Política de Privacidade

1.Compromisso com a privacidade

A CANVI Intermediação e Agenciamento de Serviços Financeiros Ltda. ("CANVI"), inscrita no CNPJ sob nº 49.148.849/0001-04, valoriza a segurança, a privacidade e a transparência no tratamento de dados pessoais de usuários, clientes, parceiros, afiliados, fornecedores e pessoas que interagem com os canais de atendimento disponibilizados por suas plataformas.

Esta Política explica quais informações são coletadas, como são usadas, quando são compartilhadas, por quanto tempo são mantidas e como os titulares podem exercer os direitos previstos na Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD). Ela abrange, conforme o serviço utilizado, soluções de pagamentos, o Hub CANVI, interfaces de atendimento e integrações com canais de mensagens.

2.Definições importantes

Para fins desta Política:

Dados pessoais

Informações relacionadas a pessoa natural identificada ou identificável.

Dados pessoais sensíveis

Informações relativas a origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual ou dados genéticos ou biométricos, nas condições legais.

Titular

Pessoa natural a quem os dados se referem.

Tratamento

Operações como coleta, uso, consulta, armazenamento, compartilhamento, correção, anonimização e eliminação.

Controlador

Pessoa ou organização que decide sobre as finalidades e os meios essenciais de tratamento.

Operador

Pessoa ou organização que trata dados pessoais em nome do controlador.

Encarregado (DPO)

Pessoa física ou jurídica formalmente indicada, quando exigível, para atuar como canal de comunicação entre agente de tratamento, titulares e ANPD.

Plataforma de atendimento

Solução que permite a empresas clientes centralizar interações iniciadas em seus sites e, quando habilitadas, pelo Instagram e WhatsApp.

3.Dados que podemos tratar

3.1. Informações fornecidas diretamente

• Dados de identificação e contato: nome, CPF, e-mail, telefone, cargo e informações necessárias ao cadastro e à utilização dos serviços.
• Dados empresariais e de operação: CNPJ, razão social, nome fantasia, dados bancários e fiscais, produtos, campanhas, vendas, recebíveis e repasses.
• Dados informados voluntariamente ao acessar um chat de atendimento: nome, e-mail, conteúdo das mensagens, respostas a formulários e eventuais arquivos enviados.

3.2. Informações coletadas automaticamente

• Informações técnicas de acesso às plataformas: IP, data e hora, navegador, sistema operacional, dispositivo, identificadores de sessão, tokens, registros de auditoria e dados técnicos de integração.
• Cookies ou tecnologias semelhantes necessários à operação, segurança e desempenho, além de ferramentas analíticas quando aplicáveis e legalmente admitidas.
• No chat do site, dados técnicos necessários à continuidade da conversa, como página de origem, tipo de navegador, identificador da conversa, última mensagem visualizada, avaliação e estado da janela. O sistema de chat não grava o IP do visitante em seu registro próprio; provedores de infraestrutura e segurança podem, contudo, processar IP em logs técnicos, conforme suas funções.

3.3. Informações recebidas de terceiros

• Dados necessários a operações com instituições financeiras, adquirentes, gateways, integradores de pagamento e fornecedores homologados.
• Informações oriundas de fontes legítimas, públicas ou privadas, na medida permitida pela legislação e compatível com a finalidade informada.

3.4. Informações recebidas de canais de mensagens

Quando uma empresa cliente conecta sua conta do Instagram ou seu canal de WhatsApp à plataforma de atendimento, a CANVI poderá receber identificadores, informações de perfil disponibilizadas pela integração, mensagens, datas, horários e anexos necessários à prestação do serviço. A seção 12 detalha o funcionamento dessas integrações.

4.Finalidades do tratamento

A CANVI trata dados pessoais para finalidades específicas, incluindo:

• Disponibilizar e administrar plataformas digitais, produtos, campanhas, transações, repasses, relatórios e integrações.
• Autenticar usuários, controlar permissões, prevenir fraudes, proteger contas e manter registros de segurança.
• Operar a plataforma de atendimento, recebendo, exibindo, organizando e permitindo respostas às conversas das empresas contratantes.
• Cumprir obrigações legais, regulatórias, fiscais, contábeis e contratuais, de acordo com a atividade efetivamente exercida.
• Fornecer suporte técnico, solucionar incidentes, aprimorar desempenho e proteger a estabilidade dos serviços.
• Enviar comunicações operacionais e, quando permitido, informações comerciais com mecanismos de oposição ou descadastro aplicáveis.

As conversas recebidas pelos canais de mensagens não são comercializadas nem utilizadas pela CANVI para publicidade comportamental ou para treinar modelos de inteligência artificial.

5.Bases legais e papéis dos envolvidos

O tratamento de dados pessoais pela CANVI ocorre de acordo com a finalidade e com as bases legais aplicáveis, incluindo: execução de contrato ou procedimentos preliminares relacionados a contrato; cumprimento de obrigação legal ou regulatória; exercício regular de direitos; legítimo interesse, quando cabível e após avaliação de sua adequação; proteção do crédito, nas hipóteses legais; e consentimento, quando necessário.

A aplicação de cada base legal depende do contexto concreto. A CANVI não presume que o consentimento seja necessário ou suficiente para todos os tratamentos. Dados pessoais sensíveis, quando eventualmente tratados, observam hipóteses próprias do art. 11 da LGPD.

Nas operações conduzidas em nome de empresas clientes na plataforma de atendimento, a empresa contratante normalmente decide sobre a finalidade do atendimento e atua como controladora; a CANVI atua como operadora nas atividades realizadas segundo suas instruções. Em tratamentos para fins próprios, como gestão de contas corporativas, segurança, faturamento e cumprimento de obrigações da CANVI, a empresa poderá atuar como controladora.

6.Compartilhamento de dados

O compartilhamento de dados é limitado ao necessário às finalidades legítimas do serviço e pode envolver:

• Instituições financeiras, gateways, adquirentes e fornecedores participantes de operações financeiras.
• Prestadores tecnológicos contratados, inclusive Amazon Web Services (AWS), Google Cloud e fornecedores de infraestrutura, integrações, segurança, auditoria ou suporte, conforme sua participação efetiva.
• Meta e serviços associados ao Instagram e WhatsApp, para viabilizar o recebimento e a entrega de mensagens e o funcionamento das integrações autorizadas.
• Parceiros comerciais e prestadores que participam das operações do Hub, quando houver fundamento jurídico adequado.
• Autoridades públicas e órgãos regulatórios, nos limites de obrigação legal, requisição válida ou ordem competente.
• Entidades do mesmo grupo econômico, se necessário às finalidades legítimas e conforme controles de acesso e deveres de proteção.

A CANVI não vende dados pessoais. Os dados de uma empresa cliente são segregados dos dados das demais, de modo que uma contratante não tenha acesso às conversas de outra. Pessoas da CANVI e prestadores autorizados poderão realizar acessos técnicos excepcionais, com necessidade, autorização e registro, para manutenção, suporte, segurança ou cumprimento de obrigações.

7.Transferência internacional de dados

A CANVI utiliza serviços da Amazon Web Services (AWS) e Google Cloud. Os recursos de nuvem que tratam dados pessoais utilizam regiões localizadas em São Paulo, Brasil: AWS South America (São Paulo), código sa-east-1, e Google Cloud São Paulo, código southamerica-east1. Outros serviços, cópias de segurança, suporte e integrações com a Meta (Instagram e WhatsApp) podem envolver processamento ou transferência internacional de dados.

Quando caracterizada transferência internacional de dados pessoais, inclusive pela integração com canais da Meta, a CANVI e os controladores envolvidos observarão os requisitos dos arts. 33 e seguintes da LGPD e da Resolução CD/ANPD nº 19/2024. A transferência dependerá de hipótese legal e mecanismo válido, como decisão de adequação reconhecida ou garantias contratuais cabíveis, acompanhados de salvaguardas e transparência. Países de destino, fornecedores e mecanismos efetivamente empregados serão documentados de acordo com cada fluxo.

Os titulares poderão solicitar informações adicionais sobre transferências internacionais, respeitados os segredos comercial e industrial e as demais limitações legais, pelo canal indicado na seção 14.

8.Retenção, eliminação e preservação de dados

Os dados são conservados pelo período necessário ao cumprimento de suas finalidades e pelo tempo exigido ou permitido por obrigações legais, regulatórias, contratuais e exercício regular de direitos. Findo o período aplicável, serão eliminados, anonimizados ou submetidos a outra destinação admitida pela legislação.

Na plataforma de atendimento, os históricos de conversas são mantidos durante a vigência do contrato com a empresa cliente e por até 12 (doze) meses após seu encerramento, salvo instrução válida da controladora, necessidade de exercício regular de direitos, investigação, litígio ou obrigação legal ou regulatória que justifique período diferente. Dados que deixarem de ser necessários serão eliminados ou anonimizados em conformidade com as regras aplicáveis. Esse prazo é definido pela CANVI e não corresponde a um período fixado pela LGPD.

Anexos podem ter prazos de retenção distintos do histórico textual, conforme o serviço contratado. Quando expirados, deixam de estar disponíveis no atendimento. Após a validação de um pedido legítimo de exclusão e, quando exigível, a autorização da empresa controladora, a CANVI adotará o prazo operacional de até 30 (trinta) dias corridos para localizar e eliminar ou anonimizar os dados elegíveis nos sistemas ativos e réplicas, ressalvados os dados que devam ser conservados. Cópias de backup observarão seu ciclo controlado de retenção e descarte, sem uso ordinário dos dados e com medidas para impedir a reintrodução de informações excluídas.

Ao desconectar uma integração com o Instagram ou WhatsApp, as credenciais operacionais correspondentes são invalidadas e removidas do ambiente ativo. A desconexão não implica, por si só, exclusão retroativa das mensagens já armazenadas; para isso, há o procedimento da seção 13.

9.Segurança da informação

A plataforma de atendimento utiliza medidas proporcionais ao risco, entre as quais:

• Criptografia de credenciais de integração e proteção de transmissões e dados tratados conforme sua natureza.
• Autenticação multifator obrigatória para atendentes e administradores, com gestão de sessões e permissões.
• Segregação lógica entre empresas clientes e controle de acesso baseado em autorização.
• Registros de auditoria, logs técnicos, rotinas de monitoramento e gestão de eventos de segurança.
• Revogação efetiva de credenciais quando há desconexão de canais e procedimentos de gestão de segredos.
• Controles de retenção e eliminação de anexos, considerando armazenamento principal, réplicas e backups.
• Medidas administrativas de prevenção, resposta a incidentes e orientação dos profissionais com acesso aos dados.

Nenhum sistema é inteiramente livre de riscos. A CANVI trabalha para prevenir acessos não autorizados, perda, alteração, divulgação ou outras formas de tratamento inadequado e adota providências diante de incidentes conforme a legislação aplicável.

10.Cookies e tecnologias semelhantes

As plataformas da CANVI podem utilizar cookies, identificadores de sessão e ferramentas semelhantes para autenticação, segurança, preferências, funcionamento, métricas e melhorias. Tecnologias não essenciais serão submetidas aos requisitos legais aplicáveis, inclusive consentimento quando necessário.

O módulo de chat do site não utiliza cookies de rastreamento para publicidade; armazena localmente informações operacionais para preservar a continuidade do atendimento, como identificador de conversa, última mensagem vista, avaliação e estado da janela. Provedores de infraestrutura podem processar registros técnicos próprios, inclusive IP, para segurança e disponibilidade.

O titular pode gerenciar cookies nas configurações de seu navegador, observando que a recusa de tecnologias essenciais pode limitar algumas funcionalidades.

11.Direitos dos titulares

Nos termos da LGPD, os titulares podem solicitar, conforme aplicável: confirmação de tratamento, acesso aos dados, correção, anonimização, bloqueio ou eliminação de dados excessivos ou tratados irregularmente, portabilidade, informação sobre compartilhamentos, informação sobre consentimento e consequências de sua negativa, revogação do consentimento, oposição a tratamentos irregulares e revisão de decisões exclusivamente automatizadas nas hipóteses legais. Também podem peticionar à ANPD.

Os pedidos devem ser dirigidos ao contato indicado na seção 14. A CANVI poderá adotar medidas proporcionais para confirmar a identidade do solicitante e preservar dados de terceiros. Prazos legais serão observados de acordo com o tipo de solicitação; o prazo de 15 dias previsto no art. 19, II, refere-se à declaração completa para acesso, não a toda e qualquer exclusão.

Quando a solicitação envolver conversas de uma empresa cliente na qual a CANVI atue como operadora, a CANVI encaminhará a demanda à controladora competente, prestará apoio operacional e informará ao titular o encaminhamento, conforme permitido pela relação contratual e pela legislação.

12.Plataforma de atendimento e integrações com a Meta

A plataforma de atendimento da CANVI reúne mensagens de empresas clientes provenientes de chat próprio e, quando contratadas e autorizadas, integrações com Instagram e WhatsApp. A conexão das contas depende de autorização da empresa titular da conta e das permissões disponibilizadas pelo provedor do canal.

12.1. Papéis e responsabilidades

A empresa cliente determina as finalidades do atendimento, o uso do histórico e as instruções de tratamento, em regra como controladora. A CANVI atua como operadora nos tratamentos realizados para prestar a solução. Para dados tratados com finalidades próprias, como segurança, faturamento ou administração de credenciais corporativas, a CANVI pode atuar como controladora.

12.2. Dados das contas conectadas

Conforme o canal e as permissões autorizadas, podem ser tratados identificador da conta, nome e nome de usuário, foto de perfil, Página vinculada e credenciais técnicas de acesso emitidas pelo provedor. Tokens são protegidos criptograficamente e usados para operações autorizadas de comunicação e gestão técnica da integração.

12.3. Dados das pessoas que enviam mensagens

Nas integrações com Instagram, podem ser tratados identificadores específicos atribuídos pela Meta, como IGSID, dados de perfil disponibilizados pela API, conteúdo das mensagens, data e hora e anexos. Imagens suportadas incluem JPG, PNG e WEBP, e documentos PDF são aceitos dentro dos limites técnicos configurados; o tratamento de imagens inclui rotina de remoção de metadados, quando aplicável ao fluxo.

No WhatsApp, quando a integração estiver habilitada, podem ser tratados identificadores do remetente, nome de perfil fornecido pelo canal, número de telefone, conteúdo das mensagens, metadados de envio/entrega e anexos compatíveis com os recursos autorizados. O escopo efetivo depende da integração utilizada e observa as políticas da Meta e do WhatsApp.

12.4. Uso das informações

Os dados são utilizados para apresentar conversas à equipe autorizada da empresa cliente, permitir respostas, manter histórico, investigar falhas e proteger o serviço. A CANVI não usa esses dados para publicidade comportamental, não os vende e não os emprega para treinar modelos de inteligência artificial. Mensagens enviadas pelos canais devem decorrer de ações e configurações autorizadas pela empresa cliente, observadas as regras do respectivo canal.

12.5. Acesso e compartilhamento

Os dados de atendimento ficam disponíveis aos usuários autorizados da própria empresa contratante, com isolamento entre empresas. Acessos técnicos estritamente necessários poderão ser realizados por equipes ou fornecedores autorizados, com controles e auditoria. Os dados podem ser processados pelos provedores de infraestrutura e pelos serviços de mensagens que realizam sua entrega.

12.6. Permissões da Meta

Conforme a modalidade de autenticação e integração adotada para Instagram e WhatsApp, o aplicativo poderá solicitar permissões estritamente necessárias às funções contratadas. Exemplos de permissões que podem ser solicitadas:

As permissões exatas dependem da versão da API, do modelo de autenticação e do aplicativo realmente submetido à Meta. A CANVI solicitará somente os acessos necessários e autorizados para atendimento pelo Instagram e pelo WhatsApp.

12.7. Desconexão

A empresa cliente pode desconectar os canais no painel, quando a funcionalidade estiver disponível, ou revogar autorizações nas configurações de sua conta junto à Meta. A desconexão invalida credenciais operacionais e interrompe o recebimento futuro de mensagens por essa integração. O histórico anterior permanece sujeito às regras de retenção e aos pedidos de eliminação legalmente cabíveis.

13.Como solicitar a exclusão dos dados

Os titulares podem solicitar a eliminação de seus dados pessoais nas hipóteses admitidas pela LGPD, nos canais indicados abaixo. A exclusão não abrange informações que devam ser legitimamente preservadas conforme a legislação aplicável.

13.1. Pessoas que enviaram mensagens

Para solicitar exclusão de informações relacionadas a uma conversa com empresa cliente pelo Instagram, WhatsApp ou chat do site, o titular pode escrever para suporte@canvi.com.br, com o assunto “Solicitação de exclusão de dados pessoais”, ou entrar em contato com a encarregada pelo telefone indicado na seção 14. É útil informar o canal utilizado, a empresa com a qual conversou, seu identificador ou nome de perfil e a data aproximada do contato, evitando enviar documentos pessoais desnecessários no primeiro contato.

A CANVI confirmará a identidade do solicitante por método proporcional ao risco, localizará os registros e, quando atuar como operadora, articulará o atendimento com a empresa controladora. A exclusão observará as hipóteses legais de conservação e os prazos aplicáveis à solicitação específica.

13.2. Pessoas que conectaram contas

Empresas clientes podem desconectar contas integradas por meio da plataforma, quando habilitado, ou revogar as autorizações diretamente nas configurações de suas contas Instagram, Meta Business ou WhatsApp Business, conforme o serviço. A revogação impede novos tratamentos dependentes daquela credencial, mas não substitui uma solicitação de exclusão do histórico existente, quando cabível.

13.3. Prazo e resposta

A CANVI registrará o recebimento do pedido, verificará o objeto da solicitação e responderá dentro dos prazos legalmente aplicáveis. Após a validação de identidade e, quando necessário, a autorização da empresa controladora, será adotado prazo operacional de até 30 (trinta) dias corridos para varredura e eliminação ou anonimização dos dados elegíveis nos sistemas ativos e réplicas. Eventuais restrições legais e o tratamento de backups serão comunicados de forma adequada ao solicitante. Para pedidos de acesso, observar-se-á, inclusive, o prazo legal de até 15 dias para a declaração completa, quando aplicável, nos termos do art. 19, II, da LGPD.

14.Canal de privacidade e encarregado

Encarregada pelo Tratamento de Dados Pessoais (DPO): Susy Darling. Telefone de contato: +55 92 8216-6530. Canal institucional complementar para solicitações de privacidade e exercício de direitos: suporte@canvi.com.br.

Identificação da empresa: CANVI Intermediação e Agenciamento de Serviços Financeiros Ltda., CNPJ 49.148.849/0001-04. Endereço institucional divulgado: Av. Mário Ypiranga, 315, Adrianópolis, Manaus/AM, CEP 69057-000. Sítio eletrônico: https://www.canvi.com.br.

A encarregada atua como canal de comunicação entre a CANVI, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD), no âmbito de suas atribuições legais.

15.Atualizações desta política

Esta Política poderá ser atualizada para refletir mudanças legais, tecnológicas e operacionais. A versão vigente e a data da última revisão serão disponibilizadas em página pública do site da CANVI, e alterações relevantes serão comunicadas conforme a legislação e a natureza dos serviços.

Quando determinada atividade depender de consentimento, alterações de finalidade e novas atividades observarão os requisitos legais próprios. O simples uso contínuo dos serviços não substitui o consentimento válido quando ele for exigido.