Acordo de Tratamento de Dados Pessoais (DPA)

Versão 1.1 · 30 de outubro de 2026 · Anexo aos Termos de Uso · Baixar PDF

Este Acordo faz parte dos Termos de Uso do Haaify Talks e vale entre a empresa contratante ("Controladora" ou "Empresa Cliente") e a HAAIFY SOLUCOES E TECNOLOGIA LTDA, CNPJ 45.890.870/0001-11, com sede em Belo Horizonte/MG ("Operadora" ou "Haaify"). Ele é aceito no momento da instalação ou da contratação do serviço e regula o tratamento de dados pessoais feito pela Haaify em nome da Empresa Cliente, conforme a Lei 13.709/2018 (LGPD).

1. Objeto e papéis

A Empresa Cliente é a controladora dos dados pessoais inseridos ou acessados no Haaify Talks, incluindo os dados dos clientes finais obtidos da Blip.
A Haaify é a operadora e trata esses dados somente para prestar o serviço descrito nos Termos de Uso, conforme as instruções documentadas da Controladora.
Para os dados de cadastro e cobrança da própria Empresa Cliente, para os feedbacks enviados à Haaify e para os registros de acesso exigidos pelo Marco Civil da Internet, a Haaify atua como controladora, nos termos da Política de Privacidade.

2. Detalhes do tratamento

Item	Descrição
Titulares	Usuários da Empresa Cliente (colaboradores e terceiros autorizados) e clientes finais atendidos pela Empresa Cliente na Blip
Dados	Cadastro dos usuários (inclusive foto de perfil); conteúdo das mensagens e arquivos; registros de uso e segurança; agenda, quando o usuário conecta; dados de atendimento vindos da Blip (nome, telefone, campos do contato, tickets, tags, comentários, resumo da conversa, campanhas)
Finalidades	Comunicação interna, apoio ao atendimento na Blip, agenda e reuniões, notificações, relatórios de uso, segurança e suporte
Operações	Coleta via aplicativo e API da Blip, armazenamento, consulta, exibição, envio de notificações e e-mails, backup e exclusão
Duração	Enquanto durar o contrato, mais o prazo de devolução e exclusão da cláusula 9

3. Obrigações da Haaify

Tratar os dados apenas conforme as instruções da Controladora e para as finalidades acima; avisar se entender que uma instrução viola a lei.
Garantir que as pessoas com acesso aos dados tenham dever de confidencialidade. A equipe da Haaify não lê o conteúdo das conversas; acessos excepcionais para suporte só acontecem com pedido ou autorização da Controladora e ficam registrados.
Manter as medidas de segurança do Anexo II.
Ajudar a Controladora a atender pedidos dos titulares (acesso, correção, portabilidade, eliminação etc.) em até 15 dias.
Apoiar a Controladora em relatórios de impacto e em consultas da ANPD, no que couber ao serviço.
Não vender, alugar ou usar os dados para finalidade própria, publicidade ou treino de modelos de inteligência artificial.

4. Obrigações da Empresa Cliente

Ter base legal para os dados que insere ou acessa no Haaify Talks, inclusive os dos clientes finais da Blip.
Dar instruções lícitas, configurar os perfis de acesso da sua equipe e manter seguras as chaves (Keys) da Blip que informar.
Informar os titulares sobre o tratamento, conforme suas próprias políticas.
Manter atualizados os e-mails dos administradores, que recebem os avisos de incidente.

5. Suboperadores

A Controladora autoriza o uso dos suboperadores listados no Anexo I. A Haaify exigirá deles obrigações de proteção de dados equivalentes às deste Acordo e responde pelos atos deles perante a Controladora. Novos suboperadores serão avisados com 30 dias de antecedência; se a Controladora tiver objeção fundamentada e não houver alternativa, poderá cancelar sem multa.

6. Transferência internacional

Parte dos suboperadores está fora do Brasil (principalmente nos Estados Unidos). A Haaify garante que essas transferências sigam o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024, adotando as cláusulas-padrão contratuais aprovadas pela ANPD ou outra salvaguarda válida.

7. Incidentes

Indisponibilidade: se o Haaify Talks ficar fora do ar ou instável para a Controladora, a Haaify avisa os administradores por e-mail em até 30 minutos depois de identificar o problema, com atualizações até a normalização e um aviso final quando tudo voltar ao normal.
Incidente de segurança com dados pessoais: a Haaify comunica a Controladora em até 24 horas depois de confirmar o incidente, com o que se sabe até o momento: natureza, dados e titulares afetados, riscos, medidas tomadas e contato para acompanhamento, complementando as informações assim que possível.
A Haaify ajudará a Controladora a cumprir o prazo de comunicação à ANPD e aos titulares (Resolução CD/ANPD nº 15/2024) e manterá registro do incidente por pelo menos 5 anos.

8. Auditoria

Mediante pedido por escrito, com antecedência de 15 dias e no máximo uma vez por ano (salvo incidente ou exigência de autoridade), a Haaify fornecerá as informações necessárias para comprovar o cumprimento deste Acordo, como questionários de segurança, descrição dos controles e o histórico de verificações de backup.

9. Devolução e exclusão

Encerrado o contrato, o usuário Master da Controladora pode baixar os dados em Administração → Exportar conversas, ou pedir a exportação ao suporte, por até 30 dias. A Haaify excluirá os dados em até 90 dias após o encerramento, inclusive das cópias de segurança ao fim do ciclo de rotação, salvo obrigação legal de guarda (como os registros de acesso, guardados por 6 meses), e confirmará a exclusão por escrito quando solicitado.

10. Disposições gerais

Em caso de conflito, este Acordo prevalece sobre os Termos de Uso no que trata de proteção de dados. As limitações de responsabilidade dos Termos se aplicam, salvo quando a lei dispuser de forma diferente. Foro: comarca de Belo Horizonte/MG.

ANEXO I

Suboperadores autorizados

Suboperador	Serviço	Local
DigitalOcean, LLC	Hospedagem do aplicativo, banco de dados, arquivos e backups	Estados Unidos
Resend, Inc.	Envio de e-mails: códigos de acesso, avisos do teste grátis e da conta, alertas e avisos de incidente	Estados Unidos
Google LLC	Login, foto de perfil, Google Agenda e Google Meet (quando o usuário usa)	Global
Microsoft Corporation	Agenda do Outlook / Microsoft 365 e Teams (quando o usuário conecta; não é usada para login)	Global
Take Blip (Blip)	Integração de atendimento, resumo da conversa (Copilot), assinatura pela Blip Store e código por WhatsApp (quando ativo)	Brasil
Serviços de notificação dos navegadores (Apple, Google, Mozilla, Microsoft)	Entrega das notificações, com conteúdo criptografado	Global
GIPHY, Inc.	Busca de GIFs (recebe apenas o termo pesquisado)	Estados Unidos

ANEXO II

Medidas de segurança

Criptografia em trânsito (HTTPS/TLS) em todas as conexões.
Separação lógica dos dados por empresa: cada Empresa Cliente só acessa os próprios usuários, conversas, arquivos e relatórios.
Links de arquivo assinados e temporários; limite de 25 MB por arquivo.
Chaves de integração (Blip, e-mail, Google, Microsoft) guardadas somente no servidor.
Sessão em cookie protegido (httpOnly, só por conexão segura) e proteção contra pedidos forjados (CSRF).
Perfis de acesso (administrador, supervisor e usuário) e registro das ações feitas no atendimento.
Monitoramento 24 horas (saúde do servidor, banco, disco e erros) com alarmes automáticos por e-mail para a equipe da Haaify.
Registros técnicos sem conteúdo de mensagens, e-mails, telefones ou chaves, guardados por 30 dias; registros de acesso (data, hora e IP) por 6 meses.
Backups diários do banco de dados, guardados por 30 dias, com verificação automática de restauração a cada cópia e alarme se falhar.
Atualizações de segurança do servidor e das dependências do aplicativo.
Plano de resposta a incidentes com responsável, prazos (aviso de indisponibilidade em até 30 minutos; incidente de segurança em até 24 horas) e ferramenta para avisar todos os administradores por e-mail.
Encarregado de dados (DPO): Daniel Batista Ferreira, daniel.ferreira@haaify.com.

Documentos: Termos de Uso Política de Privacidade Suporte