Política de Privacidade
Como a Sabiá coleta, usa, compartilha e protege dados pessoais. Em conformidade com a LGPD (Lei nº 13.709/2018).
Última atualização:
A Sabiá (M. M. Rodrigues Silva LTDA, CNPJ 57.791.112/0001-25) opera infraestrutura de mensagens e, por isso, trata muitos dados pessoais — telefones, e-mails, conteúdo de mensagens, métricas de entrega. Este documento explica o que tratamos, por que tratamos, com quem compartilhamos e o que você pode exigir da gente.
Para fins da LGPD, a Sabiá atua como CONTROLADORA dos dados cadastrais do Cliente contratante e como OPERADORA dos dados dos contatos finais (destinatários das mensagens), tratando-os conforme instruções do Cliente.
Quem somos e qual nosso papel
A Sabiá é uma empresa brasileira que oferece operação completa de mensagens em múltiplos canais. Nessa atuação, lidamos com dois grupos distintos de titulares de dados:
- Clientes (pessoas físicas ou jurídicas que contratam a Sabiá): tratamos como CONTROLADORA, definindo finalidades e meios.
- Destinatários finais (pessoas que recebem mensagens disparadas via Sabiá): tratamos como OPERADORA, executando o tratamento conforme instruções do Cliente, que é o Controlador.
Quais dados coletamos
Coletamos somente os dados estritamente necessários para operar o serviço, em três categorias:
Dados do Cliente contratante
- Identificação: nome, CPF/CNPJ, razão social
- Contato: e-mail, telefone, endereço
- Financeiros: dados bancários para pagamento, histórico de cobrança
- Acesso: e-mail e senha (com hash), logs de login, IPs de acesso
Dados dos destinatários finais
- Contato: número de telefone, e-mail
- Identificadores opcionais: nome, variáveis personalizadas inseridas pelo Cliente
- Status de mensagem: enviada, entregue, lida, respondida, com timestamps
- Opt-out: registro quando o destinatário solicita não receber mais
A Sabiá NÃO enriquece dados de destinatários, NÃO faz perfilamento comportamental para terceiros e NÃO compartilha bases de contato entre Clientes diferentes. Cada Cliente opera em infraestrutura dedicada (pool de chips, VPS, proxy e domínio próprios) — isolamento técnico completo, não apenas lógico.
Dados técnicos da operação
- Logs de aplicação para diagnóstico (anonimizados quando possível)
- Métricas de performance e disponibilidade
- Eventos de segurança (tentativas de acesso, alertas)
Para que usamos os dados
Cada dado coletado tem finalidade específica:
| Dado | Finalidade | Base legal LGPD |
|---|---|---|
| Cadastro do Cliente | Identificação, faturamento, comunicação operacional | Execução de contrato (art. 7º, V) |
| Dados de destinatários | Execução do disparo solicitado pelo Cliente | Execução de contrato e legítimo interesse (art. 7º, V e IX) |
| Logs e métricas | Segurança, diagnóstico, melhoria do serviço | Legítimo interesse (art. 7º, IX) |
| Cobrança e fiscal | Faturamento, emissão de NF, obrigações tributárias | Obrigação legal (art. 7º, II) |
| Opt-out e revogação | Cumprimento de pedidos do titular | Cumprimento de obrigação legal (art. 7º, II) |
Com quem compartilhamos
Compartilhamos dados estritamente necessários com sub-processadores que viabilizam a operação. A lista completa, atualizada, está disponível em nossa página de Sub-processadores.
- Meta (WhatsApp Business): para entrega via API oficial, quando aplicável
- Provedores de SIM/numeração: para operação de pool quando aplicável
- Provedores de e-mail transacional: para entrega da camada de e-mail
- Provedores de hospedagem e banco de dados: para infraestrutura
- Processadores de pagamento: para cobrança
- Autoridades competentes: quando exigido por ordem judicial ou requisição legal válida
Nunca vendemos dados pessoais. Nunca compartilhamos dados com fins publicitários de terceiros. Cada sub-processador tem contrato de confidencialidade e tratamento de dados aprovado pelo nosso DPO.
Transferência internacional
Alguns sub-processadores possuem infraestrutura fora do Brasil (notadamente Estados Unidos e União Europeia). Quando isso ocorre:
- Garantimos que o país de destino tenha nível de proteção compatível com a LGPD ou exigimos cláusulas contratuais específicas
- Restringimos os dados transferidos ao mínimo necessário
- Listamos cada transferência na página de Sub-processadores, com país e finalidade
Tempo de retenção
Mantemos os dados pelo tempo estritamente necessário ao cumprimento da finalidade. Após esse prazo, eliminamos ou anonimizamos:
| Tipo de dado | Prazo de retenção |
|---|---|
| Dados cadastrais do Cliente | Durante a vigência do contrato + 5 anos (prescrição cível) |
| Dados de destinatários (após término) | Excluídos em até 30 dias após encerramento ou conforme solicitação |
| Conteúdo de mensagens | 90 dias para auditoria; estatísticas anonimizadas indefinidamente |
| Dados fiscais e contábeis | 5 anos (CTN, art. 173) |
| Opt-out | Indefinidamente, para cumprir solicitação do titular |
| Logs de segurança | 12 meses |
Seus direitos como titular
O art. 18 da LGPD garante a você, titular dos dados, os seguintes direitos:
- Confirmação da existência de tratamento de seus dados
- Acesso aos dados que tratamos sobre você
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
- Portabilidade dos dados a outro fornecedor
- Eliminação dos dados tratados com seu consentimento (salvo hipóteses legais de retenção)
- Informação sobre com quem compartilhamos seus dados
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências
- Revogação do consentimento
Para exercer qualquer desses direitos, envie um pedido para nosso encarregado (DPO). Respondemos em até 15 dias úteis, sem custo para o titular.
Segurança dos dados
Adotamos medidas técnicas e administrativas razoáveis para proteger seus dados de acesso não autorizado, perda, alteração ou destruição, incluindo:
- Criptografia em trânsito (TLS 1.3) e em repouso (AES-256)
- Hash de senhas com algoritmos modernos (bcrypt/argon2)
- Controle de acesso por função (RBAC) e autenticação multifator para acessos internos
- Logs de auditoria de acesso a dados sensíveis
- Backups criptografados com retenção controlada
- Testes periódicos de segurança e atualizações de dependências
Em caso de incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicamos a ANPD e os titulares afetados em prazo razoável, conforme art. 48 da LGPD.
Encarregado pelo tratamento de dados (DPO)
Nosso encarregado de proteção de dados é responsável por receber comunicações, atender solicitações de titulares e dialogar com a ANPD. Contato: dpo@appsabia.com.
Caso entenda que seu pedido não foi adequadamente atendido, você pode também recorrer à Autoridade Nacional de Proteção de Dados (ANPD), em www.gov.br/anpd.
Alterações desta política
Esta política pode ser atualizada para refletir mudanças operacionais, legais ou de sub-processadores. A versão sempre mais atual estará disponível nesta página, com data de última atualização no topo. Alterações materiais são comunicadas com pelo menos 30 dias de antecedência aos Clientes contratantes.
Fale com nosso DPO
Para exercer seus direitos como titular, reportar incidente ou tirar qualquer dúvida sobre tratamento de dados pela Sabiá. Resposta em até 15 dias úteis, conforme LGPD.
dpo@appsabia.com