Quem somos e como falar com a gente
A Secretária Certa oferece a negócios de serviço com hora marcada, como óticas, salões, banho e tosa e estética automotiva, uma secretária virtual no WhatsApp e um Painel para a equipe acompanhar as conversas.
- Responsável (controlador): Oliver Contador Digital Tecnologia LTDA, CNPJ 52.171.648/0001-24, Av. Pres. Juscelino Kubitschek, 1327, conj. 41, Vila Nova Conceição, São Paulo/SP, 04543-011.
- Encarregado pelo tratamento de dados pessoais (DPO): Roberto Sousa, pelo e-mail contato@secretariacerta.com.br.
O encarregado recebe pedidos e reclamações dos titulares, fala com a Autoridade Nacional de Proteção de Dados (ANPD) e orienta a equipe sobre proteção de dados (LGPD, art. 41).
O encarregado responde aos pedidos dos titulares em até 15 dias, pelo e-mail contato@secretariacerta.com.br.
Dois papéis diferentes
A LGPD (Lei 13.709/2018) separa quem decide sobre os dados (o controlador) de quem trata os dados em nome dele (o operador). A Secretária Certa ocupa um papel ou outro conforme a situação:
- Controlador: nos dados de quem visita este site, conversa com a Lara (o atendimento comercial) ou com as agentes de demonstração (Ana, Sofia, Helena e Isabela), e nos dados dos negócios que nos contratam.
- Operador: nos dados dos clientes que conversam com a secretária de um negócio cliente. Ali, o negócio é o controlador; nós tratamos os dados segundo as instruções dele (LGPD, art. 39).
Se você é cliente de um negócio que usa a Secretária Certa, a política de privacidade que vale para você é a do negócio. Os seus pedidos sobre esses dados devem ir para ele. Se chegarem a nós, encaminhamos ao negócio e ajudamos no que for preciso.
Dados que tratamos como controlador
Visitantes do site: o site não tem cadastro. Como todo serviço na internet, o servidor registra dados técnicos de acesso, como endereço IP, data e hora, página pedida e tipo de navegador.
Contagem de visitas: o Web Analytics da Cloudflare conta as visitas de forma agregada, sem cookies e sem guardar nada no seu navegador. Nós vemos apenas totais, por exemplo por página, país, site de origem e tipo de navegador.
Conversas com a Lara e com as agentes de demonstração no WhatsApp: número de telefone, nome do perfil do WhatsApp, o conteúdo das mensagens e a data e a hora de cada uma.
Ana, Sofia, Helena e Isabela são agentes de demonstração de negócios fictícios: a Ótica Bela Vista, o Salão da Vila, o Pet Amigo e a Auto Brilho. Elas não marcam horário nem registram compra ou pedido de verdade. Por favor, não envie a elas documentos, receitas de óculos ou outros dados pessoais reais.
Negócios clientes: nome e contato das pessoas responsáveis, dados da empresa, dados da contratação e do pagamento. Na contratação pelo site, o formulário pede nome, CPF ou CNPJ, e-mail e WhatsApp, usados para emitir a cobrança e a nota fiscal e para combinar a implantação.
Aceite dos termos na contratação: guardamos a versão aceita, a data e a hora, o tipo de navegador e um resumo criptográfico (hash) do endereço IP junto ao pedido, para comprovar o aceite. Esse registro é separado da contagem temporária de tentativas e segue o prazo dos dados do contrato, informado abaixo.
Para evitar abuso na contratação, usamos um resumo criptográfico (hash) do endereço IP de quem envia o pedido para limitar tentativas repetidas. Cada contagem vale por 10 minutos. Depois disso, ela deixa de ser usada e é apagada na próxima tentativa de contratação.
Dados dos clientes dos negócios clientes
Quando a secretária atende os clientes de um negócio, tratamos, em nome dele:
- nome, número de telefone e nome do perfil do WhatsApp;
- o conteúdo das mensagens, incluindo imagens, áudios e documentos que o cliente enviar;
- resumos do atendimento, para a equipe do negócio acompanhar e assumir a conversa;
- dados de agendamento, como profissional, serviço, data, horário, confirmações e cancelamentos;
- dados de cobrança e de pagamento, quando o negócio usa essa função;
- outros dados que o negócio configurar como necessários ao atendimento.
Usamos esses dados apenas para prestar o serviço contratado pelo negócio: responder, agendar, lembrar, cobrar e chamar a equipe quando preciso. Não usamos esses dados para fins próprios, não os vendemos e não os usamos para publicidade.
Dados sensíveis enviados pelo cliente
A Secretária Certa não é um serviço de saúde e não pede dados sensíveis. Mesmo assim, numa conversa com um negócio, o cliente pode enviar por conta própria um dado desse tipo, por exemplo a foto de uma receita de óculos mandada a uma ótica para orçamento, ou contar algo sobre a própria saúde.
Dado referente à saúde é dado pessoal sensível (LGPD, art. 5º, II) e só pode ser tratado nas hipóteses do art. 11. O negócio, como controlador, define a base legal desse tratamento, por exemplo o consentimento específico e destacado do cliente (art. 11, I), e orienta o que fazer com esse dado.
A secretária não avalia esse conteúdo nem dá orientação sobre ele. Quando o atendimento precisar, ela passa a conversa para a equipe do negócio.
Inteligência artificial
A secretária usa inteligência artificial para entender as mensagens e escrever as respostas. Para isso, o conteúdo da conversa passa pelos provedores de inteligência artificial listados em Com quem compartilhamos. Isso inclui os áudios, as imagens e os documentos enviados, que também são lidos com inteligência artificial.
As conversas não são usadas para treinar modelos de inteligência artificial desses provedores.
- ela se apresenta como assistente virtual logo na primeira mensagem;
- ela responde com base no que o negócio cadastrou: serviços, horários, preços e regras;
- a qualquer momento, o cliente pode pedir para falar com uma pessoa, e a equipe do negócio acompanha as conversas pelo Painel. Fora do horário de atendimento do negócio, o pedido fica registrado até esse horário;
- ela não dá parecer técnico ou profissional nem decide exceções às regras do negócio: isso fica com a equipe;
- ela nunca pede senha, código de verificação ou número de cartão pelo WhatsApp, e nós também não pedimos.
Se você entender que uma decisão tomada só por meio automatizado afetou os seus interesses, pode pedir a revisão dela e informações sobre os critérios usados (LGPD, art. 20). Se você é cliente de um negócio cliente, faça o pedido ao negócio, e nós o ajudamos a responder.
Por que tratamos os dados (finalidades e bases legais)
Nos dados em que somos controladores:
- Responder a quem nos procura, mostrar as demonstrações e negociar a contratação: procedimentos preliminares e execução de contrato (LGPD, art. 7º, V).
- Prestar o serviço contratado, cobrar e dar suporte aos negócios: execução de contrato (art. 7º, V).
- Guardar registros de acesso e documentos fiscais exigidos por lei: cumprimento de obrigação legal (art. 7º, II).
- Manter o site e o serviço seguros e funcionando, prevenir abusos e contar as visitas ao site de forma agregada: legítimo interesse (art. 7º, IX), sempre respeitando os seus direitos.
- Defender direitos em processos judiciais, administrativos ou arbitrais: exercício regular de direitos (art. 7º, VI).
Nos dados dos clientes dos negócios, as finalidades e as bases legais são as definidas pelo negócio controlador.
Com quem compartilhamos
Para o serviço funcionar, contamos com empresas que tratam dados sob a nossa orientação. Elas recebem apenas o necessário para cada tarefa. A lista muda conforme o dado seja nosso ou do cliente de um negócio.
Nos dados em que somos controladores (site, conversas com a Lara e com as agentes de demonstração, e negócios clientes), os nossos operadores são:
- Cloudflare (Estados Unidos): hospeda este site, guarda os pedidos de contratação feitos nele e conta as visitas de forma agregada.
- Zoho (Estados Unidos): e-mail da Secretária Certa.
- Meta, pela WhatsApp Business Platform (Estados Unidos e outros países): entrega as mensagens das conversas com a Lara e com as agentes de demonstração.
- Os provedores de inteligência artificial e o servidor no Brasil da lista abaixo, que também atendem as conversas com a Lara e com as agentes de demonstração.
Nos dados dos clientes dos negócios, em que somos operadores do negócio, os suboperadores são:
- Servidor no Brasil: onde funcionam a secretária e o Painel e onde ficam guardadas as conversas dos negócios.
- Meta, pela WhatsApp Business Platform (Estados Unidos e outros países): entrega as mensagens entre o negócio e o cliente e trata esse conteúdo como operadora, segundo os termos de tratamento de dados do WhatsApp Business.
- OpenRouter (Estados Unidos): encaminha o conteúdo da conversa ao modelo de inteligência artificial que entende as mensagens e escreve as respostas.
- OpenAI (Estados Unidos): modelo de inteligência artificial principal, que recebe a conversa pelo OpenRouter, e transcrição dos áudios enviados pelo cliente.
- Anthropic (Estados Unidos): modelo de inteligência artificial reserva, usado pelo OpenRouter quando o principal não responde.
- ElevenLabs (Estados Unidos): transforma em áudio a resposta da secretária, quando o cliente prefere ouvir.
- Google (Estados Unidos): quando o negócio usa o Google Agenda, recebe o nome do cliente e o horário marcado na agenda de cada profissional, sala, posto ou box.
- Sistema de agenda do próprio negócio, quando ele pede a integração na implantação: recebe os dados necessários ao agendamento.
As conversas não são usadas para treinar modelos de inteligência artificial desses provedores.
Algumas empresas também tratam dados como controladoras próprias, segundo as políticas delas:
- Meta: além de entregar as mensagens, trata dados da conta de WhatsApp e do uso da plataforma pelas regras dela.
- Mercado Pago: processa o pagamento da implantação e das mensalidades da Secretária Certa.
- Asaas: quando o negócio cobra os clientes por ele, a cobrança é feita na conta do próprio negócio, e não numa conta da Secretária Certa.
Também podemos compartilhar dados com autoridades quando a lei ou uma ordem judicial exigir. O negócio cliente pode pedir a lista atualizada dos suboperadores.
Quando você clica num link do WhatsApp, do Mercado Pago ou do Asaas no site, passa a valer também a política de privacidade dessas empresas.
Transferência internacional
A Cloudflare, a Zoho, a Meta, o OpenRouter, a OpenAI, a Anthropic, a ElevenLabs e o Google processam dados fora do Brasil. A secretária, o Painel e as conversas dos negócios ficam num servidor no Brasil.
Essas transferências são necessárias para responder a quem nos procura e prestar o serviço contratado (LGPD, art. 33, IX, combinado com o art. 7º, V). Nos dados dos clientes dos negócios, a transferência é feita em nome do negócio, que define a base legal, e só para prestar o serviço que ele contratou.
Por quanto tempo guardamos
- Conversas dos clientes dos negócios: são apagadas automaticamente em a definir. Esse prazo vale para as mensagens, não para os resumos, contatos e demais registros do atendimento.
- Resumos dos atendimentos, contatos dos clientes, registros e cópias de segurança: ficam enquanto durar o contrato ou até um pedido de exclusão feito pelo negócio ou atendido por ele. Ao fim do contrato, o negócio tem 30 dias para pedir uma cópia desses dados; depois, são eliminados em até 60 dias, salvo o que a lei obrigar a guardar. A exportação não recupera conversas já apagadas pelo prazo de retenção.
- Conversas com a Lara e com as agentes de demonstração: pelo tempo necessário para o atendimento e a negociação, até a definir depois da última mensagem.
- Registros de acesso ao site: 6 meses, como exige o Marco Civil da Internet (Lei 12.965/2014, art. 15).
- Pedido de contratação feito no site e não pago: 6 meses depois do pedido.
- Dados do contrato, do pedido em que os termos foram aceitos e do cancelamento: enquanto durar o contrato e por mais 5 anos, o prazo para reclamar de danos no Código de Defesa do Consumidor (art. 27).
- Documentos fiscais e de cobrança: pelo prazo exigido pela legislação fiscal e contábil.
- Resumo do endereço IP usado para limitar tentativas na contratação: vale por 10 minutos e é apagado na próxima tentativa de contratação.
Terminado o prazo, os dados são eliminados. A lei permite guardar alguns dados por mais tempo em casos específicos, como para cumprir obrigação legal (LGPD, art. 16).
Seus direitos
A LGPD (art. 18) garante a você, a qualquer momento e mediante pedido:
- confirmar se tratamos dados seus e ter acesso a eles;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- pedir a portabilidade dos dados a outro fornecedor;
- pedir a eliminação dos dados tratados com o seu consentimento;
- saber com quem compartilhamos os seus dados;
- saber que pode não dar o consentimento e o que acontece se não der;
- revogar o consentimento;
- se opor a um tratamento feito em desacordo com a lei;
- pedir a revisão de decisões tomadas só por meio automatizado que afetem os seus interesses (art. 20).
Para exercer qualquer direito, escreva para contato@secretariacerta.com.br. Podemos pedir informações para confirmar a sua identidade. Respondemos em até 15 dias a partir do pedido, e o acesso completo aos dados é fornecido nesse mesmo prazo (art. 19). Para apagar dados, siga as instruções de exclusão. Você também pode reclamar à ANPD.
Se você é cliente de um negócio cliente, faça o pedido ao negócio. Nós o ajudamos a responder.
Segurança
Adotamos medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda ou uso indevido (LGPD, art. 46), entre elas:
- comunicação criptografada (HTTPS) no site e no Painel;
- acesso ao Painel só por pessoas autorizadas do negócio, cada uma com o próprio usuário;
- a secretária pode marcar horário novo para outra pessoa, como um filho. Para consultar, remarcar ou cancelar um horário que já existe de outra pessoa, ou para enviar um documento dela, a equipe do negócio confere a autorização antes;
- eliminação automática dos dados ao fim do prazo de retenção;
- acesso interno restrito a quem precisa dele para operar o serviço.
Nenhum sistema é 100% invulnerável, mas trabalhamos para reduzir os riscos e agir rápido se algo acontecer.
Incidentes de segurança
Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante aos titulares, comunicamos a ANPD e as pessoas afetadas em até 3 dias úteis, como mandam o art. 48 da LGPD e a Resolução CD/ANPD 15/2024. A comunicação descreve o ocorrido, os riscos e as medidas adotadas. Guardamos o registro de cada incidente por pelo menos 5 anos.
Quando o incidente envolver dados de clientes de um negócio, avisamos o negócio controlador sem demora indevida, a tempo de ele cumprir esse prazo, e damos a ele as informações de que precisa para fazer as comunicações.
Crianças e adolescentes
O site e as demonstrações são voltados a adultos e a negócios. Não coletamos, de propósito, dados de crianças por aqui.
Nos negócios clientes, pais ou responsáveis podem falar em nome de crianças e adolescentes, por exemplo ao marcar um horário para um filho. Nesses casos, o negócio, como controlador, garante que o tratamento seja feito no melhor interesse deles e, para crianças, com o consentimento específico de pelo menos um dos pais ou do responsável legal quando essa for a base legal (LGPD, art. 14).
Mudanças nesta política
Podemos atualizar esta política quando o serviço ou a lei mudar. A data de vigência no topo mostra a versão atual. Mudanças relevantes são avisadas aos negócios clientes com antecedência.
Se tiver dúvidas sobre este documento, escreva para contato@secretariacerta.com.br.
As regras de uso do site, das demonstrações e do serviço estão nos Termos de uso.