Questionário de segurança, respondido
Estas são as perguntas que a área de compras e a de segurança da informação costumam mandar antes de aprovar um fornecedor. Estão respondidas aqui para que ninguém precise esperar duas semanas por um e-mail.
Onde a resposta é "não temos", a resposta é essa mesma. Cadastro de fornecedor confere, e uma alegação que não se sustenta custa mais caro do que a lacuna que ela tentava esconder.
Resumo em 7 fatos
- Estas são as perguntas que a área de compras e a de segurança da informação costumam mandar antes de aprovar um fornecedor.
- Estão respondidas aqui para que ninguém precise esperar duas semanas por um e-mail.
- Onde a resposta é "não temos", a resposta é essa mesma.
- Cadastro de fornecedor confere, e uma alegação que não se sustenta custa mais caro do que a lacuna que ela tentava esconder.
- Como as pessoas da nossa empresa entram na plataforma?: Por e-mail e senha, ou pela conta Google.
- Cada pessoa tem o próprio acesso; a conta não é compartilhada.
- O banco de dados fica nos Estados Unidos (Google), e as respostas do WhatsApp são escritas nos Estados Unidos (DeepInfra, que roda o modelo DeepSeek).
Em números
| Número | O que significa |
|---|---|
| 7 dias | O banco tem uma cópia de segurança por dia, guardada por 7 dias, então o que foi apagado some das cópias em até 7 dias. |
| 365 dias | O registro fica guardado por 365 dias e sai em CSV. |
Acesso e identidade
- Como as pessoas da nossa empresa entram na plataforma?
- Por e-mail e senha, ou pela conta Google. Cada pessoa tem o próprio acesso; a conta não é compartilhada.
- Existe login único corporativo (SSO por SAML)?
- Não. Certu ainda não oferece SAML nem provisionamento automático de usuários por SCIM. Entrar e sair da equipe é feito no painel, à mão, pelo responsável da conta.
- Existe segundo fator de autenticação?
- Quando a pessoa entra pela conta Google, vale o segundo fator configurado no Google da empresa. Certu não oferece um segundo fator próprio para o login por senha.
- Dá para separar o que cada pessoa vê e faz?
- Sim, com cinco papéis fixos: dono, admin, edição, só leitura e vendedor. Quem é só leitura não altera nada. O vendedor só vê os contatos, negócios e tarefas atribuídos a ele. O admin faz o que o dono faz, menos pagar, cancelar o plano e apagar a conta ou a base de conhecimento. A restrição vale no servidor, não só na tela. Não existe papel personalizado, nem permissão por equipe, por unidade ou por campo.
- A equipe da Certu acessa a nossa conta?
- Sim, para suporte e operação. Quando alguém da Certu abre a base de conhecimento, as conversas, as ligações, o site ou as conexões de WhatsApp de uma conta, ou muda o site, a conexão, o plano ou a assinatura dela, fica uma linha no registro que o dono vê no painel. A cobertura não é total: as telas internas que listam todas as contas de uma vez não deixam linha em cada conta.
- Como revogamos o acesso de alguém que saiu?
- O responsável remove a pessoa no painel e o acesso cai na hora. O histórico de ações que ela fez continua registrado.
Dados
- Os dados ficam no Brasil?
- Não tudo. O banco de dados fica nos Estados Unidos (Google), e as respostas do WhatsApp são escritas nos Estados Unidos (DeepInfra, que roda o modelo DeepSeek). Ficam no Brasil o servidor da conexão por QR code (Hostinger) e a cobrança (Asaas). A lista completa está logo abaixo.
- Os dados são criptografados?
- Em trânsito, sim: todo tráfego é HTTPS. Em repouso, vale a criptografia padrão do Google Cloud e do Cloudflare. Certu não aplica uma segunda camada de criptografia própria por campo, e não gerencia chaves próprias.
- Vocês usam nossas conversas para treinar modelos?
- Não. Certu não treina modelo de IA com as conversas. Elas alimentam apenas o atendimento da própria conta.
- Por quanto tempo os dados ficam guardados?
- Enquanto a conta existir. O dono exclui a conta sozinho, pela página de exclusão de conta, sem pedir a ninguém, e a exclusão também pode ser pedida por privacidade@certu.com.br. O banco tem uma cópia de segurança por dia, guardada por 7 dias, então o que foi apagado some das cópias em até 7 dias. Os registros de cobrança e nota fiscal ficam pelo prazo da lei, sem o nome e o documento de quem pagou.
- Conseguimos levar nossos dados embora?
- Sim. A partir do plano Max existe exportação por HTTP autenticado, em NDJSON, que a equipe de dados puxa no agendamento dela. Serve para Snowflake, BigQuery ou script próprio.
- Nossos dados ficam separados dos de outros clientes?
- Por conta, dentro do mesmo banco de dados e da mesma aplicação. Cada acesso é conferido no servidor contra a identidade de quem está logado. Não existe banco de dados nem ambiente dedicado por cliente.
Empresas que recebem os dados
A mesma lista das páginas de segurança e de privacidade.
| Empresa | O que faz | Que dado recebe | Onde fica |
|---|---|---|---|
| Google Cloud e Firebase | Banco de dados, login das contas e a cópia diária de segurança do banco. | Tudo o que a conta guarda: cadastro, conversas, contatos, Cérebro e CRM. | Estados Unidos |
| Cloudflare | Entrega o site e o painel, roda as rotas do servidor, protege contra abuso e guarda os arquivos (áudios, fotos, documentos e gravações de ligação). | Todo o tráfego do site e do painel e os arquivos das conversas. | Não informado pelo fornecedor |
| DeepInfra | Roda o modelo DeepSeek, que escreve as respostas do atendente de WhatsApp e lê as conversas do negócio pra montar o Cérebro, e os modelos que geram as imagens e os vídeos do estúdio. | O texto da conversa e o Cérebro do negócio, na hora de cada resposta, e o que o dono manda pro estúdio. | Estados Unidos |
| Google Gemini | Responde no lugar do DeepSeek quando ele falha (e em algumas contas é o modelo principal), transcreve os áudios e lê os PDFs sem texto. | O texto da conversa, o Cérebro do negócio, os áudios e os PDFs que chegam. | Estados Unidos |
| OpenAI | Lê as fotos que chegam no WhatsApp, transcreve as ligações e transcreve o áudio quando o Gemini falha. | Fotos, áudios e o áudio das ligações. | Estados Unidos |
| Anthropic | Lê o PDF sem texto quando o Gemini falha e roda recursos do painel, como organizar o Cérebro. | O PDF, o Cérebro e as conversas que esses recursos usam. | Estados Unidos |
| Meta | Leva e traz as mensagens quando o WhatsApp é conectado pela API oficial, e também as do Instagram e do Messenger. | As mensagens e o número de quem conversa com o negócio. | Estados Unidos |
| Hostinger (servidor Evolution) | Mantém a conexão do WhatsApp quando o número é conectado por QR code, em vez da API oficial. | As mensagens e o número de quem conversa com o negócio. | Brasil |
| Twilio | Linha de telefone e a ligação em si, no atendente de voz e no discador. | O número de quem liga e o áudio da ligação. | Estados Unidos |
| ElevenLabs | A voz do atendente de ligações. | O áudio e o texto da ligação. | Estados Unidos |
| Asaas | Cobrança no Brasil: cartão, boleto e Pix. | Nome, CPF ou CNPJ, e-mail, telefone e endereço de quem paga. | Brasil |
| Stripe | Cobrança fora do Brasil. | Nome, e-mail e dados de pagamento de quem paga. | Estados Unidos e Irlanda |
| Resend | Envia os e-mails da plataforma. | O e-mail de quem recebe e o texto do e-mail. | Estados Unidos |
| Sistemas que a própria empresa conecta | Quando a empresa liga a conta dela, a Certu manda pra lá o que a integração pede: CRM (como Salesforce, HubSpot e Pipedrive), agenda (Google Agenda), anúncios (Google Ads), sistema de clínica (como Feegow) e outros. | Nome, telefone, horário marcado e o resumo da conversa, conforme a integração. | Depende do sistema escolhido pela empresa |
| Google Analytics, Google Ads e Meta Pixel | Medem o site e os anúncios da Certu, só se o visitante aceitar os cookies. | Como o visitante usa o site e, de quem contrata a Certu vindo de um anúncio, o e-mail e o telefone embaralhados. Nunca as conversas dos clientes finais. | Estados Unidos |
| Microsoft Clarity | Grava como o site é usado, só se o visitante aceitar os cookies de medição. | Cliques e rolagem de quem visita o site. | Estados Unidos |
| Cloudinary | Guarda as imagens de divulgação do site da Certu. | Nenhum dado das conversas nem da conta; só o endereço IP de quem abre uma página com imagem. | Estados Unidos |
Auditoria e controle de conteúdo
- Conseguimos saber quem alterou o que o robô responde?
- Sim. Toda alteração na base de conhecimento registra quem fez, quando, o valor anterior e o novo. Cada registro carrega uma assinatura digital que permite conferir depois se o registro foi alterado.
- Esse registro é imutável?
- Não no sentido forte. A assinatura prova que o conteúdo de um registro não foi editado, mas o armazenamento não impede que um registro inteiro seja apagado por quem tem acesso administrativo à infraestrutura. O registro fica no mesmo banco de dados da conta, não em armazenamento separado. Guardar de um jeito que ninguém consiga apagar é um serviço que a Certu ainda não comprou.
- Conseguimos saber quem abriu cada conversa?
- Sim. O painel registra quem abriu, com qual papel, a conversa de qual contato (com o telefone mascarado), por onde e quando. O registro fica guardado por 365 dias e sai em CSV. O texto da conversa não entra nele. Só o dono e o admin da conta veem a lista.
- É possível exigir aprovação antes de uma resposta entrar no ar?
- Sim, mediante configuração. Com ela ligada, a alteração fica numa fila de revisão e só passa a valer depois que outra pessoa publica. Quem propôs não aprova a própria alteração.
- Como sabemos que o robô não está inventando respostas?
- Existe um relatório mensal que amostra as respostas dadas e verifica cada uma contra a base de conhecimento da conta, classificando em fundamentada, sem base ou contraditória. É uma triagem automática: ela reduz o que precisa de conferência humana, não substitui a conferência.
- É possível registrar as conversas para fins de conformidade?
- Sim, se você configurar. Cada registro ganha uma assinatura digital, a equipe precisa concordar, e a busca é feita pelas palavras que a empresa escolher. Hoje o registro identifica a conta, não o funcionário individual que respondeu.
Certificações e postura
- Vocês têm ISO 27001 ou SOC 2?
- Não. Certu não tem selo de segurança conferido por uma empresa de fora. Os servidores que Certu contrata (Google, Cloudflare) têm os selos deles, e isso não passa pra Certu.
- Vocês fazem teste de intrusão periódico?
- Não há teste de intrusão por empresa independente contratado até esta data.
- Existe plano formal de resposta a incidentes?
- Não existe documento formal de resposta a incidentes com prazos contratados. Comunicação de incidente é feita por e-mail aos responsáveis da conta.
- Qual o compromisso de disponibilidade?
- Não há acordo de nível de serviço com percentual e multa na oferta padrão. Compromisso contratual de disponibilidade é tratado caso a caso na negociação.
- Quem é o controlador dos dados e quem é o operador?
- A empresa cliente é a controladora dos dados dos clientes dela. Certu é operadora, e trata esses dados apenas para prestar o serviço contratado. O detalhamento está em /seguranca.
- Vocês assinam acordo de tratamento de dados?
- Sim, mediante análise. O documento é tratado na negociação pelo endereço juridico@certu.com.br.
Faltou alguma pergunta
Mande a planilha para juridico@certu.com.br. O detalhamento de dados, subprocessadores e retenção está na página de segurança e tratamento de dados.