Política de Privacidade

01Identificação da empresa

Esta Política de Privacidade é mantida pela pessoa jurídica abaixo, responsável pelas decisões descritas neste documento.

• Contato geralcontato@morganaops.com.br
• Privacidade e LGPDprivacidade@morganaops.com.br

02Nossos papéis no tratamento

A Morgana Ops atua em dois papéis distintos, e a distinção entre eles determina a quem o titular deve dirigir seus pedidos.

Como operadora, tratamos dados pessoais em nome e sob as instruções de um cliente contratante, que é o controlador. É o caso das conversas de WhatsApp entre o cliente contratante e os seus próprios clientes ou usuários finais: a Morgana Ops constrói e opera o fluxo de atendimento, mas não decide sobre a finalidade daquele tratamento.

Como controladora, decidimos sobre finalidade e meios do tratamento. É o caso dos dados de quem contrata a Morgana Ops e dos registros técnicos das nossas aplicações.

Quando atuamos como operadora e recebemos um pedido de titular, encaminhamos o pedido ao cliente contratante que é o controlador daqueles dados e o auxiliamos no atendimento, nos termos do art. 39 da LGPD.

03Dados que tratamos

Dados trafegados na WhatsApp Business Platform

• Número de telefone do usuário final que inicia ou recebe a conversa, e o identificador correspondente na plataforma da Meta.
• Nome de perfil exibido pelo usuário no WhatsApp.
• Conteúdo das mensagens trocadas: texto, imagem, áudio, vídeo, documento e localização enviados pelo usuário ou pelo atendimento automatizado.
• Metadados da conversa: data e hora de envio e recebimento, identificador da mensagem, status de entrega e leitura, e o histórico da sessão de atendimento.

Dados de clientes da Morgana Ops

• Dados cadastrais e de contato: nome, razão social, CNPJ ou CPF, endereço, e-mail e telefone.
• Dados contratuais e financeiros necessários à emissão de nota fiscal e à cobrança.
• Dados de contato fornecidos em formulários do site, incluindo nome, e-mail, telefone, empresa e o teor da mensagem.

Dados técnicos

• Registros de acesso às aplicações: endereço IP, data e hora, e a operação realizada.

Não tratamos dados pessoais sensíveis de forma deliberada e não solicitamos esse tipo de informação. Caso um usuário final envie espontaneamente dado sensível em uma mensagem, ele é tratado sob as mesmas regras de retenção e segurança descritas aqui, sob responsabilidade do cliente contratante que é o controlador.

04Cookies e rastreamento

Nesta data, o site institucional da Morgana Ops não utiliza ferramentas de analytics, de rastreamento de comportamento nem de publicidade. Não há Google Analytics, Google Tag Manager, Meta Pixel, nem qualquer pixel, tag ou script de terceiro destinado a medir audiência, criar perfil de visitante ou direcionar anúncios.

Não gravamos cookies de rastreamento, de marketing ou de personalização no seu navegador. O site depende apenas de requisições técnicas necessárias para carregar as páginas e as fontes tipográficas.

Caso essa situação mude e passemos a utilizar qualquer ferramenta de medição ou de publicidade, esta política será atualizada antes da ativação, com a identificação da ferramenta, da finalidade, da base legal e do prazo de retenção correspondentes, e com os mecanismos de escolha exigidos pela legislação aplicável.

05Finalidades

Não vendemos dados pessoais. Não usamos conteúdo de mensagens de clientes finais para publicidade, para formação de perfis comerciais próprios ou para qualquer finalidade alheia ao atendimento contratado.

06Bases legais

Todo tratamento descrito acima se apoia em uma das hipóteses do art. 7º da LGPD.

07Subprocessadores

Para prestar o serviço, compartilhamos dados com os fornecedores abaixo, todos submetidos a dever contratual de confidencialidade e limitados às finalidades desta política.

A coluna País indica onde o dado é efetivamente processado e armazenado, e não onde o fornecedor tem sede. Os dois critérios divergem em parte dos casos, e o que a LGPD considera para fins de transferência internacional é o primeiro.

Supabase Inc., Hostinger International, Meta Platforms, Anthropic, OpenAI, Google e Vercel têm sede no exterior. Nos dois primeiros casos, porém, a infraestrutura contratada roda em território brasileiro, e é isso que determina o regime aplicável.

Além destes, dados pessoais podem ser compartilhados com autoridade pública competente, mediante requisição legal, e com advogados e contadores no exercício regular de direitos e no cumprimento de obrigações legais.

Esta lista é mantida atualizada. A contratação de novo subprocessador com acesso a dados pessoais é refletida aqui antes de entrar em operação.

08Uso de inteligência artificial

O atendimento automatizado que operamos usa modelos de linguagem de terceiros. Isso significa que o conteúdo de mensagens trocadas na WhatsApp Business Platform pode ser enviado para processamento por Anthropic PBC, OpenAI, L.L.C. e Google LLC, nominalmente identificadas na seção 07.

A finalidade desse processamento é exclusivamente interpretar a mensagem do usuário e gerar a resposta automatizada do atendimento. Não há uso desses dados para publicidade, para classificação de crédito nem para decisão automatizada que produza efeito jurídico sobre o titular sem revisão humana.

O acesso a esses modelos ocorre por API corporativa. Sob os termos comerciais dessas APIs, os dados enviados não são utilizados para treinamento dos modelos dos provedores.

Os provedores podem, no entanto, reter o conteúdo enviado por um período limitado para monitoramento de abuso e cumprimento de suas próprias políticas de uso, conforme a política vigente de cada um. Não afirmamos que a retenção por esses terceiros seja nula: ela é limitada em prazo e em finalidade, e é governada pelos termos de cada provedor.

O sistema automatizado nunca se apresenta como humano e confirma ser um sistema automatizado quando questionado. O usuário final pode solicitar atendimento humano a qualquer momento.

09Transferência internacional

Há transferência internacional de dados pessoais na prestação dos nossos serviços, mas ela não alcança os dois maiores repositórios de dado pessoal da operação. A distinção importa, e por isso é declarada aqui fornecedor a fornecedor.

Permanece no Brasil o núcleo do tratamento. O banco de dados, onde ficam os cadastros, o histórico de atendimento e o conteúdo das conversas, roda na região sa-east-1, em São Paulo. A infraestrutura de automação, que executa os fluxos de atendimento, roda em servidor em Campinas, São Paulo. Nos dois casos o tratamento acontece em território nacional e não configura transferência internacional, ainda que Supabase Inc. e Hostinger International tenham sede no exterior: a sede do fornecedor não desloca o local do tratamento.

Ocorre transferência internacional em relação aos demais fornecedores, todos processando nos Estados Unidos da América: a plataforma de mensageria da Meta, o processamento por modelos de linguagem da Anthropic, da OpenAI e do Google, o e-mail corporativo do Google Workspace e a hospedagem do site institucional na Vercel.

As transferências que de fato ocorrem se fundamentam no art. 33 da LGPD, especificamente nas hipóteses de transferência necessária à execução de contrato do qual o titular é parte ou a procedimentos preliminares a ele (art. 33, V) e de oferta pelo operador de garantias de cumprimento dos princípios e dos direitos do titular por meio de cláusulas contratuais específicas firmadas com cada fornecedor (art. 33, II, alínea "a").

Caso a Autoridade Nacional de Proteção de Dados venha a reconhecer nível de proteção adequado para os países envolvidos, ou a editar cláusulas-padrão contratuais aplicáveis, esta política será atualizada para refletir a hipótese cabível.

10Prazos de retenção

Encerrado o prazo aplicável e não havendo hipótese legal de conservação, os dados são eliminados ou anonimizados.

11Segurança da informação

Adotamos medidas técnicas e administrativas proporcionais ao risco: tráfego cifrado em trânsito, controle de acesso por função com privilégio mínimo, autenticação individual com verificação em duas etapas, segregação lógica dos dados de cada cliente, registro de eventos, e revogação de contas, permissões e chaves no desligamento de pessoa com acesso ou no encerramento de contrato. O detalhamento desses controles está na Política de Proteção de Dados.

Nenhuma medida elimina integralmente o risco. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados e os titulares afetados nos termos e prazos do art. 48 da LGPD, e o cliente contratante quando atuarmos como operadora.

12Direitos do titular

Nos termos do art. 18 da LGPD, o titular pode solicitar a qualquer momento:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com base em consentimento;
• informação sobre as entidades com as quais os dados foram compartilhados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento;
• revisão de decisão tomada unicamente com base em tratamento automatizado.

Os pedidos devem ser enviados para privacidade@morganaops.com.br. Respondemos em até 15 dias contados do recebimento, conforme o art. 19, II, da LGPD. Podemos solicitar informações adicionais para confirmar a identidade do requerente antes de atender ao pedido.

O titular também pode peticionar diretamente à Autoridade Nacional de Proteção de Dados (ANPD).

13Como solicitar exclusão

Em resumo: envie um e-mail para privacidade@morganaops.com.br com o assunto Exclusão de dados, informando o número de telefone usado na conversa e, quando aplicável, a empresa com a qual você conversou. O prazo de atendimento é de 15 dias.

14Encarregado

Nos termos do art. 41 da LGPD, a Morgana Ops mantém encarregado pelo tratamento de dados pessoais, responsável por receber comunicações de titulares e da autoridade nacional.

• EncarregadoLuis Guilherme Elisei Almada
• Canal de contatoprivacidade@morganaops.com.br
• EndereçoR. Agostinho Bretas, 8, Apt. 702 Bloco 4 — Caiçaras, Belo Horizonte/MG, CEP 30.775-520

15Alterações desta política

Esta política pode ser revista para refletir mudanças legais, técnicas ou de fornecedores. A data da última atualização fica registrada no topo do documento. Alterações que reduzam direitos ou ampliem finalidades serão comunicadas aos clientes contratantes antes de entrarem em vigor.