Política de Privacidade da plataforma CHARLES | Multiatendimento
- Identificador:
politica-de-privacidade · Versão: 8 · Substitui: a versão 7.
- Este documento informa; ele não pede o seu aceite. Os consentimentos que a lei exige são pedidos à parte, cada um na hora em que o tratamento acontece.
- Anexo desta Política: a Lista de suboperadores e provedores (
lista-suboperadores), com o link oficial de cada um.
1. Quem trata os seus dados
1.1. Controladora dos dados do cadastro da plataforma: CHARLES | Multiatendimento, microempreendedor individual inscrito no CNPJ 53.419.019/0001-33. O contato da controladora é só o canal do item 1.2, privacidade@charles.app.br; a CHARLES não publica endereço físico.
1.2. Encarregado pelo tratamento de dados pessoais (DPO): Juliano Ferreira Silva. Canal: privacidade@charles.app.br. É por ele que você exerce os seus direitos, faz reclamações e pede esclarecimentos.
1.3. Quando a CHARLES trabalha para uma empresa. Nos serviços que a CHARLES opera para uma empresa cliente (por exemplo, o atendimento de um condomínio ou de uma loja), quem decide sobre os dados dos clientes dessa empresa é a própria empresa, que é a controladora deles. Esses dados ficam na conta de nuvem da própria empresa (o tenant dela), e é a empresa quem faz a guarda deles e define por quanto tempo os guarda. A CHARLES não faz a guarda desses dados (salvo o que deles ficar nos registros do kernel, descritos abaixo): só executa ali, em nome da empresa e segundo as instruções dela, as operações do serviço. No ambiente próprio da CHARLES (o kernel) fica só o que é da CHARLES: o cadastro da plataforma (item 2), inclusive o de quem se vincula a uma empresa cliente, já que a identidade de cada pessoa fica no kernel; os dados da empresa como cliente da CHARLES; e os registros do processo da CHARLES que a identificam (o aceite do contrato, a cobrança e os registros de acesso à plataforma, de incidentes e das operações que a CHARLES executa para a empresa). Esses registros podem ter dados seus. Tudo o que fica no kernel segue esta Política, inclusive o item 6. Cada empresa cliente nomeia o próprio encarregado e publica o próprio canal: é a ela que você se dirige sobre os dados que ela controla. Se você nos fizer um pedido sobre esses dados, nós o encaminhamos à empresa sem demora e avisamos você: "seu pedido foi encaminhado à empresa, que guarda esses dados; ela tem o prazo legal para responder". Esse aviso fica registrado. Esta Política cobre o que a CHARLES decide; para os dados que uma empresa cliente controla, vale a política dela.
1.4. Quando a empresa cliente cancela o serviço da CHARLES. Os dados que a empresa controla continuam na conta de nuvem dela, no provedor que ela escolheu: a base de dados, os arquivos e a cópia técnica de segurança mais recente (as anteriores são apagadas no cancelamento). A CHARLES remove a máquina e os programas dela e deixa de operar esses dados; a partir daí, a guarda, o prazo de guarda e a eliminação são só da empresa, que é a quem você se dirige sobre eles (item 1.3). Esses serviços seguem as regras de guarda e de exclusão do provedor, conforme disponibilizadas por ele nos links oficiais da parte C da Lista de suboperadores e provedores; alguns provedores param ou apagam o que fica sem uso.
2. Que dados tratamos, para quê e com que base legal
| Dado | Para quê | Base legal (LGPD) |
|---|
| CPF | identificar você de forma única no cadastro | execução de contrato (art. 7º, V) |
| Nome e nome de tratamento | identificar e tratar você pelo nome | execução de contrato (art. 7º, V) |
| Data de nascimento | confirmar a identidade e a idade | execução de contrato (art. 7º, V) |
| E-mail | acesso sem senha e avisos do serviço | execução de contrato (art. 7º, V) |
| Celular (opcional) | contato complementar | consentimento (art. 7º, I) |
| Documento de identidade com foto, quando pedido | validar o CPF no onboarding e prevenir fraude no cadastro | execução de contrato (art. 7º, V) |
| Registros de acesso (data, hora, IP e porta de origem) | segurança e guarda que a lei exige | obrigação legal (art. 7º, II) |
| Aceites e consentimentos (o que foi aceito, por quem, quando, em que versão) | provar o contrato e o consentimento | obrigação legal e exercício de direitos (art. 7º, II e VI) |
| Dados de cobrança da pessoa (nome, CPF, e-mail) | cobrar os serviços pagos | execução de contrato (art. 7º, V) |
| Conteúdo enviado às IAs de terceiros, no plano gratuito | melhoria do produto e treino de IA de terceiros (item 3) | consentimento (art. 7º, I), condição do plano gratuito informada em destaque (art. 9º, § 3º) |
Também usamos o CNPJ, os dados da empresa e o quadro societário, do cadastro público da Receita Federal, para cadastrar a empresa e os vínculos entre pessoas e empresas. O CNPJ usado na cobrança de uma empresa segue a mesma regra. São dados jurídicos públicos, inclusive os de MEI e do quadro societário.
A validação do documento não usa biometria. A IA lê só o texto do documento (nome, CPF e data de nascimento), e a aprovação final é de uma pessoa. A foto segurando o documento, quando for pedida, é conferida por uma pessoa, sem comparação automática do rosto.
Tratamos o mínimo necessário para cada finalidade. Não vendemos dados e não os compartilhamos para publicidade.
3. Uso de inteligência artificial de terceiros
3.1. A plataforma usa serviços de inteligência artificial de terceiros para: ler documentos enviados no onboarding (por exemplo, o documento de identidade para validar o CPF), classificar e responder mensagens e apoiar a triagem de cadastros.
3.2. Atenção — condição do plano gratuito. No plano gratuito, os dados tratados por essas IAs podem ser usados para a melhoria do produto e para o treino de IA de terceiros, conforme a política de cada provedor. Esse uso é condição do plano gratuito: quem não concorda não deve usar o plano gratuito. Durante o onboarding só existe o plano gratuito (o menor de 18 anos segue o item 8.1), e os dados e o documento de identidade enviados no onboarding ficam fora desse uso para melhoria do produto e treino de IA. Os provedores e os países estão no item 4.
3.3. Quando o provedor usa os dados para treinar a IA dele, ele decide sozinho sobre essa parte e pode guardar o conteúdo fora do Brasil, pelo prazo da política dele.
3.4. Hoje a CHARLES não desenvolve nem treina IA própria. Se um dia fizer, isso só acontecerá na forma da LGPD, com dados anonimizados, e com aviso prévio.
3.5. No plano pago, os dados vão só a provedores de IA que não os usam para treinar IA, conforme o contrato ou os termos de cada provedor. Se um deles passar a treinar com os dados, o envio a ele é cortado na hora, ele sai da lista, e o uso passa a outro provedor que a empresa já habilitou; sem outro, o recurso fica indisponível, com aviso à empresa. Ao habilitar a IA com um único provedor, o painel avisa a empresa de que não há alternativa se ele falhar.
3.6. Menores de 18 anos. O menor faz o mesmo onboarding de qualquer pessoa, e os dados e o documento do onboarding ficam fora da melhoria do produto e do treino de IA (item 3.2). Depois do onboarding, o menor só usa um serviço do plano gratuito, com a condição do item 3.2, depois do aval dos responsáveis, como toda ação dele na plataforma (item 8.1). Cada serviço diz se o menor pode usá-lo no plano gratuito e de que forma; hoje, o e-mail gratuito não é oferecido ao menor. Quando o dado de um menor chega como cliente ou contato de uma empresa cliente, por exemplo numa conversa do atendimento, é a empresa quem responde por esse conteúdo, como controladora dele (item 1.3); a CHARLES não controla quem a empresa atende. Em nenhum caso o menor decide algo sozinho na plataforma (item 8.1).
3.7. Parte da triagem de cadastro pode ser feita de forma automatizada. Você pode pedir a revisão de decisão tomada só com base em tratamento automatizado que afete os seus interesses, e informação clara sobre os critérios usados, pelo canal do item 1.2.
4. Com quem compartilhamos
Usamos fornecedores que tratam dados em nosso nome (operadores), cada um só para a sua função. Quem são, o que cada um trata, onde trata e o link oficial dos termos e da política de cada um estão na parte A da Lista de suboperadores e provedores (lista-suboperadores), anexa a esta Política. Hoje: hospedagem, banco de dados e backup (Oracle Cloud Infrastructure, no Brasil), envio de e-mail (Oracle Cloud Infrastructure Email Delivery, na região indicada na lista, parte A), consulta de domínio (Registro.br), cobrança (Asaas, no Brasil, cuja política prevê guarda em nuvem fora do país, sem nomear o país) e provedores de IA de terceiros (item 3), estes fora do Brasil. A consulta de CNPJ (ReceitaWS) não é operadora: é fornecedor de dado público, que recebe só o CNPJ e devolve dados do cadastro público da Receita Federal. A lista é atualizada a cada inclusão ou troca, na forma do item 11. A lista nominal e os países dos provedores de IA estão na Lista de suboperadores e provedores (parte C e lista nominal).
No plano gratuito, os provedores de IA também usam os dados para fins próprios, como descrito no item 3.3.
Também compartilhamos dados quando a lei ou uma ordem judicial obrigar.
5. Onde os dados ficam e quando saem do Brasil
5.1. O armazenamento da CHARLES é só no Brasil, nas regiões de São Paulo e de Vinhedo da Oracle Cloud.
5.2. Saem do Brasil, por processamento e não por armazenamento da CHARLES, os dados enviados aos provedores de IA de terceiros (item 3) e a outros fornecedores fora do país (item 4 e a lista anexa). No plano gratuito, o provedor de IA pode guardar esse conteúdo no país dele (item 3.3). Essa é uma transferência internacional de dados, feita na forma do art. 33 da LGPD.
5.3. Dados da empresa cliente em outro país. Uma empresa cliente pode escolher guardar cópia de segurança dos dados dela num tenant fora do Brasil. Nesse caso, a empresa aceita o termo próprio, assume a responsabilidade pela escolha e pergunta a você, no seu vínculo com ela, se concorda que os seus dados sejam levados como cópia de backup cifrada para outro país. A cópia só inclui os dados de quem aceitou. Também quando a empresa tem conta (tenant) fora do Brasil, o seu aceite de vínculo com ela traz o termo de internacionalização. Se a empresa passar a fazer backup fora do Brasil ou a ter conta fora do Brasil depois do seu vínculo, a plataforma envia a você uma notificação de alteração dos termos e pede o seu novo aceite.
6. Quanto tempo guardamos
6.1. Guardamos cada dado enquanto ele for necessário para a finalidade, e depois o eliminamos, salvo quando a lei mandar guardar.
6.2. Prazos que se aplicam à CHARLES, os que a lei impõe e os que a CHARLES adota:
| Dado | Prazo | Por quê |
|---|
| Registros de acesso à aplicação | 6 meses, em sigilo | Marco Civil da Internet, art. 15 |
| Aceites e consentimentos | enquanto durar o tratamento e, depois, até prescrever a pretensão ligada ao contrato | Código Civil, arts. 205 e 206; LGPD, art. 16, I |
| Documentos de cobrança e fiscais | 5 anos, no mínimo | legislação tributária |
| Registro de incidente de segurança | 5 anos | Resolução CD/ANPD 15/2024, art. 10 |
| Registro das operações que a CHARLES executa para empresas clientes, que pode ter dados de quem se vincula a elas | 10 anos | a LGPD manda manter o registro e não fixa o prazo (arts. 37 e 40); na dúvida, a CHARLES adota o prazo maior |
| Imagem de documento de identidade | até 10 anos após o encerramento da conta, ou o prazo legal lido, se maior | nenhuma norma lida fixa prazo para a imagem; na dúvida, a CHARLES adota o prazo maior |
6.3. Cópias de segurança seguem o ciclo de vida do backup, com o prazo padrão de 30 dias. A empresa cliente pode reduzir esse prazo nas cópias dos dados dela; com prazo menor que 30 dias, a plataforma avisa os riscos, e a empresa os assume com aceite registrado.
7. Os seus direitos
Pelo canal do item 1.2, de graça, você pode pedir:
a) a confirmação de que tratamos dados seus e o acesso a eles;
b) a correção de dados incompletos, inexatos ou desatualizados;
c) a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
d) a portabilidade dos dados a outro fornecedor;
e) a eliminação dos dados tratados com o seu consentimento, salvo quando a lei mandar guardar;
f) a informação de com quem compartilhamos os seus dados;
g) a informação sobre a possibilidade de não dar consentimento e o que acontece se não der;
h) a revogação do consentimento, a qualquer momento;
i) a revisão de decisão automatizada (item 3.7);
j) a oposição a tratamento feito sem o seu consentimento, quando ele descumprir a LGPD.
A confirmação e o acesso saem na hora, em formato simplificado, ou por declaração completa em até 15 dias do pedido.
Se a CHARLES corrigir ou eliminar um dado seu, avisa os fornecedores com quem o compartilhou para que façam o mesmo.
Sobre os dados que uma empresa cliente controla, o pedido vai à empresa (item 1.3).
8. Crianças e adolescentes
8.1. O menor de 18 anos faz o mesmo cadastro e o mesmo onboarding de qualquer pessoa, sem a opção de contratar serviço pago, e informa um documento com a filiação (o nome do pai e o da mãe), que identifica os responsáveis legais. O vínculo do menor com os responsáveis segue a mesma lógica da entrada de um colaborador numa empresa. Cada serviço da plataforma diz se o menor pode usá-lo no plano gratuito e de que forma; hoje, o e-mail gratuito não é oferecido ao menor. O menor não decide nada sozinho: o cadastro dele só existe depois da aprovação dos responsáveis legais, e cada associação dele (a uma empresa, a um serviço, a uma ação na plataforma) só segue depois do aceite deles, com o consentimento específico e em destaque do termo próprio de consentimento dos responsáveis (consentimento-responsavel). Os responsáveis são os que constam no documento do menor (os dois, quando os dois constam); quem é responsável legal sem constar dele, como o tutor ou quem tem a guarda judicial, prova isso com documento, conferido por uma pessoa.
8.2. Os dados de crianças e adolescentes são tratados no seu melhor interesse. Não criamos perfil comportamental de menores para publicidade. O uso de IA de terceiros com dados de menores segue o item 3.6.
9. Segurança e incidentes
9.1. Usamos criptografia em trânsito (HTTPS/TLS), links de acesso de uso único com prazo de validade, controle de acesso por identidade verificada e registro das ações.
9.2. Se houver incidente de segurança que possa causar risco ou dano relevante a você, comunicamos você e a Autoridade Nacional de Proteção de Dados (ANPD).
10. Cookies e armazenamento no navegador
A plataforma guarda o token de sessão no armazenamento local do navegador, só para manter você conectado. Não usamos cookies de rastreamento, de análise ou de publicidade de terceiros.
11. Mudanças nesta Política
Se mudarmos esta Política, publicamos uma versão nova, com número e código de integridade novos, e avisamos você por e-mail com pelo menos 15 dias de antecedência, com o que mudou em destaque. Quando a mudança tocar um tratamento baseado no seu consentimento, pedimos o consentimento de novo, e você pode recusar.
12. Reclamação à ANPD
Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor. Procurar antes o nosso canal costuma resolver mais rápido.