1. Identificação do agente de tratamento
A plataforma Doutora Marca é operada por ESTUDIO CRIATIVO CONSULTORIA E PROJETOS LTDA, nome fantasia E Se? Estudio Criativo, inscrita no CNPJ sob nº 54.837.892/0001-09, com sede na Rua Rio Grande do Norte, nº 1560, Sala 608, Bairro Savassi, Belo Horizonte - MG, CEP 30130-138, doravante "E Se Criativo" ou "Plataforma".
Encarregado pelo Tratamento de Dados Pessoais: dispensado, por ser a E Se Criativo agente de tratamento de pequeno porte (art. 11 da Resolução CD/ANPD nº 2/2022)
Canal de atendimento ao titular: contato@esecriativo.com.br
2. A quem esta Política se aplica
Esta Política descreve como a Doutora Marca trata dados pessoais de:
- Titulares-contatos — pessoas naturais que enviam mensagens às empresas contratantes por WhatsApp ou Instagram Direct;
- Usuários da Plataforma — empregados, prepostos e consultores afiliados autorizados a operar o painel em nome de uma empresa contratante, e integrantes da equipe da Plataforma;
- Representantes legais e contatos comerciais das empresas contratantes.
A Doutora Marca é uma plataforma de uso empresarial (B2B). Não é serviço aberto ao consumidor final e não se destina à contratação direta por pessoas naturais na condição de consumidoras.
3. Definições
Para os fins desta Política, aplicam-se as definições do art. 5º da Lei nº 13.709/2018 (LGPD), em especial: dado pessoal, dado pessoal sensível, titular, controlador, operador, tratamento, consentimento, anonimização e autoridade nacional.
4. Papéis no tratamento de dados
4.1. Em relação aos dados dos titulares-contatos (item 5.1) e aos dados de medição de audiência das empresas contratantes (item 5.3), a empresa contratante atua como controladora (art. 5º, VI, da LGPD) e a E Se Criativo atua como operadora (art. 5º, VII), realizando o tratamento em nome da contratante e segundo as instruções lícitas dela (art. 39), na medida em que:
- a empresa contratante decide as finalidades do tratamento e seus elementos essenciais: o atendimento comercial, o conteúdo do roteiro autorizado, os critérios de qualificação de contatos, as campanhas que deseja veicular, as categorias de dados e o tempo em que deseja mantê-los;
- a E Se Criativo executa essas instruções e decide apenas sobre os meios técnicos e organizacionais não essenciais: a arquitetura da Plataforma, as salvaguardas de segurança da informação e o funcionamento técnico do assistente de inteligência artificial dentro do roteiro aprovado.
4.2. As obrigações da empresa contratante e da E Se Criativo nessa relação constam do contrato de tratamento de dados pessoais firmado entre as partes, que dispõe sobre o objeto e a duração do tratamento, as instruções da controladora, a contratação de suboperadores, as medidas de segurança, a comunicação de incidentes, a assistência ao atendimento de requisições de titulares, o registro das operações (art. 37) e a devolução ou eliminação dos dados ao término do contrato. O contrato é disponibilizado à autoridade nacional mediante requisição.
4.3. A E Se Criativo atua como controladora dos dados pessoais dos usuários da Plataforma (item 5.2) e dos dados de navegação e uso do painel, tratados para autenticação, controle de acesso, segurança, auditoria, suporte e funcionamento e melhoria técnica do serviço.
4.4. Como operadora, a E Se Criativo não utiliza os dados dos titulares-contatos para finalidade própria nem os compartilha para fins diversos dos instruídos pela empresa contratante.
5. Dados pessoais tratados
5.1. Dados de titulares-contatos (a E Se Criativo atua como operadora)
- Dados de identificação e contato: nome, nome de usuário, número de telefone, identificador de conta em plataforma de mensageria, endereço de e-mail, quando informado;
- Conteúdo das mensagens: texto, arquivos, imagens e áudios enviados nos canais de atendimento da empresa contratante;
- Dados de contexto comercial: produto ou serviço de interesse, histórico de interações, etapa do funil de vendas, responsável pelo atendimento, próxima ação registrada;
- Metadados: data, hora, canal de origem e status de entrega das mensagens.
5.2. Dados de usuários da Plataforma (a E Se Criativo atua como controladora)
- Nome, endereço de e-mail e identificador da conta Google utilizada no login;
- Perfil de acesso, permissões atribuídas e registros de ações realizadas no painel;
- Fator adicional de autenticação, quando aplicável ao perfil;
- Registros de acesso, com data, hora e endereço IP, mantidos pelo serviço de autenticação, para segurança e para cumprir o art. 15 do Marco Civil da Internet.
5.3. Dados de medição de audiência (a E Se Criativo atua como operadora)
Dados agregados e identificadores de sessão provenientes do Google Analytics e do Google Search Console, conforme as configurações de coleta definidas pela empresa contratante.
5.4. Dados sensíveis
A Plataforma não solicita dados pessoais sensíveis (art. 5º, II, da LGPD). Caso o titular os informe espontaneamente no corpo de uma mensagem, tais dados serão tratados apenas para viabilizar o atendimento solicitado e não serão utilizados para qualquer finalidade diversa.
6. Finalidades e bases legais
Nos tratamentos em que a E Se Criativo é operadora, a base legal é a da empresa contratante, controladora, e a E Se Criativo trata os dados conforme as instruções dela. Nos tratamentos em que a E Se Criativo é controladora, a base legal é a indicada abaixo.
| Finalidade | Dados envolvidos | Controlador | Base legal |
|---|---|---|---|
| Receber e organizar mensagens de atendimento nos canais da empresa contratante | Identificação, conteúdo, metadados | Empresa contratante | Execução de contrato ou procedimentos preliminares (art. 7º, V) |
| Registrar e acompanhar contatos como oportunidades comerciais no funil | Identificação, contexto comercial | Empresa contratante | Legítimo interesse (art. 7º, IX), observados os direitos do titular |
| Operar o assistente de inteligência artificial dentro do roteiro aprovado | Conteúdo das mensagens | Empresa contratante | Execução de contrato (art. 7º, V) |
| Encaminhar a atendimento humano os assuntos fora do roteiro | Conteúdo, identificação | Empresa contratante | Execução de contrato (art. 7º, V) |
| Criar, propor e acompanhar campanhas publicitárias | Dados de conta e de público, conforme plataformas de anúncio | Empresa contratante | Execução de contrato (art. 7º, V) |
| Produzir relatórios de audiência do site | Dados de medição | Empresa contratante | Legítimo interesse (art. 7º, IX) |
| Autenticar usuários e controlar permissões de acesso | Dados de usuário | E Se Criativo | Execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II) |
| Registrar ações para auditoria e segurança da informação | Logs, identificadores | E Se Criativo | Cumprimento de obrigação legal e regulatória (art. 7º, II) e legítimo interesse (art. 7º, IX) |
| Atender requisições de titulares e da autoridade nacional | Todos os necessários | Quem controla o dado em questão | Cumprimento de obrigação legal (art. 7º, II) |
6.1. O tratamento fundado em legítimo interesse observa o teste de balanceamento documentado pelo respectivo controlador e pode ser objeto de oposição pelo titular, nos termos do art. 18, § 2º, da LGPD.
7. Como o assistente de inteligência artificial trata dados
7.1. O assistente de IA responde mensagens exclusivamente dentro de roteiro previamente aprovado pela empresa contratante e pela equipe da Plataforma, em aprovação em dupla, por pessoas distintas.
7.2. Temas como preço, prazo, condições comerciais e qualquer assunto não previsto no roteiro são encaminhados a uma pessoa da equipe de atendimento, e o assistente interrompe a atuação naquele contato.
7.3. Cada resposta gerada é registrada com identificação do contato, do roteiro aplicado e do momento da interação, para fins de auditoria, qualidade e defesa em eventual questionamento.
7.4. O conteúdo das mensagens é processado por provedor de modelos de linguagem (Anthropic), por meio de conta e chave de acesso dedicadas a cada empresa contratante, o que isola o consumo e o registro de uma empresa em relação às demais, exclusivamente para gerar a resposta no contexto do atendimento, vedado o uso para treinamento de modelos por parte do provedor, nos termos contratuais aplicáveis.
7.5. Não há decisões automatizadas que afetem os interesses do titular de forma definitiva: a qualificação de contatos e a condução comercial permanecem sob decisão humana da empresa contratante.
8. Dados obtidos de plataformas de terceiros
8.1. Dados obtidos das APIs do Google. A empresa contratante, por meio de usuário autorizado, pode conectar sua conta Google à Plataforma. Cada serviço é uma permissão separada, concedida de forma individual e revogável a qualquer tempo:
| Permissão (escopo) | Finalidade na Plataforma |
|---|---|
https://www.googleapis.com/auth/adwords (Google Ads) | Ler os dados da conta de anúncios da empresa (campanhas, anúncios e métricas), para acompanhar o desempenho e produzir relatórios. Nesta versão, a Plataforma não cria nem altera campanhas no Google Ads |
https://www.googleapis.com/auth/analytics.readonly (Google Analytics) | Ler, sem poder alterar, os dados de audiência do site da empresa para a produção de relatórios |
https://www.googleapis.com/auth/webmasters.readonly (Google Search Console) | Ler, sem poder alterar, os dados de desempenho de busca do site da empresa para a produção de relatórios |
openid e email | Identificar a conta Google que concedeu a permissão e exibi-la, de forma mascarada, no painel |
8.1.1. O uso e a transferência, a qualquer outro aplicativo, das informações recebidas das APIs do Google pela Doutora Marca observarão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.
8.1.2. Os dados obtidos do Google são usados somente para prestar à empresa contratante as funcionalidades descritas na tabela acima. Não são usados para exibir publicidade, nem vendidos ou transferidos a terceiros, salvo para viabilizar a própria funcionalidade com operadores listados no item 9, por exigência legal ou em caso de reorganização societária.
8.1.3. A equipe da Plataforma só lê os dados obtidos do Google nas hipóteses admitidas pelos requisitos de Uso Limitado: (a) com o consentimento expresso da empresa contratante para dados específicos; (b) quando necessário por razão de segurança, como a investigação de abuso; (c) para cumprir lei ou regulamento aplicável; ou (d) de forma agregada e anonimizada, para operações internas. Todo acesso é registrado para auditoria.
8.1.4. Ao desconectar um serviço do Google, a Plataforma deixa de usar o acesso a ele. Quando o último serviço Google da empresa é desconectado, a Plataforma solicita a revogação do acesso junto ao Google e elimina a credencial. A empresa contratante também pode revogar o acesso em sua conta Google, a qualquer tempo.
8.2. Dados obtidos da Meta (WhatsApp, Instagram e anúncios). A Plataforma acessa, por APIs oficiais e em nome da empresa contratante: (a) as mensagens recebidas e enviadas pelo número de WhatsApp Business que a empresa conectou (permissões whatsapp_business_messaging e whatsapp_business_management); (b) as mensagens da conta profissional de Instagram que a empresa conectou, o perfil público e o nome de usuário do contato, na medida necessária ao atendimento (permissões instagram_basic e instagram_manage_messages); (c) a conta de anúncios da empresa, para criar e acompanhar campanhas (permissões ads_read e ads_management); e (d) os ativos da empresa no portfólio empresarial da Meta, para identificar e vincular o número, a conta e a página usados nas funções anteriores (permissão business_management). Esses dados são tratados conforme esta Política e os Termos de Plataforma da Meta, e usados exclusivamente para as finalidades do item 6.
9. Compartilhamento de dados
9.1. Os dados podem ser compartilhados com:
- a empresa contratante titular do canal de atendimento, na condição de controladora;
- suboperadores, contratados pela E Se Criativo e vinculados a obrigações de proteção equivalentes, estritamente para viabilizar a Plataforma: hospedagem da aplicação (Vercel), banco de dados e autenticação (Supabase), provedor de modelos de linguagem (Anthropic) e ferramentas de segurança e de observabilidade;
- plataformas de terceiros acessadas por APIs oficiais: WhatsApp Business Platform, Instagram e Meta Ads (Meta Platforms), Google Ads, Google Analytics, Google Search Console e login do Google;
- autoridades públicas, quando houver requisição legal, judicial ou administrativa fundamentada.
9.2. A E Se Criativo não comercializa dados pessoais e não os compartilha para finalidades alheias às descritas nesta Política.
9.3. Os dados de cada empresa contratante permanecem segregados dos dados das demais, por meio de controles de isolamento lógico.
10. Transferência internacional de dados
10.1. Alguns provedores de serviços podem tratar dados fora do território nacional. Nesses casos, a transferência observa os arts. 33 a 36 da LGPD, mediante cláusulas contratuais específicas, normas corporativas globais ou outra hipótese legal autorizativa, com avaliação de nível de proteção adequado.
10.2. O titular pode solicitar informações sobre as transferências que envolvam seus dados pelo canal indicado no item 1.
11. Segurança da informação
11.1. A Plataforma adota medidas técnicas e administrativas compatíveis com o estado da técnica, entre elas:
- autenticação por login do Google;
- verificação em duas etapas obrigatória para perfis administrativos e para a equipe da Plataforma;
- segregação lógica dos dados por empresa contratante;
- armazenamento de chaves de integração em cofre de segredos, com acesso restrito e auditado;
- registro de ações para fins de auditoria;
- princípio do menor privilégio na concessão de acessos.
11.2. Nenhum sistema é integralmente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a E Se Criativo comunicará a empresa contratante, sem demora, com a descrição da natureza dos dados afetados, dos titulares envolvidos, das medidas adotadas e dos riscos, para que a controladora avalie e faça a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, nos termos do art. 48 da LGPD. Quanto aos dados de que é controladora (item 4.3), a E Se Criativo fará essa comunicação diretamente.
12. Retenção e eliminação
12.1. Os dados são mantidos pelo tempo necessário ao cumprimento das finalidades desta Política, observados os prazos contratuais, legais e regulatórios aplicáveis.
12.2. Arquivos (imagens e documentos) enviados pelo titular em uma conversa são mantidos por até 180 (cento e oitenta) dias, e depois eliminados.
12.3. Encerrado o vínculo com a empresa contratante, o acesso da empresa é suspenso e a E Se Criativo providencia a revogação das credenciais de integração. Em regra, os dados vinculados à empresa são mantidos por até 120 (cento e vinte) dias, para eventual reativação da conta, e depois eliminados, em regra em até 90 (noventa) dias, ressalvadas as hipóteses de guarda obrigatória previstas no art. 16 da LGPD. A reativação, nesse período, depende de decisão da equipe da Plataforma.
12.4. Registros de acesso e logs de auditoria são mantidos pelo prazo mínimo exigido pela legislação aplicável, em especial o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).
13. Direitos do titular
13.1. Nos termos do art. 18 da LGPD, o titular pode requerer:
- confirmação da existência de tratamento;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- portabilidade, observados os segredos comercial e industrial;
- eliminação dos dados tratados com consentimento, ressalvadas as hipóteses de guarda obrigatória;
- informação sobre entidades com as quais houve compartilhamento;
- informação sobre a possibilidade de não fornecer consentimento e suas consequências;
- revogação do consentimento;
- oposição a tratamento fundado em legítimo interesse;
- revisão de decisões tomadas unicamente com base em tratamento automatizado;
- petição contra a E Se Criativo perante a Autoridade Nacional de Proteção de Dados.
13.2. As requisições podem ser dirigidas ao canal indicado no item 1. Quanto aos dados de que a E Se Criativo é controladora (item 4.3), ela as responderá nos prazos legais. Quanto aos dados dos titulares-contatos, o direito deve ser exercido perante a empresa contratante com a qual o titular se comunicou, que é a controladora; se a requisição chegar à E Se Criativo, esta a encaminhará à controladora, informará o titular e prestará a assistência técnica que a controladora solicitar.
13.3. A identificação do solicitante poderá ser exigida como medida de segurança, vedada a coleta de dados além do estritamente necessário à verificação.
15. Alterações desta Política
15.1. Esta Política pode ser atualizada para refletir mudanças legais, regulatórias, técnicas ou operacionais.
15.2. Alterações relevantes serão comunicadas com antecedência razoável, e a versão vigente permanecerá disponível com indicação de data e número de versão.
16. Legislação e foro
16.1. Esta Política é regida pela legislação brasileira, em especial pela Lei nº 13.709/2018 (LGPD) e pela Lei nº 12.965/2014 (Marco Civil da Internet).
16.2. Fica eleito o foro da comarca de Belo Horizonte (MG) para dirimir controvérsias.