POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

Nome comercial do produto: Heewa
Controladora: HEEWA LTDA, inscrita no CNPJ sob o nº 68.913.742/0001-41, com sede em R. Visconde do Rio Branco, 1488, Conj. 909, Andar 09, Cond. Universe Life Square, Bloco Com., Centro, Curitiba/PR, CEP 80420-210 ("nós", "nossa", "Plataforma" ou "Empresa").

Versão: 1.0
Data de vigência: 17/09/2026

1. INTRODUÇÃO E ÂMBITO

1.1. Esta Política de Privacidade ("Política") descreve como tratamos os dados pessoais coletados em razão do uso da nossa plataforma de atendimento e assistência por Inteligência Artificial ("IA") operada por meio do WhatsApp e de painel web ("Serviço").

1.2. Esta Política observa a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — "LGPD"), a Lei nº 12.965/2014 (Marco Civil da Internet) e a Lei nº 8.078/1990 (Código de Defesa do Consumidor — "CDC").

1.3. Ao se cadastrar, contratar ou utilizar o Serviço, você declara ter lido e compreendido esta Política. O aceite é coletado de forma versionada no momento do cadastro, juntamente com os Termos e Condições de Uso.

1.4. Esta Política integra e complementa os Termos e Condições de Uso. Em caso de divergência sobre tratamento de dados pessoais, prevalece esta Política.

2. DEFINIÇÕES

2.1. Para os fins desta Política, aplicam-se as definições da LGPD, em especial:

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde, vida sexual, dados genéticos ou biométricos.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Controlador: a quem competem as decisões sobre o tratamento de dados pessoais.
• Operador: quem realiza o tratamento de dados pessoais em nome do controlador.
• Tratamento: toda operação realizada com dados pessoais (coleta, uso, acesso, armazenamento, eliminação, compartilhamento etc.).
• Encarregado (DPO): pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

2.2. Definições específicas do Serviço:

• Contratante: pessoa natural maior de 18 anos e capaz que se cadastra e contrata o Serviço.
• Atendente de IA: produto que disponibiliza um atendente automático que responde aos clientes/contatos do Contratante, em número de WhatsApp dedicado, seguindo a base de conhecimento e os roteiros de atendimento configurados por ele.
• Assistente de IA: assistente pessoal do próprio Contratante, operado em grupo de WhatsApp compartilhado.
• Contatos autorizados: terceiros (clientes ou contatos) que o Contratante adiciona ou que interagem com o Atendente de IA.
• Capacidades: funcionalidades habilitáveis de consulta a fontes externas (add-ons).

3. PAPÉIS NO TRATAMENTO DE DADOS (CONTROLADOR x OPERADOR)

3.1. Atuamos como CONTROLADOR em relação aos dados que tratamos para finalidades próprias, tais como: dados cadastrais do Contratante, dados de cobrança e medição, dados técnicos e de uso, e dados antifraude.

3.2. Atuamos como OPERADOR em relação ao conteúdo das conversas e aos dados dos contatos autorizados que o Contratante insere ou que trafegam pelo Atendente de IA. Nesse cenário, o CONTRATANTE é o CONTROLADOR desses dados, cabendo a ele definir finalidades e dispor de base legal própria. Tratamos esses dados estritamente conforme as instruções do Contratante e os limites desta Política e do contrato.

3.3. Quando o Contratante habilita Capacidades de consulta a terceiros, o Contratante é o responsável pela existência de base legal própria para a consulta e o tratamento dos dados de terceiros consultados, nos termos da Cláusula 11.

4. DADOS PESSOAIS QUE TRATAMOS

4.1. Dados do Contratante (titular)

• Nome;
• E-mail;
• Senha (armazenada exclusivamente sob a forma de hash, nunca em texto puro);
• CPF;
• Telefone de WhatsApp;
• Para o produto Atendente de IA: dados do negócio (site, telefones, e-mails, redes sociais, objetivo do atendimento) e os roteiros de atendimento configurados;
• CNPJ, quando o Contratante habilita Capacidades que exigem conta empresarial.

4.2. Dados de contatos autorizados (terceiros inseridos ou atendidos pelo Contratante)

• Nome;
• Telefone/identificador de WhatsApp;
• Conteúdo das conversas: mensagens de texto; transcrição de áudios; descrição de imagens;
• Ficha do atendimento: as respostas que o contato dá aos roteiros de atendimento configurados pelo Contratante e os arquivos que ele envia (transferidos ao Google Drive do próprio Contratante, Termos, Cláusula 7.5).

Nesses dados, o Contratante é o controlador e nós atuamos como operador (Cláusula 3.2).

4.3. Dados de terceiros consultados via Capacidades (add-ons)

Obtidos de fontes externas, mediante habilitação ativa pelo Contratante:

• Dados cadastrais de empresas (CNPJ): razão social, nome fantasia, situação cadastral, porte, data de abertura, atividade (CNAE) e natureza jurídica;
• Quadro societário (consulta avançada, restrita a contas empresariais verificadas): nome, participação e cargo dos sócios.

4.4. Dados de pagamento

• Processados integralmente pelo gateway de pagamento Asaas;
• Não armazenamos dados de cartão de crédito ou meios de pagamento. Guardamos apenas identificadores da assinatura/cliente no Asaas, necessários para conciliação e gestão da cobrança.

4.5. Dados técnicos e de uso

• Logs de acesso e de aplicação;
• Endereço IP;
• Cookies de sessão do painel web (Cláusula 13);
• Registros de medição/consumo de créditos.

5. FINALIDADES E BASES LEGAIS DO TRATAMENTO (LGPD, arts. 7º e 11)

5.1. Prevenção a fraude (detalhamento). Para impedir o uso abusivo do período de teste, limitamos 1 (um) período de teste por CPF e por telefone. Os identificadores são guardados de forma pseudonimizada — hash HMAC com segredo, sem armazenamento do dado em texto puro. Esses hashes são mantidos mesmo após a exclusão da conta, com fundamento no legítimo interesse (art. 7º, IX, e art. 10 da LGPD), exclusivamente para a finalidade antifraude. Por serem pseudonimizados e irreversíveis para nós, não permitem reidentificar o titular.

5.2. Mudança de finalidade. Caso seja necessário tratar dados para finalidade nova e incompatível com as informadas, solicitaremos novo consentimento ou indicaremos a nova base legal aplicável, conforme a LGPD.

6. TRATAMENTO DE DADOS SENSÍVEIS E DE SITUAÇÕES ESPECIAIS

6.1. Quadro societário. A consulta que retorna os sócios de uma empresa expõe dados pessoais de terceiros. Por isso ela só é habilitada para Contratantes com conta empresarial verificada (CNPJ), que respondem pela base legal da consulta (Cláusula 11), e os dados retornados restringem-se ao que consta do registro público (nome, participação e cargo).

6.2. Menores de idade. Não direcionamos o Serviço a menores; a contratação exige maioridade e capacidade civil. Caso identifiquemos tratamento inadvertido de dados de criança ou adolescente sem a base legal adequada, adotaremos medidas para sua eliminação.

6.3. Dados pessoais de terceiros em consultas. Consultas que envolvam dado pessoal de terceiros exigem que o Contratante disponha de base legal própria. Essa é uma responsabilidade exclusiva do Contratante (Cláusula 11 e Termos de Uso).

6.4. Nós não temos por finalidade coletar dados pessoais sensíveis dos Contratantes. Caso o Contratante ou contatos insiram dados sensíveis no conteúdo das conversas, tais dados serão tratados na qualidade de operador, sob responsabilidade e instruções do Contratante-controlador.

7. COMPARTILHAMENTO DE DADOS E SUBOPERADORES

7.1. Compartilhamos dados pessoais apenas na medida necessária à prestação do Serviço, ao cumprimento de obrigações legais ou mediante autorização. Não vendemos dados pessoais.

7.2. Categorias de suboperadores e parceiros de processamento. Compartilhamos dados pessoais, na medida necessária à prestação do Serviço, com as seguintes categorias de terceiros:

7.2.1. Identificamos nominalmente o gateway de pagamento (Asaas) por ser o terceiro com o qual o titular interage diretamente na cobrança. A relação nominal e atualizada de todos os suboperadores é mantida pela Empresa e disponibilizada aos titulares e Contratantes mediante solicitação ao Encarregado (Cláusula 14), notadamente quando necessário ao exercício de seus direitos ou à atuação da autoridade competente.

7.4. Poderemos compartilhar dados com autoridades públicas para cumprimento de obrigação legal, ordem judicial ou requisição de autoridade competente.

7.5. Em caso de operação societária (fusão, aquisição, incorporação), os dados poderão ser transferidos ao sucessor, mantidas as obrigações desta Política.

8. TRANSFERÊNCIA INTERNACIONAL DE DADOS (LGPD, art. 33)

8.1. Parte do tratamento ocorre fora do território brasileiro, especialmente junto a provedores de Inteligência Artificial e de infraestrutura localizados nos Estados Unidos e/ou na Europa.

8.2. Tais transferências internacionais são realizadas com fundamento nas hipóteses do art. 33 da LGPD, em especial:

• transferência necessária para a execução de contrato do qual o titular é parte (art. 33, V);
• transferência necessária para atender finalidades legítimas, conforme cláusulas contratuais específicas, cláusulas-padrão e garantias equivalentes adotadas com os parceiros (art. 33, II);
• e, quando aplicável, consentimento específico e destacado do titular (art. 33, VIII).

8.3. Salvaguardas. Adotamos salvaguardas para proteger os dados transferidos, incluindo: contratos com cláusulas de proteção de dados, criptografia em trânsito (TLS), minimização do conteúdo transferido e seleção de fornecedores com padrões reconhecidos de segurança.

8.4. Ao utilizar o Serviço, o titular está ciente de que dados poderão ser processados em outros países, sempre com observância da LGPD e das salvaguardas acima.

9. MEDIDAS DE SEGURANÇA DA INFORMAÇÃO

9.1. Adotamos medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, perda, alteração, destruição ou tratamento indevido, incluindo:

• Criptografia em repouso dos dados sensíveis e críticos: conteúdo de conversas, nomes, endereços, CPF, telefone e credenciais de integração;
• Pseudonimização (hash HMAC com segredo) dos identificadores antifraude;
• Minimização de dados: armazenamos preferencialmente o texto derivado de áudios e imagens (transcrição/descrição), e não necessariamente a mídia bruta;
• Isolamento por conta (multi-tenant): segregação lógica dos dados de cada Contratante;
• Controle de acesso com autenticação e gestão de credenciais;
• Tráfego cifrado (TLS) nas comunicações.

9.2. Apesar dos esforços, nenhum sistema é completamente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos e termos da LGPD.

9.3. O Contratante é responsável por manter a confidencialidade de suas credenciais de acesso e por todas as atividades realizadas em sua conta.

10. DIREITOS DO TITULAR (LGPD, art. 18)

10.1. O titular pode exercer, a qualquer tempo, os seguintes direitos:

a) confirmação da existência de tratamento;
b) acesso aos dados;
c) correção de dados incompletos, inexatos ou desatualizados;
d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
e) portabilidade dos dados a outro fornecedor, mediante requisição expressa, observados os segredos comercial e industrial;
f) eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de guarda previstas em lei;
g) informação sobre o compartilhamento dos dados com entidades públicas e privadas;
h) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
i) revogação do consentimento.

10.2. Como exercer. Os direitos podem ser exercidos pelo canal do Encarregado (DPO): [email protected]. Poderemos solicitar informações para confirmar a identidade do requerente, a fim de proteger os dados.

10.3. Exclusão de conta autosserviço. A exclusão da conta já está disponível no próprio painel e, ao ser confirmada (mediante reautenticação por senha), é executada imediatamente: apaga os dados pessoais da conta em cascata, preservando apenas os hashes antifraude pseudonimizados (Cláusula 5.1).

10.4. Quando atuarmos como operador (Cláusula 3.2), encaminharemos ao Contratante-controlador as solicitações de titulares relacionadas a dados sob sua responsabilidade, ou as atenderemos conforme suas instruções.

10.5. O titular pode peticionar à ANPD e a organismos de defesa do consumidor, caso entenda que seus direitos não foram adequadamente atendidos.

11. RESPONSABILIDADES DO CONTRATANTE COMO CONTROLADOR

11.1. Ao adicionar contatos, configurar o Atendente de IA ou habilitar Capacidades de consulta, o Contratante declara e garante que:

a) possui base legal própria (consentimento ou outra hipótese legal) para o tratamento dos dados dos contatos e de terceiros consultados;
b) não utilizará o Serviço para tratar dados de terceiros sem base legal;
c) não tratará dados de menores em desconformidade com a lei;
d) atenderá, na qualidade de controlador, às solicitações dos titulares cujos dados insere ou consulta.

11.2. O Contratante isenta a Empresa e a manterá indene quanto a tratamentos por ele determinados em desconformidade com a lei, na máxima extensão permitida.

12. RETENÇÃO E ELIMINAÇÃO DE DADOS

12.1. Mantemos os dados pessoais somente pelo tempo necessário às finalidades para as quais foram coletados, observados os prazos legais de guarda.

12.2. Prazos de retenção por categoria de dado:

12.2.1. Tabela antirrecadastro (detalhamento). Para impedir o abuso do período de teste por meio de exclusão e novo cadastro, mantemos uma tabela que armazena, exclusivamente sob a forma de hash HMAC com segredo, os identificadores CPF, CNPJ, telefone de WhatsApp e e-mail. Esses hashes permitem apenas verificar se determinado identificador já foi utilizado (resposta do tipo "já cadastrado / não cadastrado") e não permitem reconstruir o dado original nem reidentificar o titular. Após a exclusão da conta, retemos somente esses hashes; deixamos de ter acesso ao conteúdo das conversas, ao histórico de uso e aos demais dados cadastrais do titular.

12.3. Exclusão de conta. Ao solicitar a exclusão da conta pelo painel:

• os dados pessoais e o histórico de uso são apagados imediatamente, em cascata, na confirmação (eventuais cópias residuais em rotinas de backup são sobrescritas dentro do ciclo ordinário de retenção, até o encerramento do ciclo mensal vigente);
• a assinatura no gateway de pagamento é cancelada;
• permanecem apenas os hashes antifraude pseudonimizados (Cláusulas 5.1 e 12.2.1), que indicam tão somente que o identificador já foi utilizado, sem revelar o que o titular pesquisou, solicitou ou conversou.

12.4. Poderemos conservar dados estritamente necessários ao cumprimento de obrigação legal, ao exercício regular de direitos ou em razão de guarda obrigatória, mesmo após a exclusão da conta, pelo prazo legal aplicável.

13. COOKIES E TECNOLOGIAS DE SESSÃO

13.1. Utilizamos cookies de sessão no painel web, estritamente necessários para autenticar o usuário e manter a navegação segura.

13.2. Cookies necessários não dependem de consentimento prévio. Caso, no futuro, sejam adotados cookies não essenciais (por exemplo, de análise ou marketing), será apresentado mecanismo de gestão de consentimento.

14. ENCARREGADO PELO TRATAMENTO DE DADOS (DPO)

14.1. Encarregado (DPO): Wagner Bugs.
14.2. Canal de contato para assuntos de privacidade e LGPD: [email protected].
14.3. Contato geral: [email protected].

15. ALTERAÇÕES DESTA POLÍTICA

15.1. Esta Política pode ser atualizada a qualquer tempo. A versão vigente será sempre identificada por número de versão e data.

15.2. Alterações relevantes serão comunicadas pelos canais do Serviço e, quando exigido, sujeitas a novo aceite versionado.

15.3. O uso continuado do Serviço após a publicação de alterações implica ciência da versão vigente, ressalvadas as hipóteses que exijam consentimento específico.

16. LEGISLAÇÃO APLICÁVEL E FORO

16.1. Esta Política é regida pelas leis brasileiras.
16.2. Fica eleito o foro da Comarca de Curitiba/PR para dirimir controvérsias, sem prejuízo do foro do domicílio do consumidor, quando aplicável (CDC).