Aviso de Privacidade

1.Definições

Para a leitura deste Aviso:

• Iuris CRM — Graziella de Oliveira Candido Rocha, CNPJ 43.293.645/0001-72, licenciante e responsável pela plataforma.
• Plataforma — o software Iuris CRM, instalado em ambiente dedicado a cada Cliente.
• Cliente — o escritório de advocacia ou profissional que contrata a licença de uso da Plataforma.
• Usuário — pessoa autorizada pelo Cliente a acessar a Plataforma (advogado, sócio, atendente, administrador).
• Contato ou Lead — pessoa que conversa com o Cliente por WhatsApp e cujos dados são registrados na Plataforma.
• Titular — pessoa natural a quem os dados pessoais se referem.
• Controlador — quem decide sobre o tratamento dos dados pessoais.
• Operador — quem trata dados pessoais em nome do Controlador e conforme suas instruções.
• LGPD — Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais.
• ANPD — Autoridade Nacional de Proteção de Dados.
• Site — o site institucional www.iuriscrm.com.br e suas páginas.
• Instalação — o conjunto servidor + banco de dados dedicado a um único Cliente.
• API Oficial do WhatsApp — a WhatsApp Business Platform (Cloud API) da Meta Platforms, Inc.

2.Quem somos e a quem este Aviso se aplica

Este Aviso se aplica a:

• Visitantes do Site — quem navega em www.iuriscrm.com.br, pede uma demonstração ou entra em contato.
• Clientes e Usuários — escritórios contratantes e as pessoas que eles autorizam a usar a Plataforma.
• Contatos e Leads — pessoas atendidas pelos escritórios dentro da Plataforma, na medida em que a Iuris CRM atua como Operadora do escritório, conforme a seção 3.

Este Aviso não descreve como cada escritório-cliente trata os dados de seus próprios clientes e leads. Essa política é definida pelo escritório, que é o Controlador desses dados. Se você conversou com um escritório pelo WhatsApp e quer saber como seus dados são usados, o pedido deve ser dirigido ao escritório — veja também a seção 13.

3.Papéis no tratamento de dados

A LGPD distingue quem decide sobre o tratamento (Controlador) de quem executa o tratamento em nome de outro (Operador). No Iuris CRM os papéis se dividem assim:

4.Quais dados tratamos e como os obtemos

4.1No Site institucional

• Dados que você nos informa: nome, e-mail, telefone/WhatsApp, nome do escritório e o conteúdo da mensagem enviada em formulários de contato ou pedido de demonstração.
• Dados coletados automaticamente: endereço IP, data e hora do acesso, páginas visitadas, origem do tráfego, tipo de dispositivo e navegador, identificadores de cookies (seção 14).

4.2Na contratação e no uso da Plataforma

• Cadastro do Cliente: razão social ou nome, CNPJ ou CPF, endereço, e-mail e telefone de contato, dados de faturamento.
• Contas de Usuário: nome, e-mail, senha (armazenada apenas como hash, nunca em texto legível), papel de acesso (administrador ou atendente), setor e status de atividade.
• Registros de uso e auditoria: data e hora de login, endereço IP, ações relevantes praticadas na Plataforma (por exemplo, transferência de atendimento, alteração de configuração, ativação e desativação da IA) — usados para segurança e rastreabilidade interna do Cliente.
• Comunicações de suporte: mensagens, prints e informações que você nos envia ao pedir ajuda.

4.3Dados de Contatos e Leads (tratados em nome do Cliente)

Estes dados existem dentro da Instalação do Cliente, que é o Controlador. A Iuris CRM os trata como Operadora:

• Nome ou identificação do contato, número de telefone e foto de perfil do WhatsApp, quando disponível.
• Conteúdo das conversas: mensagens de texto, áudios, imagens, vídeos e documentos enviados e recebidos, além da transcrição de áudios quando essa função é acionada.
• Metadados de mensagens: horários de envio, entrega e leitura, identificadores da mensagem no WhatsApp e status de erro.
• Dados de organização do atendimento definidos pelo Cliente: etapa do funil, campanha, tags, campos personalizados, anotações internas, responsável pelo atendimento e histórico de transferências.
• Agendamentos criados a partir da conversa e, quando o Cliente conecta o Google Calendar, os dados necessários para criar e sincronizar o evento.

4.4Telemetria técnica da Instalação

Para verificar a validade da licença, monitorar a saúde do ambiente e planejar atualizações, cada Instalação envia à Iuris CRM sinais técnicos periódicos: identificador da licença, domínio, versão instalada, disponibilidade do serviço, status das conexões de WhatsApp e contagens agregadas de uso (por exemplo, número total de mensagens processadas no período).

Essa telemetria não inclui conteúdo de mensagens, nomes ou números de telefone de contatos.

4.5Dados recebidos da Plataforma Meta

Quando o Cliente conecta uma conta oficial do WhatsApp Business, tratamos os dados técnicos necessários para essa conexão. Eles estão descritos em detalhe na seção 6.

5.Finalidades e bases legais

Todo tratamento realizado pela Iuris CRM tem finalidade determinada e base legal definida:

Quando o tratamento se apoia em legítimo interesse, ele se limita ao estritamente necessário para a finalidade declarada, considera sua expectativa razoável como Titular e não se sobrepõe a seus direitos e liberdades fundamentais.

Quando se apoia em consentimento, você pode revogá-lo a qualquer momento pelos canais da seção 18, sem prejuízo dos tratamentos já realizados.

6.Dados da Plataforma Meta e uso da API Oficial do WhatsApp

O Iuris CRM integra-se à WhatsApp Business Platform (Cloud API) da Meta Platforms, Inc. para que o Cliente atenda seus contatos pelo número oficial do escritório. A conexão é feita pelo próprio Cliente, dentro da Plataforma, por meio do fluxo de autorização da Meta (Embedded Signup / Facebook Login for Business).

6.1O que recebemos da Meta

• Identificadores da conta: ID da conta do WhatsApp Business (WABA ID), ID do número de telefone, ID do negócio, nome de exibição verificado e número conectado.
• Credenciais de acesso: tokens de acesso emitidos pela Meta em nome do Cliente, com o escopo autorizado por ele.
• Mensagens e eventos entregues por webhook: conteúdo das mensagens recebidas e enviadas pelo número conectado, status de entrega e leitura, e falhas de envio.
• Informações operacionais da conta: modelos de mensagem (templates) e seu status de aprovação, limites de envio, classificação de qualidade do número e, quando disponibilizados, indicadores de custo por conversa.

6.2Como usamos esses dados

Exclusivamente para operar o serviço contratado pelo Cliente: exibir e enviar mensagens, organizar o atendimento, registrar histórico, acionar automações configuradas pelo Cliente e reportar custos e qualidade da conta ao próprio Cliente.

6.3O que não fazemos

• Não vendemos, alugamos nem cedemos dados obtidos da Plataforma Meta a terceiros, e não os fornecemos a corretores de dados (data brokers).
• Não usamos esses dados para publicidade direcionada, criação de públicos ou perfilamento de pessoas fora do atendimento do próprio Cliente.
• Não cruzamos dados entre Clientes: cada Instalação é isolada, com banco de dados próprio.
• Não usamos conteúdo de mensagens para treinar modelos de inteligência artificial próprios ou de terceiros.
• Não acessamos contas conectadas para finalidades alheias à operação e ao suporte do serviço.

6.4Proteção e revogação

Os tokens emitidos pela Meta são armazenados cifrados no banco de dados da Instalação, com algoritmo AES-256-GCM, e nunca são exibidos na interface nem registrados em logs. As chamadas às APIs ocorrem sobre canais cifrados (TLS) e os webhooks recebidos são validados antes do processamento.

O Cliente pode encerrar a conexão a qualquer momento, desconectando a conta na própria Plataforma ou removendo a autorização do aplicativo nas configurações de segurança de sua conta Meta. Ao desconectar, os tokens são revogados e eliminados do ambiente.

7.Inteligência artificial e atendimento automatizado

A Plataforma permite que o Cliente coloque um agente de inteligência artificial para atender contatos pelo WhatsApp. Sobre isso:

• Há automação, e ela é identificável. Parte das respostas é gerada por modelo de linguagem, conforme instruções configuradas pelo próprio Cliente.
• Há intervenção humana disponível. A Plataforma prevê transferência do atendimento para um atendente humano — acionada pelo contato, pelo próprio agente ou pela equipe do escritório — e o Cliente pode desativar a IA em qualquer conversa.
• Não há decisão automatizada com efeito jurídico. O agente não presta consultoria jurídica, não emite parecer, não decide sobre a aceitação de causas e não nega ou concede direitos. Ele organiza o primeiro contato, coleta informações e encaminha ao escritório, a quem cabe toda decisão profissional.
• Onde o processamento ocorre. O conteúdo submetido ao agente é enviado do servidor do Cliente diretamente aos provedores de modelos de IA contratados pelo próprio Cliente, com as credenciais dele. A Iuris CRM não recebe cópia desse conteúdo e não mantém repositório central de conversas.
• Transcrição de áudio. Quando o Cliente ativa a transcrição, o áudio é enviado ao provedor de IA do Cliente para conversão em texto, e a transcrição é gravada junto à mensagem na Instalação.

Ainda assim, se você entender que uma decisão tomada a partir de tratamento automatizado afetou seus interesses, pode solicitar revisão e informações sobre os critérios utilizados, na forma do art. 20 da LGPD, pelos canais da seção 18 — e, se o tratamento for de responsabilidade de um escritório-cliente, encaminharemos o pedido a ele.

8.Com quem compartilhamos dados

Não comercializamos dados pessoais. O compartilhamento ocorre apenas com quem é necessário para operar o serviço, e sempre limitado ao indispensável:

Quando o Cliente ativa integrações próprias — webhooks de saída, provedores de IA, agenda, provedores de conexão de WhatsApp —, essa escolha é dele, assim como a responsabilidade pela relação com esses terceiros. A Plataforma apenas executa a configuração determinada pelo Cliente.

9.Transferência internacional de dados

Parte da operação envolve provedores situados fora do Brasil, conforme a tabela da seção 8 — notadamente servidores na União Europeia (Alemanha) e serviços com sede nos Estados Unidos.

Essas transferências ocorrem com fundamento nos arts. 33 e seguintes da LGPD, especialmente: necessidade para a execução do contrato (art. 33, IX), adoção de cláusulas contratuais padrão e garantias de conformidade oferecidas pelos provedores (art. 33, II), e, quando aplicável, países com grau de proteção adequado.

O banco de dados de cada Instalação é provisionado, por padrão, em região de infraestrutura localizada no Brasil (São Paulo), de modo que o núcleo dos dados de conversas permanece em território nacional.

10.Por quanto tempo guardamos os dados

Encerrados os prazos e as finalidades, os dados são eliminados ou anonimizados, salvo se a conservação for autorizada pelo art. 16 da LGPD — em especial para cumprimento de obrigação legal, estudo por órgão de pesquisa com anonimização, ou exercício regular de direitos.

11.Como protegemos os dados

Adotamos medidas técnicas e administrativas compatíveis com o risco da operação:

• Isolamento por Cliente: cada escritório tem servidor e banco de dados próprios. Não há base multi-inquilino, o que elimina a possibilidade de um Cliente alcançar dados de outro.
• Criptografia em trânsito: todo o tráfego web e as chamadas às APIs de terceiros usam TLS.
• Criptografia de credenciais em repouso: tokens de integração e chaves de API são gravados cifrados com AES-256-GCM e nunca exibidos por completo na interface.
• Controle de acesso: autenticação individual por Usuário, senhas armazenadas apenas como hash, e permissões por papel — funções administrativas e sensíveis são restritas a Usuários administradores.
• Arquivos privados: áudios, imagens e documentos ficam em repositório privado, acessíveis apenas por links assinados e temporários.
• Assinatura de integrações: os webhooks enviados pela Plataforma são assinados com HMAC SHA-256, permitindo ao destinatário verificar a autenticidade.
• Minimização em registros técnicos: os logs da aplicação omitem segredos e reduzem a exposição de dados pessoais.
• Trilha de auditoria: ações relevantes ficam registradas com autor, data e hora.

Nenhuma medida elimina totalmente o risco. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, comunicaremos o Cliente afetado sem demora injustificada e adotaremos as providências do art. 48 da LGPD, incluindo a comunicação à ANPD quando cabível.

12.Seus direitos como Titular

A LGPD garante a você, a qualquer momento e gratuitamente:

• Confirmação e acesso — saber se tratamos seus dados e obter cópia deles.
• Correção — atualizar dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação — quanto a dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade — receber seus dados em formato estruturado ou pedir a transferência a outro fornecedor, observados os segredos comercial e industrial.
• Eliminação dos dados tratados com base em consentimento, ressalvadas as hipóteses de conservação do art. 16.
• Informação sobre compartilhamento — saber com quais entidades públicas e privadas compartilhamos seus dados.
• Informação sobre a possibilidade de não consentir e sobre as consequências da negativa.
• Revogação do consentimento, por procedimento gratuito e facilitado.
• Oposição a tratamento fundado em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da lei.
• Revisão de decisões automatizadas, na forma do art. 20 e da seção 7 acima.
• Petição à ANPD, se entender que seus direitos não foram atendidos.

Para exercer qualquer desses direitos, escreva para privacidade@iuriscrm.com.br. Responderemos em até 15 dias contados da confirmação da sua identidade — verificação necessária para não entregar dados a quem não é o Titular.

Se o pedido envolver dados sob controle de um escritório-cliente, informaremos você e encaminharemos a solicitação ao Cliente responsável, apoiando-o no atendimento, na condição de Operadora.

13.Como solicitar a exclusão dos seus dados

Você não precisa de conta, cadastro ou formulário especial para pedir exclusão. Basta seguir o caminho correspondente ao seu caso:

13.1Você conversou com um escritório pelo WhatsApp

1. Peça a exclusão diretamente ao escritório com quem você conversou — ele é o Controlador dos seus dados e pode apagá-los na própria Plataforma.
2. Se não souber a quem se dirigir, ou não obtiver resposta, escreva para privacidade@iuriscrm.com.br informando o número de WhatsApp usado na conversa e, se possível, o nome do escritório. Encaminharemos o pedido ao Controlador e acompanharemos o atendimento.
3. Você também pode bloquear o número do escritório no WhatsApp para interromper imediatamente novas mensagens.

13.2Você é Cliente ou Usuário da Plataforma

1. Envie um e-mail para privacidade@iuriscrm.com.br a partir do endereço cadastrado, indicando o que deseja excluir: sua conta de Usuário, o cadastro do escritório ou dados específicos.
2. Confirmaremos sua identidade e, se necessário, esclareceremos o alcance do pedido.
3. Executaremos a exclusão em até 15 dias, preservando apenas o que a lei exige conservar — registros de acesso por 6 meses, documentos fiscais por 5 anos e dados necessários à defesa de direitos.
4. Confirmaremos a conclusão por e-mail, indicando o que foi eliminado e o que foi retido, com o respectivo fundamento.

13.3Você quer desconectar a conta do WhatsApp Business

1. Na Plataforma, acesse a área de conexões de WhatsApp e desconecte a conta. Os tokens de acesso são revogados e eliminados.
2. Se preferir revogar pelo lado da Meta, remova a autorização do aplicativo em Configurações e privacidade → Configurações → Segurança e login → Aplicativos e sites, na sua conta Meta.
3. Para eliminar também o histórico de conversas já armazenado na Instalação, solicite ao escritório ou escreva para privacidade@iuriscrm.com.br.

13.4Encerramento do contrato

Encerrado o contrato, o Cliente tem 30 dias para exportar seus dados. Após esse prazo, o ambiente é desativado e os dados são eliminados, ressalvadas as retenções legais indicadas na seção 10.

14.Cookies e tecnologias semelhantes

Cookies são pequenos arquivos gravados no seu dispositivo. Usamos categorias distintas no Site institucional e dentro da Plataforma:

Os cookies estritamente necessários são indispensáveis ao funcionamento e dispensam consentimento. Os cookies analíticos e de marketing só são ativados após sua autorização no banner exibido no Site, e você pode rever essa escolha a qualquer momento no próprio banner ou apagando os cookies no seu navegador.

15.Particularidades do modelo de instalação dedicada

O Iuris CRM não é um serviço multi-inquilino: cada Cliente recebe uma Instalação própria, com banco de dados próprio e identidade visual própria. Isso tem consequências práticas para a privacidade:

• Não existe base central de conversas. A Iuris CRM não mantém repositório agregando dados de contatos ou mensagens de seus Clientes.
• Cada Cliente responde pelo seu ambiente. Quem define quais dados coletar, por quanto tempo mantê-los, quem da equipe tem acesso e quais integrações ativar é o Cliente.
• A Iuris CRM administra a infraestrutura. Como descrito na seção 3, esse papel envolve acesso técnico ao ambiente, exercido apenas para operar, manter e dar suporte ao serviço.
• A marca pode ser do Cliente. A Plataforma admite personalização de nome, logotipo e cores. Ver a interface com a marca do escritório não altera o fato de o software ser licenciado pela Iuris CRM, nem os papéis descritos neste Aviso.

16.Crianças e adolescentes

A Plataforma é destinada ao uso profissional por escritórios de advocacia e não se dirige a crianças e adolescentes. Não coletamos deliberadamente dados de menores de 18 anos no Site nem na criação de contas de Usuário.

Conversas conduzidas por um escritório podem, eventualmente, envolver dados de crianças ou adolescentes — por exemplo, em matéria de família ou sucessões. Nesses casos, o tratamento deve observar o art. 14 da LGPD e ser realizado em seu melhor interesse, o que é responsabilidade do Cliente, na condição de Controlador. Se identificarmos dados de menores coletados de forma indevida por iniciativa nossa, procederemos à eliminação.

17.Alterações deste Aviso

Este Aviso pode ser atualizado para refletir mudanças na Plataforma, nos provedores utilizados ou na legislação aplicável. A data da última atualização e a versão constam no topo desta página, e o histórico das versões anteriores fica disponível mediante solicitação.

Alterações relevantes — que ampliem finalidades, incluam novas categorias de dados ou modifiquem bases legais — serão comunicadas aos Clientes pelos canais de contato cadastrados, com antecedência razoável antes de produzirem efeitos.

18.Encarregado e canais de contato

Em cumprimento ao art. 41 da LGPD, a Iuris CRM designou Encarregada pelo Tratamento de Dados Pessoais, a quem cabe receber comunicações de Titulares e da ANPD e orientar a equipe sobre práticas de proteção de dados.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) por meio dos canais oficiais em gov.br/anpd.

Para as condições contratuais de licenciamento e uso da Plataforma, consulte os Termos e Condições Gerais de Uso e Licenciamento.