Kmess – Comunicação empresarial

1. Identificação do Controlador

Esta Política de Privacidade descreve como a Perfoster Tecnologia e RPO Estratégico Ltda (nome fantasia Perfoster Group, doravante "Perfoster", "nós" ou "nosso"), inscrita no CNPJ sob o nº 66.386.201/0001-87, com sede na R. Totilas Carvalho, 240 — Pousada do Sol, Sobradinho/RS, CEP 96.900-000 — empresa criadora, desenvolvedora e proprietária exclusiva da plataforma Kmess — coleta, utiliza, armazena e protege os dados pessoais dos usuários da plataforma.

A Perfoster é a Controladora de Dados no âmbito da relação com seus clientes diretos (empresas contratantes e seus colaboradores). Em relação aos dados dos consumidores finais atendidos pelas empresas clientes via WhatsApp e demais canais, a Perfoster atua como Operadora de Dados, processando informações exclusivamente em nome e sob as instruções das empresas contratantes, que permanecem responsáveis como Controladoras perante seus respectivos clientes.

2. Dados Pessoais Coletados

Coletamos diferentes categorias de dados conforme a finalidade:

2.1 Dados dos clientes e usuários da plataforma

Nome completo e endereço de e-mail
Nome da empresa e dados de identificação (CNPJ)
Senha de acesso (armazenada em hash criptográfico irreversível — bcrypt)
Endereço IP, navegador e sistema operacional (logs de acesso)
Data e hora de login e atividade na plataforma
Informações de faturamento (gerenciadas pela plataforma de pagamento)

2.2 Dados processados como Operadora (em nome das empresas clientes)

Número de telefone e nome dos contatos de WhatsApp
Conteúdo das conversas (mensagens de texto, áudio, imagens e documentos)
Metadados de atendimento (horários, status, agente responsável)
Arquivos enviados e recebidos nas conversas

A responsabilidade pela base legal de coleta desses dados perante os consumidores finais é da empresa cliente (Controladora). A Perfoster os processa apenas para prestação do serviço contratado.

2.3 Dados recebidos via APIs da Meta (WhatsApp Business API, Instagram DM, Messenger)

Identificador de usuário (User ID) nas plataformas Meta
Nome de exibição (display name) do contato na plataforma de origem
Tokens de acesso à API (armazenados com criptografia AES-256-GCM)
Conteúdo de mensagens e arquivos trafegados pelas plataformas Meta
Metadados de conversas: horário de envio, status de entrega/leitura, tipo de mídia
Foto de perfil e demais informações disponibilizadas pela API conforme permissões concedidas

Esses dados são recebidos exclusivamente no contexto da prestação do serviço contratado. Consulte a seção 4.1 para conhecer as limitações expressas de uso desses dados.

3. Finalidades e Bases Legais

Nos termos do art. 7º da Lei nº 13.709/2018 (LGPD), o tratamento de dados pessoais pela Perfoster é realizado com as seguintes bases legais:

Finalidade	Base Legal (LGPD)
Criação e gerenciamento de conta de acesso	Art. 7º, V — Execução de contrato
Prestação dos serviços de atendimento via WhatsApp	Art. 7º, V — Execução de contrato
Envio de comunicações transacionais (ex: redefinição de senha)	Art. 7º, V — Execução de contrato
Prevenção a fraudes e garantia da segurança da plataforma	Art. 7º, IX — Legítimo interesse
Cumprimento de obrigações legais e regulatórias	Art. 7º, II — Obrigação legal
Melhoria da plataforma e análise de uso agregado	Art. 7º, IX — Legítimo interesse

4. Compartilhamento de Dados com Terceiros

A Perfoster não vende, aluga ou comercializa dados pessoais. O compartilhamento ocorre somente nas hipóteses abaixo, com parceiros que possuem obrigações contratuais de confidencialidade e segurança:

Evolution API

Solução de integração com o WhatsApp (QR Code). Processa mensagens e arquivos para viabilizar o envio e recebimento de comunicações.

Meta Platforms, Inc. (WhatsApp Business API, Instagram DM, Messenger)

Plataforma oficial de mensagens. Dados trafegam pela infraestrutura da Meta conforme seus Termos de Uso e Política de Privacidade. O uso desses dados pela Perfoster é regido pela declaração de limitação da seção 4.1 abaixo.

Provedor de hospedagem (infraestrutura de servidores)

Armazena os dados da plataforma. Contratado com cláusulas de proteção de dados e localização dos servidores em território brasileiro ou com garantias equivalentes.

Serviço de envio de e-mail (SMTP transacional)

Utilizado exclusivamente para o envio de e-mails transacionais (como redefinição de senha). Não utilizado para marketing sem consentimento expresso.

Autoridades públicas

Quando exigido por lei, ordem judicial ou processo legal vigente, podemos divulgar dados às autoridades competentes.

4.1 Limitação de uso dos dados recebidos via APIs da Meta

Em conformidade com as Políticas de Uso da Plataforma Meta e os requisitos de auditoria do WhatsApp Business API, a Perfoster declara expressamente que os dados recebidos via APIs da Meta Platforms (WhatsApp Business API, Instagram DM e Messenger) são utilizados exclusivamente para a prestação dos serviços contratados. Em nenhuma hipótese tais dados são:

Utilizados para fins publicitários, segmentação de audiências ou perfilamento comportamental
Vendidos, cedidos, alugados ou licenciados a terceiros para qualquer finalidade
Compartilhados com outras plataformas ou serviços sem autorização expressa da empresa cliente
Utilizados para treinar modelos de inteligência artificial sem consentimento explícito
Retidos por prazo superior ao necessário para a prestação do serviço e cumprimento de obrigações legais

5. Prazo de Retenção dos Dados

Os dados pessoais são retidos pelos seguintes prazos:

Dados de conta ativa: enquanto durar o contrato de prestação de serviços.
Após encerramento do contrato: os dados são mantidos por até 5 (cinco) anos para cumprimento de obrigações legais, fiscais e para defesa em eventuais litígios, nos termos do Código Civil e legislação tributária brasileira.
Logs de acesso: conforme art. 15 do Marco Civil da Internet (Lei nº 12.965/2014), por no mínimo 6 (seis) meses.
Tokens de redefinição de senha: válidos por 1 hora e excluídos imediatamente após o uso ou expiração.
Backups: retidos por até 30 dias e então excluídos de forma segura.

Findo o prazo aplicável, os dados são anonimizados ou excluídos de forma segura e irrecuperável, conforme boas práticas de segurança da informação.

6. Segurança das Informações

Adotamos medidas técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição. Entre as medidas aplicadas:

Transmissão de dados via HTTPS/TLS (criptografia em trânsito)
Armazenamento de senhas utilizando algoritmo bcrypt com salt (hash irreversível)
Autenticação via JSON Web Tokens (JWT) com expiração configurada
Isolamento multi-tenant: cada empresa acessa exclusivamente seus próprios dados
Controle de acesso baseado em papéis (RBAC): proprietário, administrador e agente
Limitação de taxa de requisições (rate limiting) para prevenção de ataques automatizados
Backups periódicos dos dados com retenção controlada
Acesso restrito aos sistemas internos apenas a colaboradores autorizados

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Perfoster notificará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados no prazo previsto na LGPD.

7. Direitos dos Titulares

Conforme o art. 18 da LGPD, os titulares de dados pessoais têm os seguintes direitos, que podem ser exercidos a qualquer momento mediante solicitação:

Confirmação e acesso

Confirmar a existência de tratamento e acessar os seus dados.

Correção

Solicitar a correção de dados incompletos, inexatos ou desatualizados.

Anonimização ou eliminação

Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos.

Portabilidade

Receber os seus dados em formato estruturado para transferência a outro fornecedor.

Revogação do consentimento

Retirar o consentimento dado, quando o tratamento for baseado nessa base legal.

Informação sobre compartilhamento

Saber com quais entidades públicas e privadas os dados são compartilhados.

Oposição

Opor-se ao tratamento realizado com fundamento em bases legais diversas do consentimento.

Eliminação com encerramento

Solicitar a exclusão dos dados pessoais ao encerrar o contrato de uso da plataforma.

Petição à ANPD

Apresentar reclamação ou petição à Autoridade Nacional de Proteção de Dados (ANPD) em relação ao tratamento dos seus dados pessoais (art. 18, §1º, LGPD).

Para exercer qualquer um desses direitos, entre em contato pelo e-mail contato@perfostergroup.com.br. Responderemos no prazo máximo de 15 dias úteis.

8. Cookies e Tecnologias de Rastreamento

A plataforma Kmess utiliza armazenamento local (localStorage) do navegador exclusivamente para manter a sessão autenticada do usuário (token JWT). Não utilizamos cookies de rastreamento, publicidade ou análise comportamental de terceiros.

9. Transferência Internacional de Dados

Alguns de nossos parceiros técnicos (notadamente a Meta Platforms, Inc., com sede nos Estados Unidos) operam servidores fora do território brasileiro. Nesses casos, garantimos que a transferência internacional de dados ocorra com as salvaguardas adequadas previstas na LGPD (art. 33), com base em uma ou mais das seguintes medidas: (i) Cláusulas Contratuais Padrão de proteção de dados (Standard Contractual Clauses — SCCs, conforme modelo da Comissão Europeia e equivalentes); (ii) acordos específicos de processamento de dados firmados com cada parceiro; ou (iii) transferência para países que oferecem grau de proteção adequado reconhecido pela ANPD. O tratamento de dados pela Meta é regido, adicionalmente, pela Política de Privacidade da Meta Platforms.

10. Encarregado pelo Tratamento de Dados (DPO)

Nos termos do art. 41 da LGPD, o responsável pelo tratamento de dados pessoais da PerfosterGroup pode ser contatado por meio do canal abaixo:

Perfoster Group — Encarregado pelo Tratamento de Dados (DPO)

Perfoster Tecnologia e RPO Estratégico Ltda

CNPJ: 66.386.201/0001-87

R. Totilas Carvalho, 240 — Pousada do Sol

Sobradinho/RS — CEP 96.900-000

contato@perfostergroup.com.br

+55 (51) 95998-423

11. Alterações nesta Política

Esta Política de Privacidade pode ser atualizada periodicamente para refletir mudanças em nossas práticas, na legislação ou nos serviços oferecidos. Alterações relevantes serão comunicadas por e-mail ou por aviso na plataforma com antecedência mínima de 15 dias antes de sua entrada em vigor. A continuidade do uso da plataforma após a comunicação implicará na aceitação das novas condições.

12. Lei Aplicável e Foro

Esta Política de Privacidade é regida pelas leis da República Federativa do Brasil, em especial pela Lei nº 13.709/2018 (LGPD), Lei nº 12.965/2014 (Marco Civil da Internet) e demais normas aplicáveis. Fica eleito o foro da Comarca de Sobradinho/RS para dirimir eventuais conflitos decorrentes desta política, com renúncia a qualquer outro, por mais privilegiado que seja.