Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados (em inglês, DPA) faz parte dos Termos de Uso do ChatGrowing e regula o tratamento de dados pessoais que a Agência Growing, CNPJ 43.683.988/0001-43, faz por conta do cliente contratante ao prestar o serviço.

Nos dados que o cliente coloca na plataforma sobre os próprios clientes, leads e equipe, o cliente é o controlador (decide para que e como os dados são usados) e o ChatGrowing é o operador (trata os dados em nome do cliente e seguindo as instruções dele), nos termos do artigo 5º, incisos VI e VII, da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).

Os dados de cadastro, contrato e cobrança do próprio cliente contratante seguem a nossa Política de Privacidade, na qual o ChatGrowing é controlador.

Tratamos os dados pessoais do cliente somente para prestar o serviço contratado: receber, organizar e enviar mensagens pelos canais que ele conecta, rodar os agentes de IA, funis, disparos e integrações que ele configura, gerar relatórios, fazer cópias de segurança e dar suporte.

As instruções do cliente são os Termos de Uso, este acordo e as configurações que ele faz na plataforma. Não usamos os dados do cliente para finalidade própria, não vendemos, não alugamos e não usamos esses dados para treinar modelos de IA de terceiros nem para atender outros clientes. O aprendizado automático do agente, quando o cliente liga, fica restrito à conta dele. Se uma instrução nos parecer contrária à LGPD, avisamos o cliente.

• Titulares: contatos, leads e clientes do cliente contratante, e as pessoas da equipe dele que usam a plataforma.
• Dados: nome, telefone, identificadores de perfil nas redes, foto de perfil, conteúdo das mensagens, áudios, imagens, vídeos e documentos trocados, etiquetas, anotações, dados de vendas e de atendimento, e os dados de login da equipe.
• Dados sensíveis: a plataforma não foi feita para eles. Se o cliente tratar dados sensíveis (por exemplo, de saúde) pelas conversas, ele é responsável pela base legal e pelos cuidados extras exigidos pela LGPD.

• Ter base legal para tratar os dados dos seus contatos e para enviar mensagens a eles, inclusive o consentimento quando a lei ou as regras dos canais exigirem.
• Informar os seus clientes sobre o tratamento, com a própria política de privacidade.
• Respeitar quem pede para sair da lista e as políticas do WhatsApp, do Instagram e do Telegram.
• Responder aos pedidos dos titulares, contando com as ferramentas da plataforma e com o nosso apoio.
• Guardar as credenciais de acesso e dar acesso só a quem precisa.

• Tratar os dados só conforme as instruções do cliente e este acordo.
• Manter sigilo: só acessa os dados quem precisa para operar ou dar suporte, com dever de confidencialidade. O acesso de suporte à conta do cliente é registrado e tem limites (não mexe em senha, cobrança nem chaves).
• Manter as medidas de segurança do item 7.
• Ajudar o cliente a atender os direitos dos titulares e a cumprir a LGPD, inclusive com as informações necessárias para relatórios de impacto.
• Repassar ao cliente, sem demora, qualquer pedido de titular que chegar direto a nós sobre dados do cliente.

O cliente autoriza o uso dos suboperadores abaixo, cada um só para a parte do serviço descrita. Exigimos de todos obrigações de proteção de dados compatíveis com este acordo e continuamos responsáveis por eles perante o cliente.

Os canais (Meta e Telegram) e os provedores de IA só recebem dados quando o cliente conecta ou escolhe esse serviço. Quando o cliente usa a própria chave de API de IA, o contrato com aquele provedor é dele.

Antes de incluir ou trocar um suboperador que trate dados do cliente, avisamos por e-mail e nesta página com pelo menos 15 dias de antecedência. Se o cliente tiver motivo razoável ligado à proteção de dados para discordar, pode se opor nesse prazo e, sem acordo, cancelar sem multa, com reembolso proporcional do período já pago e não usado.

• Tráfego sempre cifrado (HTTPS/TLS) entre o navegador, a plataforma e os fornecedores.
• Tokens de integração e chaves de API cifrados em repouso; chaves da nossa API guardadas só como hash.
• Isolamento dos dados por conta e empresa em todas as consultas, controle de acesso por função e verificação em duas etapas disponível para os usuários.
• Registro de auditoria das ações relevantes, incluindo os acessos de suporte.
• Cópia de segurança diária do banco e cópia contínua das alterações, cifradas e guardadas fora do servidor principal, com teste de restauração.
• Monitoramento contínuo com alertas automáticos para a equipe, e atualização periódica dos componentes do sistema.

Se tomarmos conhecimento de um incidente de segurança que afete dados pessoais do cliente, avisamos o cliente em até 72 horas, pelo e-mail do titular da conta, com o que já soubermos: o que aconteceu, quais dados e titulares podem ter sido afetados, os riscos e as medidas tomadas. Completamos as informações conforme a apuração avançar.

Como controlador, o cliente decide sobre a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares (artigo 48 da LGPD), e nós damos o apoio e as informações necessárias.

• Guardamos os dados enquanto a conta estiver ativa. O cliente pode definir em Minha Conta por quanto tempo as mensagens ficam guardadas (tudo, 6, 12 ou 24 meses); as mais antigas são apagadas automaticamente.
• O cliente pode baixar os seus dados a qualquer momento em Minha Conta, Exportar meus dados (arquivo ZIP com contatos, conversas, mensagens, funis, agentes, vendas e configurações).
• Com a exclusão da conta, os dados são apagados na hora. Depois do fim do contrato ou de 90 dias de suspensão por falta de pagamento, também eliminamos os dados.
• As cópias de segurança expiram em até 30 dias. Guardamos só o que a lei obriga (por exemplo, registros de cobrança e os registros de acesso por 6 meses, do Marco Civil da Internet).

A plataforma dá ao cliente os meios para atender os direitos do artigo 18 da LGPD: consultar, corrigir e excluir contatos, registrar quem pediu para sair da lista, exportar os dados e apagar conversas. Quando precisar de algo que a plataforma não faz sozinha, o cliente pede ao suporte e ajudamos no prazo que a lei dá a ele.

Os servidores ficam na Alemanha, na União Europeia, e alguns suboperadores ficam nos Estados Unidos e em outros países (item 6). Essas transferências seguem o artigo 33 da LGPD e a Resolução CD/ANPD nº 19/2024, com base nas garantias contratuais de proteção de dados de cada fornecedor e, quando aplicável, nas cláusulas-padrão contratuais aprovadas pela ANPD. Sempre que possível, os dados vão mascarados ou só na medida necessária para aquele serviço.

Mediante pedido razoável, até uma vez por ano (ou depois de um incidente), fornecemos ao cliente as informações necessárias para demonstrar o cumprimento deste acordo, como a descrição das medidas de segurança e a lista atualizada de suboperadores, preservando o sigilo de outros clientes e a segurança da plataforma.

Este acordo vale enquanto durar o uso da plataforma e, depois disso, pelo tempo em que ainda tivermos dados do cliente. O aceite é eletrônico, junto com os Termos de Uso, e fica registrado com a data e a versão. Em caso de conflito sobre proteção de dados, este acordo prevalece sobre os Termos de Uso. A responsabilidade de cada parte segue a LGPD (artigos 42 a 45) e os Termos de Uso.

Encarregado de proteção de dados: Agência Growing, e-mail suporte@chatgrowing.com.br. Versão deste acordo: 2026-09-27.