Anexo de Tratamento de Dados — 9am

A 9am tratará os dados de clientes finais somente para: (a) atendimento automatizado e agendamento via WhatsApp; (b) registro de histórico de agendamentos e conversas; (c) cobrança de sinal quando configurada no painel; (d) cumprimento de obrigações legais. Qualquer tratamento fora dessas finalidades exige instrução prévia da conta assinante ou base legal própria.

Nome, telefone (E.164), conteúdo das mensagens trocadas com a assistente, histórico de agendamentos, preferências registradas e status de pagamento de sinal. Titulares: clientes finais da conta assinante.

A conta assinante autoriza a 9am a usar os seguintes subprocessadores, sob contratos com cláusulas de proteção de dados: Meta/WhatsApp (mensageria), Vercel e Neon (infraestrutura e banco), Anthropic (processamento de linguagem), Mercado Pago (pagamentos). Alterações nessa lista serão comunicadas com 30 dias de antecedência, com direito de oposição, sendo o cancelamento sem ônus o remédio disponível caso a oposição não seja acomodada.

Subprocessadores podem processar dados fora do Brasil (notadamente EUA), com as salvaguardas do art. 33 da LGPD e cláusulas contratuais. Ver seção 5 da Política de Privacidade.

A 9am mantém: criptografia de tokens em repouso (AES-256-GCM), TLS 1.2+ em trânsito, isolamento lógico por conta (tenant), acesso interno restrito e auditado.

Solicitações de titulares (clientes finais) recebidas pela 9am serão encaminhadas à conta assinante em até 5 dias úteis, salvo exclusão simples, que a 9am pode executar diretamente mediante confirmação. A plataforma oferece ferramentas para atender acesso, correção e exclusão.

Em caso de incidente de segurança envolvendo dados de clientes finais, a 9am comunica a conta assinante sem demora injustificada, com informações suficientes para avaliar a necessidade de comunicação à ANPD e aos titulares (LGPD, art. 48).

Cada conta pode configurar prazo de retenção automática para clientes sem atividade; atingido o prazo, os dados são expurgados. No encerramento da conta, os dados de clientes finais são excluídos conforme a página de exclusão de dados, ressalvadas as retenções legais (registros fiscais e logs mínimos, 5 anos, acesso restrito).

Cada parte responde pelos danos que der causa no seu papel (LGPD, arts. 42–44). A 9am não responde por instruções ilícitas de quem exerce o controle dos dados; a conta assinante não responde por falha exclusiva de segurança da plataforma.