Acordo de Tratamento de Dados
Versão de 11 de outubro de 2026
1. Papéis
- Assinante = controlador dos dados dos seus clientes finais: decide quais dados coletar, para quê e por quanto tempo, e tem a base legal para isso (normalmente execução de contrato de locação e cumprimento de obrigação legal).
- Montali = operador: trata esses dados só para prestar o Montali Hub, seguindo as instruções do Assinante, que são as configurações e ações feitas no painel.
2. Que dados tratamos em nome do Assinante
Nome, telefone, e-mail, endereço de entrega, CPF/CNPJ (guardado cifrado), conversas e mídias do WhatsApp, locações, contratos e aceites (com IP e data), pagamentos registrados, e pedidos feitos pela vitrine. Não devem ser cadastrados dados sensíveis (saúde, religião, biometria etc.) nem dados de crianças além do estritamente necessário (ex.: nome do aniversariante no tema da festa).
3. O que o Montali se compromete a fazer
- Tratar os dados só para prestar o serviço, nunca para fins próprios (ex.: não treinamos modelos de IA com conversas dos clientes finais e não vendemos dados).
- Manter as medidas de segurança da Política de Privacidade (isolamento entre contas, cifra, HTTPS, backups cifrados, acesso restrito).
- Exigir sigilo de quem tiver acesso.
- Ajudar o Assinante a atender pedidos dos titulares: o painel permite exportar e anonimizar um contato; o que não estiver no painel, atendemos por e-mail em até 5 dias úteis.
- Avisar o Assinante sem demora (em até 48 h depois de confirmado) sobre incidente que afete os dados dele, com o que se sabe até o momento.
- Ao fim do contrato: deixar os dados disponíveis para exportação por 30 dias e depois excluí-los, inclusive dos backups no ciclo de 30 dias.
4. Suboperadores
O Assinante autoriza o uso dos fornecedores abaixo. Inclusão ou troca é avisada com 30 dias de antecedência, e o Assinante pode cancelar sem custo se discordar.
| Fornecedor | Função | Local dos dados |
|---|---|---|
| Supabase (sobre AWS) | banco de dados, autenticação, arquivos | Brasil (São Paulo, sa-east-1) |
| Hostinger | servidor da aplicação e da conexão de WhatsApp | Brasil |
| DeepSeek | geração das respostas do agente de IA | China |
| OpenAI | busca semântica no catálogo (embeddings) | Estados Unidos |
| Asaas | cobrança da assinatura (só dados do Assinante) | Brasil |
| Cloudflare | site, lista de espera e proteção contra robôs | global, com dados da lista de espera nos Estados Unidos |
| Meta (WhatsApp) | entrega das mensagens, por escolha do Assinante | conforme a Meta |
Os provedores de IA são usados só para responder perguntas sobre catálogo, preços e disponibilidade. Eles recebem o texto da conversa (como o cliente final escreveu), o primeiro nome do contato, o catálogo e as regras do negócio. Telefone, e-mail, endereço e CPF/CNPJ do cadastro não são enviados a eles.
5. Transferência internacional
O envio à DeepSeek e à OpenAI é transferência internacional, feita para executar o serviço contratado pelo Assinante (LGPD art. 33, IX). O Assinante que não quiser esse envio pode manter o agente de IA desligado; os demais recursos não dependem dele.
6. Responsabilidades
Cada parte responde pelo que fizer em desacordo com a LGPD ou com este acordo. O Montali não responde por tratamento que siga as instruções do Assinante nem por dados que o Assinante cadastrou sem base legal.
Versão de 2026-10-11.