Política de privacidad de CertuAI

¿Quién es el controlador de los datos?

Certu Ltda, CNPJ 65.868.342/0001-73, con sede en Florianópolis, Santa Catarina, Brasil. El encargado del tratamiento de datos personales (DPO) es Bernardo Villela, contacto [email protected].

¿Con quién comparte CertuAI los datos?

Con los proveedores que ejecutan el servicio (alojamiento, mensajería, pagos), con el socio responsable cuando el propio usuario solicita un servicio de terceros, y con autoridades cuando la ley lo exige. La lista completa de los casos está en la sección 7 de esta página.

¿Qué hace CertuAI con los datos de Google?

Cuando el Cliente conecta Google Calendar, CertuAI lee solo los horarios ocupados y crea, cambia o borra los eventos que ella misma agendó. Cuando conecta Google Ads, CertuAI lee el número, el nombre y la moneda de las cuentas y el estado de las campañas que ella misma creó, y publica campañas de búsqueda siempre en pausa. En las Automatizaciones, cuando el Cliente conecta Gmail, CertuAI solo envía los correos que la automatización define, desde la dirección del Cliente (permiso gmail.send), y nunca lee, lista, cambia ni borra correos. Cuando conecta Google Sheets, CertuAI solo crea y completa sus propias hojas en el Drive del Cliente (permiso drive.file). La clave de acceso queda guardada hasta que el Cliente desconecte, y entonces CertuAI borra la clave y le avisa a Google para cancelar el acceso. Nada de esto se vende, se usa para anuncios ni se usa para entrenar modelos de IA. El uso y la transferencia, a cualquier otra aplicación, de la información recibida de las APIs de Google siguen la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

¿Cómo ejercer los derechos de la LGPD?

El acceso, la corrección, la portabilidad y la eliminación se pueden solicitar por correo a [email protected] o por WhatsApp al +55 (48) 99218-4265. El dueño de la cuenta también puede borrarlo todo por su cuenta en Eliminar mi cuenta. La versión completa y vigente de la política está en esta página.

¿Cuáles son las bases legales del tratamiento?

CertuAI solo trata datos con base legal de la LGPD de Brasil (art. 7): consentimiento para cookies de medición y de publicidad, correos de novedades y formularios de anuncios; ejecución de contrato para crear la cuenta, responder contactos, cobrar y entregar el software; interés legítimo para operar, proteger y mejorar el servicio y prevenir fraudes; y obligación legal para facturas, los registros de acceso que exige el Marco Civil da Internet de Brasil y órdenes de autoridades.

¿Quiénes son los encargados y proveedores que reciben datos?

CertuAI no vende datos ni entrena modelos de IA con las conversaciones. Solo los comparte con quien los necesita para que el servicio funcione. Es la misma lista de la página de Seguridad:

• Google Cloud e Firebase (Estados Unidos): Base de datos, inicio de sesión de las cuentas y la copia de seguridad diaria de la base. Datos que recibe: Todo lo que guarda la cuenta: registro, conversaciones, contactos, Cerebro y CRM.
• Cloudflare (No informado por el proveedor): Entrega el sitio y el panel, ejecuta las rutas del servidor, protege contra abusos y guarda los archivos (audios, fotos, documentos y grabaciones de llamadas). Datos que recibe: Todo el tráfico del sitio y del panel, y los archivos de las conversaciones.
• DeepInfra (Estados Unidos): Ejecuta el modelo DeepSeek, que escribe las respuestas del asistente de WhatsApp y lee las conversaciones del negocio para montar el Cerebro, y los modelos que generan las imágenes y los vídeos del estudio. Datos que recibe: El texto de la conversación y el Cerebro del negocio, en el momento de cada respuesta, lo que el dueño envía al estudio y lo que el visitante escribe en el chat de la página de inicio para montar el asistente, incluso sin cuenta.
• Google Gemini (Estados Unidos): Responde en lugar de DeepSeek cuando falla (y en algunas cuentas es el modelo principal), transcribe los audios y lee los PDF sin texto. Datos que recibe: El texto de la conversación, el Cerebro del negocio, y los audios y PDF que llegan.
• OpenAI (Estados Unidos): Lee las fotos que llegan por WhatsApp, transcribe las llamadas y transcribe el audio cuando Gemini falla. Datos que recibe: Fotos, audios y el audio de las llamadas.
• Anthropic (Estados Unidos): Lee las fotos y los PDF adjuntados en la conversación de la página de inicio y el PDF sin texto cuando Gemini falla, y ejecuta funciones del panel, como organizar el Cerebro. Datos que recibe: Las fotos y los PDF adjuntados en la conversación, el Cerebro y las conversaciones que usan esas funciones. Certu no guarda el archivo adjuntado en la conversación.
• Meta (Estados Unidos): Lleva y trae los mensajes cuando WhatsApp se conecta por la API oficial, y también los de Instagram y Messenger. Datos que recibe: Los mensajes y el número de quien habla con el negocio.
• Hostinger (servidor Evolution) (Brasil): Mantiene la conexión de WhatsApp cuando el número se conecta por código QR en lugar de la API oficial. Datos que recibe: Los mensajes y el número de quien habla con el negocio.
• Twilio (Estados Unidos): La línea telefónica y la llamada en sí, en el asistente de voz y en el marcador. Datos que recibe: El número de quien llama y el audio de la llamada.
• ElevenLabs (Estados Unidos): La voz del asistente de llamadas. Datos que recibe: El audio y el texto de la llamada.
• Asaas (Brasil): Cobro en Brasil: tarjeta, boleto y Pix. Datos que recibe: Nombre, número fiscal, correo, teléfono y dirección de quien paga.
• Stripe (Estados Unidos e Irlanda): Cobro fuera de Brasil. Datos que recibe: Nombre, correo y datos de pago de quien paga.
• Resend (Estados Unidos): Envía los correos de la plataforma. Datos que recibe: El correo de quien lo recibe y el texto del mensaje.
• Sistemas que conecta la propia empresa (Depende del sistema que elija la empresa): Cuando la empresa conecta su propia cuenta, CertuAI le envía lo que pide la integración: CRM (como Salesforce, HubSpot y Pipedrive), agenda (Google Calendar), anuncios (Google Ads), sistema de clínica (como Feegow) y otros. Datos que recibe: Nombre, teléfono, hora reservada y el resumen de la conversación, según la integración.
• Google Analytics, Google Ads y Meta Pixel (Estados Unidos): Miden el sitio y los anuncios de CertuAI, solo si el visitante acepta las cookies. Datos que recibe: Cómo usa el sitio el visitante y, de quien contrata CertuAI desde un anuncio, el correo y el teléfono cifrados. Nunca las conversaciones de los clientes finales.
• Microsoft Clarity (Estados Unidos): Graba cómo se usa el sitio, solo si el visitante acepta las cookies de medición. Datos que recibe: Clics y desplazamiento de quien visita el sitio.
• Cloudinary (Estados Unidos): Guarda las imágenes promocionales del sitio de CertuAI. Datos que recibe: Ningún dato de las conversaciones ni de la cuenta; solo la dirección IP de quien abre una página con imagen.

También el socio revendedor, cuando la cuenta se contrató a través de uno, y las autoridades, cuando la ley lo exige.

¿Por cuánto tiempo se guardan los datos?

Cuenta y Cerebro: mientras la cuenta exista; al eliminarla, borramos la cuenta, el Cerebro y el CRM. Conversaciones y llamadas de los clientes finales: mientras exista la cuenta de la empresa cliente; el dueño puede eliminar la cuenta en cualquier momento. Copias de seguridad: la base de datos tiene una copia al día, guardada 7 días; lo que se borró desaparece de las copias en un máximo de 7 días. Formularios y postulaciones: por el tiempo necesario para responder. Registros de acceso: por el plazo del Marco Civil da Internet de Brasil (Ley 12.965/2014, art. 15). Cobro y facturas: por el plazo legal, en general 5 años. Después de eso, los datos se eliminan o se anonimizan.

¿Los datos salen de Brasil?

Sí. Buena parte de los proveedores está fuera de Brasil, sobre todo en Estados Unidos, y los datos se tratan allí bajo los términos de tratamiento de datos que publica cada proveedor. Dónde está cada uno figura en la lista de arriba.

¿Y si hay un incidente de seguridad?

Con datos de la cuenta en CertuAI (registro, cobro, uso del sitio), CertuAI es la responsable y avisa al titular y a la ANPD, como exige la LGPD (art. 48). Con datos de los clientes finales (las conversaciones y llamadas que CertuAI atiende para una empresa), quien avisa a la ANPD y a las personas es la empresa cliente, que es la responsable. CertuAI, como encargada, avisa a la empresa cliente por correo, a los responsables de la cuenta, y le pasa lo que sepa para que haga ese aviso.

¿Cómo trata CertuAI los datos de salud?

El dato de salud es un dato sensible en la LGPD (art. 5, II, y art. 11). Cuando la empresa cliente es una clínica, la clínica es la responsable y CertuAI es la encargada. En las cuentas de clínica, la plataforma indica a la IA que no dé diagnósticos, no oriente tratamientos, no recomiende medicamentos ni dosis y no evalúe síntomas, fotos ni pruebas; ante una señal de urgencia, dice que se llame enseguida a emergencias. Recomendamos conectar el WhatsApp de la clínica por la API oficial de Meta, y no por código QR.