Confiança
Certu Ltda., CNPJ 65.868.342/0001-73, Florianópolis, SC. Esta página diz só o que dá pra conferir hoje, inclusive o que Certu ainda não tem.
O que existe hoje
- Todo o tráfego do site e do painel é por HTTPS, com HSTS ligado para o domínio e os subdomínios.
- O banco de dados é o Firestore, do Google Cloud, na localização multirregional dos Estados Unidos. Os dados ficam guardados com a criptografia padrão do Google.
- O site e as rotas de servidor rodam na Cloudflare.
- Cada pessoa entra com o próprio login, por e-mail e senha ou pela conta Google. A identidade é conferida no servidor nas chamadas autenticadas.
- As chaves de API da Certu são guardadas só como resumo criptográfico (SHA-256). A chave inteira aparece uma única vez, para quem a criou. Cada conta tem no máximo 5 chaves ativas, revogáveis, com limite de 60 pedidos por minuto por chave.
- As mensagens que chegam da Meta têm a assinatura conferida antes de serem processadas.
- Cada mudança no que o agente responde fica registrada com autor, data, valor anterior e valor novo, e com um resumo criptográfico que permite conferir se o registro foi alterado.
- A conversa pode ser exportada por endereço autenticado, em NDJSON, para a base de dados da própria empresa.
- O banco de dados tem uma cópia de segurança por dia, guardada por 7 dias.
- O dono da conta exclui a conta sozinho, sem pedir a ninguém. A exclusão apaga a conta, as conversas, o Cérebro, o CRM e os arquivos. Os registros de cobrança e nota fiscal ficam pelo prazo da lei, sem o nome e o documento de quem pagou.
- O WhatsApp pode ser conectado pela API oficial da Meta (Cloud API). Certu é Tech Provider da Plataforma WhatsApp Business da Meta.
O que Certu ainda não tem
- Certificação ISO 27001 ou relatório SOC 2. As certificações do Google Cloud e da Cloudflare são dessas empresas, não da Certu.
- Teste de invasão feito por empresa independente.
- Login único corporativo por SAML ou OIDC, e provisionamento automático de usuários (SCIM).
- Segundo fator de autenticação próprio para o login por senha.
- Escolha de região para guardar os dados no Brasil.
- Chave de criptografia gerenciada pelo cliente.
- Compromisso contratual de disponibilidade, de tempo de recuperação ou de perda máxima de dados na oferta padrão.
Dados pessoais
Os dados das conversas dos seus clientes são da sua empresa: ela é a controladora e Certu é a operadora. Os dados saem do Brasil, principalmente para os Estados Unidos: é lá que fica o banco de dados, e é lá que as respostas do WhatsApp são escritas, pela DeepInfra, que roda o modelo DeepSeek, com o Google Gemini de reserva. Certu não treina modelo de IA com as conversas.
Quem recebe os dados, o que faz e onde fica:
| Empresa | O que faz | Que dado recebe | Onde fica |
|---|---|---|---|
| Google Cloud e Firebase | Banco de dados, login das contas e a cópia diária de segurança do banco. | Tudo o que a conta guarda: cadastro, conversas, contatos, Cérebro e CRM. | Estados Unidos |
| Cloudflare | Entrega o site e o painel, roda as rotas do servidor, protege contra abuso e guarda os arquivos (áudios, fotos, documentos e gravações de ligação). | Todo o tráfego do site e do painel e os arquivos das conversas. | Não informado pelo fornecedor |
| DeepInfra | Roda o modelo DeepSeek, que escreve as respostas do atendente de WhatsApp e lê as conversas do negócio pra montar o Cérebro, e os modelos que geram as imagens e os vídeos do estúdio. | O texto da conversa e o Cérebro do negócio, na hora de cada resposta, e o que o dono manda pro estúdio. | Estados Unidos |
| Google Gemini | Responde no lugar do DeepSeek quando ele falha (e em algumas contas é o modelo principal), transcreve os áudios e lê os PDFs sem texto. | O texto da conversa, o Cérebro do negócio, os áudios e os PDFs que chegam. | Estados Unidos |
| OpenAI | Lê as fotos que chegam no WhatsApp, transcreve as ligações e transcreve o áudio quando o Gemini falha. | Fotos, áudios e o áudio das ligações. | Estados Unidos |
| Anthropic | Lê o PDF sem texto quando o Gemini falha e roda recursos do painel, como organizar o Cérebro. | O PDF, o Cérebro e as conversas que esses recursos usam. | Estados Unidos |
| Meta | Leva e traz as mensagens quando o WhatsApp é conectado pela API oficial, e também as do Instagram e do Messenger. | As mensagens e o número de quem conversa com o negócio. | Estados Unidos |
| Hostinger (servidor Evolution) | Mantém a conexão do WhatsApp quando o número é conectado por QR code, em vez da API oficial. | As mensagens e o número de quem conversa com o negócio. | Brasil |
| Twilio | Linha de telefone e a ligação em si, no atendente de voz e no discador. | O número de quem liga e o áudio da ligação. | Estados Unidos |
| ElevenLabs | A voz do atendente de ligações. | O áudio e o texto da ligação. | Estados Unidos |
| Asaas | Cobrança no Brasil: cartão, boleto e Pix. | Nome, CPF ou CNPJ, e-mail, telefone e endereço de quem paga. | Brasil |
| Stripe | Cobrança fora do Brasil. | Nome, e-mail e dados de pagamento de quem paga. | Estados Unidos e Irlanda |
| Resend | Envia os e-mails da plataforma. | O e-mail de quem recebe e o texto do e-mail. | Estados Unidos |
| Sistemas que a própria empresa conecta | Quando a empresa liga a conta dela, a Certu manda pra lá o que a integração pede: CRM (como Salesforce, HubSpot e Pipedrive), agenda (Google Agenda), anúncios (Google Ads), sistema de clínica (como Feegow) e outros. | Nome, telefone, horário marcado e o resumo da conversa, conforme a integração. | Depende do sistema escolhido pela empresa |
| Google Analytics, Google Ads e Meta Pixel | Medem o site e os anúncios da Certu, só se o visitante aceitar os cookies. | Como o visitante usa o site e, de quem contrata a Certu vindo de um anúncio, o e-mail e o telefone embaralhados. Nunca as conversas dos clientes finais. | Estados Unidos |
| Microsoft Clarity | Grava como o site é usado, só se o visitante aceitar os cookies de medição. | Cliques e rolagem de quem visita o site. | Estados Unidos |
| Cloudinary | Guarda as imagens de divulgação do site da Certu. | Nenhum dado das conversas nem da conta; só o endereço IP de quem abre uma página com imagem. | Estados Unidos |
Encarregado de dados: Bernardo Villela, privacidade@certu.com.br. Contrato, acordo de tratamento de dados e questionário de segurança: juridico@certu.com.br.