01 / Papéis na LGPD
Controladora é a sua empresa
Quando a sua equipe conversa com clientes pelo BemOS, quem decide por que e como esses dados são tratados é você. Nós somos operadores (art. 5º, VII) e tratamos os dados apenas para entregar o serviço contratado. Para os dados da própria conta — nome, e-mail, faturamento — nós somos os controladores.
Você controla
Conversas, contatos, anexos, notas internas, base de conhecimento.
Nós controlamos
Cadastro da conta, cobrança, logs de segurança, suporte.
02 / Dados que tratamos
O que entra na plataforma
Conteúdo das conversas
Mensagens, áudios, imagens e documentos trocados nos canais conectados.
Dados de contato
Nome, telefone, e-mail, @ do Instagram e o que sua equipe registrar como campo.
Dados de uso
Tempo de resposta, atribuições, ações do agente — o que alimenta os relatórios.
Dados técnicos
IP, dispositivo e navegador, usados para segurança e auditoria de acesso.
Dados sensíveis
Não pedimos e não recomendamos. Se sua operação precisa tratá-los (saúde, por exemplo), fale com o nosso DPO antes.
03 / Bases legais
Por que podemos tratar cada dado
Art. 7º, V
Execução do contrato — operar a caixa compartilhada e entregar as mensagens.
Art. 7º, IX
Legítimo interesse — segurança, prevenção a fraude e melhoria do produto com dados agregados.
Art. 7º, II
Obrigação legal — guarda de registros de acesso (Marco Civil) e documentos fiscais.
Art. 7º, I
Consentimento — apenas para comunicações de marketing nossas, revogável em um clique.
04 / Maestro AI
Nada de treinar modelo com a sua conversa
✦ O Maestro responde só com o conhecimento que você aprova.
✦ Fornecedores de IA operam com retenção zero e vedação contratual de treinamento.
✦ Não há decisão automatizada com efeito jurídico: uma pessoa aprova antes de enviar.
✦ Você pode desligar o Maestro por caixa, e revisar o histórico de sugestões usadas.
05 / Suboperadores
Com quem compartilhamos — e por quê
Nuvem (Brasil)
Hospedagem e banco de dados, região São Paulo.
Meta Platforms
Entrega das mensagens de WhatsApp e Instagram via API oficial.
Provedor de IA
Geração das sugestões do Maestro, com transferência internacional protegida por cláusulas contratuais (art. 33, II).
Pagamentos
Adquirente brasileira; não guardamos número de cartão.
A lista completa e atualizada de suboperadores fica disponível no painel. Avisamos com 30 dias antes de incluir um novo, e você pode se opor.
06 / Segurança
Medidas técnicas e administrativas
TLS 1.3 em trânsito e AES‑256 em repouso; acesso interno mínimo e registrado; autenticação em dois fatores e SSO no plano Business; segregação por conta; revisão trimestral de permissões; teste de intrusão anual por empresa independente; treinamento de LGPD para todo o time e acordo de confidencialidade com cada pessoa e fornecedor.
07 / Retenção
Quanto tempo guardamos
Conta ativa
Conversas e contatos ficam disponíveis enquanto você quiser — você define a política de expurgo.
Após saída
30 dias em modo leitura, exclusão definitiva em 90 dias, backups incluídos.
Registros de acesso
6 meses, conforme o Marco Civil da Internet.
Documentos fiscais
5 anos, por obrigação legal.
08 / Direitos do titular
O que a pessoa pode pedir — e como respondemos
Confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação de consentimento (art. 18). Se o pedido chegar até nós mas se referir a dados da sua operação, encaminhamos para você em até 2 dias úteis e ajudamos a atender no prazo legal de 15 dias.
No painel do BemOS, sua equipe atende pedidos sem abrir ticket: buscar um contato, exportar todo o histórico dele em um arquivo e apagar de forma definitiva, com registro de quem fez e quando.
09 / Cookies
Poucos, e você escolhe
No app usamos apenas cookies necessários (sessão e segurança). No site, cookies de análise só entram se você aceitar no banner — e a recusa não muda nada na sua experiência. Nenhum cookie de publicidade, nenhum pixel de rede social.
10 / Incidentes
Se algo acontecer, você sabe primeiro
Em caso de incidente de segurança com risco relevante, avisamos você em até 48 horas com o que aconteceu, quais dados foram afetados e o que já fizemos. Apoiamos a comunicação à ANPD e aos titulares, conforme o art. 48 da LGPD, e entregamos o relatório de causa raiz depois.
11 / Encarregado
Fale com uma pessoa de verdade
Nosso encarregado de dados responde em até 5 dias úteis. Também mantemos um relatório de impacto (RIPD) disponível para clientes sob NDA e um DPA pronto para assinar.