Política de Privacidade e Proteção de Dados
Versão 1.0 · Em vigor a partir de 02 de Novembro de 2026 · Atualização periódica de governança
01. Identificação das Partes e Governança LGPD
Esta Política de Privacidade estabelece as diretrizes de tratamento, segurança e descarte de dados pessoais pela plataforma Mutira (desenvolvida e sob responsabilidade técnica de Ivan Alves, Analista de Desenvolvimento de Sistemas), acessível através do domínio mutira.com.br.
Em estrita consonância com a Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709/2018 — LGPD), os papéis no tratamento de dados são definidos de forma clara e inequívoca:
Controlador dos Dados
O escritório contratante (escritório de advocacia nas áreas trabalhista, cível ou empresarial; escritório de contabilidade; cooperativa agrícola ou empresa comercial) que contrata os serviços de automação da Mutira e estabelece a relação direta com o cliente/titular. O Controlador determina as finalidades e diretrizes do atendimento.
Operador dos Dados
A Mutira Tecnologia / Ivan Alves, que fornece a infraestrutura de software, o hub de integração com as APIs da Meta e os fluxos automatizados de acolhimento e organização. Atua estritamente sob as instruções contratuais do Controlador e dentro dos limites técnicos autorizados.
Canal exclusivo para exercício de direitos e questões de privacidade: [email protected].
02. Dados Coletados via APIs Oficiais da Meta Platform
A plataforma Mutira integra-se exclusivamente através dos canais oficiais para desenvolvedores da Meta Business Platform, processando apenas os dados estritamente necessários para a execução dos fluxos de atendimento autorizados pelo cliente:
💬 WhatsApp Business Cloud API
- Identificador de Telefone: Número internacional do remetente (
wa_id, ex:5527999999999); - Nome de Perfil: Nome público configurado pelo usuário em sua conta do WhatsApp;
- Conteúdo das Mensagens: Texto enviado na conversa de atendimento espontâneo;
- Documentos e Mídias: Arquivos (PDFs, comprovantes, fotos) enviados pelo titular para instruir a triagem do escritório;
- Metadados Técnicos: Data, horário de envio e confirmações de entrega/leitura fornecidas pela Meta.
📸 Instagram Graph API (Direct Messages e Comentários)
- Identificador com Escopo de Aplicativo: IGSID (Instagram-Scoped User ID atribuído à conta profissional);
- Nome de Usuário:
@usernamepúblico no Instagram; - Mensagens no Direct: Textos trocados em mensagens diretas privadas dentro da janela regulamentar de 24 horas;
- Comentários Públicos: Texto de comentários deixados em postagens ou Reels institucionais do escritório, utilizados para envio de resposta privada autorizada (Private Replies);
- Metadados de Interação: Identificadores de postagem e carimbos de data/hora oficiais da Meta.
03. Finalidades Específicas e Bases Legais (LGPD Art. 7º)
O tratamento dos dados pessoais mencionados tem finalidades legítimas, específicas e informadas previamente ao titular, fundamentadas nas seguintes bases legais da Lei 13.709/2018:
| Finalidade Operacional | Descrição do Processamento | Base Legal (LGPD) |
|---|---|---|
| Acolhimento de Plantão (7×0) | Receber contatos voluntários fora do expediente comercial, confirmando o recebimento e coletando dados preliminares. | Art. 7º, V (procedimentos preliminares a contrato a pedido do titular) |
| Unificação de Contatos ("Contato Único") | Reunir mensagens do mesmo cliente recebidas por WhatsApp, Direct ou comentário em uma linha do tempo única. | Art. 7º, IX (legítimo interesse do controlador em prestar atendimento eficiente) |
| Organização de Tarefas e Prazos | Estruturar os dados coletados e encaminhar para a equipe humana responsável do escritório contratante. | Art. 7º, V (execução de contrato de prestação de serviços com o escritório) |
| Auditoria e Segurança Técnica | Registro de logs de webhook para verificação de entrega e prevenção contra abusos ou falhas de rede. | Art. 7º, II (cumprimento de obrigação legal — Marco Civil da Internet) |
04. Garantias Rigorosas de Não Compartilhamento e Proteção
A plataforma Mutira assume os seguintes compromissos inegociáveis de governança de dados:
- Vedação Absoluta de Venda ou Locação: Jamais comercializamos, alugamos, cedemos ou monetizamos bases de contatos ou mensagens de clientes com qualquer terceiro;
- Vedação de Treinamento de Modelos Públicos de Inteligência Artificial: O conteúdo das mensagens trocadas, nomes e documentos de clientes nunca é utilizado para treinar modelos públicos de linguagem de terceiros (como OpenAI, Google ou Anthropic);
- Vedação de Perfilamento Publicitário: Os dados de interações jamais são utilizados para criação de perfis comportamentais para direcionamento de anúncios, campanhas de marketing ou cross-selling não solicitado;
- Sem Intermediários Clandestinos: Não utilizamos serviços de emulação de navegador ou soluções piratas de leitura de QR Code. A comunicação ocorre diretamente entre o servidor da Mutira e a infraestrutura oficial da Meta.
05. Segurança da Informação e Arquitetura Técnica
A plataforma adota práticas de segurança por padrão (Security by Design) e privacidade por padrão (Privacy by Default):
Servidor Dedicado com IP Fixo
A infraestrutura de produção opera em servidor dedicado Linux com endereço IPv4/IPv6 fixo exclusivo sob o domínio mutira.com.br, permitindo políticas restritivas de firewall, certificados TLS 1.3 automáticos e comunicação direta com a Graph API da Meta sem saltos de rede instáveis.
Criptografia em Repouso (AES-256-GCM)
Todos os tokens de acesso da Meta (System User Tokens e Page Tokens) são criptografados no banco de dados com algoritmo AES-256-GCM com dados autenticados associados (AAD) vinculados ao tenant_id exclusivo de cada escritório, impedindo transposição de credenciais.
Isolamento Multi-Tenant (RLS)
O banco de dados PostgreSQL aplica Row-Level Security (RLS) nativo em todas as tabelas de conexões, contatos e webhooks. Os dados do Escritório A são física e logicamente inacessíveis pelo Escritório B ou por qualquer usuário não autorizado.
Validação Criptográfica de Webhooks
Todo evento de webhook recebido é verificado contra a chave de segredo do aplicativo via assinatura X-Hub-Signature-256 em tempo constante (HMAC-SHA256). Requisições não assinadas ou adulteradas são rejeitadas de imediato com HTTP 401.
06. Política de Retenção e Expurgos Periódicos
Os dados pessoais são retidos pelo tempo estritamente necessário para atender às suas finalidades:
- Logs Brutos de Webhook e Tráfego: Armazenados por no máximo 30 dias em banco de dados isolado exclusivamente para diagnóstico técnico de rede e verificação de entrega, sendo purgados automaticamente por rotina de limpeza agendada;
- Contatos Unificados e Históricos de Atendimento: Mantidos enquanto vigorar o contrato entre a Mutira e o escritório Controlador, ou até solicitação formal de eliminação pelo titular de dados;
- Credenciais e Tokens de Acesso: Revogados e expurgados permanentemente em até 24 horas após solicitação de desconexão ou offboarding do cliente.
07. Conformidade com a Ética da Advocacia (Recomendação CFOAB 001/2024)
Para os clientes escritórios de advocacia (áreas trabalhista, cível, empresarial e contratual), a plataforma Mutira opera com reverência absoluta ao sigilo profissional (Estatuto da OAB — Lei 8.906/1994) e às diretrizes da Recomendação nº 001/2024 do Conselho Federal da OAB e do Provimento nº 205/2021:
- Sigilo Profissional Intocável: Nenhuma informação estratégica ou confidencial é compartilhada com entidades externas ou exposta na internet pública;
- Supervisão Humana Integral: A automação atua exclusivamente no acolhimento preliminar e na organização de tarefas. Nenhum parecer técnico, análise jurídica ou decisão de mérito é emitida por inteligência artificial. A avaliação técnica permanece privativa do advogado habilitado;
- Vedação de Captação Ativa Indevida: O sistema atende exclusivamente aos contatos que procuraram espontaneamente os canais do escritório, sem qualquer mecanismo de captação ativa ou mercantilização.
08. Direitos dos Titulares e Atendimento do DPO (LGPD Art. 18)
O titular de dados pessoais pode, a qualquer momento e de forma gratuita, exercer os direitos previstos no Artigo 18 da LGPD, incluindo: confirmação de tratamento, acesso aos dados, correção de dados incompletos, eliminação de dados pessoais, revogação do consentimento e informações sobre compartilhamento.
Para exercer qualquer direito ou requerer a eliminação de dados tratados em decorrência de interações nos canais integrados:
Como Solicitar o Expurgo ou Exercer seus Direitos
1. Envie um e-mail para [email protected] com o assunto "LGPD — Exercício de Direitos do Titular", informando seu número de telefone ou nome de usuário do Instagram utilizado no atendimento.
2. Alternativamente, para instruções de revogação de acessos via Facebook/Instagram e acompanhamento por código de protocolo, consulte a nossa página de Instruções de Exclusão de Dados.
Prazo de resposta e confirmação pelo DPO: até 48 horas úteis a contar do recebimento da solicitação.