Segurança e LGPD

Como o Intelibot trata os dados que passam pelo atendente, e o que o seu negócio precisa fazer para ficar em dia com a LGPD.

A LGPD (Lei Geral de Proteção de Dados) aplica a todo dado pessoal que o seu negócio coleta, inclusive os que passam pelo atendente do Intelibot. Esta página resume o que o Intelibot faz por você e o que ainda fica do seu lado.

Não é orientação jurídica

Esta página é informativa. Para adequação real à LGPD do seu negócio, consulte um advogado ou DPO (Encarregado de Dados) qualificado. A LGPD tem nuances que dependem do tipo de serviço prestado e da forma como o negócio opera.

O que o Intelibot faz pela segurança dos dados

Criptografia em trânsito

Todas as conversas trafegam por HTTPS (TLS 1.2+). Ninguém na rede entre o cliente e o servidor consegue ler o conteúdo das mensagens.

Criptografia em repouso

Conversas, leads e configurações ficam em infraestrutura com criptografia em repouso no provedor de banco e armazenamento. Isso protege discos e backups no nível da infraestrutura, mas não substitui controle de acesso: quem tem permissão administrativa legítima no banco ainda pode ler os dados necessários para operar e dar suporte.

Tokens de canal protegidos

Quando você conecta WhatsApp ou Google Agenda, os tokens dessas integrações ficam criptografados com AES-256. Eles não aparecem em logs nem na interface depois de salvos.

Logs de operação sem dado pessoal

Os logs internos são mantidos para diagnóstico e auditoria. A prática do produto é registrar principalmente metadados técnicos (qual atendente, qual canal, hora, status, latência, tokens e erros). Em fluxos de depuração e observabilidade, trechos de entrada, saída de ferramenta ou erro podem existir quando são necessários para entender uma falha. Por isso o acesso a logs é restrito e deve ser usado só para suporte e segurança.

Hospedagem em conformidade com LGPD

Banco de dados, CDN, armazenamento de arquivos, infraestrutura de logs e provedores de e-mail transacional usados pelo Intelibot têm adequação à LGPD por cláusulas-padrão de transferência internacional. A lista completa e nominal dos subprocessadores vive na Política de Privacidade e é atualizada quando muda.

Acesso restrito da equipe Intelibot

Funcionários da Intelibot só acessam dados de clientes em situações específicas (debugging com permissão, conformidade com pedido judicial), com log de quem acessou. Não tem "olhar conversas para ver o que está rolando".

O que ainda é do seu negócio

A LGPD vê o seu negócio como controlador dos dados (quem decide para que os dados são usados) e o Intelibot como operador (quem processa em nome do controlador). Isso significa que:

1. Base legal para usar dados do cliente

O seu negócio precisa ter base legal para cada uso. Nos casos típicos do atendente:

Coletar nome e telefone via Captura de Lead: base legal "execução de pré-contrato" (cliente em interesse de marcar consulta ou contratar serviço)
Marcar consulta no Google Agenda: base legal "execução de contrato" (cliente já está num pré-contrato para atendimento)
Enviar lembrete de consulta: base legal "execução de contrato"

Conversas não treinam modelo nenhum

O Intelibot não usa as conversas e os dados dos seus clientes para treinar modelos de inteligência artificial. Isso vale tanto para modelos próprios quanto para os de terceiros, e também para os dados que passam pelas integrações com Google Calendar.

2. Aviso de privacidade onde o cliente entra

No site, no widget e na página de ajuda, o cliente deve ter acesso visível à Política de Privacidade do seu negócio. O Intelibot facilita isso, mas o conteúdo da política é responsabilidade sua (ou do advogado).

A política deve dizer:

Que tem atendimento automatizado por IA
Quais dados são coletados
Por quê (finalidade)
Por quanto tempo são guardados
Direitos do cliente (acesso, retificação, exclusão, portabilidade)
Contato do encarregado de dados (DPO) do seu negócio

3. Atender direitos do titular

Quando o cliente pedir:

Acesso aos dados dele: você consegue exportar conversa e leads no painel
Exclusão dos dados: você consegue deletar conversa e lead no painel
Portabilidade: você consegue exportar leads em CSV, conversas pelo painel, e os dados da sua conta em JSON na área de perfil

Isso é sua responsabilidade atender em até 15 dias (LGPD).

4. Notificação de incidente

Se acontecer incidente de segurança (vazamento, acesso não autorizado), o Intelibot notifica o seu negócio no prazo de 72 horas após tomar conhecimento, conforme cláusula de Encarregado/Operador nos Termos de Serviço. O seu negócio é então responsável por notificar a ANPD em "prazo razoável", seguindo a regulamentação vigente da Autoridade Nacional de Proteção de Dados.

O que evitar configurar no atendente

Para reduzir risco de LGPD:

Não peça mais dado do que precisa

Se basta nome e telefone para agendar, não peça CPF, RG ou endereço na conversa. Esses dados, se forem necessários, são coletados na ficha presencial, em ambiente controlado.

Não trate dado de saúde no atendente

Dado de saúde, documento de processo, informação financeira detalhada e origem racial ou religiosa são dados sensíveis com proteção reforçada na LGPD. Não use o atendente para trocar essas informações. Se o cliente quiser falar disso, o atendente deve encaminhar para humano.

Conversas são isoladas por design

Por padrão, o atendente só enxerga o histórico da conversa em curso. Ele não tem acesso a mensagens de outras conversas, de outros clientes. Esse isolamento é feito pelo próprio Intelibot na hora de montar o contexto que vai pro modelo de IA. Você não precisa configurar nada para isso valer.

Retenção e exclusão

Por padrão, o Intelibot guarda conversas e leads enquanto sua assinatura estiver ativa, para que você consiga acompanhar histórico, atendimento e relatórios.

Quando você cancela ou pausa o uso, os dados podem continuar preservados para reativação e suporte enquanto não houver solicitação de exclusão. A rotina automática de retenção pós-cancelamento ainda está em evolução, então não conte com exclusão automática em uma data específica sem confirmar com a equipe.

Se você quer excluir dados, pode fazer pelo painel quando a tela oferecer essa opção (conversa individual e leads), ou solicitar por e-mail para [email protected]. Solicitações LGPD são respondidas em até 15 dias corridos.

Contrato de tratamento de dados (DPA)

Negócios maiores precisam manter um Inventário de Tratamentos de Dados com um contrato assinado para cada operador que processa dados pessoais. Esse contrato se chama DPA (Data Processing Agreement) e formaliza a relação Intelibot–seu negócio sob a LGPD.

Se você precisa do DPA assinado para o seu Inventário, mande um e-mail para [email protected] pedindo. A gente envia o modelo, assina e devolve.