Segurança

Segurança e tratamento de dados

Esta página reúne, em texto aberto, o que a área jurídica e a área de segurança da informação de uma empresa costumam pedir antes de aprovar uma fornecedora. Ela descreve a situação atual, inclusive o que ainda não existe.

Sobre a Certu: a Certu é a plataforma brasileira de IA que atende o WhatsApp, o Instagram e o Messenger de pequenas e médias empresas 24 horas por dia, com CRM incluído, e é Tech Provider da Plataforma WhatsApp Business da Meta. Os planos começam em 12x de R$ 247 no anual, sem fidelidade. Conectar meu WhatsApp

Resumo em 7 fatos

Esta página reúne, em texto aberto, o que a área jurídica e a área de segurança da informação de uma empresa costumam pedir antes de aprovar uma fornecedora.
Ela descreve a situação atual, inclusive o que ainda não existe.
Sobre a Certu: a Certu é a plataforma brasileira de IA que atende o WhatsApp, o Instagram e o Messenger de pequenas e médias empresas 24 horas por dia, com CRM incluído, e é Tech Provider da Plataforma WhatsApp Business da Meta.
Os planos começam em 12x de R$ 247 no anual, sem fidelidade.
Certu não pede nem guarda o número do seu cartão: quem cuida do pagamento é o banco que a gente contratou.
Certu só cuida delas pra você, e usa os dados só pro que você mandou.
O banco de dados fica no Google, nos Estados Unidos.

Em números

Número	O que significa
24 horas	Sobre a Certu: a Certu é a plataforma brasileira de IA que atende o WhatsApp, o Instagram e o Messenger de pequenas e médias empresas 24 horas por dia, com CRM incluído, e é Tech Provider da…
7 dias	O banco tem uma cópia de segurança por dia, guardada por 7 dias, então o que foi apagado some das cópias em até 7 dias.

Quais dados Certu trata

Certu trata o conteúdo das conversas que o seu negócio recebe e envia pelos canais conectados, os dados de contato de quem escreve, os documentos e informações que você cadastra para o agente responder, os dados de cadastro da sua conta e os registros de uso e cobrança. Certu não pede nem guarda o número do seu cartão: quem cuida do pagamento é o banco que a gente contratou.

Papel de cada parte na Lei Geral de Proteção de Dados

As conversas dos seus clientes são suas. Certu só cuida delas pra você, e usa os dados só pro que você mandou. Na lei isso se chama: a sua empresa é a controladora e Certu é a operadora. Já os dados de cadastro da sua conta e das cobranças são de Certu. Pra pedir qualquer coisa sobre dados pessoais, escreva para privacidade@certu.com.br.

Onde os dados ficam

O banco de dados fica no Google, nos Estados Unidos. Os arquivos (áudios, fotos, documentos e gravações de ligação) ficam na Cloudflare. Quando o WhatsApp é conectado por QR code, as mensagens passam por um servidor da Certu na Hostinger, no Brasil. Os dados viajam em código e ficam guardados em código, então quem interceptar não consegue ler. Só a equipe de Certu entra, e entra com conta do Google.

Empresas que mexem nos seus dados

Empresa	O que faz	Que dado recebe	Onde fica
Google Cloud e Firebase	Banco de dados, login das contas e a cópia diária de segurança do banco.	Tudo o que a conta guarda: cadastro, conversas, contatos, Cérebro e CRM.	Estados Unidos
Cloudflare	Entrega o site e o painel, roda as rotas do servidor, protege contra abuso e guarda os arquivos (áudios, fotos, documentos e gravações de ligação).	Todo o tráfego do site e do painel e os arquivos das conversas.	Não informado pelo fornecedor
DeepInfra	Roda o modelo DeepSeek, que escreve as respostas do atendente de WhatsApp e lê as conversas do negócio pra montar o Cérebro, e os modelos que geram as imagens e os vídeos do estúdio.	O texto da conversa e o Cérebro do negócio, na hora de cada resposta, e o que o dono manda pro estúdio.	Estados Unidos
Google Gemini	Responde no lugar do DeepSeek quando ele falha (e em algumas contas é o modelo principal), transcreve os áudios e lê os PDFs sem texto.	O texto da conversa, o Cérebro do negócio, os áudios e os PDFs que chegam.	Estados Unidos
OpenAI	Lê as fotos que chegam no WhatsApp, transcreve as ligações e transcreve o áudio quando o Gemini falha.	Fotos, áudios e o áudio das ligações.	Estados Unidos
Anthropic	Lê o PDF sem texto quando o Gemini falha e roda recursos do painel, como organizar o Cérebro.	O PDF, o Cérebro e as conversas que esses recursos usam.	Estados Unidos
Meta	Leva e traz as mensagens quando o WhatsApp é conectado pela API oficial, e também as do Instagram e do Messenger.	As mensagens e o número de quem conversa com o negócio.	Estados Unidos
Hostinger (servidor Evolution)	Mantém a conexão do WhatsApp quando o número é conectado por QR code, em vez da API oficial.	As mensagens e o número de quem conversa com o negócio.	Brasil
Twilio	Linha de telefone e a ligação em si, no atendente de voz e no discador.	O número de quem liga e o áudio da ligação.	Estados Unidos
ElevenLabs	A voz do atendente de ligações.	O áudio e o texto da ligação.	Estados Unidos
Asaas	Cobrança no Brasil: cartão, boleto e Pix.	Nome, CPF ou CNPJ, e-mail, telefone e endereço de quem paga.	Brasil
Stripe	Cobrança fora do Brasil.	Nome, e-mail e dados de pagamento de quem paga.	Estados Unidos e Irlanda
Resend	Envia os e-mails da plataforma.	O e-mail de quem recebe e o texto do e-mail.	Estados Unidos
Sistemas que a própria empresa conecta	Quando a empresa liga a conta dela, a Certu manda pra lá o que a integração pede: CRM (como Salesforce, HubSpot e Pipedrive), agenda (Google Agenda), anúncios (Google Ads), sistema de clínica (como Feegow) e outros.	Nome, telefone, horário marcado e o resumo da conversa, conforme a integração.	Depende do sistema escolhido pela empresa
Google Analytics, Google Ads e Meta Pixel	Medem o site e os anúncios da Certu, só se o visitante aceitar os cookies.	Como o visitante usa o site e, de quem contrata a Certu vindo de um anúncio, o e-mail e o telefone embaralhados. Nunca as conversas dos clientes finais.	Estados Unidos
Microsoft Clarity	Grava como o site é usado, só se o visitante aceitar os cookies de medição.	Cliques e rolagem de quem visita o site.	Estados Unidos
Cloudinary	Guarda as imagens de divulgação do site da Certu.	Nenhum dado das conversas nem da conta; só o endereço IP de quem abre uma página com imagem.	Estados Unidos

Parte dessas empresas trabalha fora do Brasil, e é por isso que o dado sai do país. Sempre que um sistema novo passa a mexer em dado de cliente, Certu atualiza esta lista.

Retenção e exclusão

As conversas e os registros ficam disponíveis enquanto a conta existir, porque é deles que o histórico do atendimento e os relatórios são formados. A exclusão da conta e dos dados associados pode ser pedida a qualquer momento pela página de exclusão de conta, que o próprio dono usa sem pedir a ninguém, e também por escrito para privacidade@certu.com.br. O banco tem uma cópia de segurança por dia, guardada por 7 dias, então o que foi apagado some das cópias em até 7 dias. Registros necessários para obrigação fiscal e contábil são mantidos pelo prazo que a lei exige.

Uso do conteúdo das conversas

O conteúdo do seu negócio é usado para operar o seu atendimento e para formar a base de conhecimento do seu próprio agente. Certu não vende esse conteúdo e não o utiliza para construir o agente de outro cliente, nem pra treinar modelo de IA. O texto necessário para escrever cada resposta vai, na hora da resposta, para a DeepInfra, que roda o modelo DeepSeek. Se ele falhar, vai para o Google Gemini. Áudio, foto e PDF passam pelos fornecedores da tabela acima.

O que Certu ainda não tem

Certu não possui certificação ISO 27001 nem relatório SOC 2. As certificações citadas em processos de compra são das empresas de servidor que Certu contrata, como Google Cloud e Cloudflare, e não a Certu. Certu também não mantém, hoje, programa formal de teste de invasão periódico com laudo de terceiro.

Essa informação está aqui porque ela é verificável e vai ser verificada. Se o seu processo de aprovação de fornecedor exige algum desses itens, diga qual na conversa e Certu responde o que é possível e em quanto tempo.

Documentos relacionados

Política de Privacidade e os Termos de Serviço. O questionário de segurança respondido traz as perguntas que aparecem em cadastro de fornecedor, já respondidas. Acordo de tratamento de dados e cláusulas contratuais específicas podem ser analisados durante a negociação, pelo endereço juridico@certu.com.br.

Fale com a Certu

Se a sua empresa está avaliando Certu como fornecedora, a página de empresas reúne o escopo e o formulário de contato.

Certu para empresas

Em resumo

Esta página diz quais dados a Certu guarda, onde eles ficam, quais empresas mexem neles, como apagar tudo e quais selos de segurança a Certu tem e não tem.