Conformidade com a LGPD

Esta página descreve o programa de privacidade e governança de dados da Alliv, aplicável à plataforma Alliv Chat. Ela complementa os Termos de Uso e a Política de Privacidade, e foi estruturada para apoiar também processos de avaliação e due diligence de clientes e parceiros.

1. Compromisso com a proteção de dados

A Alliv atua em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) e trata a privacidade como requisito de produto, e não apenas como obrigação legal. Nossas práticas de governança, segurança e desenvolvimento são estruturadas para proteger os dados de Clientes, Usuários e Contatos em todas as etapas do ciclo de vida do tratamento.

2. Como a LGPD se aplica ao Alliv Chat

O Alliv Chat é uma plataforma de atendimento e relacionamento via WhatsApp Business. Isso significa que o tratamento de dados pessoais ocorre em duas frentes distintas:

• Na nossa própria operação: tratamos dados de Clientes, Usuários, leads e visitantes para prestar, faturar, proteger e melhorar o serviço;
• Em nome dos nossos Clientes: processamos os dados dos Contatos que se comunicam com cada Cliente — mensagens, mídias, históricos e cadastros —, seguindo estritamente as instruções do Cliente.

Essa distinção define responsabilidades diferentes para cada parte, conforme detalhado a seguir.

3. Papéis no tratamento

Quando atuamos como operadores, não utilizamos os dados dos Contatos para finalidades próprias desvinculadas do contrato, e o tratamento se limita ao necessário para a prestação dos serviços.

4. Princípios que orientam o tratamento

Todo tratamento realizado pela Alliv observa os princípios do art. 6º da LGPD:

• Finalidade e adequação: tratamento para propósitos legítimos, específicos e informados, compatíveis com o contexto;
• Necessidade: limitação ao mínimo necessário para a realização das finalidades;
• Livre acesso e transparência: informações claras e acessíveis sobre o tratamento realizado;
• Qualidade dos dados: exatidão, clareza e atualização dos dados tratados;
• Segurança e prevenção: medidas aptas a proteger os dados e prevenir danos;
• Não discriminação: vedação ao tratamento para fins discriminatórios, ilícitos ou abusivos;
• Responsabilização e prestação de contas: demonstração da adoção de medidas eficazes de conformidade.

5. Bases legais utilizadas

Nos tratamentos em que atuamos como controladores, utilizamos as seguintes bases legais, conforme o contexto:

• Execução de contrato: prestação dos serviços, suporte, cobrança e gestão da conta;
• Cumprimento de obrigação legal ou regulatória: obrigações fiscais, guarda de registros de acesso e atendimento a autoridades;
• Legítimo interesse: segurança, prevenção a fraudes, melhoria do produto e comunicações pertinentes, sempre com avaliação de impacto sobre os titulares e respeito às suas expectativas;
• Consentimento: quando aplicável, de forma livre, informada e inequívoca, com possibilidade de revogação a qualquer momento;
• Exercício regular de direitos: em processos administrativos, judiciais ou arbitrais.

Nos tratamentos em que atuamos como operadores, a definição da base legal cabe ao Cliente controlador. O mapeamento completo de finalidades e bases legais está na Política de Privacidade.

6. Privacidade desde a concepção

Aplicamos os conceitos de privacy by design e privacy by default no desenvolvimento da plataforma:

• Segregação lógica dos dados de cada Cliente em arquitetura multi-tenant, com isolamento por conta em todas as camadas da aplicação;
• Controle de acesso por perfis (administrador, supervisor, atendente), permitindo que cada Cliente restrinja o acesso aos dados conforme a função de cada Usuário;
• Minimização de dados: coletamos apenas o necessário para cada funcionalidade;
• Registros e trilhas de auditoria das operações relevantes;
• Avaliação de impactos de privacidade na concepção de novas funcionalidades.

7. Segurança e governança

7.1. Medidas técnicas

• Criptografia em trânsito (TLS) em todas as comunicações;
• Armazenamento de credenciais com algoritmos de hash irreversíveis;
• Autenticação com tokens de sessão e revogação imediata de acessos desativados;
• Monitoramento de infraestrutura e registros de acesso;
• Rotinas de backup e mecanismos de recuperação;
• Ambientes e chaves de integração segregados.

7.2. Medidas organizacionais

• Políticas internas de segurança da informação;
• Princípio do menor privilégio e revisão periódica de acessos;
• Boas práticas de desenvolvimento seguro e revisão de mudanças;
• Confidencialidade contratual com colaboradores, prestadores e parceiros;
• Processo definido de resposta a incidentes, descrito na seção 10.

8. Suboperadores e cadeia de tratamento

Para operar a plataforma, utilizamos fornecedores que atuam como suboperadores, nas seguintes categorias:

• Provedores de hospedagem e infraestrutura em nuvem;
• Meta Platforms (WhatsApp Business Platform — API oficial);
• Instituições de pagamento para processamento de cobranças;
• Serviços de e-mail transacional e comunicação operacional;
• Ferramentas de analytics, monitoramento e suporte.

Todos os suboperadores estão vinculados a obrigações contratuais de segurança, confidencialidade e conformidade com a legislação de proteção de dados. A relação atualizada de suboperadores pode ser disponibilizada aos Clientes mediante solicitação ao nosso Encarregado.

9. Transferências internacionais

Parte da infraestrutura e dos suboperadores está localizada no exterior, incluindo os Estados Unidos. As transferências internacionais são realizadas em conformidade com o art. 33 da LGPD, mediante salvaguardas adequadas, como cláusulas contratuais de proteção de dados e a seleção de fornecedores com padrões de segurança compatíveis com a legislação brasileira.

10. Gestão de incidentes de segurança

Mantemos processo estruturado de resposta a incidentes de segurança envolvendo dados pessoais, que contempla:

• Detecção e contenção: identificação do incidente, interrupção da causa e preservação de evidências;
• Avaliação de risco: análise da natureza dos dados afetados, dos titulares envolvidos e do potencial de dano;
• Comunicação: notificação aos Clientes afetados e, quando o incidente puder acarretar risco ou dano relevante aos titulares, comunicação à ANPD e aos titulares, nos termos do art. 48 da LGPD;
• Remediação e aprendizado: correção das causas, registro do incidente e revisão de controles para prevenção de recorrência.

11. Retenção e descarte

Os dados são mantidos pelo período necessário à execução dos serviços e ao cumprimento de obrigações legais, observando, entre outros parâmetros: exportação dos dados do Cliente em até 30 (trinta) dias após o encerramento da conta e exclusão definitiva em até 90 (noventa) dias; guarda de registros de acesso por, no mínimo, 6 (seis) meses, conforme o Marco Civil da Internet; e retenção de documentos fiscais pelos prazos da legislação tributária. O descarte é realizado de forma segura, com eliminação definitiva dos dados dos sistemas ativos e de backup, ressalvadas as hipóteses de guarda legal. Os prazos detalhados estão na Política de Privacidade.

12. Direitos dos titulares

Garantimos aos titulares o exercício dos direitos previstos no art. 18 da LGPD, incluindo confirmação do tratamento, acesso, correção, anonimização, eliminação, portabilidade, informação sobre compartilhamentos, revogação do consentimento e oposição.

• Clientes, Usuários, leads e visitantes: podem exercer seus direitos diretamente junto à Alliv, pelos canais da seção 14;
• Contatos de Clientes: como o Cliente é o controlador desses dados, recomendamos que a solicitação seja direcionada diretamente a ele. Solicitações recebidas pela Alliv serão encaminhadas ao Cliente responsável, com o apoio necessário ao atendimento.

13. Responsabilidades dos Clientes

A conformidade com a LGPD no uso do Alliv Chat é uma responsabilidade compartilhada. Como controladores dos dados dos seus Contatos, os Clientes devem:

• Assegurar base legal adequada para o tratamento dos dados dos seus Contatos, incluindo o consentimento (opt-in) para o envio de mensagens ativas, quando exigido;
• Ser transparentes com seus Contatos sobre o tratamento realizado, inclusive quanto ao uso de atendimento automatizado, quando aplicável;
• Respeitar pedidos de descadastramento (opt-out) e atender às solicitações de direitos dos titulares;
• Configurar adequadamente os perfis e permissões dos seus Usuários, revogando acessos desnecessários ou de pessoas desligadas;
• Utilizar a plataforma em conformidade com os Termos de Uso, as políticas da Meta e a legislação aplicável.

14. Encarregado (DPO) e documentos relacionados

Solicitações de titulares, questionários de due diligence e demais comunicações sobre proteção de dados podem ser encaminhadas ao nosso Encarregado pelo Tratamento de Dados Pessoais:

• E-mail: [privacidade@alliv.com.br]
• Demais canais oficiais: disponíveis na página de Contato.

Documentos relacionados:

• Termos de Uso;
• Política de Privacidade.