Contrato de Operador de Dados da Myndchat

1. As partes e quando este contrato se aplica

De um lado, a MYNDCHAT TECNOLOGIA LTDA, CNPJ 65.434.606/0001-80, com endereço na Avenida Brigadeiro Faria Lima, 1811, Sala ESC 1119, Jardim Paulistano, São Paulo/SP, CEP 01452-001, aqui chamada Myndchat. Do outro, você — a pessoa jurídica ou o profissional titular da conta —, aqui chamado Cliente.

Este contrato se aplica ao tratamento de dados pessoais dos contatos finais: as pessoas que conversam com o Cliente pelo WhatsApp, Instagram Direct, Facebook Messenger ou TikTok, através de canais que o Cliente conectou à plataforma.

Ele não se aplica aos dados do próprio Cliente e da equipe dele — cadastro, cobrança, uso do produto. Sobre esses a Myndchat é controladora, decide sozinha e responde diretamente, e a Política de Privacidade explica o que faz com eles. As duas relações coexistem e não se confundem.

Sobre o momento em que este contrato produz efeito. Nesta data o site institucional da Myndchat está no ar e a plataforma está em construção. As obrigações descritas aqui passam a produzir efeito, para cada Cliente, no momento em que ele cria conta, aceita os Termos e conecta um canal. Publicamos antes porque quem vai contratar precisa poder ler o instrumento antes de decidir, e porque as plataformas com que nos integramos exigem os documentos publicados e ativos antes de autorizar a integração.

O Encarregado da Myndchat é Bernardo Prantz Pin. A indicação de Encarregado pelo operador é facultativa na lei; adotamos como obrigatória, porque o Cliente precisa de um interlocutor nomeado quando um titular o procura.

2. Quem é controlador e quem é operador

Esta é a seção que organiza todo o resto, e por isso vem antes de qualquer obrigação concreta.

Como controlador dos dados dos contatos finais, o Cliente é quem define a finalidade de cada conversa, escolhe a base legal, colhe o consentimento quando ele é a base aplicável, decide os prazos de guarda dentro do que a plataforma oferece e responde perante o titular e perante a autoridade.

Como operadora, a Myndchat executa. Não decidimos por que uma mensagem é enviada, a quem, nem com que conteúdo. Não escolhemos a base legal do Cliente. Não somos parte na relação entre o Cliente e o consumidor dele.

Isso não é formalidade jurídica: muda o que fazemos na prática. Nenhum dado tratado como operadora é usado para finalidade própria da Myndchat, cruzado entre organizações diferentes, vendido, cedido, usado para publicidade ou usado para treinar modelo de inteligência artificial, nosso ou de terceiro. A seção 4 transforma isso em obrigação e a seção 14 detalha o caso da inteligência artificial.

Se, em alguma hipótese, a Myndchat passar a determinar finalidade ou meios essenciais sobre dados de contato final, deixará de ser operadora quanto àquele tratamento e assumirá as obrigações de controladora sobre ele. Não é o que fazemos hoje, e a hipótese está escrita porque a lei olha a substância e não o rótulo.

3. Objeto: o que tratamos, de quem e por quanto tempo

A natureza do tratamento é a operação de uma plataforma de automação e atendimento de conversas: receber, armazenar, organizar, exibir, processar por automação, indexar para busca e transmitir mensagens trocadas entre o Cliente e os contatos finais dele.

Os titulares são os contatos finais do Cliente: as pessoas que iniciam ou recebem conversa por um canal conectado. As categorias de dado tratadas em nome do Cliente, com o prazo padrão de guarda de cada uma:

O registro de recusa de comunicação tem prazo diferente de propósito: ele sobrevive à eliminação dos demais dados daquele contato. Se fosse apagado junto com o resto, a pessoa voltaria a receber mensagem na importação seguinte, e o pedido dela deixaria de ser respeitado.

A plataforma não é destinada à coleta deliberada de dados sensíveis nem de dados de crianças e adolescentes. Como o conteúdo das conversas é escrito por terceiros, a Myndchat não tem como impedir que dado sensível apareça numa mensagem, e o trata com o mesmo rigor do restante. Cabe ao Cliente, como controlador, avaliar a base legal aplicável e cumprir o art. 14 da LGPD quando houver dado de criança ou adolescente.

A duração do tratamento é a do contrato entre as partes, prorrogada apenas pelos prazos de eliminação da seção 13.

4. Tratamento apenas conforme instruções

A Myndchat trata os dados dos contatos finais exclusivamente conforme as instruções documentadas do Cliente. São instruções documentadas, para todos os efeitos deste contrato:

• este contrato, os Termos de Serviço e a Política de Privacidade;
• as configurações que o Cliente aplica dentro da plataforma — prazos de guarda, automações, integrações, permissões da equipe e canais conectados;
• as instruções escritas que o Cliente enviar aos endereços da seção 1 e que a Myndchat confirmar por escrito.

Fora disso, e sem exceção, a Myndchat não:

• usa os dados para finalidade própria;
• cruza dados entre organizações clientes diferentes;
• vende, aluga ou cede os dados a terceiros;
• usa os dados para publicidade, própria ou de quem quer que seja;
• usa os dados para treinar modelos de inteligência artificial, próprios ou de terceiros;
• acessa conteúdo de conversa fora das hipóteses da seção 7.

Isso não depende apenas da nossa palavra. O contrato que a Myndchat mantém com a Meta para operar como provedor de tecnologia obriga a tratar os dados obtidos pelas plataformas dela exclusivamente em nome do cliente e conforme as instruções dele, e proíbe usá-los para qualquer outra finalidade ou divulgá-los a terceiros. Descumprir esta seção nos colocaria em violação também daquele contrato, com perda do acesso aos canais.

Se uma instrução do Cliente parecer à Myndchat contrária à legislação de proteção de dados, informaremos o Cliente por escrito e poderemos suspender a execução daquela instrução específica até que o ponto seja esclarecido. Não interrompemos o serviço inteiro por causa disso.

A Myndchat pode tratar os dados fora das instruções do Cliente quando obrigada por lei ou por ordem de autoridade competente. Nesse caso, informará o Cliente antes do cumprimento, salvo se a própria norma proibir o aviso, e limitará o atendimento ao estritamente exigido.

5. O que o Cliente garante

Este contrato tem duas mãos. A Myndchat só consegue ser uma operadora regular se o Cliente for um controlador regular, e as garantias abaixo são a contrapartida das obrigações das outras seções.

O Cliente declara e garante que:

• possui base legal válida para cada tratamento que instrui, incluindo o envio de mensagens ativas, e mantém a prova dessa base;
• obteve o opt-in exigido pelas políticas de cada canal antes de iniciar conversa, e honra o opt-out;
• informou os seus titulares, com clareza, sobre o tratamento e sobre a existência de operador;
• não usa a plataforma para tratamento que exija avaliação de impacto sem tê-la realizado, quando ela for exigível dele;
• mantém atualizados os dados de contato do próprio Encarregado, quando houver, e responde aos titulares nos prazos legais;
• configura os prazos de guarda e as permissões da equipe de acordo com a própria política de privacidade.

O Cliente é o único responsável pelo conteúdo que envia e pelas listas que importa. A Myndchat não verifica previamente a legalidade de cada mensagem — não teria como fazê-lo sem ler as conversas de todo mundo, que é exatamente o que esta seção e a seção 7 existem para impedir.

A Política de Uso Aceitável complementa esta seção e faz parte deste contrato. Ela está publicada em página própria, listada ao lado, e descreve o que não pode ser feito com a plataforma, a regra de consentimento que os canais exigem e a escada de resposta a uso abusivo, degrau por degrau.

6. Confidencialidade e pessoas autorizadas

Os dados tratados em nome do Cliente são confidenciais. A obrigação de sigilo não acaba com o contrato: ela continua enquanto os dados existirem em qualquer cópia sob controle da Myndchat.

O acesso interno é restrito às pessoas que precisam dele para a própria função, sob compromisso escrito de confidencialidade que sobrevive ao fim do vínculo. Cada pessoa e cada componente do sistema enxerga apenas o necessário — é o princípio do menor privilégio, aplicado também internamente.

Acesso interno a conteúdo de conversa é excepcional. Exige justificativa escrita, é limitado no tempo, fica integralmente registrado, e o registro aparece na trilha de auditoria da própria organização do Cliente — ou seja, o Cliente consegue ver que houve acesso, quem fez e quando, sem depender de a Myndchat contar.

As hipóteses em que esse acesso pode ocorrer são: pedido expresso do Cliente, investigação de incidente de segurança, apuração de uso abusivo denunciado, e cumprimento de ordem legal. Não há hipótese de acesso por curiosidade, por análise de produto ou por melhoria de modelo.

7. Medidas de segurança

A Myndchat adota as medidas técnicas e administrativas dos arts. 46 a 49 da LGPD. As que seguem são as que efetivamente aplicamos, e são as mesmas declaradas na Política de Privacidade — o Cliente não recebe aqui uma lista mais generosa do que a que publicamos ao mercado.

• Comunicação cifrada em trânsito em todo o serviço, sem exceção.
• Credenciais de acesso às contas de canal do Cliente cifradas em repouso, com chave gerenciada fora do banco de dados, de modo que uma cópia do banco não as entregue. Nunca são enviadas ao navegador, nunca aparecem em registro e nunca são exibidas, nem parcialmente.
• Isolamento entre organizações aplicado no banco de dados e no servidor, de forma independente: se uma camada falhar por erro nosso, a outra continua barrando.
• Testes automatizados que tentam quebrar o isolamento entre organizações e que falham se o controle for removido.
• Segundo fator de autenticação disponível para todos e obrigatório para o papel de administrador em plano pago.
• Senha verificada contra bases públicas de credenciais vazadas no cadastro e na troca, com recusa das que já apareceram em vazamento.
• Trilha de auditoria imutável, registrando quem acessou o quê, quando e de onde.
• Mídia acessível apenas por endereço assinado e temporário, escopado à organização. Nunca por link público permanente.
• Dados sensíveis mantidos fora dos registros de erro e de diagnóstico, por lista do que é permitido registrar e não por lista do que é proibido — assim, campo novo nasce fora do registro.
• Varredura automatizada de credenciais no código e de vulnerabilidade em dependências a cada alteração.
• Cópias de segurança desde o primeiro dado, com procedimento de restauração testado e não apenas documentado.

Não afirmamos possuir certificação que não temos. Nenhuma das medidas acima é apresentada como selo, norma ou auditoria de terceiro: são controles que implementamos e testamos. Se e quando obtivermos certificação, ela será declarada aqui com o nome e a data. Um DPA que insinuasse conformidade certificada inexistente seria a declaração falsa mais cara deste conjunto de documentos.

As medidas podem evoluir. A Myndchat pode substituir um controle por outro, desde que o nível de proteção não diminua. Redução relevante do nível de proteção é comunicada ao Cliente antes de produzir efeito.

Quem identificar falha de segurança pode escrever para seguranca@myndchat.com. Analisamos toda comunicação recebida e não tomamos medida contra quem reporta de boa-fé, sem explorar a falha além do necessário para demonstrá-la e sem acessar dado de terceiros.

8. Subprocessadores

A Myndchat usa fornecedores que executam parte do serviço e, para isso, tratam dados em nome do Cliente. São os subprocessadores. Ao aceitar este contrato, o Cliente autoriza de forma geral o uso de subprocessadores, nas condições desta seção.

A lista completa, com o nome de cada fornecedor, a função exata dele no produto, a categoria de dado que recebe e o país onde trata, está publicada na página de Subprocessadores. Ela é versionada, e a data da última verificação aparece na própria página.

Cada subprocessador está sujeito, por contrato, a obrigações de proteção de dados não menos rigorosas do que as deste documento, limitadas à função que executa. A Myndchat responde perante o Cliente pelos atos dos seus subprocessadores como se fossem próprios.

Uma ressalva honesta sobre a objeção. Os provedores dos canais — Meta e TikTok — não são substituíveis: eles são o próprio canal que o Cliente escolheu conectar. Objetar a eles equivale a não usar aquele canal. O mesmo vale para o provedor de infraestrutura enquanto ele hospeda a plataforma inteira. Dizemos isso aqui em vez de prometer uma alternativa que não existe.

Fornecedor contratado pelo próprio Cliente — um endereço de webhook, um sistema que ele integra por API — não é subprocessador da Myndchat. A partir do momento em que o dado sai para um destino escolhido pelo Cliente, quem responde por ele é o Cliente.

9. Transferência internacional

Parte dos subprocessadores trata dados fora do Brasil. Isso não é um detalhe que se esconde num anexo: é consequência direta de os canais de mensagem serem operados por empresas estrangeiras.

As transferências se apoiam nos mecanismos do art. 33 da LGPD, conforme o caso de cada fornecedor:

As cláusulas-padrão adotadas são as aprovadas pela autoridade nacional, incorporadas integralmente e sem alteração de texto. O prazo regulamentar para incorporá-las já se encerrou, e a Myndchat as trata como vigentes desde então.

Para cada fornecedor, o país de tratamento e o mecanismo aplicável constam da página de Subprocessadores. Quando o país de tratamento de um fornecedor mudar, a alteração segue o procedimento de aviso da seção 8.

10. Auxílio no atendimento aos titulares

Quem responde ao titular é o Cliente, porque é ele o controlador. A Myndchat não tem como decidir, em nome do Cliente, sobre dados que não são dela — nem sobre a base legal que justificou o tratamento.

O que a Myndchat oferece, e que é o auxílio exigido pelo art. 38 e pelos arts. 18 e 19 da LGPD:

• recursos na própria plataforma para localizar, exportar, corrigir e eliminar os dados de um contato específico, para que o Cliente atenda sem depender de nós;
• resposta a pedido de auxílio do Cliente que a plataforma não resolva sozinha, em até 10 dias corridos do recebimento;
• as informações que só a Myndchat tem — o que foi tratado, quando, por qual componente — quando o Cliente precisar delas para responder;
• encaminhamento ao Cliente, em até 5 dias úteis, de qualquer pedido de titular que chegue diretamente a nós, com confirmação ao titular de que o pedido foi encaminhado.

Se um titular nos procurar diretamente, não o ignoramos. Explicamos quem é o controlador, encaminhamos o pedido ao Cliente responsável, confirmamos ao titular que encaminhamos, e apoiamos a resposta no que estiver tecnicamente ao nosso alcance. O que não fazemos é decidir, em nome do Cliente, sobre dados que não são nossos.

O mesmo vale para pedidos da autoridade nacional e para requisições judiciais dirigidas a dados do Cliente: informamos o Cliente antes de cumprir, salvo quando a própria norma proibir o aviso, e limitamos o atendimento ao estritamente exigido.

A Myndchat auxilia o Cliente, no que lhe couber, na elaboração de relatório de impacto à proteção de dados pessoais quando ele for exigível, fornecendo as informações técnicas sobre o tratamento que executa.

11. Incidente de segurança

Incidente de segurança é qualquer evento que cause acesso, destruição, perda, alteração, vazamento ou comunicação não autorizada de dados pessoais, ainda que acidental.

Quem comunica à autoridade nacional e aos titulares é o Cliente, na condição de controlador. A obrigação da Myndchat é avisar o Cliente com rapidez e conteúdo suficiente para que ele consiga cumprir a dele.

As informações do aviso incluem, na medida do que for apurado: a natureza e as categorias de dados atingidos, o número aproximado de titulares afetados, as medidas técnicas e de segurança que estavam em uso, os riscos prováveis, as medidas de reversão ou mitigação adotadas, e o contato do Encarregado.

O prazo de 3 dias úteis é o prazo cheio da regulamentação, e a Myndchat o adota deliberadamente, sem invocar o prazo em dobro previsto para agente de pequeno porte. A razão está escrita na Política de Privacidade: a natureza do tratamento que executamos afasta esse enquadramento, e na dúvida escolhemos o prazo mais curto.

A Myndchat não comunica incidente aos titulares do Cliente por conta própria, salvo se a autoridade determinar ou se o Cliente pedir por escrito. Duas comunicações descoordenadas sobre o mesmo evento confundem quem precisa entender o que aconteceu.

12. Demonstração de conformidade e auditoria

A Myndchat disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento deste contrato, na forma abaixo, que é o que uma empresa do nosso tamanho consegue sustentar com honestidade.

A auditoria presencial ou por terceiro é limitada a uma por ano, exceto quando decorrer de incidente de segurança confirmado ou de determinação de autoridade, hipóteses em que não há limite nem carência. Ela é agendada com no mínimo 30 dias de antecedência, ocorre em horário comercial e não pode comprometer a segurança ou a confidencialidade dos dados de outros clientes.

O que não oferecemos, e dizemos com clareza: não temos certificação de terceiro, não temos relatório de auditoria independente e não fingimos ter. Se o processo de compra do Cliente exigir um desses, este é o momento de saber — e não depois de assinar.

13. Retenção, devolução e eliminação

Durante o contrato, cada categoria de dado é guardada pelo prazo da seção 3, e o Cliente pode reduzir os prazos configuráveis a qualquer momento dentro da plataforma. Prazo reduzido pelo Cliente prevalece sobre o prazo padrão.

Quando o contrato acaba, por qualquer motivo:

Eliminação, aqui, significa remoção do banco de dados, do armazenamento de arquivos e, no ciclo devido, também das cópias de segurança. Não significa apenas ocultar o registro da interface.

Três exceções, declaradas em vez de escondidas. Primeira: dado que a Myndchat precise guardar por obrigação legal própria — registros de acesso à aplicação, documentos fiscais, registro de incidente — permanece pelo prazo daquela obrigação, isolado e sem uso para qualquer outra finalidade. Segunda: ordem judicial ou necessidade de defesa em processo suspende a eliminação do item específico, pelo tempo estritamente necessário. Terceira: o registro de recusa de comunicação do contato final sobrevive ao expurgo, pela razão explicada na seção 3.

A Myndchat confirma a eliminação por escrito quando o Cliente pedir, indicando o que foi eliminado e o que permaneceu por força das exceções acima.

14. Inteligência artificial

A camada de inteligência artificial é complemento opcional. Enquanto o Cliente não a contratar e ativar, nenhum dado de conversa é enviado a fornecedor de modelo de linguagem. Esta seção só produz efeito para quem a usa.

Quando ativada, o que é enviado ao fornecedor do modelo é um recorte montado para aquela resposta, e não a base do Cliente:

O que a camada de inteligência artificial nunca recebe, e isto é verificável no conteúdo enviado:

• segredo, chave de acesso ou variável de ambiente;
• dado de outra organização, inclusive na busca por similaridade, que é restrita à organização na própria consulta além do isolamento do banco;
• dado de cobrança, documento de identificação e credencial;
• qualquer ferramenta com poder de escrever no banco, movimentar dinheiro ou alterar permissão.

A memória do contato só é gravada por ação explícita de uma automação ou de um atendente. Nunca por inferência do modelo. Um sistema que deixasse o modelo decidir sozinho o que lembrar de uma pessoa estaria criando perfil sem que ninguém tivesse instruído isso — e sem base legal do Cliente para sustentá-lo.

A qualificação de lead gerada com auxílio da camada de inteligência artificial pode caracterizar decisão automatizada. Como controlador, o Cliente responde pelo direito de revisão do titular previsto no art. 20 da LGPD; a Myndchat fornece, dentro da plataforma, o registro do que levou àquela qualificação, para que a revisão seja possível.

15. Responsabilidade entre as partes

A LGPD prevê responsabilidade solidária entre controlador e operador em determinadas hipóteses, e este contrato não afasta nem poderia afastar o que a lei estabelece perante o titular.

Entre as partes, e sem prejuízo do que o titular possa exigir de qualquer uma delas, a alocação é a seguinte:

Se uma das partes for demandada por fato que, pela tabela acima, seja de responsabilidade da outra, esta a reembolsará do que houver desembolsado, desde que tenha sido informada a tempo de participar da defesa.

Limitação de valor, escopo de indenização e foro não são fixados neste documento. Eles vivem nos Termos de Serviço, que tratam a relação contratual como um todo, e onde a questão do foro já está posta com a ressalva legal aplicável quando o Cliente for consumidor. Este contrato trata de proteção de dados, e não repete — nem contradiz — o que já está lá.

16. Vigência, alterações e prevalência

Este contrato vigora enquanto durar a relação entre as partes, e as obrigações que por natureza sobrevivem — confidencialidade, eliminação, registro de incidente — continuam pelo tempo indicado em cada seção.

A Myndchat pode alterar este contrato. Alteração que reduza a proteção do titular ou amplie o que fazemos com os dados é comunicada ao Cliente com pelo menos 30 dias de antecedência, pelo e-mail de contato da conta, e o Cliente que não concordar pode rescindir sem multa dentro desse prazo. Correção de redação, de referência ou de link é publicada sem esse aviso, porque não muda obrigação nenhuma.

A data de vigência e o número de versão no alto desta página dizem qual redação está em vigor. A versão anterior continua acessível, para que o Cliente consiga verificar sob qual texto operou em cada período.

Em matéria de proteção de dados pessoais, este contrato prevalece sobre os Termos de Serviço e sobre qualquer outro instrumento entre as partes. Nas demais matérias, prevalecem os Termos.

A versão em português deste documento prevalece em caso de divergência com a versão em inglês.