1. Resumo em linguagem simples
- Coletamos apenas os dados necessários para prestar o serviço.
- Não vendemos dados pessoais de ninguém.
- A Ondria sempre se identifica como assistente virtual, e você pode pedir para falar com uma pessoa.
- As conversas dos clientes de cada empresa pertencem a essa empresa. Nós as tratamos em nome dela.
- Você pode pedir acesso, correção ou exclusão dos seus dados a qualquer momento pelo e-mail [email protected].
2. Nossos dois papéis
A LGPD diferencia quem decide sobre o uso dos dados (controlador) de quem trata os dados em nome de outro (operador). A Ondria atua nos dois papéis, dependendo da situação:
Como controladora, tratamos os dados de visitantes do nosso site, das empresas e pessoas que contratam a Ondria (contratantes) e de quem conversa com o WhatsApp da própria Ondria.
Como operadora, quando atendemos os clientes de uma empresa contratante, tratamos os dados em nome dela e conforme as instruções dela. Nesse caso, a controladora é a empresa contratante. Pedidos sobre esses dados devem ser feitos preferencialmente a ela; se chegarem até nós, vamos encaminhá-los e apoiar a resposta.
3. Dados que tratamos
3.1 Visitantes do site
Dados de navegação (endereço IP, tipo de dispositivo e navegador, páginas acessadas, data e hora), informações de cookies (seção 11) e os dados que você informar em formulários, como nome, e-mail e telefone.
3.2 Interessados e demonstração
Quando você conversa com a Gabriela, assistente virtual da Ondria, no WhatsApp, tratamos o seu número e o conteúdo da conversa. Para preparar a demonstração, coletamos nome completo, nome do negócio, cidade, volume mensal de atendimentos e se você é pessoa física ou empresa (apenas o tipo; o número do CPF ou CNPJ não é pedido no chat), além das informações do negócio enviadas pelo formulário. A demonstração deve ser feita com dados fictícios, nunca com dados reais de clientes ou pacientes. Se você pedir para ser avisado sobre novos planos, guardamos nome, nome do negócio e cidade apenas para esse aviso.
3.3 Contratantes
Nome, e-mail, telefone, CPF ou CNPJ, razão social, endereço de cobrança e dados de pagamento. Os pagamentos são processados por um intermediador especializado; não armazenamos o número completo do seu cartão. Também tratamos as informações do negócio que você nos envia para treinar a Ondria (serviços, preços, horários, políticas e perguntas frequentes) e os dados de quem da sua equipe recebe encaminhamentos e relatórios.
3.4 Pessoas atendidas pela Ondria em nome das contratantes
Nome e número de WhatsApp, conteúdo das mensagens trocadas (texto e áudios, que são transcritos para serem respondidos), dados de agendamento, histórico e resumos das conversas, e a classificação do assunto e da intenção de cada contato, usada para gerar os registros e o painel da contratante. Esses dados ficam numa planilha exclusiva de cada contratante, que os consulta pelo painel de resultados ou pela própria planilha, conforme o plano. Quando um contato precisa de atenção, a Ondria cria um aviso na agenda da contratante.
4. Finalidades e bases legais
Cada uso de dados tem uma justificativa prevista na LGPD:
Nos dados que tratamos como operadora (seção 3.4), a base legal é definida pela empresa contratante. Isso inclui lembretes, follow-ups e disparos de mensagens: eles só são enviados a pessoas que tenham autorizado a contratante a contatá-las pelo WhatsApp, conforme a LGPD e as políticas da Meta, e toda mensagem permite pedir para não receber mais contatos.
5. Como usamos inteligência artificial
- As respostas da Ondria são geradas pelo Claude, modelo de inteligência artificial da Anthropic, a partir das informações cadastradas pela empresa contratante. Usamos o Claude por meio da API comercial da Anthropic.
- A Ondria sempre se apresenta como assistente virtual. A qualquer momento, a pessoa atendida pode pedir para falar com alguém da equipe, e a conversa é encaminhada.
- As conversas não são usadas para treinar modelos de inteligência artificial: nem pela Ondria, nem pela Anthropic, cujos termos comerciais proíbem o treinamento de modelos com o conteúdo enviado pelos clientes da API.
- Quando falamos em "treinar a Ondria" para uma empresa, nos referimos a configurá-la com instruções e informações daquele negócio (serviços, preços, horários, regras). Essas configurações ficam restritas à conta de cada contratante e não alteram o modelo de IA nem são compartilhadas com outras empresas.
- A Ondria não toma decisões que produzam efeitos jurídicos sobre as pessoas atendidas. Aprovações, diagnósticos, orientações jurídicas e decisões semelhantes são sempre da equipe da contratante. Ainda assim, você pode pedir a revisão de qualquer decisão tomada com base em tratamento automatizado (art. 20 da LGPD).
- A inteligência artificial pode errar. Por isso, a Ondria é configurada para não inventar informações e encaminhar a conversa quando não souber responder.
6. Dados sensíveis e profissões com sigilo
Clínicas, consultórios e escritórios de advocacia podem receber informações sobre saúde ou outros dados sensíveis, além de informações protegidas por sigilo profissional. Nesses casos, a Ondria é configurada para coletar apenas o necessário para agendar ou fazer a triagem inicial, e para orientar a pessoa a não enviar exames, laudos ou detalhes do caso quando isso não for necessário.
O tratamento de dados sensíveis segue o art. 11 da LGPD, com a base legal definida pela empresa contratante, que também é responsável por observar as regras do seu conselho profissional.
7. Crianças e adolescentes
No atendimento de escolas e cursos, as conversas acontecem normalmente com pais ou responsáveis. Dados de crianças e adolescentes são tratados no seu melhor interesse (art. 14 da LGPD) e limitados ao necessário, como nome e série para uma visita ou matrícula. Nosso site e nossos serviços não são direcionados a menores de 18 anos.
8. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos dados somente com fornecedores necessários para o serviço funcionar, que atuam como operadores e seguem nossas instruções:
- Meta, por meio da API oficial do WhatsApp Business, nos planos com lembretes, disparos e captação de leads. Nesses planos, a conta Meta Business pertence à própria contratante;
- Anthropic, fornecedora do Claude, que processa o texto das conversas para gerar as respostas;
- OpenAI, que transcreve as mensagens de áudio em texto por meio da sua API. Pelos termos da API, esse conteúdo não é usado para treinar os modelos da OpenAI;
- Provedor da conexão padrão com o WhatsApp (Evolution API, conectada por QR code ao número da contratante) e provedores de hospedagem da automação (n8n e Railway);
- Provedores de hospedagem, banco de dados e automação, onde nossos sistemas funcionam;
- Intermediadores de pagamento e emissão de notas fiscais;
- Google (Google Agenda, Google Planilhas e Looker Studio), onde a Ondria registra os agendamentos, a lista de contatos atendidos e o painel de resultados de cada contratante;
- Serviços de e-mail e comunicação.
Também podemos compartilhar dados com autoridades quando houver obrigação legal ou ordem judicial. A lista atualizada de fornecedores está disponível mediante solicitação.
9. Transferência internacional
Alguns fornecedores armazenam ou processam dados fora do Brasil, principalmente nos Estados Unidos — é o caso da Anthropic (Claude), da OpenAI (transcrição de áudio), do Google e de provedores de hospedagem. Essas transferências são feitas apenas nas hipóteses do art. 33 da LGPD e conforme a regulamentação da ANPD sobre transferência internacional, com cláusulas contratuais e medidas de segurança adequadas.
10. Por quanto tempo guardamos
- Conversas atendidas: durante o contrato e por até [90] dias após o fim, ou pelo prazo definido pela contratante. Depois, são excluídas ou anonimizadas.
- Dados de contratantes: durante o contrato e, depois, pelo prazo exigido pela legislação fiscal e contábil.
- Registros de acesso ao site: 6 meses, conforme o Marco Civil da Internet.
- Marketing: até você revogar o consentimento.
11. Cookies
Usamos cookies essenciais, necessários para o site funcionar, e cookies de análise, que só são ativados com o seu consentimento. [Se forem usados pixels de anúncios, como Meta ou Google, incluir aqui.] Você pode gerenciar suas preferências no aviso de cookies ou nas configurações do seu navegador.
12. Segurança
Adotamos medidas técnicas e administrativas para proteger os dados: criptografia na transmissão (HTTPS), acesso restrito por perfil, autenticação em dois fatores nas ferramentas internas, registros de acesso e cópias de segurança. Cada contratante tem uma planilha exclusiva, nunca misturada com a de outras empresas, com acesso restrito e download, cópia e impressão bloqueados. Nenhum sistema é totalmente imune a incidentes; se ocorrer um incidente que possa gerar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas, conforme o art. 48 da LGPD e a regulamentação da ANPD.
13. Seus direitos
Pelo art. 18 da LGPD, você pode solicitar: confirmação de que tratamos seus dados; acesso aos dados; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir; revogação do consentimento; e revisão de decisões automatizadas. Você também pode se opor a um tratamento e peticionar à Autoridade Nacional de Proteção de Dados (ANPD).
Para exercer seus direitos, escreva para [email protected]. Podemos pedir informações para confirmar sua identidade. Respondemos dentro dos prazos da LGPD.
14. Encarregado de dados
Nosso canal de comunicação sobre proteção de dados é o encarregado Thomaz S. Ogata, pelo e-mail [email protected].
15. Alterações nesta Política
Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. A data da última atualização fica sempre no topo da página. Mudanças relevantes serão comunicadas aos contratantes por e-mail.