Adendo de Tratamento de Dados (DPA)

1. O que é este adendo e para quem ele vale

Em linguagem simples: quando você usa a Lirvo, as conversas e os cadastros dos seus clientes passam pelos nossos sistemas. Quem decide por que e como esses dados são tratados é você. Nós só executamos, seguindo a sua instrução. Este adendo põe isso por escrito.

Ele se aplica a todo cliente da Lirvo, é parte integrante dos Termos de uso e passa a valer no momento da contratação — não é preciso assinar nada em separado. Se a sua área jurídica exigir uma via assinada ou um anexo específico, fale com a Lirvo pelo canal comercial antes da contratação.

Onde este adendo e os Termos de uso tratarem do mesmo assunto de proteção de dados, prevalece o que está aqui. Nos demais assuntos, prevalecem os Termos.

2. Definições segundo a LGPD

Os termos abaixo têm o significado que a Lei nº 13.709/2018 (LGPD) lhes dá. Estão aqui para que ninguém precise abrir a lei para ler este documento.

3. Objeto e papéis: quem é controlador e quem é operador

O objeto deste adendo é o tratamento de dados pessoais que a Lirvo realiza para prestar o serviço contratado nos Termos de uso: receber, organizar, armazenar e exibir as mensagens dos canais conectados, manter o CRM, executar campanhas pela API oficial e operar os agentes de IA configurados pelo cliente.

1. O cliente é o controlador. É ele quem escolhe os canais, define as finalidades do atendimento, decide quais campos de cadastro existem, configura os agentes de IA e determina quem da equipe acessa o quê.
2. A Lirvo é a operadora. Trata os dados pessoais em nome e por instrução do cliente, nos limites do contrato. A Lirvo não usa esses dados para finalidade própria, não os vende, não os cede a terceiros fora das hipóteses deste adendo e não os utiliza para treinar modelos próprios de inteligência artificial. O conteúdo enviado aos provedores de modelo da seção 6 é usado para gerar a resposta daquele atendimento. OpenAI e Anthropic, nos termos de uso de suas APIs, não utilizam por padrão o conteúdo enviado via API para treinar seus modelos. No Google, isso vale para o uso pago da API Gemini; o uso gratuito pode ser utilizado para melhoria dos modelos, e por isso a Lirvo só utiliza a modalidade paga.
3. Instruções. A configuração que o cliente faz na plataforma e o que está escrito no contrato constituem as instruções documentadas do controlador. Instruções adicionais devem ser enviadas por escrito e podem ser recusadas quando forem tecnicamente inviáveis, contrariarem a lei ou exigirem alteração do serviço contratado.
4. Onde a Lirvo é controladora. Em relação aos dados da própria relação comercial — cadastro do cliente, dados do responsável pela conta, faturamento, registros de suporte e navegação no site. Esse tratamento é descrito na Política de privacidade e não é objeto deste adendo.
5. Categorias de titulares e de dados. Os titulares são os contatos, clientes e leads do cliente, além dos usuários que ele cadastra na plataforma. Os dados são os de identificação e contato, o conteúdo das mensagens trocadas nos canais, os arquivos anexados pelas partes da conversa e os registros de atendimento. A extensão exata depende do que o cliente coleta e do que os titulares enviam.
6. Base legal é responsabilidade do cliente. O cliente declara que possui base legal do art. 7º da LGPD para cada tratamento que realiza na plataforma, inclusive o opt-in dos contatos que recebem mensagens no WhatsApp. A Lirvo não valida, não presume e não supre essa base legal.

4. O que a Lirvo se obriga a fazer como operadora

1. Tratar apenas conforme instrução. A Lirvo trata os dados pessoais do cliente somente para prestar o serviço e seguindo as instruções dele. Se uma obrigação legal exigir tratamento diverso, a Lirvo informa o cliente antes, salvo quando a própria lei proibir o aviso.
2. Confidencialidade. Quem tem acesso aos dados dentro da Lirvo está sujeito a dever de confidencialidade, que permanece depois do fim do vínculo. O acesso é concedido apenas a quem precisa dele para operar o serviço ou prestar suporte.
3. Medidas de segurança. A Lirvo adota medidas técnicas e administrativas de proteção, descritas na página de segurança, e as mantém proporcionais ao risco do tratamento.
4. Auxílio nos pedidos de titulares. A Lirvo oferece ao cliente os recursos da plataforma para localizar, corrigir, exportar e eliminar dados, e presta apoio razoável quando o recurso não for suficiente. O detalhe está na seção 9.
5. Auxílio perante a ANPD. Se o cliente for questionado pela ANPD ou por outra autoridade sobre tratamento realizado na plataforma, a Lirvo fornece as informações que estiverem sob seu controle e forem necessárias à resposta.
6. Aviso de incidente. A Lirvo comunica o cliente sobre incidente de segurança que afete os dados dele, no prazo e na forma da seção 8.
7. Subprocessadores sob contrato. A Lirvo só usa subprocessador que assuma obrigações de proteção de dados compatíveis com as deste adendo, e responde perante o cliente pela atuação deles.
8. Registro das operações. A Lirvo mantém registro das operações de tratamento que realiza como operadora, na medida exigida pelo art. 37 da LGPD.

5. O que o cliente se obriga a fazer como controlador

1. Ter base legal. Garantir que existe hipótese do art. 7º da LGPD para cada dado que traz para a plataforma e para cada finalidade de uso.
2. Obter e guardar o opt-in. Só enviar mensagem ativa e campanha para quem consentiu em receber, respeitando também as regras da Meta para a API oficial do WhatsApp Business. O registro do consentimento é do cliente.
3. Informar os titulares. Manter o próprio aviso de privacidade, dizendo aos contatos dele quais dados trata, para quê, com quem compartilha e como exercer os direitos do art. 18 da LGPD. A política da Lirvo não substitui a do cliente.
4. Respeitar a minimização. Não inserir na plataforma dado pessoal desnecessário à finalidade do atendimento e não subir dado sensível sem necessidade nem sem base legal específica. A plataforma é uma ferramenta de atendimento, não um repositório de prontuário, laudo ou documento sensível.
5. Gerir os acessos da equipe. Criar, revisar e revogar os usuários da conta, definir permissões por perfil e por agente, e remover o acesso de quem sai da empresa. A Lirvo fornece o controle; usá-lo é do cliente.
6. Cuidar das credenciais. As ações praticadas com as credenciais dos usuários do cliente são atribuídas a ele.
7. Instruções lícitas. Não instruir a Lirvo a realizar tratamento que viole a LGPD ou outra norma aplicável.
8. Responder aos titulares. Ser o ponto de contato dos próprios titulares. Se um titular procurar a Lirvo diretamente sobre dados que estão sob controle do cliente, a Lirvo encaminha o pedido ao cliente em vez de respondê-lo por conta própria.

6. Quais são os subprocessadores da Lirvo

Para prestar o serviço, a Lirvo depende de terceiros que também tratam dados pessoais. O cliente autoriza esse uso ao contratar a plataforma. A lista abaixo é a vigente na data deste documento.

Só estes. Os modelos de inteligência artificial que tratam dados de clientes são os da OpenAI, da Anthropic e do Google. Nenhum outro provedor de modelo recebe dados pessoais tratados na plataforma.

Inclusão de novo subprocessador

Antes de incluir um novo subprocessador que trate dados pessoais do cliente, a Lirvo comunica a mudança com antecedência mínima de 30 dias, informando o nome, a função e a localização. Se o cliente tiver objeção fundada em proteção de dados, deve apresentá-la dentro desse prazo; não havendo solução técnica que atenda à objeção, o cliente pode encerrar o contrato quanto ao serviço afetado, sem multa.

7. Transferência internacional de dados

Parte dos subprocessadores acima está fora do Brasil, o que significa que há transferência internacional de dados pessoais. O art. 33 da LGPD permite essa transferência quando o país de destino oferece grau de proteção adequado ou quando o operador oferece garantias de cumprimento da lei, entre elas cláusulas contratuais específicas.

1. A Lirvo exige de cada subprocessador internacional compromissos contratuais de proteção de dados equivalentes aos deste adendo, incluindo finalidade limitada, confidencialidade, medidas de segurança e cooperação em pedidos de titulares.
2. A transferência se limita ao necessário para prestar o serviço: entregar a mensagem no canal oficial e gerar a resposta do agente de IA.
3. O cliente, como controlador, deve informar essa transferência no próprio aviso de privacidade aos titulares.
4. A hospedagem da plataforma e o país onde os dados ficam armazenados constam como Google Cloud Platform e Amazon Web Services, com processamento nos Estados Unidos e serão declarados aqui assim que confirmados.

8. O que acontece em caso de incidente de segurança

Incidente é o evento que pode acarretar risco ou dano relevante aos titulares, nos termos do art. 48 da LGPD. Ao identificar um incidente que afete dados tratados em nome do cliente, a Lirvo:

1. contém o evento e preserva os registros necessários à apuração;
2. comunica o cliente em até até 48 horas após a confirmação do incidente contado da confirmação do incidente;
3. informa, na medida do que já se souber: a natureza do evento, as categorias de dados e de titulares envolvidos, os efeitos prováveis, as medidas já adotadas e o ponto de contato para mais informações;
4. complementa a comunicação conforme a apuração avança, sem esperar o relatório final para dar a primeira notícia;
5. presta apoio ao cliente na comunicação à ANPD e aos titulares, quando ela for devida.

A comunicação à ANPD e aos titulares é do controlador. Como a decisão sobre risco e dano relevante cabe a quem controla o tratamento, é o cliente quem comunica a autoridade e as pessoas afetadas. A Lirvo fornece as informações técnicas necessárias para isso.

9. Como a Lirvo auxilia em pedidos de titulares e em relatório de impacto

Pedidos de titulares

O art. 18 da LGPD dá ao titular os direitos de confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação do consentimento. Quem responde ao titular é o cliente. A Lirvo entra como apoio:

• a plataforma permite localizar o contato, consultar o histórico, corrigir o cadastro, exportar os dados e eliminar o registro;
• quando o recurso da plataforma não resolver, a Lirvo presta apoio técnico razoável, dentro do prazo que o cliente precisa cumprir perante o titular;
• pedidos recebidos diretamente pela Lirvo sobre dados sob controle do cliente são encaminhados ao cliente, com aviso ao titular de que o pedido foi redirecionado.

Relatório de impacto

Se o cliente precisar elaborar relatório de impacto à proteção de dados pessoais, a Lirvo fornece as informações que estiverem sob seu controle sobre a arquitetura do serviço, os fluxos de dados, os subprocessadores e as medidas de segurança aplicadas. A elaboração e a conclusão do relatório são do cliente, que é quem conhece as finalidades do tratamento.

Pedidos de auxílio devem ser enviados ao encarregado da Lirvo: Guilherme Bordignon — suporte@lirvo.com.br. Como canal alternativo, o contato pode ser feito pelo WhatsApp comercial +55 21 99635-4735.

10. Retenção, devolução e eliminação dos dados

1. Durante o contrato. Os dados ficam disponíveis na plataforma enquanto a conta estiver ativa, pelo tempo necessário às finalidades definidas pelo cliente.
2. Direito de exportar. O cliente pode exportar os dados dos seus contatos e atendimentos a qualquer momento durante a vigência do contrato, em formato estruturado e de uso comum. Esse direito é garantido e não depende de autorização prévia da Lirvo.
3. Janela de exportação após o encerramento. Encerrado o contrato, a Lirvo mantém os dados disponíveis para exportação por 60 dias.
4. Eliminação. Terminada a janela acima, a Lirvo elimina os dados pessoais tratados em nome do cliente em até até 72 horas, incluídas as cópias de segurança, inclusive nas cópias de segurança, conforme o ciclo de retenção destas.
5. Exceção legal. A Lirvo pode reter o que for exigido por obrigação legal ou regulatória, ou para exercício regular de direito em processo, pelo prazo estritamente necessário e sem usar os dados para qualquer outra finalidade.

11. O que o cliente pode auditar

O cliente, como controlador, responde pela cadeia de tratamento e por isso pode verificar o cumprimento deste adendo. O que a Lirvo disponibiliza:

1. as informações desta página e da página de segurança, mantidas atualizadas;
2. resposta a questionário de segurança e privacidade enviado pelo jurídico ou pela área de tecnologia do cliente;
3. informações sobre a arquitetura do serviço, os fluxos de dados e os subprocessadores, no nível necessário à avaliação de risco;
4. evidências das medidas de segurança aplicáveis ao serviço contratado, quando existirem e puderem ser compartilhadas sem expor a segurança de outros clientes.

A forma da auditoria (questionário, reunião técnica, verificação documental ou auditoria presencial) e a frequência máxima permitida são remota, mediante envio de documentação e evidências e uma vez por ano, com os custos por conta do cliente solicitante.

A auditoria não pode expor dados pessoais de outros clientes da Lirvo, segredo de negócio ou informação que comprometa a segurança da plataforma.

12. Vigência e relação com os Termos de uso

1. Este adendo entra em vigor com a contratação da plataforma e permanece válido enquanto a Lirvo tratar dados pessoais em nome do cliente.
2. As obrigações de confidencialidade, de eliminação e de auxílio em incidentes sobrevivem ao término do contrato, pelo tempo necessário ao seu cumprimento.
3. Este adendo integra os Termos de uso e é lido em conjunto com a Política de privacidade, com a página de conformidade com a LGPD e com a página de segurança.
4. Em caso de conflito sobre proteção de dados, prevalece este adendo. Nos demais temas — preço, suporte, disponibilidade, rescisão e foro —, prevalecem os Termos de uso.
5. Alterações relevantes neste adendo são comunicadas ao cliente antes de entrarem em vigor, e a versão vigente fica sempre publicada nesta página.

Dúvidas frequentes sobre o DPA

Preciso assinar o DPA da Lirvo separadamente?

Não. Este adendo é parte integrante dos Termos de uso e vale automaticamente para todo cliente da Lirvo, sem assinatura em separado. Se o jurídico da sua empresa precisar de uma via assinada, a Lirvo avalia o pedido pelo canal comercial.

Quem é controlador e quem é operador na relação com a Lirvo?

O cliente é o controlador dos dados pessoais que trafegam na plataforma, porque é ele quem decide por que e como tratar esses dados. A Lirvo é a operadora: trata os dados em nome do cliente e conforme as instruções dele. A Lirvo é controladora apenas dos dados da própria relação comercial, como os dados de cadastro e faturamento do cliente.

Quais são os subprocessadores da Lirvo?

A Meta Platforms, para a operação dos canais oficiais de WhatsApp Business, Instagram Direct e Facebook Messenger; OpenAI, Anthropic e Google, como provedores dos modelos de inteligência artificial usados pelos agentes; e o Google Analytics, restrito à medição do site lirvo.com.br. A lista completa, com a função de cada um, está na seção 6 deste adendo.

A Lirvo usa as conversas dos meus clientes para treinar modelos de IA?

A Lirvo não. Ela trata os dados pessoais apenas para prestar o serviço contratado, conforme as instruções do cliente, e não treina modelo próprio com o conteúdo das conversas. Esse conteúdo é enviado aos provedores de modelo da seção 6 para gerar a resposta daquele atendimento. OpenAI e Anthropic, nos termos de uso de suas APIs, não utilizam por padrão o conteúdo enviado via API para treinar seus modelos. No Google, isso vale para o uso pago da API Gemini; o uso gratuito pode ser utilizado para melhoria dos modelos, e por isso a Lirvo só utiliza a modalidade paga.

Documentos relacionados

• Termos de uso — o contrato de licença da plataforma, do qual este adendo faz parte.
• Política de privacidade — o que a Lirvo trata como controladora, nos dados da relação comercial.
• Conformidade com a LGPD — papéis, bases legais e direitos do titular.
• Política de cookies — o que o site lirvo.com.br usa e como recusar.
• Segurança da informação — as práticas técnicas que sustentam as obrigações da seção 4.

Versão 2026.1 — atualizada em 16 de setembro de 2026.