Política de Privacidade da Bright Digital AI

Versão provisória, em revisão jurídica. Publicada em 04/10/2026.

Versão: 1.0 (provisória)
Em vigor desde: 04/10/2026
Versão em inglês: Privacy Policy. Se houver diferença entre as duas, vale esta versão em português.

1. Quem somos

A Bright Digital oferece a Bright Digital AI, uma plataforma de atendimento e vendas pelo WhatsApp com assistentes de inteligência artificial (IA) e um CRM. Nossos clientes são empresas que usam a plataforma para conversar com os próprios clientes delas.

2. Resumo rápido

• Se a sua empresa é cliente da Bright Digital AI, nós cuidamos dos dados da sua conta, da segurança e da cobrança. As conversas com os seus clientes são da sua empresa: nós só as processamos para prestar o serviço, conforme as suas instruções.

• Se você conversou pelo WhatsApp com uma empresa que usa a Bright Digital AI, quem decide sobre os seus dados é essa empresa. Fale primeiro com ela. Nós ajudamos a empresa a atender o seu pedido.

• Não vendemos dados pessoais. Não usamos as conversas dos clientes das empresas para treinar modelos de IA nem para fins próprios.

• Os dados ficam hospedados no Brasil, em São Paulo. Alguns fornecedores, como os de IA, ficam em outros países. A lista está na seção 8.

• Você pode pedir acesso, correção, exclusão e outros direitos. Respondemos em até 15 dias (LGPD) ou em até um mês (GDPR).

3. Nosso papel: controladora ou operadora

A lei separa quem decide sobre os dados (controlador) de quem processa em nome de outro (operador, chamado de processor no GDPR). A Bright Digital tem os dois papéis, conforme o dado.

Quando somos operadora, a empresa cliente é a controladora. Ela define para que os dados são usados, por quanto tempo ficam guardados e como o assistente de IA se comporta. Nós seguimos as instruções dela, conforme o contrato e o acordo de tratamento de dados (LGPD art. 39; GDPR art. 28).

4. Que dados tratamos

4.1 Dados em que somos controladora

4.2 Dados em que somos operadora (por conta da empresa cliente)

A empresa cliente decide quais dados coleta dos seus clientes. Não pedimos dados sensíveis, mas um cliente final pode enviar espontaneamente informações sensíveis numa conversa (LGPD art. 11; GDPR art. 9). Elas ficam protegidas como o resto da conversa e seguem as regras da empresa.

5. Para que usamos os dados e com qual base legal

Esta tabela cobre os dados em que somos controladora. Para os dados em que somos operadora, a base legal é definida pela empresa cliente.

Quando usamos legítimo interesse, avaliamos antes se ele respeita os seus direitos (LGPD art. 10). Você pode pedir essa avaliação pelo e-mail do encarregado.

6. Inteligência artificial

• O que a IA faz. Quando a empresa cliente ativa um assistente, as mensagens da conversa são enviadas ao modelo de IA escolhido pela empresa para gerar a resposta. Áudios são transcritos em texto e imagens podem ser analisadas para entender o pedido.

• Quem escolhe o modelo. Cada empresa escolhe o modelo de cada assistente, entre os provedores da seção 8. A empresa é informada de onde cada modelo processa os dados antes de escolher.

• Sem treinamento. Não usamos as conversas dos clientes das empresas para treinar modelos de IA. Contratamos os provedores de IA em condições que não permitem esse uso.

• Identificação como IA. Cada empresa configura como o assistente se apresenta: como IA logo no início, só quando perguntado, ou sem menção. A empresa é responsável por essa escolha.

• Decisões automatizadas. A IA ajuda no atendimento e pode sugerir etiquetas ou etapas no funil. A Bright Digital não toma decisões com efeitos jurídicos sobre você apenas com base em tratamento automatizado. Se uma empresa cliente fizer isso, você pode pedir a ela a revisão da decisão (LGPD art. 20; GDPR art. 22).

7. Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Compartilhamos apenas:

• com os suboperadores da seção 8, para prestar o serviço;
• com a empresa cliente, que é a dona das próprias conversas e contatos;
• com autoridades, quando a lei ou uma ordem judicial exigir;
• com o nosso contador, para cumprir obrigações fiscais (só dados de cobrança).

8. Suboperadores e transferências internacionais

8.1 Lista de suboperadores

Esta lista é mantida atualizada. Avisamos as empresas clientes antes de incluir um novo suboperador que trate os dados delas, conforme o contrato. Última atualização: 04/10/2026.

Os custos de mensagens da Meta são cobrados pela própria Meta diretamente da empresa cliente. A Bright Digital não intermedia esse pagamento.

8.2 Transferências internacionais

• Do Espaço Econômico Europeu para o Brasil. A União Europeia reconheceu o Brasil como país com nível adequado de proteção (Decisão de Execução (UE) 2026/179, de janeiro de 2026), e o Brasil reconheceu a União Europeia da mesma forma. Por isso, os dados de compradores europeus podem vir para os nossos servidores em São Paulo sem cláusulas adicionais (GDPR art. 45).

• Do Brasil para outros países, como os Estados Unidos, usamos os mecanismos da LGPD (art. 33), em especial as cláusulas-padrão contratuais aprovadas pela ANPD.

• Dados de pessoas na União Europeia enviados para fora do Brasil e da UE, usamos as cláusulas-padrão contratuais da Comissão Europeia ou outro mecanismo válido (GDPR art. 46), ou a certificação do fornecedor no EU-US Data Privacy Framework, quando houver.

Você pode pedir uma cópia das garantias usadas pelo e-mail do encarregado.

9. Por quanto tempo guardamos

Os prazos abaixo são as configurações atuais da plataforma. Eles ainda passam por revisão jurídica e contábil e podem ser ajustados. Qualquer mudança será publicada nesta página.

9.1 Durante o contrato

9.2 Quando uma empresa encerra a conta

1. Exportação. A empresa recebe uma cópia completa dos dados dela, em formato aberto.

2. Janela somente leitura de 30 dias. A equipe ainda acessa tudo, sem poder alterar, e baixa a exportação.

3. Exclusão. Ao fim da janela, apagamos da plataforma as conversas, mídias, contatos, registros do CRM e o arquivo bruto da Meta. As chaves de criptografia da empresa são destruídas, o que torna ilegível qualquer cópia criptografada restante.

4. Backups. As cópias de segurança expiram por rotação em até 35 dias depois da exclusão.

5. Certificado. A empresa recebe um certificado de exclusão e um complemento quando os backups expiram.

A empresa pode pedir, por escrito, que guardemos o arquivo dela por mais tempo, por exemplo para cumprir uma obrigação legal própria. Nesse caso guardamos por conta e ordem dela.

9.3 O que a Bright Digital guarda depois do encerramento, por obrigação legal ou para defesa

Os usuários da empresa encerrada têm a conta apagada, exceto se participarem de outra empresa na plataforma.

10. Segurança

Resumo das medidas que usamos (LGPD art. 46 a 49; GDPR art. 32):

• Isolamento entre empresas. Cada empresa só vê os próprios dados. O isolamento é garantido no banco de dados, além da aplicação, e testado automaticamente a cada mudança no sistema.

• Criptografia. Conexões protegidas por HTTPS. Credenciais e arquivos sensíveis criptografados com uma chave própria para cada empresa. Backups criptografados.

• Verificação em duas etapas (2FA) obrigatória para administradores e disponível para todos.

• Registros de auditoria que não podem ser alterados depois de gravados.

• Acesso da nossa equipe. Só pessoas autorizadas da Bright Digital acessam a conta de uma empresa, por um acesso de suporte com tempo limitado, motivo registrado e auditado. A empresa vê esses acessos.

• Mídias privadas, entregues apenas por links temporários.

• Incidentes. Se ocorrer um incidente que possa trazer risco ou dano relevante, avisamos a ANPD e os titulares quando a lei exigir, e avisamos as empresas clientes afetadas sem demora, para que elas cumpram as obrigações delas.

Nenhum sistema é 100% seguro, mas revisamos estas medidas continuamente.

11. Cookies

• Cookies essenciais. A plataforma usa cookies necessários para o login, para manter a sua sessão, para lembrar um dispositivo confiável e para proteger formulários contra fraudes. Sem eles a plataforma não funciona, por isso não pedem consentimento.

• Estatísticas e marketing. Não usamos cookies de estatística ou de publicidade. Se um dia passarmos a usar, pediremos o seu consentimento antes, e você poderá mudar a escolha a qualquer momento.

• Este site. O site www.brightdigitalai.com não usa cookies nem ferramentas de rastreamento. Ele é hospedado pela Cloudflare, que processa dados técnicos da conexão, como o endereço IP, para entregar as páginas com segurança.

12. Seus direitos e como exercê-los

12.1 Quais são

Pela LGPD (art. 18) e pelo GDPR (arts. 15 a 22), você pode pedir:

• confirmação de que tratamos dados seus e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;

• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;

• portabilidade dos dados;

• eliminação dos dados tratados com o seu consentimento;
• informação sobre com quem compartilhamos os dados;
• informação sobre a possibilidade de não dar consentimento e as consequências;
• revogação do consentimento;
• oposição a um tratamento, inclusive o baseado em legítimo interesse;
• limitação do tratamento (GDPR);
• revisão de decisões tomadas apenas por tratamento automatizado.

Alguns dados não podem ser apagados enquanto a lei exigir que sejam guardados (seção 9.3). Nesses casos explicamos o motivo e o prazo.

12.2 Como exercer

Para proteger você, podemos pedir uma confirmação de identidade antes de atender, por exemplo uma resposta a partir do e-mail da conta.

12.3 Prazos

• LGPD: confirmamos de imediato, em formato simplificado, e enviamos a resposta completa em até 15 dias a partir do pedido (art. 19).

• GDPR: respondemos em até um mês. Em casos complexos, o prazo pode ser prorrogado por mais dois meses, com aviso e motivo dentro do primeiro mês (art. 12(3)).

O atendimento é gratuito.

12.4 Reclamações

Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em www.gov.br/anpd. Se você estiver na União Europeia, pode reclamar também à autoridade de proteção de dados do seu país.

13. Crianças e adolescentes

A Bright Digital AI é um serviço para empresas e não se destina a crianças. As contas na plataforma são apenas para maiores de 18 anos. Não coletamos de propósito dados de crianças. Se uma empresa cliente conversar com crianças ou adolescentes pelo WhatsApp, cabe a ela cumprir as regras próprias para esses dados (LGPD art. 14; GDPR art. 8). Se você souber que recebemos dados de uma criança indevidamente, escreva ao encarregado.

14. Mudanças nesta política

Podemos atualizar esta política quando o serviço ou a lei mudar. A data da versão fica no topo da página. Mudanças importantes são avisadas por e-mail às empresas clientes e na plataforma, com antecedência sempre que possível.

15. Contato

• Encarregado (DPO): privacidade@brightdigitalai.com
• Contato geral: contato@brightdigitalai.com
• Instruções para exclusão de dados: www.brightdigitalai.com/exclusao-de-dados

Voltar ao topo