Política de Privacidade

1. Quem somos

A Lily é uma plataforma de software que permite a empresas criarem agentes de atendimento por IA no WhatsApp e no Telegram. O serviço é operado por Rafael Victor Gomes Rodrigues, pessoa física, no Brasil. Os dados cadastrais completos podem ser solicitados a qualquer momento pelo e-mail de contato abaixo.

Dúvidas sobre privacidade e pedidos de titular: contato@lilybr.com. Encarregado pelo tratamento de dados pessoais: Rafael Victor Gomes Rodrigues, pelo mesmo endereço de e-mail.

2. Dois papéis diferentes

A distinção abaixo determina a quem você deve dirigir cada pedido:

• Quando você é cliente da Lily (criou uma conta para atender seus próprios clientes): somos controladores dos seus dados de cadastro e uso da plataforma.
• Quando você conversou com um atendente de IA de alguma empresa: somos operadores. Quem decide o que fazer com aquela conversa é a empresa que você contatou — ela é a controladora. Podemos encaminhar seu pedido a ela, mas não podemos decidir por ela.

3. Que dados tratamos

De quem usa a plataforma

• Nome, e-mail e papel de acesso;
• Senha, sempre armazenada apenas como hash (bcrypt), nunca em texto claro;
• Registros de eventos da plataforma;
• Dados de cobrança, processados pelo Stripe. Guardamos apenas identificadores opacos e a URL da fatura — nunca o número do cartão.

De quem conversa com um agente de IA

• Conteúdo das mensagens trocadas com o agente;
• Identificadores de contato: nome, telefone (formato E.164), e-mail e o identificador do canal (WhatsApp, Telegram);
• Dados derivados: resumo da conversa, análise de sentimento e eventos de histórico;
• Campos livres preenchidos pela empresa que atende — notas de operador, campos customizados de CRM e dados importados por planilha;
• Imagens e PDFs enviados ao agente, quando a empresa liga a leitura de fotos: a Lily guarda a descrição em texto e um código (hash) do arquivo, não o arquivo.

Campos livres não têm formato fixo e podem conter, por escolha de quem digitou, informação sensível. As notas de operador e os campos customizados de CRM passam por redação automática de CPF, cartão, e-mail e telefone antes de entrarem no texto enviado a um modelo de IA.

O restante do que o modelo de IA recebe segue sem essa redação, porque é o que o agente usa para responder: a mensagem de quem conversa e o histórico da conversa, o nome, o telefone e o e-mail do contato, a base de conhecimento da empresa e as respostas das integrações que ela configurou.

4. Para que usamos

• Gerar as respostas do agente de IA e manter o histórico da conversa;
• Ler fotos e PDFs enviados ao agente, quando a empresa liga esse recurso, para que o assistente responda ao que foi enviado;
• Encaminhar o atendimento a uma pessoa da equipe quando necessário;
• Autenticar acessos e manter registros de eventos e segurança;
• Cobrar pela assinatura e enviar e-mails transacionais do serviço;
• Produzir métricas agregadas de uso para a empresa que contratou.

Não vendemos dados pessoais e não usamos conteúdo de conversa para treinar modelos próprios. Cada operação tem uma base legal própria — execução de contrato, cumprimento de obrigação legal ou legítimo interesse, conforme o caso —, e o detalhamento por operação pode ser solicitado pelo e-mail de contato.

5. Com quem compartilhamos

Prestadores que processam dados por nossa conta, cada um com finalidade delimitada:

• OpenAI — geração de resposta, moderação de conteúdo de entrada, cálculo de embeddings para a busca na base de conhecimento e transcrição de mensagens de voz e leitura de fotos e de PDFs escaneados (classificação e descrição de imagens), quando a empresa liga cada um desses recursos. A Lily utiliza moderação automatizada de conteúdo no processamento das mensagens encaminhadas ao agente. Em caso de indisponibilidade ou falha desse serviço, a mensagem pode continuar sendo processada sem a conclusão dessa verificação.
• Anthropic e Google — geração de resposta, apenas quando a empresa configura o agente para um desses modelos;
• O provedor de IA configurado também recebe a conversa para as funções de apoio do painel — resumo, sugestões de resposta, verificação e rascunho;
• Jina AI — leitura de páginas da web, quando a empresa cadastra o endereço de uma página como fonte da base de conhecimento;
• Meta (WhatsApp Cloud API), Telegram e gateways de WhatsApp — entrega das mensagens;
• Stripe e Cakto — pagamento e checkout;
• Resend — envio de e-mails transacionais;
• Railway e Vercel — hospedagem da aplicação e do banco de dados;
• Google (Analytics) e Microsoft (Clarity) — medição de audiência, somente nas páginas públicas do site. Não carregam dentro da área autenticada, então nenhuma conversa de atendimento passa por eles;
• Sistemas de CRM configurados pela própria empresa que atende. Essa integração é decidida e controlada por ela, não por nós.

Também podemos compartilhar dados para cumprir obrigação legal ou ordem de autoridade competente.

6. Cookies e medição de audiência

Nas páginas públicas do site usamos Google Analytics e Microsoft Clarity para entender como as pessoas chegam e navegam — quais páginas são vistas, de onde veio a visita e onde a leitura para. Essas ferramentas gravam cookies no seu navegador e, no caso do Clarity, a interação com a página (movimento, clique, rolagem).

Nada disso roda na área autenticada. A medição carrega apenas nas páginas abertas do site; ao entrar na plataforma a página é recarregada sem esses scripts, para que nenhuma tela de atendimento seja gravada. Cookies estritamente necessários — sessão e autenticação — existem em toda a plataforma e não podem ser desativados sem impedir o login.

Você pode bloquear ou apagar cookies nas configurações do seu navegador. Fazer isso não afeta o uso da plataforma, apenas a nossa medição.

7. Transferência internacional

Os prestadores acima operam majoritariamente fora do Brasil, o que implica transferência internacional de dados pessoais. Cada um deles é contratado sob os termos de proteção de dados que publica, e o tratamento se limita ao necessário para prestar o serviço. Você pode solicitar a relação atualizada de prestadores pelo e-mail de contato.

8. Por quanto tempo guardamos

Conversas e mensagens seguem a política de retenção definida por cada empresa contratante, com padrão de 12 meses, após o qual são removidas automaticamente. Dados de cadastro permanecem enquanto a conta existir. Registros de eventos e dados exigidos por obrigação legal ou fiscal são mantidos pelo prazo correspondente, mesmo após o encerramento da conta. Prazos de arquivos de mídia, transcrições, descrições de imagens, registros técnicos e cópias de segurança: ver "Mensagens de voz, fotos, vídeos e documentos".

9. Mensagens de voz, fotos, vídeos e documentos

Esta seção explica o que acontece com os arquivos que você manda a um agente de atendimento da Lily. Os prazos aqui são da Lily; os fornecedores têm regras próprias, descritas abaixo.

O que o agente faz com cada tipo de arquivo

• Mensagens de voz (áudio). Podem ser convertidas em texto (transcrição), só se a empresa que atende você ligou esse recurso para aquele agente. Sem isso, o áudio não é baixado nem transcrito, e o assistente pede que você escreva.
• Fotos e documentos em PDF. Podem ser lidos pela Lily e transformados em texto, só se a empresa que atende você ligou esse recurso para aquele agente. Sem isso, a foto ou o PDF não é baixado nem lido, e o assistente pede que você escreva o que precisa. Se veio com legenda, a legenda é tratada como uma mensagem escrita.
• Vídeos e outros arquivos (inclusive documentos que não são PDF) não são analisados pelo assistente: a Lily não baixa nem guarda esses arquivos; o assistente pede que você escreva.
• Mensagens de "visualização única" nunca são baixadas, transcritas nem guardadas.
• Respostas em áudio: o assistente responde só por escrito.
• Imagens enviadas pelo agente. A empresa pode cadastrar imagens próprias (por exemplo, um catálogo) para o agente enviar. Essas imagens são da empresa e ficam guardadas na Lily até a empresa apagá-las.
• Arquivos enviados pela equipe. Arquivos que a equipe da empresa envia a você pelo atendimento são repassados ao WhatsApp e não ficam guardados na Lily; guardamos só o nome, o tipo, o tamanho, um código (hash) e a legenda, pelo prazo das conversas.

Transcrição de áudio: quem liga e como funciona

• Vem desligada. A transcrição começa desligada em todo agente.
• Quem liga é a empresa que atende você, por um administrador dela, agente por agente. Cada mudança fica registrada. Ligar a transcrição é uma configuração da empresa; não é um consentimento seu, e este texto não a trata como tal.
• Canais: funciona no WhatsApp conectado por QR code e no Telegram. Não funciona no WhatsApp pela API oficial da Meta.
• Conferência antes de cada etapa. Para cada áudio, a Lily confere de novo se a transcrição continua ligada e permitida antes de baixar o áudio e outra vez logo antes de enviá-lo ao fornecedor. Se algo deixou de valer, o áudio não é baixado nem enviado.
• O que já foi enviado não volta. Um áudio que já tinha sido enviado ao fornecedor quando a transcrição foi desligada não pode ser recolhido. O texto que voltar nesse caso é descartado: não é usado nem guardado como transcrição.
• Não há desligamento instantâneo em toda a plataforma. Desligar no agente vale para os próximos áudios como descrito acima; algumas configurações gerais da plataforma só passam a valer depois que os serviços são reiniciados.
• Sem transcrição quando: o agente está pausado; a conversa está com um atendente humano; o plano da empresa está sem cota de mensagens ou sem franquia de minutos de transcrição; o agente está em modo de teste e o seu número não está na lista de teste; o formato do áudio não é reconhecido ou não corresponde ao informado; o canal informa duração acima de 3 minutos; o arquivo passa de 10 MB.

Leitura de fotos: quem liga e como funciona

• Vem desligada. A leitura de fotos começa desligada em todo agente.
• Quem liga é a empresa que atende você, por um administrador dela, agente por agente. Cada mudança fica registrada. Ligar a leitura é uma configuração da empresa; não é um consentimento seu, e este texto não a trata como tal.
• Canais: funciona no WhatsApp conectado por QR code e no Telegram. Não funciona no WhatsApp pela API oficial da Meta.
• O que é lido: fotos em JPEG, PNG ou WEBP e documentos em PDF, até um tamanho máximo definido pela Lily. O formato é conferido pelo conteúdo do arquivo, não pelo nome. Outros formatos não são lidos.
• PDF com texto: o texto é extraído dentro da própria Lily, sem enviar o arquivo a nenhum fornecedor.
• PDF escaneado (só imagem, sem texto): a Lily transforma um número limitado de páginas do começo do documento em imagem (hoje, só a primeira) e as envia ao fornecedor, como se fossem fotos.
• Limite mensal: há um limite mensal de imagens lidas por empresa, definido pela Lily. Cada página de PDF escaneado conta como uma imagem, e o PDF com texto também consome uma unidade. Atingido o limite, ou se o contador estiver indisponível, a foto não é lida.
• Empresas da área da saúde: a leitura de fotos não funciona para elas. A Lily identifica essas empresas pela vertente do cadastro e pelo ramo de atividade informado.
• Conferência antes de cada etapa. Para cada foto, a Lily confere de novo se a leitura continua ligada e permitida antes de baixar a foto e outra vez logo antes de enviá-la ao fornecedor: agente ativo, seu número liberado se o agente estiver em modo de teste, política publicada, limite configurado e empresa fora da área da saúde. Se algo deixou de valer, a foto não é enviada.
• O que já foi enviado não volta. Uma foto que já tinha sido enviada ao fornecedor quando a leitura foi desligada não pode ser recolhida. A descrição que voltar nesse caso é descartada: não é usada nem guardada.
• Não há desligamento instantâneo em toda a plataforma. Desligar no agente vale para as próximas fotos como descrito acima; algumas configurações gerais da plataforma só passam a valer depois que os serviços são reiniciados.
• Sem leitura quando: o agente está pausado; a conversa está com um atendente humano; o plano da empresa está sem cota de mensagens; o agente está em modo de teste e o seu número não está na lista de teste; o arquivo passa do tamanho máximo; o formato não é reconhecido; a empresa atingiu o limite mensal; a empresa é da área da saúde; a mensagem é de visualização única (nunca é baixada nem lida). Nesses casos o assistente pede que você escreva.
• Se a leitura falhar (erro de download, de rede, tempo esgotado ou resposta inválida do fornecedor), a Lily não tenta de novo e o assistente pede que você escreva. Se a Lily não tiver segurança do que a imagem mostra, ela diz isso ao assistente, que pede que você explique em texto.

O que a Lily faz conforme o tipo de imagem

O fornecedor classifica cada imagem num tipo. Para classificar, ele recebe a imagem inteira, de qualquer tipo. O que muda é o que a Lily usa e guarda depois:

• Carteirinha de convênio, pedido de exame e documento pessoal: a Lily só registra que existe um documento daquele tipo. Nenhum conteúdo dele é repassado ao assistente nem guardado.
• Foto de saúde ou do corpo (foto clínica): nenhuma descrição é repassada ao assistente ou guardada. A Lily responde que não consegue avaliar imagens de saúde, não dá opinião sobre a imagem e encaminha a conversa à equipe da empresa automaticamente. Isso não acontece se um atendente já estiver na conversa, se você disser na legenda que não quer falar com a equipe, se houver uma confirmação pendente ou se o agente não tiver como encaminhar; nesses casos, só vale a primeira resposta.
• Comprovante (de pagamento ou outro): nunca é tratado como pagamento confirmado. O assistente não é chamado; a Lily responde que recebeu e que quem confere é a equipe, e oferece encaminhar a conversa.
• Print de produto e outras imagens: o assistente recebe uma descrição curta, marcada como "descrição automática, pode conter erros", e responde com base nela. No PDF com texto, o que o assistente recebe é o início do texto extraído, também marcado como automático.
• PDF com texto: a Lily separa localmente o que parece comprovante, pedido de exame ou documento pessoal (por palavras como CPF, RG, convênio, laudo e por números longos ou e-mails). Esses só têm a existência registrada, como acima. Na dúvida, vale o tratamento mais restritivo.
• Esta separação é automática e pode errar. Uma imagem pode ser classificada num tipo que não é o dela, e dados pessoais podem passar na descrição.

O que vai ao fornecedor e para quê

A conversão de voz em texto é feita pela OpenAI, fornecedora da Lily.

• O que a Lily envia: o arquivo de áudio como chegou do canal, o idioma esperado (português) e uma frase curta com o nome do agente.
• O que a Lily não anexa: seu telefone, seu nome e o histórico da conversa não vão como campos separados. Mas o próprio áudio pode conter dados pessoais: tudo o que você falar (nome, telefone, endereço, informação de saúde etc.) é enviado e transcrito.
• Depois da transcrição, o texto segue o caminho de uma mensagem escrita:
  • vai ao provedor de inteligência artificial que a empresa escolheu para o agente (OpenAI, Anthropic ou Google), para gerar a resposta;
  • passa por uma verificação de conteúdo da OpenAI;
  • pode ser convertido pela OpenAI numa representação numérica, usada para buscar trechos parecidos nos materiais do próprio agente;
  • pode aparecer em funções de apoio da equipe da empresa (sugestão de resposta e resumo da conversa), que também usam inteligência artificial.
• O que a OpenAI declara (cada serviço tem a sua regra; não vale uma regra única para todos):
  • dados enviados à API não são usados para treinar os modelos dela, salvo adesão expressa do cliente da API;
  • na tabela por serviço, a OpenAI informa que não guarda registros de monitoramento de abuso para a transcrição e para a verificação de conteúdo, e que guarda por 30 dias para a geração de respostas e para a busca nos materiais;
  • a mesma página diz, em termos gerais, que registros de monitoramento são gerados para todo uso e guardados por até 30 dias, salvo exigência legal ou proteção contra danos, e não explica como isso se concilia com a tabela.

Por isso não afirmamos que algum caminho tenha retenção zero no fornecedor.

• Outros fornecedores de IA: quando a empresa escolhe Anthropic ou Google para o agente, valem as regras deles, que ainda não foram conferidas para este texto.
• Onde é processado: a OpenAI publica a lista de empresas que a auxiliam e os países em que podem processar dados. Não está confirmado em qual região o projeto da Lily na OpenAI é processado; este texto não afirma processamento no Brasil nem em outra região.

A leitura de uma foto é feita pela OpenAI, fornecedora da Lily, quando a empresa liga o recurso.

• O que a Lily envia: o arquivo da imagem como chegou do canal (ou as páginas iniciais do PDF escaneado, como imagem) e uma instrução fixa para classificar e descrever. A legenda não é enviada ao fornecedor nesta etapa.
• O que a Lily não anexa: seu telefone, seu nome e o histórico da conversa não vão como campos separados. Mas a própria imagem pode conter dados pessoais: rostos, documentos, endereços, informação de saúde, e dados escondidos no arquivo, como local e data de uma foto.
• Depois da leitura, o texto da descrição segue o caminho de uma mensagem escrita (os mesmos destinos já listados para o áudio: provedor de IA escolhido pela empresa, verificação de conteúdo, busca nos materiais e funções de apoio da equipe).
• O que a OpenAI declara: vale o que está dito acima: dados enviados à API não são usados para treinar os modelos dela, salvo adesão expressa do cliente da API.
• PDF com texto não vai a fornecedor nenhum para ser lido; só o trecho que passa a fazer parte da conversa segue o caminho de uma mensagem escrita.

O que a Lily guarda e por quanto tempo

O "prazo de conversas" é definido por empresa: 12 meses por padrão; a empresa pode aumentar, não reduzir. Uma limpeza diária apaga as conversas encerradas cujo início é mais antigo que esse prazo, junto com as mensagens e os registros de arquivo delas; conversas ainda ativas não são apagadas por essa regra.

• O áudio. Fica só num arquivo temporário, com acesso restrito, enquanto é transcrito, e é apagado ao final, com sucesso ou falha. Não vai para o banco de dados nem para as cópias de segurança do banco.
  • Se o processamento for interrompido no meio (queda ou reinício), o arquivo pode sobrar. O serviço que faz a transcrição procura sobras quando inicia e depois a cada 15 minutos enquanto está funcionando, e apaga as que têm mais de 1 hora, só na área de arquivos temporários da própria Lily e nunca um arquivo em uso. Uma sobra sai em até cerca de 1 hora e 15 minutos enquanto o serviço estiver no ar; nada é apagado com o serviço parado, e a remoção é a exclusão comum do arquivo, não um apagamento forense.
• Uma "impressão digital" do áudio (hash). Código calculado a partir do arquivo, que não permite reconstruir o áudio. Fica com a conversa, pelo prazo de conversas, e é apagado quando os dados do contato são eliminados. Hash não é anonimização: ele continua ligado à sua conversa e ao seu contato.
• O texto transcrito.
  • Entra no histórico da conversa no lugar da mensagem de voz, com o aviso "transcrição automática — pode conter erros", e fica também no registro do arquivo: prazo de conversas.
  • Uma cópia no registro técnico de entrada, usado para não processar a mesma mensagem duas vezes, é apagada 30 dias após a chegada da mensagem, se o processamento terminou; uma entrada que ficou pendente não sai por essa regra.
  • Uma cópia temporária, para evitar transcrição duplicada, dura até 24 horas.
• A foto e o PDF. O arquivo nunca é guardado. A imagem fica só na memória do serviço enquanto é lida e não vai para o banco de dados nem para as cópias de segurança. O PDF com texto passa por um arquivo temporário, com acesso restrito, apagado ao final, com sucesso ou falha (mesma regra e mesma varredura de sobras do áudio).
• Uma "impressão digital" da imagem (hash). Código calculado a partir do arquivo, que não permite reconstruí-lo. Fica com a conversa, pelo prazo de conversas, e é apagado quando os dados do contato são eliminados. Hash não é anonimização.
• A descrição.
  • Entra no histórico da conversa no lugar da foto, com o aviso "descrição automática — pode conter erros", e fica também no registro do arquivo: prazo de conversas. Para carteirinha, pedido de exame, documento pessoal e foto de saúde, não há descrição; ficam só o tipo (por exemplo "foto de saúde"), a data, o tamanho, o formato e o resultado da leitura.
  • Uma cópia no registro técnico de entrada é apagada 30 dias depois, se o processamento terminou; uma entrada pendente não sai por essa regra.
  • Uma cópia temporária, para evitar leitura duplicada, dura até 24 horas.
• Contador do limite mensal. Guarda só um número por empresa e mês, sem dado pessoal, por até 40 dias.
• Legendas de fotos e documentos: já descritas acima.
• Legendas de fotos, vídeos e documentos: como uma mensagem escrita, no histórico e no registro do arquivo, pelo prazo de conversas. Quando a foto é lida, a legenda continua sendo tratada como mensagem escrita e não é enviada ao fornecedor de leitura de imagens.
• Referência para baixar o arquivo no canal (identificadores da mensagem e do arquivo no WhatsApp ou no Telegram, inclusive de fotos e documentos que não chegam a ser baixados, e de vídeos, que nunca são baixados): fica no registro técnico enquanto a mensagem pode ser reprocessada e é removida na limpeza horária seguinte ao fim do processamento; se a mensagem falhou de vez, depois de 24 horas.
• Busca nos materiais do agente. A representação numérica do texto usada nessa busca fica guardada até 7 dias, identificada pelo agente e por um hash do texto (de novo: hash não é anonimização).
• Dados anotados no seu cadastro a partir do áudio (como prefere ser chamado, origem declarada e outros campos que a empresa configurou): ficam no cadastro com a indicação de que vieram de um áudio, pelo prazo de contatos da empresa. Um dado que veio só do áudio não substitui um que você escreveu, que a equipe registrou ou que veio de uma integração.
• Fotos não têm essa regra. O assistente pode usar a descrição de uma foto como usa uma mensagem escrita; a Lily não marca no cadastro que o dado veio de uma foto.
• Envios para sistemas da empresa. Se a empresa ligou o envio automático de contatos para um sistema dela, a Lily guarda uma cópia do que enviou (nome, e-mail, telefone e campos do cadastro). Depois que um envio termina, o conteúdo com os seus dados é apagado em 30 dias e as informações técnicas do envio, sem dado pessoal, em 90 dias; envios ainda em andamento não são apagados antes de terminar. O que o sistema da empresa já recebeu fica sob controle dela.
• Registros de funcionamento (logs). No caminho da transcrição e no da leitura de fotos, a Lily registra identificadores técnicos e o tipo de falha, sem o áudio, o texto transcrito, a imagem, a descrição ou o texto do erro. Isso vale para esse caminho; não é uma revisão de todos os registros do sistema. O prazo dos logs na hospedagem depende do plano contratado, e o prazo adotado ainda não está definido.
• Cópias de segurança (backups) do banco são feitas manualmente, cifradas e guardadas fora da hospedagem. Contêm o que estava no banco na data da cópia, inclusive transcrições, descrições de imagens, legendas e hashes (não o áudio nem as fotos). O descarte das cópias com mais de 30 dias é feito manualmente, sem execução automática: uma cópia pode durar mais que isso até o descarte seguinte.
• WhatsApp e Telegram. A cópia do arquivo que fica no seu aplicativo, no da empresa e nos servidores desses serviços não é controlada pela Lily.

Ações e cadastro a partir de um áudio

• Ações pedem confirmação por escrito. Se a data, o horário ou o pedido vieram só do áudio, o assistente não executa sozinho marcar, remarcar ou cancelar na agenda, nem ações que gravam em sistemas da empresa: elas viram uma proposta que você precisa confirmar por escrito. Para confirmar presença, o assistente é orientado a pedir a confirmação por escrito.
• Cadastro não pede confirmação. Dados como o nome pelo qual prefere ser chamado, ditos em áudio, são anotados no seu cadastro sem pedir confirmação, com a marca de que vieram de um áudio. Se a empresa ligou o envio automático de contatos, esse cadastro atualizado também é enviado ao sistema dela, sem a informação de que o dado veio de um áudio. A marca serve só para rastrear a origem; não autoriza nenhuma ação.

Seus direitos sobre esses dados

Os pedidos são feitos à empresa que atende você, que usa as ferramentas do painel da Lily para atendê-los.

• Cópia dos seus dados: inclui as conversas ligadas ao seu contato, com os textos transcritos e as legendas, os registros técnicos de entrada dessas conversas e os envios feitos ao sistema da empresa ligados ao seu cadastro. O áudio não entra, porque não é guardado.
• Cópia dos seus dados: inclui também asdescrições de fotos e PDFs ligadas às conversas do seu contato.
• Eliminação dos seus dados: substitui o conteúdo das conversas ligadas ao seu contato; apaga os textos transcritos, as legendas e os hashes dos áudios, os registros técnicos de entrada e a cópia temporária da transcrição; apaga a cópia guardada dos envios ao sistema da empresa e cancela o que ainda não tinha saído; e apaga o seu cadastro com o histórico dele. Ficam só dados sem conteúdo (tipo, duração, datas).
• Eliminação dos seus dados: apaga também asdescrições, as legendas e os hashes das fotos e PDFs, troca otipo registrado da imagem (por exemplo "foto de saúde") por uma marca genérica de apagado e apaga a cópia temporária da leitura (até 24 h). Se uma foto do seu contato estiver sendo lida no momento, o resultado é descartado. Ficam só dados sem conteúdo (tipo de arquivo, tamanho, datas, resultado da etapa).
• O que a eliminação não alcança (não prometemos esses descartes):
  • conversas que não estão ligadas ao seu contato;
  • o que o sistema da empresa já recebeu;
  • a busca nos materiais do agente, até expirar (até 7 dias);
  • logs e cópias de segurança, até os prazos de cada um;
  • o que está com os fornecedores de IA, conforme as regras deles, inclusive áudio e fotos já enviados;
  • a cópia do arquivo no WhatsApp ou no Telegram.

Aprender com conversas do WhatsApp

Esta seção explica o recurso opcional em que a empresa envia à Lily o histórico de uma conversa de WhatsApp para que o agente aprenda as perguntas mais frequentes dos clientes. Os prazos aqui são da Lily; o fornecedor tem regras próprias, descritas abaixo.

Para que serve (finalidade)

Extrair, de conversas anteriores da empresa, perguntas frequentes e as respostas que a própria empresa deu (horário, preço, prazo, política), para formar uma base de conhecimento que o agente usa nos atendimentos futuros. Não usamos essas conversas para outra finalidade, para publicidade nem para treinar modelos nossos.

Quem decide e com que base legal

A empresa é quem decide enviar o arquivo e quem responde pelo tratamento dos dados das pessoas que aparecem nele. Ao enviar, a empresa declara que tem base legal para tratar essas conversas e que os clientes foram informados do atendimento por canal digital. A Lily registra essa declaração (quem aceitou, quando e qual versão do texto), mas não verifica nem escolhe a base legal por ela. Só administradores da conta podem usar o recurso.

O que enviamos e o que não enviamos

• Aceitamos a exportação do WhatsApp sem mídia, de uma conversa individual. Grupos são recusados. Áudios, imagens, vídeos e documentos não são lidos.
• Antes de qualquer envio ao fornecedor, o texto é anonimizado na Lily: o nome da empresa e o do cliente são trocados por marcadores, e telefone, e-mail, CPF, CEP, RG, chave Pix, placa de veículo e endereço são substituídos por marcadores. A anonimização é automática e pode falhar (um dado pessoal escrito de forma incomum pode passar). Por isso a empresa revisa tudo antes de usar, e a Lily redige os dados pessoais de novo no resultado.

Fornecedor: OpenAI

O texto já anonimizado é enviado à OpenAI, nossa fornecedora, para extrair as perguntas e respostas frequentes, em lotes pequenos. A empresa não envia a chave dela: usamos a chave da plataforma. Sobre o uso e a guarda desses dados pela OpenAI valem as regras públicas dela para a API. Não afirmamos residência de dados no Brasil.

O que a Lily guarda e por quanto tempo

• Arquivo/texto original da conversa: fica só em memória temporária (Redis), nunca no banco de dados, em disco ou em log. É apagado ao fim do processamento (sucesso, falha ou cancelamento) e, em qualquer caso, em até 24 horas.
• Registro da importação (quem aceitou, quando, versão do texto de aceite, impressão digital (sha256) do arquivo, contagens, custo e estado): banco de dados e registro de eventos da conta, sem o conteúdo da conversa, enquanto a conta existir.
• Pares pergunta/resposta destilados, já anonimizados, para a revisão: banco de dados, por 30 dias após a importação ser aplicada. Antes disso, até a empresa cancelar a importação, até a importação expirar sem avanço (24 h) ou até a exclusão da conta.
• Pares aprovados pela empresa: base de conhecimento do agente, rotulada "Aprendido de conversas", até a empresa apagar a base ou a conta ser excluída.

Nada do que a empresa não aprovou entra na base do agente.

Direitos e exclusão

Titulares (as pessoas que aparecem nas conversas) exercem seus direitos junto à empresa, que é quem decide o tratamento. Como o original não é guardado e o conteúdo derivado é anonimizado, a Lily em geral não consegue localizar uma pessoa específica; se a empresa identificar um par aprovado que contenha dado pessoal, pode editar ou apagar a base "Aprendido de conversas" a qualquer momento. A empresa pode cancelar uma importação em andamento (o original é apagado na hora) e pode excluir a conta, o que apaga também os registros da importação.

Responsabilidade da empresa

A empresa responde por ter autorização para enviar as conversas, por informar seus clientes, por revisar os pares antes de aprová-los (principalmente os marcados "conferir": preço, prazo ou promessa) e por não enviar conversas que não possa tratar. A Lily responde pela guarda e pelos prazos descritos nesta seção e pelos marcadores de anonimização, sem garantir que a anonimização automática seja perfeita.

10. Como protegemos

• Credenciais e segredos de integração criptografados em repouso;
• Isolamento por organização em toda tabela que contenha dado pessoal;
• Autenticação por token com expiração curta e revogação imediata no logout;
• Redação de CPF, cartão, e-mail e telefone nas notas de operador e nos campos customizados antes de irem a um modelo de IA;
• Controles de acesso e registros de eventos da plataforma;
• Limite de requisições e cabeçalhos de segurança em toda a aplicação.

Nenhuma medida elimina risco por completo. Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD nos termos da LGPD.

11. Seus direitos

A LGPD garante a você confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento.

• É cliente da Lily? Escreva para contato@lilybr.com. A plataforma também oferece busca, exportação e eliminação de dados de um contato dentro da própria conta, em Configurações → Privacidade.
• Conversou com o agente de uma empresa? Procure a empresa com quem você falou — ela é a controladora. Se preferir, escreva para nós que encaminhamos o pedido a ela.

Respondemos aos pedidos no prazo previsto em lei. Podemos pedir informações adicionais para confirmar sua identidade antes de atender — é uma proteção contra alguém se passar por você.

12. Alterações

Mudanças relevantes serão anunciadas na plataforma ou por e-mail antes de entrar em vigor. A data no topo indica a última revisão.