Documento legal

DPA: Contrato de Tratamento de Dados Pessoais (planos com atendimento)

Versão

1.0 (vigente a partir de 17/10/2026, alinhada às rodadas 2 a 5 das decisões de produto)

Vale para

Planos Profissional, Negócio, Equipe e Elite (os que atendem Contatos)

Controlador

O Assinante, identificado no cadastro da conta (nome ou razão social e CPF ou CNPJ)

Operador

LUIS FERNANDO CARDOZO DA SILVA (GMN Serviços Digitais, marca Bento), CNPJ 41.381.424/0001-20, Rio Grande/RS (endereço completo informado no atendimento) ("Bento")

Aceite

Eletrônico, ao contratar pelo bot do Bento, junto com os Termos de Uso. No plano Elite, também em via assinada se o Assinante pedir

Este DPA integra os Termos de Uso. Em tudo o que for sobre dados pessoais, o DPA prevalece sobre os Termos.

1. Objeto e definições

1.1. Este DPA regula o tratamento de dados pessoais que o Bento faz em nome do Assinante ao prestar o serviço contratado, nos termos da Lei 13.709/2018 (LGPD).

1.2. Os termos "controlador", "operador", "titular", "tratamento", "dados pessoais", "dados pessoais sensíveis", "encarregado" e "ANPD" têm o sentido da LGPD. Neste DPA:

• "Dados do Controlador": os dados pessoais que o Bento trata por conta do Assinante, em especial os dos Contatos (clientes e possíveis clientes do Assinante que conversam com o atendente), os dados inseridos pelo Assinante e pelos usuários do painel dele, e o conteúdo que o Assinante pede ao agente para tratar.
• "Suboperador": terceiro contratado pelo Bento para tratar Dados do Controlador (Anexo III).
• "Incidente": evento de segurança que acarrete acesso não autorizado, destruição, perda, alteração, comunicação ou tratamento inadequado ou ilícito de Dados do Controlador.

1.3. Primeira leva. Na primeira leva, as referências deste DPA a painel, portão de IA, campanhas e demais recursos da plataforma valem a partir de quando eles forem ligados (Termos de Uso, cláusula 1.5).

2. Papéis

2.1. Quanto aos Dados do Controlador, o Assinante é o controlador e o Bento é o operador.

2.2. O Bento é controlador independente dos dados da conta do Assinante: cadastro, cobrança, segurança do serviço e uso do painel. Esses dados seguem a Política de Privacidade, não este DPA.

2.3. Como operador, o Bento não trata Dados do Controlador para finalidades próprias. Exceções: (a) segurança, prevenção a fraude e abuso; (b) cumprimento de obrigação legal ou ordem de autoridade; (c) métricas de uso e de qualidade em forma agregada e anonimizada, sem identificar titulares.

3. Instruções do controlador

3.1. O Bento trata os Dados do Controlador somente conforme as instruções documentadas do Assinante, que são: (a) estes Termos e este DPA; (b) as configurações feitas no painel e as respostas do onboarding; (c) pedidos feitos por escrito ao suporte.

3.2. O uso normal do serviço (conversar com o agente, ativar recursos, conectar canais) é instrução para tratar os dados necessários àquela função.

3.3. Se o Bento entender que uma instrução viola a lei, avisa o Assinante e pode suspender o cumprimento daquele ponto até a correção.

3.4. Instruções fora do serviço padrão podem ter custo adicional, previamente acordado.

3.5. Mensagens-modelo na conexão oficial. Ao concluir a conexão oficial, o Assinante autoriza o Bento a criar, na conta empresarial do WhatsApp dele (WABA), três modelos de mensagem de utilidade (lembrete de agendamento, confirmação de agendamento e cobrança de sinal) e a enviá-los, em nome do Assinante, a Contatos que conversaram com o negócio ou marcaram horário. O custo cobrado pela Meta é do Assinante. Modelos de marketing só existem a partir do plano Equipe e só podem ser enviados a Contatos com opt-in (cláusula 4, e).

4. Obrigações do controlador

O Assinante, como controlador, é responsável por:

a) ter base legal para tratar os dados dos Contatos e para contatá-los, e por informar a eles como os dados são tratados, inclusive que o atendimento é feito por IA e que a conversa fica registrada. Isso inclui o consentimento (opt-in) do Contato para receber mensagens de marketing que o Assinante inicia fora da janela de atendimento;

b) manter o aviso de IA ativo e o caminho para falar com uma pessoa, e acompanhar as conversas que o agente passar para ele;

c) não enviar ao Bento dados pessoais sensíveis, em especial dados clínicos, nem dados de crianças e adolescentes para finalidades que a lei não permita;

d) atender os pedidos dos titulares (com o auxílio previsto neste DPA), responder à ANPD e comunicar incidentes quando a lei exigir;

e) fazer campanhas somente na conexão oficial, e enviar qualquer mensagem de marketing por iniciativa do negócio (campanha ou acompanhamento fora da janela de atendimento) somente a Contatos que deram consentimento (opt-in), com opção de descadastro e respeito às regras do canal. Vale como opt-in o aceite do próprio Contato, dado na conversa, ou a lista importada pelo Assinante, com base legal declarada por ele e mensagem de confirmação enviada ao Contato. Ao importar uma base ou criar uma campanha, o Assinante informa a origem e a data do opt-in de cada Contato e declara que o possui e sabe comprová-lo. O Bento registra essa declaração; o servidor recusa a campanha, ou exclui do público quem não tenha opt-in registrado, e quem respondeu SAIR fica descadastrado para sempre. Campanhas só existem quando a plataforma estiver no ar. A prova do consentimento é do Assinante;

f) definir, quando relevante, quanto tempo mantém as conversas, usando as ferramentas do painel;

g) cumprir as normas do seu setor e do seu conselho profissional.

5. Confidencialidade

5.1. O Bento garante que as pessoas autorizadas a tratar Dados do Controlador estão sujeitas a dever de sigilo (contratual ou legal) e acessam os dados somente se necessário para a função (suporte pedido pelo Assinante, investigação de falha ou abuso, cumprimento de lei).

5.2. No plano Elite, a equipe do Bento acessa conversas reais para a implantação e para a revisão mensal do roteiro, sob sigilo e com o conhecimento do Assinante, que autoriza esse acesso ao contratar.

6. Segurança

6.1. O Bento adota as medidas técnicas e administrativas descritas no Anexo II, adequadas ao risco, e as mantém atualizadas.

6.2. O Assinante é responsável pela segurança do lado dele: senhas, aparelhos, usuários do painel, e acessos que conceder.

6.3. Dados sensíveis recebidos por engano. Na primeira leva, o agente de IA não vê imagens: ele pede ao Contato que descreva o que mandou, e o arquivo permanece na conversa do WhatsApp do Assinante. Quando a plataforma estiver no ar, o agente seguirá sem receber a imagem bruta, só um aviso de que ela chegou, e quem lerá comprovantes e notas será o sistema do Bento, por uma chamada ao provedor de IA feita pelo portão de IA (Anexo III). No nicho clínica e serviços de saúde, o Bento não guarda nem lê a mídia do cliente: o agente pede que ele leve exame ou receita à consulta e chama a equipe se for urgente. Nos demais nichos, se um Contato enviar imagem ou texto de saúde (por exemplo, foto de lesão, receita ou exame), o arquivo, quando a plataforma estiver no ar, fica guardado, cifrado, por 30 dias, como qualquer mídia (Anexo I), e o Assinante deve orientar seus Contatos a não enviar esse tipo de conteúdo.

7. Suboperadores

7.1. O Assinante autoriza, de forma geral, o uso dos Suboperadores do Anexo III.

7.2. Antes de incluir ou trocar um Suboperador, o Bento avisa o Assinante por e-mail ou pelo Telegram, com tempo para ele se manifestar. O Assinante pode se opor, com motivo razoável ligado à proteção de dados, antes de o novo Suboperador começar a tratar os dados. Se não houver solução, o Assinante pode cancelar o serviço sem multa, com reembolso proporcional do período pago e não usado.

7.3. O Bento firma com cada Suboperador obrigações de proteção de dados equivalentes às deste DPA e responde perante o Assinante pelo cumprimento delas.

7.4. Afiliados. Afiliados e indicadores não são Suboperadores e não recebem Dados do Controlador. Recebem apenas dados mínimos sobre a venda que indicaram (Política de Privacidade, seções 6 e 6.5).

8. Transferência internacional

8.1. O Assinante está ciente e autoriza que o Bento transfira Dados do Controlador aos Suboperadores do Anexo III que estejam fora do Brasil, em especial o provedor de IA (Estados Unidos).

8.2. O Bento faz essas transferências com um dos mecanismos previstos na LGPD (art. 33) e na Resolução CD/ANPD 19/2024, e informa ao Assinante, a pedido, o mecanismo usado com cada Suboperador.

8.3. O Assinante pode pedir informações sobre os mecanismos e, quando aplicável, cópia das cláusulas adotadas.

9. Direitos dos titulares

9.1. Se o Bento receber de um titular um pedido sobre Dados do Controlador, encaminha ao Assinante sem demora injustificada e não responde ao titular sobre o mérito, salvo instrução do Assinante.

9.2. O Bento oferece no painel ferramentas para acessar, exportar, corrigir e apagar os dados de um Contato, e auxilia o Assinante de forma razoável a atender os pedidos, inclusive o pedido de revisão humana de decisão automatizada (LGPD, art. 20).

10. Incidentes

10.1. O Bento avisa o Assinante sem demora injustificada e em até 48 horas depois de saber de um Incidente que afete Dados do Controlador, para que o Assinante cumpra o prazo legal dele (a ANPD fixou 3 dias úteis para a comunicação da ANPD e dos titulares, Res. CD/ANPD 15/2024).

10.2. O aviso informa, na medida do que já se sabe: a natureza do Incidente, os dados e os titulares envolvidos, as medidas tomadas, os riscos e o contato do Bento. Informações complementares vêm assim que existirem.

10.3. O Bento investiga, contém e corrige o Incidente e coopera com o Assinante. A decisão e a responsabilidade de comunicar a ANPD e os titulares são do Assinante, como controlador, salvo se o Assinante pedir ao Bento que o faça em nome dele.

10.4. Mantemos registro dos Incidentes e das medidas adotadas.

11. Assistência ao controlador

O Bento auxilia, de forma razoável e na medida do seu papel, o Assinante em: relatório de impacto à proteção de dados, registro das operações de tratamento (LGPD, art. 37), consultas e fiscalizações da ANPD e demonstração de conformidade com este DPA.

12. Auditoria

12.1. O Bento mantém evidências do cumprimento deste DPA e responde, uma vez por ano, a um questionário razoável de segurança do Assinante.

12.2. Uma auditoria presencial ou remota mais profunda só cabe se houver: (i) Incidente; (ii) exigência de autoridade; ou (iii) dúvida fundamentada sobre o cumprimento.

12.3. A auditoria é feita com aviso prévio razoável, em horário comercial, por profissional sob confidencialidade, sem acesso a dados de outros assinantes nem a segredos do Bento, e com custo do Assinante, salvo se apontar descumprimento relevante do Bento.

13. Devolução e eliminação ao final

13.1. Enquanto o contrato estiver vigente, e ao pedir o encerramento, o Assinante pode pedir a exportação dos seus dados em formato aberto (CSV ou JSON), pelo atendimento (e pelo painel, quando existir). O Bento atende o pedido antes de eliminar os dados.

13.2. Encerrado o contrato e atendido o pedido de exportação, se houver, o Bento elimina ou anonimiza os Dados do Controlador quando encerra o ambiente do agente do Assinante, o que faz logo após o fim do período pago ou assim que o Assinante pedir. As cópias de segurança, que são cifradas, expiram em até 7 dias. O Bento confirma por escrito se o Assinante pedir.

13.3. Excetuam-se dados que o Bento deva guardar por lei ou para defesa em processo, que ficam protegidos e sem uso para outra finalidade.

14. Responsabilidade

14.1. Cada parte responde pelos danos que causar nos termos da LGPD. O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir a lei ou as instruções lícitas do controlador (LGPD, art. 42, §1º, I).

14.2. Há direito de regresso na medida da participação de cada parte no dano.

14.3. A limitação de valor da cláusula 15.3 dos Termos vale também para este DPA, nas mesmas condições: não se aplica ao consumidor pessoa física, nem a dolo, culpa grave ou hipóteses em que a lei não permita limitar.

15. Vigência, alterações e foro

15.1. Este DPA vale enquanto o Bento tratar Dados do Controlador, mesmo após o fim do contrato, pelo tempo necessário à devolução e à eliminação.

15.2. O Bento pode atualizar este DPA para refletir lei, regulamento da ANPD ou mudanças no serviço, com aviso prévio por e-mail ou pelo Telegram. Aplicam-se aqui a lei aplicável e o foro dos Termos.

Anexo I. Descrição do tratamento

Anexo II. Medidas de segurança

1. Isolamento por assinante. Cada agente roda em seu próprio ambiente isolado; assinantes não dividem o ambiente de execução do agente.
2. Credencial do provedor de IA com escopo mínimo. A cápsula do agente nunca recebe a chave de administração do provedor nem a credencial de outro assinante. Na primeira leva, cada cápsula usa uma chave do provedor exclusiva daquele assinante, ligada a um projeto próprio com limites de uso e revogável de imediato. Quando a plataforma subir, as chamadas passarão por um portão de IA do Bento, com credencial própria do assinante, que mede consumo, aplica cota e permite trocar de modelo em um ponto só.
3. Menor privilégio. O agente tem só as ferramentas de que o plano precisa, sem acesso a arquivos ou a comandos do servidor.
4. Regras críticas no sistema (quando a plataforma estiver no ar). Trava de conflito de horário, conferência de valor e de comprovante duplicado, e uso de telefone somente quando veio da conversa. Modos pausado, teste e ativo, com falha segura. Na primeira leva, o horário e o pagamento são confirmados pelo Assinante.
5. Banco de dados da central separado dos sistemas dos clientes de outras linhas de negócio da empresa.
6. Monitoramento. Vigias para canal caído, agente mudo, crédito do provedor, cota e versão, com alerta à equipe de operação.
7. Controle de acesso ao painel por usuário, quando o painel existir.
8. Criptografia em trânsito (TLS).
9. Cópias de segurança cifradas, mantidas por 7 dias.
10. Acesso interno restrito a pessoal autorizado, com dever de sigilo.
11. Gestão de incidentes com registro, plano de resposta e comunicação ao controlador (cláusula 10).
12. Versões controladas do motor do agente e atualizações com teste.
13. Mídia de saúde. No nicho clínica e serviços de saúde, nenhuma mídia do cliente é guardada nem lida (cláusula 6.3).
14. Mídia cifrada (quando a plataforma estiver no ar). Fotos, áudios e PDFs ficam em armazenamento de objetos cifrado, com acesso por endereço assinado de curta duração, e são eliminados em 30 dias.
15. Leitura de imagem e transcrição pelo portão (quando a plataforma estiver no ar). Quem lê comprovantes e notas e transcreve áudio é o sistema do Bento, por chamada ao provedor de IA pelo portão de IA, com roteiro fixo e saída em campos definidos; o agente de IA não recebe a imagem.

Anexo III. Suboperadores

Observação: Meta, Telegram e Google tratam dados também como controladores independentes, sob as próprias políticas, quando o Assinante usa os canais e integrações deles. Na primeira leva, o cadastro, o plano e as datas dos assinantes ficam em controle interno do time; a central de assinantes (banco de dados) entra quando a plataforma subir, e este anexo será atualizado.

Anexo IV. Contatos

• Encarregado do Bento: Luis Fernando Cardozo da Silva, contatosevren.ai@gmail.com
• Segurança e incidentes: contatosevren.ai@gmail.com
• Encarregado ou responsável do Assinante: informado no cadastro, no painel (campo opcional)