1. Introdução
Esta Política se aplica ao site Kister, à plataforma Kister (painel, aplicativo web, widget de chat e APIs) e aos canais de atendimento da empresa. Ela é complementada pelos Termos de Uso e pela Política de Cookies.
Responsável: [RAZÃO SOCIAL DA EMPRESA LTDA], CNPJ [00.000.000/0001-00], com sede em [Rua Exemplo, 123, sala 45], [Bairro], [Cidade]/[UF], CEP [00000-000] ("Kister", "nós").
2. Controlador e operador: quem decide sobre cada dado
A LGPD diferencia quem toma as decisões sobre o tratamento (controlador) de quem trata os dados em nome de outro (operador). No Kister, temos os dois papéis:
- Somos controladores dos dados de visitantes do site, de quem nos procura pelo formulário de contato e dos dados cadastrais e de uso das empresas clientes e dos seus usuários (nome, e-mail, telefone, dados de cobrança e registros de acesso).
- Somos operadores dos dados dos clientes finais das empresas, isto é, das pessoas que conversam com nossos clientes pelo WhatsApp, Instagram, Messenger, Telegram, chat do site ou e-mail. Nesses casos, a empresa cliente é a controladora: ela define para que os dados são usados, e nós os tratamos somente conforme as suas instruções e para prestar o serviço contratado.
Você conversou com uma empresa que usa o Kister e quer saber o que é feito com os seus dados? O pedido deve ser feito diretamente a essa empresa. Se ele chegar até nós, encaminharemos à empresa responsável e daremos o apoio necessário para que seja atendido.
3. Dados que tratamos como controlador
- Cadastro e conta: nome, e-mail, telefone, cargo, nome da empresa, CNPJ, endereço, senha (armazenada de forma irreversível, com hash) e preferências.
- Cobrança: plano, ciclo, histórico de pagamentos e dados de faturamento. Os dados de cartão são informados diretamente ao Asaas, nosso processador de pagamentos, e não são armazenados por nós.
- Uso e registros técnicos: endereço IP, data e hora de acesso, navegador, dispositivo, páginas e ações realizadas na plataforma, inclusive para cumprir a guarda de registros de acesso exigida pelo Marco Civil da Internet (Lei nº 12.965/2014).
- Contato e suporte: mensagens enviadas pelo formulário do site, por e-mail, WhatsApp ou chat, e o histórico de atendimento.
- Navegação no site: informações técnicas necessárias para exibir as páginas e, se houver, preferências salvas no navegador, como descrito na Política de Cookies.
4. Dados que tratamos como operador
Ao usar a plataforma, nossos clientes podem armazenar e processar, por meio do Kister:
- dados de identificação e contato dos clientes finais fornecidos pelos canais (nome, telefone, identificadores de perfil, foto de perfil, quando disponibilizada pelo canal);
- conteúdo das conversas: mensagens, áudios, imagens, documentos e metadados de envio, entrega e leitura;
- informações adicionadas pela equipe da empresa, como etiquetas, notas internas, atributos personalizados e histórico de atendimento;
- conteúdo das bases de conhecimento usadas pela inteligência artificial.
Os clientes finais podem enviar espontaneamente dados sensíveis (por exemplo, informações de saúde numa conversa com uma clínica). A empresa controladora é responsável por definir a base legal adequada para esse tratamento (art. 11 da LGPD) e por configurar o uso da plataforma de acordo com ela. Como operadores, aplicamos a esses dados as mesmas medidas de segurança descritas nesta Política e não os usamos para nenhuma finalidade própria.
5. Finalidades e bases legais
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter a conta, prestar o serviço contratado e dar suporte | Execução de contrato (art. 7º, V) |
| Cobrar planos, emitir documentos fiscais e manter registros contábeis | Execução de contrato e cumprimento de obrigação legal (art. 7º, II e V) |
| Guardar registros de acesso à aplicação | Cumprimento de obrigação legal (art. 7º, II; art. 15 do Marco Civil da Internet) |
| Garantir a segurança, prevenir fraudes e abusos e investigar incidentes | Legítimo interesse (art. 7º, IX) e proteção ao crédito, quando aplicável (art. 7º, X) |
| Responder a contatos feitos pelo site e apresentar propostas | Procedimentos preliminares a contrato, a pedido do titular (art. 7º, V) e consentimento (art. 7º, I) |
| Enviar comunicações sobre o serviço, novidades e conteúdos a clientes | Legítimo interesse (art. 7º, IX), com opção de descadastro em todas as mensagens |
| Melhorar o produto com estatísticas de uso agregadas e anonimizadas | Legítimo interesse (art. 7º, IX) |
| Defender direitos em processos judiciais, administrativos ou arbitrais | Exercício regular de direitos (art. 7º, VI) |
| Tratar dados dos clientes finais em nome das empresas clientes | Definida pela empresa controladora; atuamos como operador (art. 39) |
Quando usamos o legítimo interesse, avaliamos previamente se ele não se sobrepõe aos seus direitos e liberdades, e você pode se opor a esse tratamento a qualquer momento.
6. Inteligência artificial
- Quando a empresa cliente ativa o Agente de IA ou o Copiloto, trechos da conversa, da base de conhecimento e das instruções configuradas são enviados a provedores de modelos de linguagem para gerar respostas, sugestões e resumos.
- Atualmente utilizamos modelos da Anthropic (Claude) para geração de texto e um provedor especializado para gerar representações vetoriais (embeddings) da base de conhecimento.
- Contratamos esses provedores em condições comerciais que proíbem o uso dos dados enviados para treinar seus modelos. Eles podem reter dados por prazo limitado para fins de segurança e prevenção de abusos, conforme seus próprios termos.
- A IA responde com base no conteúdo definido pela empresa cliente e é configurada para transferir a conversa a um atendente humano quando necessário. Não tomamos decisões automatizadas com efeitos jurídicos sobre os titulares; se uma empresa cliente fizer isso, cabe a ela garantir a revisão prevista no art. 20 da LGPD.
7. Compartilhamento e suboperadores
Não vendemos dados pessoais. Compartilhamos dados apenas quando necessário para prestar o serviço, com fornecedores contratualmente obrigados a protegê-los:
| Categoria | Exemplos | Finalidade |
|---|---|---|
| Infraestrutura de nuvem e armazenamento | [provedor de servidores], armazenamento de arquivos compatível com S3 (ex.: Cloudflare R2) | Hospedar a plataforma, o banco de dados, cópias de segurança e arquivos de mídia |
| Canais de mensagem | Meta Platforms (WhatsApp, Instagram, Messenger), Telegram | Enviar e receber mensagens nos canais conectados pela empresa cliente |
| Inteligência artificial | Anthropic (modelos Claude), provedor de embeddings | Gerar respostas, sugestões e resumos e indexar a base de conhecimento |
| Pagamentos | Asaas | Processar cobranças por Pix, boleto e cartão e emitir comprovantes |
| Comunicação e monitoramento | Provedor de e-mail transacional, ferramenta de monitoramento de erros | Enviar avisos do sistema e manter a plataforma estável |
Os provedores dos canais de mensagem também tratam dados como controladores independentes, conforme suas próprias políticas. Podemos ainda compartilhar dados com autoridades públicas mediante requisição legal ou ordem judicial, e em operações societárias, mantidas as garantias desta Política. A lista atualizada de suboperadores pode ser solicitada ao encarregado.
8. Transferência internacional de dados
Alguns fornecedores, como provedores de nuvem, de inteligência artificial e os próprios canais de mensagem, processam dados em servidores localizados fora do Brasil, principalmente nos Estados Unidos. Essas transferências são realizadas com base nas hipóteses do art. 33 da LGPD, em especial por meio de cláusulas contratuais padrão, conforme a regulamentação da ANPD (Resolução CD/ANPD nº 19/2024), ou quando necessárias para a execução do contrato a pedido do titular, sempre com fornecedores que adotam níveis de proteção compatíveis com a legislação brasileira.
9. Retenção e exclusão
- Dados da conta e conteúdo da plataforma: mantidos enquanto o contrato estiver ativo. Após o encerramento, ficam disponíveis por 30 dias para exportação ou reativação e, depois, são excluídos ou anonimizados em até 90 dias.
- Dados dos clientes finais: mantidos conforme a configuração e as instruções da empresa controladora, que pode excluir contatos e conversas a qualquer momento, e eliminados ao fim do contrato nos prazos acima.
- Registros de acesso à aplicação: 6 meses, conforme o art. 15 do Marco Civil da Internet, ou prazo maior se houver requisição de autoridade.
- Dados fiscais e de cobrança: pelo prazo exigido pela legislação tributária e contábil (em geral, 5 anos).
- Contatos pelo site: até 2 anos após o último contato, se não houver contratação.
- Cópias de segurança: sobrescritas de forma rotativa em até 35 dias.
Dados também podem ser mantidos pelo tempo necessário ao exercício regular de direitos em processos judiciais, administrativos ou arbitrais.
10. Segurança e incidentes
Adotamos medidas técnicas e administrativas compatíveis com os riscos do tratamento, entre elas:
- criptografia em trânsito (HTTPS/TLS) e cifragem das credenciais de canais com AES-256-GCM;
- isolamento lógico dos dados de cada empresa no banco de dados, aplicado por regras de segurança em todas as consultas;
- controle de acesso por papéis, senhas armazenadas com algoritmo de hash resistente e sessões com expiração;
- validação de assinatura nos webhooks dos canais, registro de atividades e monitoramento;
- cópias de segurança periódicas e plano de resposta a incidentes;
- acesso interno restrito ao mínimo necessário e compromisso de confidencialidade da equipe e dos fornecedores.
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados, nos termos do art. 48 da LGPD e da regulamentação da ANPD. Quando o incidente envolver dados que tratamos como operador, a empresa controladora será avisada sem demora para que possa cumprir suas obrigações.
11. Compromissos como operador
Quando tratamos dados dos clientes finais em nome das empresas clientes, estas condições complementam os Termos de Uso e funcionam como acordo de tratamento de dados entre a empresa (controladora) e o Kister (operador):
- Instruções: tratamos os dados apenas conforme as instruções documentadas da empresa (Termos, configurações do painel e pedidos por escrito) e avisamos se alguma instrução parecer contrária à lei;
- Confidencialidade: só pessoas autorizadas, sujeitas a dever de sigilo, acessam os dados, e apenas quando necessário;
- Suboperadores: a empresa autoriza a contratação dos suboperadores listados nesta Política; avisaremos com pelo menos 15 dias de antecedência sobre a inclusão de novos suboperadores relevantes, com direito de objeção fundamentada, e repassaremos a eles obrigações equivalentes às nossas;
- Direitos dos titulares: oferecemos recursos para exportar, corrigir e excluir dados por contato e apoiamos a empresa a responder aos pedidos;
- Incidentes: avisaremos a empresa sem demora injustificada, em até 48 horas da ciência de um incidente que afete os seus dados, com as informações disponíveis para que ela cumpra os prazos de comunicação à ANPD e aos titulares;
- Transferência internacional: realizada nas condições da seção 8, com cláusulas-padrão da ANPD quando aplicáveis;
- Fim do contrato: devolução (exportação) e eliminação dos dados nos prazos da seção 9, com confirmação por escrito a pedido;
- Comprovação: disponibilizamos as informações necessárias para demonstrar o cumprimento destas obrigações e apoiamos a empresa na elaboração de registros e relatórios de impacto, quando necessário.
12. Direitos do titular
Nos termos do art. 18 da LGPD, você pode solicitar, a qualquer momento:
- confirmação da existência de tratamento e acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
- eliminação dos dados tratados com base no consentimento e revogação do consentimento;
- informação sobre as entidades com as quais compartilhamos dados e sobre a possibilidade de não fornecer consentimento e suas consequências;
- oposição a tratamentos realizados com base em outras hipóteses legais, em caso de descumprimento da lei;
- revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).
Como exercer: envie um e-mail para privacidade@kister.app informando o seu pedido. Para proteger os seus dados, poderemos pedir informações que confirmem a sua identidade. Respondemos em até 15 dias. Se o pedido se referir a dados que tratamos como operador, ele será encaminhado à empresa controladora. Você também pode apresentar petição à Autoridade Nacional de Proteção de Dados (ANPD).
13. Cookies e armazenamento local
O site usa apenas os recursos de armazenamento necessários ao seu funcionamento e não usa cookies de publicidade. A plataforma usa um cookie essencial para manter a sessão segura. Detalhes, finalidades e como gerenciá-los estão na Política de Cookies.
14. Crianças e adolescentes
A plataforma é destinada a empresas e seus colaboradores maiores de 18 anos. Empresas clientes que atendam crianças e adolescentes são responsáveis por observar o art. 14 da LGPD, tratando esses dados em seu melhor interesse e com as salvaguardas exigidas.
15. Alterações desta Política
Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. A data de vigência no topo da página indica a versão atual. Mudanças relevantes serão comunicadas aos clientes por e-mail ou pelo painel com antecedência razoável.
16. Encarregado pelo tratamento de dados e contato
Encarregado (DPO): [NOME DO ENCARREGADO]
E-mail: privacidade@kister.app
Endereço: [Rua Exemplo, 123, sala 45], [Bairro], [Cidade]/[UF], CEP [00000-000]
Dúvidas sobre este documento? Escreva para privacidade@kister.app ou use a página de contato.