Política de Privacidade

Esta Política de Privacidade descreve como o Lasso (“Lasso”, “nós”) trata dados pessoais ao operar a plataforma de atendimento em equipe por WhatsApp e Instagram, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — “LGPD”). Ela se aplica ao site, ao aplicativo web e aos canais de suporte do Lasso.

Em relação aos dados de conta das empresas clientes, o Lasso atua como controlador. Em relação às mensagens, mídias, comentários, estatísticas e contatos dos clientes finais das empresas que usam a plataforma — inclusive os obtidos do WhatsApp e do Instagram —, o Lasso atua como operador, tratando os dados conforme as instruções da empresa cliente, que é a controladora.

1. Dados que coletamos

• Dados de conta: nome, e-mail e senha (armazenada de forma criptografada) dos usuários da equipe, além do nome da empresa e dados de configuração do número de WhatsApp e da conta profissional do Instagram conectados.
• Dados dos atendimentos por WhatsApp: mensagens trocadas com os clientes finais, incluindo textos, fotos, vídeos, áudios e documentos, além do nome e número de telefone dos contatos, conforme recebidos da API do WhatsApp.
• Dados do Instagram: obtidos exclusivamente por meio da API da Plataforma do Instagram, com o Login do Instagram, após a autorização de um administrador da conta profissional (conta comercial ou de criador de conteúdo) da empresa cliente. Detalhados na seção 2.
• Transcrições: texto gerado automaticamente a partir das mensagens de áudio recebidas, para leitura e busca.
• Dados técnicos: registros de acesso (logs), identificadores de sessão e informações necessárias à segurança e ao funcionamento do serviço.
• Dados de suporte: nome, e-mail, empresa e conteúdo das mensagens enviadas pelos nossos canais de atendimento.

2. Integração com o Instagram

Quando a empresa cliente conecta sua conta profissional do Instagram ao Lasso, recebemos da Meta, por meio da API da Plataforma do Instagram e apenas nos limites das permissões autorizadas na tela de login do Instagram, os seguintes dados:

• Perfil da conta conectada: nome, nome de usuário (@), foto de perfil, biografia, site, identificador da conta e contagens de seguidores, de contas seguidas e de publicações.
• Publicações da própria conta: fotos, vídeos, reels, carrosséis e stories publicados pela conta, com legenda, data, link permanente e contagens de curtidas e comentários; e as publicações que a empresa cria e agenda pelo Lasso.
• Mensagens diretas: mensagens recebidas e enviadas pela conta conectada (texto, fotos, vídeos, áudios, reações e confirmações de leitura) e o perfil de quem escreve, conforme fornecido pela API: nome, nome de usuário (@) e foto de perfil.
• Comentários: comentários e respostas feitos nas publicações da conta conectada, com o texto, a data e os dados públicos de quem comentou (nome de usuário e identificador).
• Estatísticas (insights): métricas agregadas da conta e das publicações — alcance, visualizações, interações, cliques, evolução de seguidores e perfil do público por faixa etária, gênero, cidade e país. Os dados demográficos chegam agregados e anonimizados pela Meta; não recebemos essas informações sobre pessoas identificadas.
• Tokens de acesso: credenciais emitidas pela Meta que permitem ao Lasso agir em nome da conta conectada. São armazenados no servidor, nunca expostos ao navegador e renovados periodicamente enquanto a conta estiver conectada.

Usamos esses dados unicamente para prestar o serviço à empresa cliente: exibir e responder mensagens diretas em uma caixa de entrada de equipe operada por atendentes humanos; ler, responder, ocultar e excluir comentários das publicações da própria conta; publicar, no horário escolhido, conteúdo criado pela própria empresa; e apresentar estatísticas da conta. O Lasso não envia mensagens nem comentários de forma automatizada: cada resposta é escrita e enviada manualmente por um membro da equipe, e as publicações agendadas são redigidas pela própria empresa. A empresa pode configurar palavras que fazem um comentário ser ocultado automaticamente até a revisão por um membro da equipe; essa ocultação nunca envia nada a ninguém.

Não vendemos dados obtidos do Instagram, não os usamos para publicidade nem para treinar modelos de inteligência artificial, não os combinamos com dados de outras empresas clientes e não os transferimos a terceiros além dos suboperadores listados na seção 4. Cada empresa cliente acessa apenas os dados da própria conta; dentro da empresa, o acesso à área do Instagram pode ser restrito a membros específicos da equipe. O uso da API observa os Termos da Plataforma Meta e as Políticas para Desenvolvedores da Meta.

Revogação e exclusão. A empresa cliente pode desconectar a conta a qualquer momento no próprio Lasso, ou remover o Lasso em Instagram → Configurações → Permissões do site → Aplicativos e sites. Ao desconectar no Lasso, o token de acesso é excluído imediatamente; ao remover o Lasso no Instagram, a Meta nos avisa (callback de desautorização) e fazemos o mesmo. Quando a Meta nos envia um pedido de exclusão de dados em nome do usuário, apagamos a conexão, as mensagens diretas, os comentários, as publicações em cache e as estatísticas daquela conta e geramos um código de confirmação; o andamento do pedido pode ser acompanhado em lassoia.com/exclusao-de-dados/<código>. A empresa cliente também pode pedir a exclusão pelos canais da seção 10.

3. Finalidades e bases legais

• Prestar o serviço (execução de contrato): entregar e exibir mensagens e comentários, armazenar histórico e mídias, publicar conteúdo criado pela empresa, apresentar estatísticas, transcrever áudios e autenticar usuários.
• Suporte e comunicação (execução de contrato e legítimo interesse): responder solicitações e enviar comunicações operacionais sobre a conta.
• Segurança e prevenção a abusos (legítimo interesse e cumprimento de obrigação legal): manter logs, prevenir fraude, spam e uso indevido.
• Cumprimento de obrigações legais: guarda de registros exigidos pela legislação brasileira, incluindo o Marco Civil da Internet.

Para os dados de clientes finais recebidos do WhatsApp e do Instagram, a base legal é definida pela empresa cliente, controladora, que normalmente se apoia na execução de contrato ou em procedimentos preliminares a pedido do titular (o atendimento que ele mesmo iniciou) e no legítimo interesse de atender quem entra em contato com ela. Não vendemos dados pessoais nem os utilizamos para publicidade de terceiros.

4. Compartilhamento e suboperadores

Compartilhamos dados apenas com os prestadores necessários à operação do serviço, listados abaixo, e quando exigido por lei ou ordem de autoridade competente. Alguns desses prestadores estão localizados fora do Brasil; nesses casos, a transferência internacional observa os mecanismos previstos na LGPD, como cláusulas contratuais e garantias adequadas de proteção.

• Meta Platforms (WhatsApp e Instagram): Envio e recebimento de mensagens pela API oficial do WhatsApp; acesso a mensagens diretas, comentários, publicações e estatísticas pela API da Plataforma do Instagram, na condição de provedora das plataformas.
• Convex: Banco de dados e armazenamento de mensagens, comentários, mídias, estatísticas e arquivos.
• Vercel: Hospedagem da aplicação web.
• Mailgun: Envio de e-mails transacionais e de suporte.
• Groq / OpenAI: Transcrição de áudio; a OpenAI também processa mensagens, cadastros e e-mails consultados pelo Copiloto quando o módulo está habilitado e uma pessoa solicita a assistência.

5. Retenção

Mantemos os dados enquanto a conta estiver ativa, pois o histórico de atendimento é parte essencial do serviço. Após o encerramento da conta, os dados dos atendimentos são excluídos ou anonimizados em prazo razoável, salvo quando a manutenção for necessária para cumprimento de obrigação legal, exercício regular de direitos ou registros exigidos por lei (por exemplo, logs de acesso). A empresa cliente pode solicitar a exclusão antecipada dos dados sob sua responsabilidade.

Registros operacionais têm limpeza diária em lotes: entregas de webhook do Instagram e do WhatsApp já processadas perdem seu conteúdo após 30 dias do processamento; estados temporários de autenticação após 1 hora; contadores de limite de uso após 1 dia; avisos encerrados para a organização após 90 dias. Eventos ainda não processados são preservados para recuperação. Essas regras não apagam o histórico de atendimento ativo.

Após uma eliminação, conservamos identificadores técnicos e resumos criptográficos sem texto, mídia ou dados de perfil para impedir que reenvios da Meta ou novas sincronizações recriem o conteúdo eliminado. Em notificações com dados de várias pessoas, os dados da pessoa eliminada são retirados imediatamente; o conteúdo restante segue o prazo operacional acima. Esses registros de prevenção também são removidos quando os dados da organização são eliminados.

Para os dados do Instagram, especificamente:

• Tokens de acesso: guardados apenas enquanto a conta estiver conectada; excluídos ao desconectar no Lasso, ao remover o Lasso nas configurações do Instagram ou ao receber a desautorização da Meta.
• Mensagens diretas, comentários e publicações:mantidos enquanto a empresa cliente existir no Lasso, como parte do histórico de atendimento, e excluídos com o encerramento da conta da empresa ou por pedido de exclusão de dados recebido da Meta.
• Estatísticas: guardamos registros periódicos (snapshots) das métricas agregadas para exibir a evolução no tempo, por empresa cliente; são mantidos enquanto a conta estiver conectada e excluídos ao desconectar ou por pedido de exclusão.
• Notificações brutas da Meta (webhooks): mantidas para processamento e diagnóstico, e excluídas junto com os demais dados da conta.

6. Segurança

Adotamos medidas técnicas e organizacionais adequadas para proteger os dados, incluindo criptografia em trânsito, controle de acesso por conta e senha, isolamento dos dados por empresa, guarda dos tokens de acesso apenas no servidor e restrição de acesso interno. Nenhum sistema é totalmente imune a incidentes; caso ocorra um incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos da LGPD e, quando envolver dados obtidos da Meta, a própria Meta conforme suas políticas.

7. Direitos dos titulares

Nos termos do art. 18 da LGPD, o titular de dados pode solicitar: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade; portabilidade; informação sobre compartilhamentos; e revogação de consentimento, quando esta for a base legal. Para dados de atendimentos em que o Lasso atua como operador — inclusive mensagens e comentários recebidos do Instagram —, encaminharemos a solicitação à empresa cliente controladora ou orientaremos o titular a contatá-la diretamente. Usuários do Instagram também podem pedir a exclusão dos seus dados por meio da própria Meta, o que aciona o fluxo descrito na seção 2.

8. Cookies

Utilizamos apenas cookies e armazenamento local essenciais ao funcionamento da plataforma, como manutenção da sessão autenticada. Não utilizamos cookies de publicidade.

9. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças no serviço ou na legislação. Alterações relevantes serão comunicadas por e-mail ou aviso na plataforma. A data da última atualização consta no topo da página.

10. Controlador e contato

O Lasso é operado pela Valor Estatístico Ltda, no Brasil, responsável pelo tratamento dos dados de conta na qualidade de controladora. Para assuntos de privacidade, incluindo o exercício de direitos dos titulares e pedidos de exclusão de dados do Instagram, entre em contato pelo e-mail privacidade@lassoia.com. Você também pode falar com a gente pela página de Suporte.