedir exploração comercial indevida;
• não realizar perfilamento incompatível com os direitos de menores.

Quando utilizado consentimento para tratamento de dados de crianças, ele deverá ser específico, destacado e fornecido por pelo menos um dos pais ou responsável legal, conforme aplicável.

A Natario Labs deverá manter registros compatíveis com o porte e o risco de sua operação, incluindo, quando aplicável:

• finalidades;
• bases legais;
• categorias de dados;
• categorias de titulares;
• fornecedores;
• transferências internacionais;
• prazos de retenção;
• medidas de segurança;
• solicitações dos titulares;
• incidentes;
• decisões sobre conservação e exclusão;
• avaliações de risco.

A Natario Labs poderá realizar revisões periódicas para verificar:

• funcionamento dos controles de acesso;
• adequação das permissões;
• segurança das credenciais;
• configuração do RLS;
• proteção dos webhooks;
• conformidade dos fornecedores;
• retenção dos dados;
• funcionamento das exclusões;
• restauração de backups;
• atualização das políticas;
• cumprimento das regras de inteligência artificial.

As irregularidades identificadas deverão resultar em medidas corretivas proporcionais ao risco.

Mediante solicitação escrita, a Natario Labs fornecerá ao Cliente as informações necessárias para demonstrar o cumprimento deste DPA.

A Natario Labs deverá ser capaz de demonstrar:

• adoção de medidas de segurança;
• limitação das finalidades;
• respeito aos direitos dos titulares;
• avaliação dos fornecedores;
• controle das transferências internacionais;
• existência de procedimentos de exclusão;
• resposta adequada a incidentes;
• uso responsável da inteligência artificial;
• documentação das decisões relevantes.

A existência deste DPA não substitui a aplicação prática das medidas nele previstas.

A Natario Labs responderá pelo tratamento realizado em violação à LGPD quando:

• descumprir obrigação legal;
• tratar dados para finalidade incompatível;
• deixar de observar medidas de segurança adequadas;
• utilizar dados sem base legal;
• descumprir os direitos dos titulares;
• utilizar dados em desconformidade com suas próprias políticas;
• realizar tratamento discriminatório ilegal;
• causar dano patrimonial, moral, individual ou coletivo, nos termos da legislação.

Nos termos do art. 42, § 1º, I, da LGPD, a Natario Labs responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou não seguir as instruções lícitas do Cliente.

A responsabilidade será avaliada conforme:

• o dano;
• o nexo causal;
• a conduta praticada;
• as medidas preventivas adotadas;
• a legislação aplicável;
• os arts. 42 a 45 da LGPD.

Nenhuma disposição deste documento exclui responsabilidade que não possa ser afastada por lei.

O encarregado pelo tratamento de dados pessoais é Thiago Natario, formalmente designado pela Natario Labs.

O encarregado deverá atuar como canal de comunicação entre:

• a Natario Labs;
• os titulares;
• a ANPD.

Entre suas atribuições estão:

• receber reclamações;
• receber solicitações dos titulares;
• prestar esclarecimentos;
• adotar ou encaminhar providências;
• receber comunicações da ANPD;
• orientar administradores, colaboradores e prestadores;
• apoiar a revisão das políticas;
• auxiliar na documentação das operações;
• acompanhar incidentes;
• recomendar medidas de proteção de dados.

O encarregado deverá comunicar eventual situação que possa comprometer sua objetividade ou seu julgamento técnico.

A Natario Labs deverá avaliar possíveis conflitos de interesses relacionados à atuação do encarregado.

Caso seja identificado conflito capaz de comprometer a objetividade ou o julgamento técnico, deverão ser adotadas medidas como:

• separação de atribuições;
• revisão por terceiro;
• documentação da decisão;
• designação de apoio;
• substituição do encarregado, quando necessária.

Este DPA poderá ser atualizado para refletir:

• alterações legais;
• regulamentações da ANPD;
• mudanças técnicas;
• novos suboperadores;
• novas funcionalidades;
• alteração das finalidades;
• mudanças na inteligência artificial;
• aprimoramento das medidas de segurança.

A versão vigente deverá indicar a data da última atualização.

Alterações relevantes deverão ser refletidas também, quando aplicável:

• na Política de Privacidade;
• nos Termos de Uso;
• nos registros de tratamento;
• nos avisos apresentados aos titulares.

Em caso de conflito relacionado à proteção de dados pessoais, prevalece este DPA, seguido da Política de Privacidade e dos Termos de Uso.

Este DPA vale a partir da data da última atualização, enquanto o Cliente mantiver conta no BioZap e enquanto houver dados tratados em seu nome.

As obrigações de confidencialidade, segurança, retenção legal e responsabilidade continuam após o encerramento, enquanto houver dados conservados.

Este DPA será regido pelas leis da República Federativa do Brasil, especialmente:

• Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais;
• Lei nº 12.965/2014 - Marco Civil da Internet;
• Código Civil;
• regulamentação da ANPD;
• demais normas aplicáveis.

Para controvérsias relacionadas a este DPA, fica eleito o foro da Comarca da Capital do Estado do Rio de Janeiro, ressalvadas:

• competências legais obrigatórias;
• direitos dos titulares;
• competências administrativas da ANPD;
• regras de foro aplicáveis às relações de consumo.

Natario Labs Desenvolvimento de Programas Ltda.

CNPJ nº 67.312.898/0001-04

Endereço: Av. Epitácio Pessoa, 2990, ap. 703, Lagoa, Rio de Janeiro/RJ

E-mail de contato e privacidade: contato@natariolabs.com.br

Encarregado pelo Tratamento de Dados Pessoais:

Thiago Natario

Canal do encarregado:

contato@natariolabs.com.br

Operadora:

Natario Labs Desenvolvimento de Programas Ltda., CNPJ 67.312.898/0001-04.

Controladora:

A empresa-cliente titular da Organização.

Produto:

BioZap.

Natureza do documento:

Acordo de tratamento de dados integrado aos Termos de Uso.

Titulares:

Clientes, pacientes, potenciais clientes e demais pessoas que conversem com o Cliente pelo WhatsApp, pelo Instagram ou pelo chat no site do Cliente, ou que comentem nos posts e reels da conta do Instagram conectada.

Dados tratados:

Número de telefone, identificador do WhatsApp, identificador e @usuário do Instagram, nome de perfil, mensagens, fotos, vídeos, documentos e mensagens de voz enviados pela equipe do Cliente, comentários do Instagram com os identificadores do comentário e da publicação comentada, respostas no comentário, identificador do navegador do visitante do chat no site e impressão do endereço de rede dele, histórico, metadados, etiquetas, observações, registros de consentimento e dados fornecidos voluntariamente.

Dados sensíveis:

Podem incluir dados de saúde, medicamentos, sintomas, exames, informações genéticas e outros dados sensíveis fornecidos pelo cliente final.

Finalidades:

Atendimento, suporte, geração de respostas, organização das conversas, atendimento humano, histórico e segurança.

Banco de dados principal:

Supabase, hospedado em São Paulo, Brasil.

Fotos e documentos enviados pela equipe do Cliente:

Armazenamento privado no Supabase, em São Paulo, só até o envio; no WhatsApp, a Meta guarda o arquivo enviado por 30 dias; no Instagram, sem cópia no BioZap.

Inteligência artificial:

API da Anthropic, que não recebe os comentários do Instagram nem os arquivos enviados pela equipe do Cliente.

Transcrição de áudio e voz das respostas:

OpenAI, nos Estados Unidos.

Voz própria nas respostas em áudio:

HeyGen, nos Estados Unidos.

Uso para treinamento:

Os dados enviados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Mensageria e comentários:

Meta (WhatsApp e Instagram).

Hospedagem da aplicação:

Vercel, com funções na região de São Paulo.

Cobrança da assinatura:

Stripe, sem dados de clientes finais.

Exclusão dos sistemas ativos:

Até 24 horas após a validação da solicitação legítima e a instrução do Cliente.

Backups:

Sobrescritos ou eliminados ao final do ciclo técnico de retenção.

Transferência internacional:

Pode ocorrer por meio da Anthropic, OpenAI, Meta, WhatsApp, Vercel, Stripe e outros fornecedores internacionais, conforme mecanismos admitidos pela LGPD e pela regulamentação da ANPD.

Encarregado:

Thiago Natario.

Canal do encarregado:

contato@natariolabs.com.br.

A Natario Labs mantém ou poderá manter as seguintes medidas:

• criptografia em trânsito;
• criptografia em repouso fornecida pelo provedor;
• isolamento lógico dos dados;
• Row Level Security - RLS;
• autenticação;
• controle de acesso por função;
• restrição de privilégios;
• gestão de usuários;
• armazenamento protegido de credenciais;
• validação de webhooks;
• proteção de endpoints;
• registros de eventos;
• monitoramento técnico;
• backups;
• processo de exclusão;
• reaplicação de exclusões após restauração;
• resposta a incidentes;
• revisão de fornecedores;
• dever de confidencialidade;
• limitação de acesso interno;
• atualização de componentes;
• revisão periódica das permissões.

Serviço:

• banco de dados;
• infraestrutura;
• armazenamento;
• armazenamento privado dos arquivos enviados pela equipe do Cliente, só até o envio;
• autenticação, quando aplicável.

Localização principal:

• São Paulo, Brasil.

Serviço:

• API de inteligência artificial.

Finalidade:

• geração de respostas automatizadas.

Tratamento:

• processamento da mensagem;
• contexto necessário;
• instruções;
• base de conhecimento pertinente.

Não recebe os comentários do Instagram nem os arquivos enviados pela equipe do Cliente.

Uso para treinamento:

• os dados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Serviço:

• transcrição de áudio (voz para texto) e voz das respostas em áudio (texto para voz).

Finalidade:

• transcrever mensagens de voz para gerar a resposta e, com a resposta em áudio ligada, transformar a resposta em voz.

Localização principal:

• Estados Unidos.

Uso para treinamento:

• os dados não são utilizados para treinamento, desenvolvimento ou melhoria dos modelos.

Serviço:

• WhatsApp Business Platform;
• mensagens diretas do Instagram, quando o Cliente conecta a conta profissional;
• comentários dos posts e reels dessa conta, quando o Cliente concede a permissão de comentários.

Finalidade:

• transmissão;
• recebimento;
• entrega das mensagens e dos arquivos enviados pela equipe do Cliente;
• recebimento dos comentários e envio das respostas a eles.

Serviço:

• hospedagem;
• execução da aplicação;
• processamento de requisições técnicas.

Localização das funções:

• São Paulo, Brasil.

Serviço:

• processamento de pagamentos.

Finalidade:

• cobrança da assinatura do BioZap.

Não recebe conteúdo das conversas nem dados de clientes finais.

Este DPA é aceito eletronicamente pelo Cliente na criação da conta e na utilização do BioZap, conforme a cláusula 4 dos Termos de Uso, e produz efeitos entre a Natario Labs e o Cliente a partir desse aceite.

NATARIO LABS DESENVOLVIMENTO DE PROGRAMAS LTDA.

CNPJ nº 67.312.898/0001-04

Responsável legal: Thiago Torres Natario