Política de Privacidade

Quem Somos

A Retorna.AI Tecnologia Ltda. ("Retorna.AI", "nós", "nosso"), operadora da plataforma Retorna.AI, disponível em retorna-ai.app.br, leva a privacidade e a proteção de dados pessoais muito a sério. Esta Política de Privacidade ("Política") descreve como coletamos, usamos, compartilhamos e protegemos dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 - "LGPD"), o Marco Civil da Internet (Lei nº 12.965/2014), o Código de Defesa do Consumidor (Lei nº 8.078/1990) e as orientações da Autoridade Nacional de Proteção de Dados (ANPD).

1.1. Dados de Contato

• WhatsApp: https://wa.me/5527999008455
• Site: https://retorna-ai.app.br
• Encarregado pelo Tratamento de Dados Pessoais (DPO): dpo@retorna-ai.app.br

Papéis no Tratamento de Dados

A Retorna.AI atua em dois papéis distintos, conforme o tipo de dado pessoal tratado:

2.1. Retorna.AI como Controladora

Somos Controladora dos dados pessoais do Contratante (o dono do negócio que se cadastra na Plataforma), como nome, e-mail, CPF/CNPJ, telefone, dados de acesso e dados de pagamento.

2.2. Retorna.AI como Operadora

Somos Operadora dos dados pessoais dos Clientes Finais (clientes do Contratante, cujos contatos e conversas de WhatsApp são importados à Plataforma). Nesse caso, o Controlador é o próprio Contratante, e tratamos tais dados exclusivamente conforme suas instruções documentadas, nos termos dos Termos de Uso e desta Política.

O Contratante, como Controlador, é responsável por: (i) possuir base legal válida para o tratamento dos dados dos Clientes Finais; (ii) informar adequadamente os Clientes Finais sobre o tratamento; (iii) atender às solicitações de direitos dos titulares dos Clientes Finais. A Retorna.AI auxiliará o Contratante no cumprimento dessas obrigações, nos limites tecnicamente viáveis.

Quais Dados Coletamos

3.1. Dados do Contratante (Controladora: Retorna.AI)

Coletamos, do Contratante que se cadastra na Plataforma:

• Dados cadastrais: nome completo, razão social, CPF/CNPJ, endereço, segmento de atuação;
• Dados de contato: e-mail, telefone, WhatsApp;
• Dados de acesso: login, senha (armazenada com hash bcrypt), histórico de acessos, endereço IP, tipo de dispositivo e navegador;
• Dados de pagamento: dados de cartão processados diretamente por nosso subprocessador Stripe (não armazenamos dados completos de cartão); histórico de faturas;
• Dados de uso da Plataforma: recursos utilizados, interações, cliques, logs técnicos;
• Comunicações: mensagens trocadas com nosso suporte.

3.2. Dados dos Clientes Finais (Operadora: Retorna.AI; Controlador: Contratante)

Tratamos, por instrução do Contratante, os seguintes dados dos Clientes Finais:

• Dados de identificação e contato: nome, telefone (número do WhatsApp), eventualmente e-mail e outros campos personalizados definidos pelo Contratante;
• Histórico de conversas: mensagens enviadas e recebidas no WhatsApp entre o Contratante e o Cliente Final (texto, mídias, metadados como data/hora, status de entrega);
• Histórico de atendimentos e agendamentos: datas, serviços, valores, observações;
• Campos customizados: informações adicionais inseridas pelo Contratante (por exemplo, preferências, restrições, aniversário);
• Tags e segmentações: rótulos aplicados para organização;
• Histórico de interações com automações: mensagens automáticas enviadas, respostas, cliques.

3.3. Dados Sensíveis

A Plataforma não é projetada para o tratamento de dados pessoais sensíveis (art. 5º, II, da LGPD) como dados de saúde, biometria, origem racial, convicções religiosas ou orientação sexual. Caso o Contratante, por sua conta e risco, insira tais dados em campos livres (por exemplo, observações em agendamentos de clínica), ele será integralmente responsável pela obtenção de consentimento específico e destacado e demais requisitos legais aplicáveis.

3.4. Dados de Crianças e Adolescentes

A Plataforma não se destina a menores de 18 anos. Consulte a Seção 13 abaixo.

Como Coletamos

Coletamos dados pessoais das seguintes formas:

• Diretamente do Contratante: no cadastro, contratação, uso da Plataforma e comunicação com o suporte;
• Automaticamente: via cookies, logs, eventos de uso e tecnologias similares;
• Por meio de integrações: ao conectar sua conta de WhatsApp Business (via Evolution API ou WhatsApp Business API), importamos contatos e conversas existentes, bem como mensagens futuras enquanto a integração estiver ativa;
• De provedores de pagamento: recebemos confirmações de pagamento do Stripe, sem acesso a dados completos de cartão;
• De subprocessadores autorizados: recebemos respostas de modelos de IA (Anthropic, OpenAI) processadas a partir das mensagens enviadas a eles.

Por Que Coletamos — Bases Legais (art. 7º da LGPD)

Tratamos dados pessoais com base nas seguintes hipóteses legais:

• Execução de contrato (art. 7º, V): para prestar os serviços contratados pelo Contratante;
• Cumprimento de obrigação legal ou regulatória (art. 7º, II): para cumprir deveres fiscais, tributários e o Marco Civil da Internet;
• Legítimo interesse (art. 7º, IX): para segurança da Plataforma, prevenção a fraudes, melhoria dos serviços, análises estatísticas em bases agregadas/anonimizadas e envio de comunicações transacionais e relacionadas ao serviço contratado, sempre respeitados direitos e liberdades fundamentais;
• Consentimento (art. 7º, I): para envio de comunicações de marketing e uso de cookies não essenciais, podendo ser revogado a qualquer momento;
• Exercício regular de direitos (art. 7º, VI): em processos judiciais, administrativos ou arbitrais;
• Proteção ao crédito (art. 7º, X): quando aplicável.

Para os dados dos Clientes Finais, a Retorna.AI atua como Operadora. A base legal aplicável é definida pelo Contratante, como Controlador, e deve ser por ele informada aos titulares.

Como Usamos os Dados

Utilizamos os dados para:

• Criar e gerenciar a conta do Contratante;
• Prestar as funcionalidades da Plataforma (gestão de contatos, integração com WhatsApp, agendamentos, automações);
• Processar pagamentos e emitir notas fiscais;
• Enviar notificações transacionais, alertas de segurança e atualizações do serviço;
• Oferecer suporte técnico;
• Processar mensagens via Inteligência Artificial: enviamos trechos de conversas, contexto e instruções a modelos de linguagem (LLMs) de terceiros (Anthropic Claude, OpenAI GPT) para gerar sugestões de resposta, análises e mensagens automáticas. Tais envios são feitos por meio de APIs empresariais, sob contratos que proíbem o uso dos dados para treinamento dos modelos dos fornecedores;
• Detectar e prevenir fraudes, abusos e violações dos Termos;
• Melhorar a Plataforma, por meio de métricas agregadas e, quando aplicável, dados anonimizados;
• Cumprir obrigações legais, incluindo retenção de logs prevista no Marco Civil da Internet.

6.1. Decisões Automatizadas

Algumas funcionalidades envolvem decisões automatizadas (por exemplo, classificação de contatos inativos e envio de mensagens de reativação), conforme configurações definidas pelo Contratante. O titular dos dados tem direito a solicitar revisão dessas decisões nos termos do art. 20 da LGPD, diretamente ao Contratante (Controlador) ou, no que couber, à Retorna.AI.

6.2. Não Usamos Dados para Treinar Nossos Próprios Modelos

A Retorna.AI não utiliza o Conteúdo do Usuário, mensagens ou dados de Clientes Finais para treinar modelos próprios de IA, nem permite que subprocessadores o façam.

Compartilhamento com Terceiros

Compartilhamos dados pessoais somente na medida necessária para a prestação dos serviços, com os seguintes tipos de terceiros:

7.1. Subprocessadores

A lista atualizada de subprocessadores pode ser solicitada ao DPO. Exigimos contratualmente que todos os subprocessadores adotem medidas técnicas e organizacionais compatíveis com as da Retorna.AI.

7.2. Autoridades

Poderemos compartilhar dados com autoridades públicas em cumprimento a ordens judiciais, requisições administrativas legítimas ou obrigações legais.

7.3. Reorganização Societária

Em caso de fusão, aquisição, cisão ou venda de ativos, os dados poderão ser transferidos à entidade sucessora, mantidas as mesmas proteções desta Política.

7.4. Não Vendemos Dados

A Retorna.AI não vende dados pessoais a terceiros.

Transferência Internacional de Dados

Alguns subprocessadores (notadamente Anthropic, OpenAI, Meta e provedores de e-mail) estão localizados nos Estados Unidos ou em outros países. Ao utilizar a Plataforma, o Contratante reconhece e autoriza a transferência internacional de dados pessoais, incluindo dados de Clientes Finais, para tais jurisdições.

Essas transferências ocorrem com base nas hipóteses previstas no art. 33 da LGPD, especialmente:

• Execução de contrato (art. 33, V);
• Autorização específica do titular/Contratante (art. 33, VIII);
• Garantias e salvaguardas contratuais adequadas, incluindo cláusulas-padrão, com os subprocessadores.

Retenção de Dados

Retemos dados pessoais pelo tempo necessário ao cumprimento das finalidades informadas nesta Política, observando:

• Dados do Contratante ativo: mantidos enquanto a conta estiver ativa;
• Dados após cancelamento: retidos por 30 (trinta) dias para permitir exportação; após, excluídos ou anonimizados;
• Logs de acesso a aplicações: retidos por 6 (seis) meses, conforme art. 15 do Marco Civil da Internet;
• Dados fiscais e contábeis: retidos por até 5 (cinco) anos ou prazo maior exigido por lei;
• Dados para defesa em processos: retidos pelos prazos prescricionais aplicáveis;
• Dados de Clientes Finais: retidos enquanto o Contratante mantiver a conta ativa ou conforme suas instruções, respeitados os prazos legais.

Após o término da retenção, os dados são eliminados ou anonimizados de forma segura.

Direitos dos Titulares (art. 18 da LGPD)

O titular de dados pessoais tem direito a, a qualquer momento e mediante requisição:

1. Confirmação da existência de tratamento;
2. Acesso aos dados;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
5. Portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
6. Eliminação dos dados pessoais tratados com base no consentimento;
7. Informação sobre compartilhamento com entidades públicas e privadas;
8. Informação sobre a possibilidade de não fornecer consentimento e suas consequências;
9. Revogação do consentimento, nos termos do art. 8º, §5º, da LGPD.

Além disso, o titular tem direito a solicitar revisão de decisões automatizadas (art. 20), oposição a tratamentos realizados com base em hipótese dispensada de consentimento quando houver descumprimento da LGPD, e peticionar à ANPD (art. 18, §1º).

10.1. Titular Cliente Final

Se você é Cliente Final de um negócio que utiliza a Retorna.AI, sua solicitação deve, em regra, ser dirigida ao próprio negócio (Controlador dos seus dados). Ainda assim, a Retorna.AI apoiará o processo e, quando acionada diretamente, encaminhará a solicitação ao Contratante responsável e/ou adotará as providências técnicas cabíveis.

Segurança da Informação

Adotamos medidas técnicas e organizacionais compatíveis com o estado da arte, incluindo:

• Criptografia em trânsito (TLS 1.2+) em todas as comunicações;
• Criptografia em repouso para dados sensíveis e credenciais;
• Hash bcrypt com no mínimo 12 rounds para senhas;
• Autenticação via JWT de curta duração e rotação obrigatória de refresh tokens;
• Isolamento multi-tenant em camada aplicacional, com filtragem automática por workspace;
• Controles de acesso baseados em papéis (RBAC) e princípio do menor privilégio;
• Rate limiting, proteção contra brute-force e mecanismos anti-enumeração;
• Monitoramento contínuo, logs de auditoria imutáveis e detecção de anomalias;
• Backups periódicos, testados e armazenados com segurança;
• Segregação de ambientes de produção, homologação e desenvolvimento;
• Contratos de confidencialidade com empregados e subprocessadores;
• Treinamento da equipe em segurança e proteção de dados.

Apesar de nossos esforços, nenhum sistema é 100% imune. Em caso de incidente de segurança que possa gerar risco ou dano relevante, notificaremos a ANPD e os titulares afetados no prazo e na forma previstos no art. 48 da LGPD.

Cookies e Tecnologias Similares

Utilizamos cookies e tecnologias similares para:

• Cookies estritamente necessários: essenciais para autenticação, segurança e funcionamento da Plataforma (não podem ser desativados);
• Cookies de desempenho/analytics: para entender o uso da Plataforma e melhorar a experiência;
• Cookies de preferências: para lembrar configurações do usuário.

Você pode gerenciar cookies diretamente no seu navegador. A desativação de cookies estritamente necessários pode impactar o funcionamento da Plataforma.

Crianças e Adolescentes

A Plataforma destina-se exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados pessoais de crianças e adolescentes. Caso o Contratante, no exercício de seu negócio, insira eventualmente dados de menores (por exemplo, dados de pacientes menores de idade em uma clínica pediátrica), será de sua responsabilidade, como Controlador, obter o consentimento específico e destacado por pelo menos um dos pais ou responsável legal, nos termos do art. 14 da LGPD.

Caso tomemos conhecimento de que dados de menores foram coletados em desconformidade com a lei, adotaremos as medidas cabíveis para eliminação.

Alterações desta Política

Poderemos atualizar esta Política periodicamente para refletir mudanças legais, regulatórias ou operacionais. A versão vigente estará sempre disponível em retorna-ai.app.br, com a respectiva data de "Última atualização" no topo.

Alterações materiais serão comunicadas por e-mail e/ou notificação na Plataforma com antecedência mínima de 30 (trinta) dias, exceto quando a alteração decorrer de obrigação legal ou regulatória imediata.

Como Exercer Seus Direitos

Para exercer qualquer dos direitos previstos na Seção 10, ou para esclarecer dúvidas sobre esta Política, entre em contato com nosso Encarregado (DPO):

• E-mail do DPO: dpo@retorna-ai.app.br
• WhatsApp: https://wa.me/5527999008455
• Site: https://retorna-ai.app.br

Responderemos às solicitações no prazo de 15 (quinze) dias, podendo ser estendido quando justificado. Poderemos solicitar informações adicionais para confirmar a identidade do requerente antes de atender à solicitação, como medida de segurança.

Se você não estiver satisfeito com nossa resposta, poderá apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), pelo site https://www.gov.br/anpd.

Encarregado pelo Tratamento de Dados Pessoais (DPO)

Nosso Encarregado é o ponto de contato para titulares, ANPD e demais partes interessadas em assuntos relacionados à proteção de dados:

• E-mail: dpo@retorna-ai.app.br
• WhatsApp: https://wa.me/5527999008455

Lei Aplicável

Esta Política é regida pelas leis da República Federativa do Brasil, em especial pela LGPD, pelo Marco Civil da Internet e pelo Código de Defesa do Consumidor. Fica eleito o foro da Comarca de Vitória, Estado do Espírito Santo, para dirimir quaisquer controvérsias, ressalvado o foro do domicílio do consumidor nas relações de consumo.