LGPD e GDPR

1. Nosso Compromisso

A TropiCall está comprometida com a proteção de dados pessoais e a conformidade com as principais legislações de privacidade do mundo, incluindo:

• LGPD - Lei Geral de Proteção de Dados (Lei nº 13.709/2018) do Brasil
• GDPR - General Data Protection Regulation (Regulamento UE 2016/679) da União Europeia
• Marco Civil da Internet - Lei nº 12.965/2014 do Brasil

Esta página explica como implementamos os princípios de proteção de dados em nossa plataforma, nossos papéis no tratamento de dados, e quais direitos você tem sobre seus dados.

2. Nosso Papel: Controlador e Operador

A TropiCall pode atuar como Controlador (quando determinamos as finalidades do tratamento, como dados de cadastro e faturamento) ou como Operador (quando processamos dados em nome de nossos clientes, como dados de chamadas e transcrições dos agentes de voz).

Quando atuamos como Operadores, nossos clientes são os Controladores dos dados de seus próprios clientes e são responsáveis por obter autorizações, definir bases legais e atender solicitações de direitos dos titulares.

Para mais detalhes sobre cada papel e responsabilidades, consulte a Seção 2 da nossa Política de Privacidade.

3. Acordo de Processamento de Dados (DPA)

Para clientes empresariais que necessitam formalizar a relação de tratamento de dados para fins de compliance com LGPD, GDPR ou outras regulamentações, disponibilizamos um Acordo de Processamento de Dados (DPA - Data Processing Agreement).

3.1 O que o DPA Inclui

• Definição clara de papéis (Controlador/Operador)
• Obrigações de confidencialidade e segurança
• Procedimentos para transferência internacional de dados
• Cláusulas contratuais padrão (SCCs) quando aplicável
• Procedimentos para notificação de incidentes
• Direitos de auditoria
• Subprocessadores autorizados
• Procedimentos para exclusão de dados ao término do contrato

3.2 Como Obter o DPA

Para solicitar nosso DPA padrão ou negociar termos específicos:

• E-mail: legal@tropicall.ai
• Assunto: "Solicitação de DPA - [Nome da Empresa]"

Clientes do plano Enterprise têm acesso automático ao DPA como parte do contrato.

4. Bases Legais para Tratamento

Tratamos dados pessoais apenas quando temos uma base legal válida. As principais bases incluem: execução de contrato, consentimento, legítimo interesse, obrigação legal e exercício regular de direitos. Cada base legal é mapeada tanto para a LGPD quanto para o GDPR.

Para tratamentos baseados em legítimo interesse, realizamos avaliação de balanceamento (Legitimate Interest Assessment - LIA) para garantir que os interesses do titular não prevaleçam.

Para a lista completa de bases legais com referências aos artigos aplicáveis, consulte a Seção 4 da nossa Política de Privacidade.

5. Seus Direitos (LGPD)

De acordo com a LGPD (Arts. 18-21), você tem os seguintes direitos sobre seus dados pessoais:

• Confirmação e acesso (Art. 18, I e II): Confirmar se tratamos seus dados e acessar uma cópia deles
• Correção (Art. 18, III): Solicitar a correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação (Art. 18, IV): De dados desnecessários, excessivos ou tratados em desconformidade com a lei
• Portabilidade (Art. 18, V): Receber seus dados em formato estruturado para transferência a outro fornecedor
• Eliminação de dados consentidos (Art. 18, VI): Solicitar a exclusão de dados tratados com base no consentimento
• Informação sobre compartilhamento (Art. 18, VII): Saber com quais entidades públicas ou privadas compartilhamos seus dados
• Informação sobre consentimento (Art. 18, VIII): Ser informado sobre a possibilidade de não consentir e as consequências
• Revogação do consentimento (Art. 18, IX): Revogar o consentimento a qualquer momento, de forma fácil e gratuita
• Oposição (Art. 18, §2º): Opor-se ao tratamento realizado em desconformidade com a lei
• Revisão de decisões automatizadas (Art. 20): Solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado

6. Seus Direitos (GDPR)

Se você é residente da União Europeia ou do Espaço Econômico Europeu, você tem os seguintes direitos adicionais sob o GDPR:

• Direito de acesso (Art. 15): Obter confirmação e informações detalhadas sobre o tratamento
• Direito de retificação (Art. 16): Corrigir dados imprecisos ou incompletos
• Direito ao apagamento (Art. 17): "Direito de ser esquecido" em determinadas circunstâncias
• Direito à restrição (Art. 18): Restringir o tratamento em determinadas situações
• Direito à portabilidade (Art. 20): Receber dados em formato estruturado, de uso comum e legível por máquina
• Direito de oposição (Art. 21): Opor-se ao tratamento baseado em legítimo interesse ou marketing direto
• Decisões automatizadas (Art. 22): Não estar sujeito a decisões baseadas exclusivamente em tratamento automatizado com efeitos jurídicos significativos, e direito de obter intervenção humana
• Direito de reclamação (Art. 77): Apresentar reclamação a uma autoridade supervisora

7. Transferências Internacionais de Dados

Nossos serviços utilizam infraestrutura e parceiros localizados em diferentes países. Seus dados podem ser transferidos para:

7.1 Países de Destino

• Brasil: Servidores primários, processamento principal e pagamentos (Mercado Pago)
• Estados Unidos: Serviços de IA (OpenAI, Deepgram, Cartesia), infraestrutura de banco de dados (Supabase), computação GPU (RunPod)

7.2 Mecanismos de Proteção

Quando transferimos dados para países sem decisão de adequação da ANPD ou da Comissão Europeia, utilizamos:

• Cláusulas Contratuais Padrão (SCCs): Aprovadas pela Comissão Europeia (Decisão 2021/914)
• Cláusulas-tipo da ANPD: Quando aplicável, conforme regulamentação brasileira
• Avaliação de Impacto de Transferência (TIA): Quando necessário, avaliamos os riscos da transferência
• Medidas técnicas suplementares: Criptografia em trânsito e em repouso, pseudonimização quando viável

7.3 Subprocessadores

Utilizamos os seguintes subprocessadores para operação da plataforma:

• Banco de dados e autenticação: Supabase (EUA) — armazenamento de dados, autenticação de usuários
• Inteligência artificial (LLM): OpenAI (EUA) — processamento de linguagem natural e embeddings
• Speech-to-Text: Deepgram (EUA) — transcrição de áudio em tempo real
• Text-to-Speech: Cartesia (EUA) — síntese de voz
• Computação GPU: RunPod (EUA) — hospedagem de modelos de IA internos (STT, TTS, LLM alternativos)
• Telecomunicações: BR DID (Brasil) — fornecimento de números de telefone e SIP trunking
• Pagamentos: Mercado Pago (Brasil) — processamento de pagamentos e assinaturas
• Notas fiscais: FocusNFe (Brasil) — emissão de notas fiscais de serviço eletrônicas (NFSe)
• E-mail: Mailgun (EUA) — envio de e-mails transacionais

Esta lista é atualizada periodicamente. Clientes com DPA são notificados sobre alterações nos subprocessadores. Para a lista mais recente, entre em contato através de legal@tropicall.ai.

8. Dados de Menores

Nossos serviços não são direcionados a menores de 18 anos. Não coletamos intencionalmente dados pessoais de crianças ou adolescentes.

Se você utilizar nossa plataforma para interagir com menores através dos agentes de voz:

• Você (como Controlador) é responsável por obter o consentimento específico e destacado de um dos pais ou responsável legal (Art. 14, LGPD)
• Você deve garantir que o tratamento é realizado no melhor interesse da criança ou adolescente
• Você não deve coletar dados além do estritamente necessário

Se tomarmos conhecimento de que dados de menores foram coletados sem o devido consentimento, tomaremos medidas para excluí-los.

9. Medidas de Segurança

Implementamos medidas técnicas e organizacionais apropriadas para proteger seus dados pessoais, incluindo criptografia em trânsito e em repouso, controles de acesso baseados em funções, autenticação multifator, monitoramento de infraestrutura e hardening de containers.

Para detalhes completos sobre nossas práticas de segurança, consulte nossa página de Segurança.

10. Notificação de Incidentes de Segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos comprometemos a:

10.1 Comunicação às Autoridades

• LGPD: Comunicar à ANPD e ao titular em prazo razoável, conforme definido pela Autoridade (Art. 48)
• GDPR: Notificar a autoridade supervisora em até 72 horas após tomar conhecimento do incidente (Art. 33), quando aplicável

10.2 Comunicação aos Titulares

Quando o incidente puder acarretar alto risco aos direitos e liberdades dos titulares, comunicaremos:

• A natureza dos dados afetados
• Os titulares envolvidos (categorias e número aproximado)
• As medidas técnicas e de segurança adotadas
• Os riscos relacionados ao incidente
• As medidas que foram ou serão adotadas para reverter ou mitigar os efeitos

10.3 Comunicação aos Clientes (quando somos Operadores)

Quando atuamos como Operadores e ocorrer um incidente envolvendo dados de seus clientes, notificaremos você (Controlador) sem demora injustificada para que possa cumprir suas obrigações de notificação.

11. Avaliação de Impacto (DPIA/RIPD)

Realizamos Relatório de Impacto à Proteção de Dados Pessoais (RIPD) ou Data Protection Impact Assessment (DPIA) quando o tratamento pode gerar alto risco aos direitos e liberdades dos titulares, incluindo:

• Tratamento de dados em larga escala
• Monitoramento sistemático de áreas acessíveis ao público
• Uso de novas tecnologias, incluindo IA generativa
• Tratamento que possa resultar em decisões automatizadas com efeitos significativos

O RIPD/DPIA inclui descrição do tratamento, avaliação da necessidade e proporcionalidade, avaliação de riscos e medidas de mitigação.

12. Retenção de Dados

Mantemos seus dados apenas pelo tempo necessário para as finalidades para as quais foram coletados. Os prazos variam de 90 dias (gravações) a 5 anos (dados fiscais e de conta após encerramento). Após os prazos de retenção, os dados são anonimizados ou excluídos de forma segura.

Para a tabela completa de prazos de retenção por tipo de dado, consulte a Seção 11 da nossa Política de Privacidade.

13. Encarregado de Proteção de Dados (DPO)

Nomeamos um Encarregado de Proteção de Dados (DPO) para supervisionar nossa conformidade com a LGPD e GDPR. Você pode entrar em contato com nosso DPO para:

• Exercer seus direitos de titular de dados
• Fazer perguntas sobre nossas práticas de privacidade
• Reportar preocupações sobre o tratamento de dados
• Solicitar informações para fins de compliance de sua empresa

Contato do DPO: dpo@tropicall.ai

14. Como Exercer Seus Direitos

Para exercer qualquer um dos seus direitos, você pode:

• Configurações da conta: Acesse as configurações da sua conta para excluir seus dados ou encerrar sua conta
• E-mail para privacidade: privacy@tropicall.ai — para solicitações de acesso, correção, portabilidade ou outras questões de dados
• E-mail do DPO: dpo@tropicall.ai
• Formulário: Use nosso formulário de contato selecionando "Privacidade e Dados Pessoais" como assunto

14.1 Prazos de Resposta

• LGPD: Resposta imediata em formato simplificado ou, em caso de maior complexidade, em até 15 dias
• GDPR: Em até 30 dias, podendo ser estendido por mais 60 dias em casos complexos, com aviso prévio

14.2 Verificação de Identidade

Para proteger seus dados, podemos solicitar verificação de identidade antes de atender solicitações de acesso, correção ou exclusão.

15. Reclamações às Autoridades

Se você não estiver satisfeito com nossa resposta ou acredita que seu direito de proteção de dados foi violado, você tem o direito de apresentar uma reclamação à autoridade supervisora competente:

• Brasil (LGPD): Autoridade Nacional de Proteção de Dados (ANPD) - www.gov.br/anpd
• União Europeia (GDPR): Autoridade de proteção de dados do seu país de residência. Lista disponível em: EDPB Members

Recomendamos que entre em contato conosco primeiro para que possamos tentar resolver sua preocupação diretamente.

16. Atualizações

Esta página pode ser atualizada periodicamente para refletir mudanças em nossas práticas, tecnologias ou requisitos legais. Recomendamos que você revise esta página regularmente.

Para informações mais detalhadas sobre como tratamos seus dados, consulte nossa Política de Privacidade completa.