Modelo contratual · setembro de 2026 · Revisão jurídica: em atualização

Acordo de Processamento de Dados (DPA)

A entidade operadora e o canal único DPO / contato estão identificados abaixo. As cláusulas deste anexo estão publicadas; o único item ainda em aberto é a revisão jurídica externa, marcada na linha acima como “em atualização” — não inventamos regras não confirmadas.

Este documento é um modelo de Acordo de Processamento de Dados, destinado a complementar os Termos de Uso entre o Cliente (“Controlador”) e a InstantChat (“Operadora”). Ao utilizar a plataforma para tratar dados pessoais de pacientes, leads, clientes ou usuários finais, o Cliente instrui a Operadora conforme este anexo.

1. Definições e papéis

Controlador: pessoa jurídica cliente que define finalidades e meios do tratamento dos dados de titulares (ex.: clínica, empresa comercial, equipe de suporte).
Operadora: prestadora da plataforma InstantChat, que processa dados pessoais somente em nome do Controlador e conforme documentação do produto e instruções lícitas do Cliente.
Dados pessoais: informações relacionadas a pessoa natural identificada ou identificável tratadas via assistentes, canais (web, WhatsApp, Instagram quando habilitado), agenda, leads, tickets e integrações configuradas pelo Cliente.

Operadora: AUGUSTO CLARO E CIA SERVIÇOS TECNOLÓGICOS LTDA, CNPJ 20.712.349/0001-63, sede em Avenida São João, 1277, República, São Paulo/SP, CEP 01035-100. DPO/contato: [email protected].

2. Objeto e instruções

A Operadora processará dados pessoais exclusivamente para prestar o serviço contratado: automação de conversas, captação de leads, agendamentos (se ativados), busca em base de conhecimento, tickets (vertical Sol), notificações ao proprietário da conta e integrações habilitadas pelo Cliente. A Operadora não utilizará os dados do Cliente para fins próprios de marketing aos titulares, salvo obrigação legal ou instrução documentada do Controlador.

3. Categorias de titulares e dados

Alinhado à implementação técnica atual (ver também Retenção de dados):

Titulares: pacientes, leads, clientes, visitantes do site/widget, usuários de WhatsApp.
Dados: identificação e contato (nome, telefone, e-mail), conteúdo de mensagens, metadados de sessão, dados de agendamento, notas de lead, credenciais de canal cifradas, conteúdo de KB fornecido pelo Cliente, dados de ticket (Sol), logs técnicos e de LLM quando ativos.
Dados sensíveis: o Cliente é responsável por não solicitar categorias especiais sem base legal; a Operadora não as exige para o funcionamento básico.

4. Suboperadores

O Cliente autoriza o uso de suboperadores necessários à prestação do serviço. Lista indicativa com base na arquitetura do produto. Alterações de suboperadores serão comunicadas com 30 dias de antecedência, por e-mail ([email protected]) e no aplicativo:

Provedores de modelos de linguagem (ex.: OpenAI, Anthropic e Google — modelo Gemini — todos via OpenRouter) — processamento de prompts e respostas de conversa. O Gemini é o modelo dos analisadores, dos resumos e da checagem de segurança, e é alcançado pelo OpenRouter, não por uma conta Google da InstantChat.
Stripe — pagamentos e assinatura.
Resend — e-mails transacionais (conta, alertas ao proprietário, tickets Sol). SendGrid não é utilizado.
Cloudflare — DNS, proxy reverso / CDN e proteção Turnstile (bot) na demo pública, confirmados em uso em produção.
Hospedagem — Hostinger International Limited; servidor em Boston, Massachusetts, Estados Unidos (não no Brasil).
Meta — mensageria WhatsApp / Instagram (META_APP_ID e webhooks configurados em produção). Pixel / CAPI de publicidade não estão ativos em produção (META_PIXEL_ID / META_CAPI_ACCESS_TOKEN ausentes); o App ID serve à mensageria, não a analytics de anúncios.
LangSmith — ativo em produção (LANGCHAIN_TRACING_V2): recebe conteúdo de prompts e respostas para rastreamento / observabilidade.
Google Calendar — ativo em produção, por conexão opcional que o próprio Cliente autoriza na conta Google dele. Escopos calendar.events e calendar.freebusy: conferência de disponibilidade e criação, alteração e cancelamento dos eventos dos agendamentos. O uso e a transferência desses dados obedecem à Google API Services User Data Policy, inclusive aos requisitos de Uso Limitado — dados do usuário Google nunca são usados para desenvolver, aprimorar ou treinar modelos generalizados de IA ou aprendizado de máquina.
Provedores WhatsApp — Meta Cloud API / Instagram Graph quando o Cliente conecta esses canais; Evolution API e Baileys (gateway não oficial) conforme modo de conexão escolhido no produto (código e worker ativos). Twilio SMS não está configurado em produção e não é suboperador ativo.
Have I Been Pwned (HIBP) — serviço norte-americano consultado no cadastro e na redefinição de senha de usuários da plataforma (PASSWORD_LEAK_CHECK_ENABLED, habilitado por padrão), por k-anonimato: são enviados apenas os 5 primeiros caracteres hexadecimais do SHA-1 da senha a api.pwnedpasswords.com; a senha, seu hash completo e identificadores do usuário não são transmitidos. Não recebe dados de titulares finais do Controlador.
Sentry — monitoramento de erros (serviço norte-americano), ativo em produção (SENTRY_DSN_API, SENTRY_DSN_WORKERS, VITE_SENTRY_DSN). Recebe mensagens de erro e rastros de pilha, que podem conter fragmentos de dados de requisição. É acionado por exceção, não por mensagem: o corpo da requisição não é anexado, o envio de PII pela biblioteca está desligado (sendDefaultPii: false) e credenciais são removidas antes do envio. Este DPA já o declarava em antecedência à ativação, de modo que o aviso de 30 dias da Seção 4 foi cumprido antes de qualquer dado ser enviado.
Slack — alertas operacionais internos via webhook (OPS_ALERT_SLACK_WEBHOOK_URL, serviço norte-americano), ativo em produção. Recebe alertas que podem citar identificadores de tenant, assistente ou conversa. Também declarado aqui em antecedência, pelo mesmo motivo.

5. Segurança

A Operadora implementa medidas técnicas e organizacionais proporcionais ao risco, incluindo:

Criptografia em repouso de segredos de conexão WhatsApp e tokens de provedores (AES-256-GCM, envelope enc:v1:), chave WA_AUTH_ENCRYPTION_KEY no ambiente de execução.
Controle de acesso autenticado à plataforma e segregação por tenant/assistente.
Comunicação com APIs de terceiros via TLS.
Backups e continuidade: procedimento documentado de dump semanal do PostgreSQL, retendo as 4 cópias mais recentes por banco, gravadas no próprio servidor. Não há cópia off-site nem replicação, de modo que a Operadora não assume RPO/RTO contratual e os backups locais não cobrem a perda do servidor. Redis (estado de filas) e os índices de busca não são copiados: o primeiro persiste por AOF entre reinícios e os segundos são reconstruíveis a partir do PostgreSQL.

6. Retenção e exclusão

Os prazos técnicos de retenção e exclusão automática estão descritos em Retenção de dados. Salvo acordo escrito em contrário: as conversas (sessões, mensagens e filas de entrada) são apagadas automaticamente 730 dias após a última mensagem, por rotina diária; leads, contatos, agendamentos e tickets permanecem até exclusão pontual pelo Cliente ou ações manuais após o término do contrato. Não há fluxo automatizado de exportação completa nem de exclusão/anonimização em massa pós-rescisão identificados no código.

Esse achado é divulgado tal como está, e não como uma pendência de redação: o atendimento a pedidos de exclusão e portabilidade (art. 18 da LGPD) depende hoje de ação manual da Operadora, dentro dos limites técnicos descritos na Seção 7. A automação de exportação e de exclusão está planejada como requisito de produto; não assumimos data para a sua entrega. Enquanto isso, os pedidos são atendidos pelo canal do DPO no prazo legal de 15 dias do art. 19, § 1º.

7. Direitos dos titulares

A Operadora auxiliará o Controlador, mediante solicitação razoável e dentro dos limites técnicos atuais do produto (exclusão pontual de alguns registros na UI e a janela automática de retenção de conversas; sem exportação completa nem erasure automatizado de toda a conta), a atender pedidos de titulares. O canal primário para titulares permanece o do Controlador.

8. Incidentes de segurança

A Operadora notificará o Controlador sem atraso injustificado após tomar conhecimento de violação de dados pessoais que o afete, com informações disponíveis para cumprimento da LGPD. Prazo: 72 horas a partir do conhecimento confirmado do incidente; formato: notificação por e-mail ao contato do Controlador e, quando aplicável, via [email protected].

9. Transferência internacional

Dados pessoais são transferidos internacionalmente: a hospedagem fica nos Estados Unidos (Hostinger, Boston, Massachusetts) e os principais suboperadores (OpenAI, OpenRouter, Stripe, Resend, Cloudflare, LangSmith, Meta) são sediados nos EUA.

Base jurídica da transferência. Não existe decisão de adequação da ANPD para os Estados Unidos, de modo que a transferência não se apoia no art. 33, I, da LGPD. A Operadora apoia-se em garantias contratuais (art. 33, II): este DPA entre Controlador e Operadora, somado aos acordos de tratamento de dados publicados por cada suboperador e aceitos na contratação — os DPAs de Cloudflare, Stripe e Resend, verificados em 11/08/2026, incorporam as Cláusulas Contratuais-Padrão da União Europeia (Decisão de Execução (UE) 2021/914) como salvaguarda para transferências a terceiros países. Para dados de usuários da conta da plataforma, a transferência é ainda necessária à execução do contrato do qual o titular é parte (art. 33, IX, c/c art. 7º, V). Nenhuma transferência se apoia em consentimento como base isolada.

10. Auditoria

Não são concedidos direitos de auditoria presencial. A Operadora não mantém escritório nem infraestrutura dedicada auditável: a produção roda em servidor compartilhado que hospeda também aplicações não relacionadas a este contrato, de modo que uma inspeção no local exporia ambientes de terceiros e não poderia ser concedida ainda que solicitada.

Em lugar disso, mediante solicitação do Controlador ao contato do DPO ([email protected]) e sujeito a confidencialidade, a Operadora responde ao questionário de segurança do Controlador e fornece informações por escrito sobre: a lista de suboperadores em uso e o que cada um recebe (Seção 4); as medidas técnicas e organizacionais da Seção 5, incluindo criptografia de segredos, segregação por tenant e o procedimento de backup; a localização de hospedagem e a base jurídica de transferência internacional (Seção 9); e os prazos de retenção e os limites atuais de exclusão (Seção 6). Essas respostas descrevem a configuração vigente na data em que são emitidas e não constituem certificação de terceiro.

11. Vigência

Este DPA vigora enquanto a Operadora processar dados pessoais em nome do Controlador. À rescisão, aplica-se a cláusula de retenção/exclusão da Seção 6.

Versão vinculante. Este DPA, na versão publicada nesta página, vincula as partes a partir do aceite no cadastro, como anexo dos Termos de Uso. Um contrato comercial ou DPA assinado entre as partes prevalece sobre esta página naquilo que dispuser de forma diversa; na ausência de instrumento assinado, esta página é a versão vinculante.

Contract template · September 2026 · Legal review: pending update

Data Processing Agreement (DPA)

The processor entity and the single DPO / contact channel are identified below. The clauses of this annex are published; the only item still open is the external legal review, marked on the line above as “pending update” — we do not invent unconfirmed rules.

This document is a template Data Processing Agreement, intended to supplement the Terms of Use between the Customer (“Controller”) and InstantChat (“Processor”). By using the platform to process personal data of patients, leads, customers or end users, the Customer instructs the Processor in accordance with this annex.

1. Definitions and roles

Controller: the customer legal entity that determines the purposes and means of processing data subjects' data (e.g. a clinic, a commercial company, a support team).
Processor: the provider of the InstantChat platform, which processes personal data only on the Controller's behalf and in accordance with the product documentation and the Customer's lawful instructions.
Personal data: information relating to an identified or identifiable natural person processed through assistants, channels (web, WhatsApp, Instagram when enabled), scheduling, leads, tickets and integrations configured by the Customer.

Processor: AUGUSTO CLARO E CIA SERVIÇOS TECNOLÓGICOS LTDA, CNPJ 20.712.349/0001-63, registered office at Avenida São João, 1277, República, São Paulo/SP, CEP 01035-100. DPO/contact: [email protected].

2. Subject matter and instructions

The Processor will process personal data exclusively to provide the contracted service: conversation automation, lead capture, scheduling (if enabled), knowledge-base search, tickets (Sol product), notifications to the account owner and integrations enabled by the Customer. The Processor will not use the Customer's data for its own marketing purposes towards data subjects, save for a legal obligation or a documented instruction from the Controller.

3. Categories of data subjects and data

Aligned with the current technical implementation (see also Data retention):

Data subjects: patients, leads, customers, site/widget visitors, WhatsApp users.
Data: identification and contact details (name, phone, email), message content, session metadata, scheduling data, lead notes, encrypted channel credentials, KB content supplied by the Customer, ticket data (Sol), technical and LLM logs when active.
Sensitive data: the Customer is responsible for not requesting special categories without a legal basis; the Processor does not require them for basic operation.

4. Subprocessors

The Customer authorises the use of subprocessors necessary for providing the service. The list is indicative, based on the product architecture. Subprocessor changes will be communicated with 30 days' notice, by email ([email protected]) and in the app:

Language-model providers (e.g. OpenAI, Anthropic and Google — the Gemini model — all via OpenRouter) — processing of conversation prompts and replies. Gemini is the model used by the analysers, the summaries and the safety check, and is reached through OpenRouter, not through an InstantChat Google account.
Stripe — payments and subscription.
Resend — transactional email (account, owner alerts, Sol tickets). SendGrid is not used.
Cloudflare — DNS, reverse proxy / CDN and Turnstile (bot) protection on the public demo, confirmed in use in production.
Hosting — Hostinger International Limited; server in Boston, Massachusetts, United States (not in Brazil).
Meta — WhatsApp / Instagram messaging (META_APP_ID and webhooks configured in production). Advertising Pixel / CAPI are not active in production (META_PIXEL_ID / META_CAPI_ACCESS_TOKEN absent); the App ID serves messaging, not ad analytics.
LangSmith — active in production (LANGCHAIN_TRACING_V2): it receives prompt and reply content for tracing / observability.
Google Calendar — active in production, through an optional connection that the Customer itself authorises in its own Google account. Scopes calendar.events and calendar.freebusy: checking availability and creating, changing and cancelling the events for bookings. The use and transfer of that data adheres to the Google API Services User Data Policy, including the Limited Use requirements — Google user data is never used to develop, improve or train generalized AI or machine learning models.
WhatsApp providers — Meta Cloud API / Instagram Graph when the Customer connects those channels; Evolution API and Baileys (unofficial gateway) according to the connection mode chosen in the product (code and worker active). Twilio SMS is not configured in production and is not an active subprocessor.
Have I Been Pwned (HIBP) — a US service queried at platform-user sign-up and password reset (PASSWORD_LEAK_CHECK_ENABLED, enabled by default), by k-anonymity: only the first 5 hexadecimal characters of the password's SHA-1 are sent to api.pwnedpasswords.com; the password, its full hash and user identifiers are not transmitted. It receives no data of the Controller's end data subjects.
Sentry — error monitoring (a US service), active in production (SENTRY_DSN_API, SENTRY_DSN_WORKERS, VITE_SENTRY_DSN). It receives error messages and stack traces, which may contain fragments of request data. It is triggered by an exception, not by a message: the request body is not attached, the library's PII sending is disabled (sendDefaultPii: false) and credentials are stripped before transmission. This DPA already declared it ahead of activation, so the 30-day notice of Section 4 was honoured before any data was sent.
Slack — internal operational alerts via webhook (OPS_ALERT_SLACK_WEBHOOK_URL, a US service), active in production. It receives alerts that may cite tenant, assistant or conversation identifiers. Also declared here ahead of activation, for the same reason.

5. Security

The Processor implements technical and organisational measures proportionate to the risk, including:

Encryption at rest of WhatsApp connection secrets and provider tokens (AES-256-GCM, enc:v1: envelope), with the WA_AUTH_ENCRYPTION_KEY key in the runtime environment.
Authenticated access control to the platform and segregation by tenant/assistant.
Communication with third-party APIs over TLS.
Backups and continuity: a documented weekly PostgreSQL dump procedure, retaining the 4 most recent copies per database, written to the server itself. There is no off-site copy and no replication, so the Processor assumes no contractual RPO/RTO and local backups do not cover loss of the server. Redis (queue state) and the search indexes are not backed up: the former persists via AOF across restarts and the latter are rebuildable from PostgreSQL.

6. Retention and deletion

The technical retention and automatic-deletion periods are described in Data retention. Save for written agreement to the contrary: conversations (sessions, messages and inbox queues) are deleted automatically 730 days after the last message, by a daily routine; leads, contacts, bookings and tickets remain until individually deleted by the Customer or through manual action after the end of the contract. There is no automated full-export flow and no automated post-termination mass deletion/anonymisation flow identified in the code.

That finding is disclosed as it stands, and not as a drafting to-do: serving erasure and portability requests (art. 18 of the LGPD) today depends on manual action by the Processor, within the technical limits described in Section 7. Automation of export and erasure is planned as a product requirement; we commit to no date for its delivery. In the meantime, requests are served through the DPO channel within the statutory 15 days of art. 19, § 1º.

7. Data subject rights

The Processor will assist the Controller, on reasonable request and within the product's current technical limits (individual deletion of some records in the UI and the automatic conversation-retention window; with no full export and no automated erasure of the entire account), in serving data subject requests. The primary channel for data subjects remains the Controller's.

8. Security incidents

The Processor will notify the Controller without undue delay after becoming aware of a personal data breach affecting it, with the information available for LGPD compliance. Deadline: 72 hours from confirmed knowledge of the incident; format: email notification to the Controller's contact and, where applicable, via [email protected].

9. International transfer

Personal data is transferred internationally: hosting is in the United States (Hostinger, Boston, Massachusetts) and the main subprocessors (OpenAI, OpenRouter, Stripe, Resend, Cloudflare, LangSmith, Meta) are based in the US.

Lawful basis for the transfer. There is no ANPD adequacy decision for the United States, so the transfer does not rely on art. 33, I of the LGPD. The Processor relies on contractual guarantees (art. 33, II): this DPA between Controller and Processor, together with the data processing agreements published by each subprocessor and accepted on subscribing — the Cloudflare, Stripe and Resend DPAs, verified on 2026-08-11, incorporate the European Union Standard Contractual Clauses (Implementing Decision (EU) 2021/914) as a safeguard for transfers to third countries. For platform account users' data, the transfer is additionally necessary for the performance of the contract to which the data subject is a party (art. 33, IX, together with art. 7º, V). No transfer relies on consent as a standalone basis.

10. Audit

On-site audit rights are not granted. The Processor maintains no office and no dedicated auditable infrastructure: production runs on a shared server that also hosts applications unrelated to this contract, so an on-site inspection would expose third-party environments and could not be granted even if requested.

Instead, on the Controller's request to the DPO contact ([email protected]) and subject to confidentiality, the Processor answers the Controller's security questionnaire and provides written information on: the list of subprocessors in use and what each one receives (Section 4); the technical and organisational measures of Section 5, including encryption of secrets, tenant segregation and the backup procedure; the hosting location and the lawful basis for international transfer (Section 9); and the retention periods and the current deletion limits (Section 6). Those answers describe the configuration in force on the date they are issued and do not constitute a third-party certification.

11. Term

This DPA is in force for as long as the Processor processes personal data on the Controller's behalf. On termination, the retention/deletion clause of Section 6 applies.

Binding version. This DPA, in the version published on this page, binds the parties from acceptance at signup, as an annex to the Terms of Use. A signed commercial contract or DPA between the parties prevails over this page where it provides otherwise; absent a signed instrument, this page is the binding version.