Anexo de Tratamento de Dados — 9am

A 9am tratará os dados de clientes finais somente para: (a) atendimento automatizado e agendamento via WhatsApp e Instagram (Direct); (b) registro de histórico de agendamentos e conversas; (c) cobrança de sinal quando configurada no painel; (d) cumprimento de obrigações legais. Qualquer tratamento fora dessas finalidades exige instrução prévia da conta assinante ou base legal própria.

Nome, telefone (E.164), conteúdo das mensagens trocadas com a assistente (inclusive áudios transcritos), histórico de agendamentos, preferências registradas, data de aniversário, CPF quando a conta assinante o informa, avaliações e status de pagamento de sinal. De saúde, somente alergia ou contraindicação a produto ou procedimento informada pela própria titular; a assistente não registra outras categorias de dado sensível nem dados de crianças. Para quem inicia a conversa pelo Instagram, também o identificador da conta (IGSID) e o nome de usuário público. Titulares: clientes finais da conta assinante.

A conta assinante autoriza a 9am a usar os seguintes subprocessadores, sob contratos com cláusulas de proteção de dados: Meta (WhatsApp e Instagram — mensageria), Vercel e Neon (infraestrutura e banco), OpenAI (linguagem das conversas, áudio e busca de respostas), Sentry (monitoramento de erros), Upstash (armazenamento temporário, entrega de tarefas e recuperação de etapas com resultados sensíveis cifrados pela 9am), Google (Agenda, quando a conta assinante a conecta), Cloudflare (verificação anti-robô), Mercado Pago e Stripe (pagamentos — a Stripe também processa os dados de identificação e a conta bancária da profissional quando ela ativa o recebimento de assinatura). Alterações nessa lista serão comunicadas com 30 dias de antecedência, com direito de oposição, sendo o cancelamento sem ônus o remédio disponível caso a oposição não seja acomodada.

Subprocessadores podem processar dados fora do Brasil (notadamente EUA), com as salvaguardas do art. 33 da LGPD e cláusulas contratuais. Ver seção 5 da Política de Privacidade.

A 9am mantém: criptografia de tokens em repouso (AES-256-GCM), TLS 1.2+ em trânsito, isolamento lógico por conta (tenant), acesso interno restrito e auditado. Resultados de etapas enviados ao serviço de recuperação de tarefas são cifrados na aplicação com chave dedicada.

Solicitações de titulares (clientes finais) recebidas pela 9am serão encaminhadas à conta assinante em até 5 dias úteis, salvo exclusão simples, que a 9am pode executar diretamente mediante confirmação. A plataforma oferece ferramentas para atender acesso, correção e exclusão.

Em caso de incidente de segurança envolvendo dados de clientes finais, a 9am comunica a conta assinante sem demora injustificada, com informações suficientes para avaliar a necessidade de comunicação à ANPD e aos titulares (LGPD, art. 48).

Cada conta pode configurar prazo de retenção automática para clientes sem atividade; atingido o prazo, os dados são expurgados. No encerramento da conta, os dados de clientes finais são excluídos conforme a página de exclusão de dados, ressalvadas as retenções legais (registros fiscais e logs mínimos, 5 anos, acesso restrito).

Cada parte responde pelos danos que der causa no seu papel (LGPD, arts. 42–44). A 9am não responde por instruções ilícitas de quem exerce o controle dos dados; a conta assinante não responde por falha exclusiva de segurança da plataforma.