Blis Travel

Política de Privacidade

Versão 0.1-rascunho · publicado em 26 de maio de 2026

Atenção: esta é uma versão de rascunho. A política definitiva será publicada antes da abertura comercial (GA).

1. Visão geral

Esta política descreve como a Blis AI Tecnologia Ltda. ("Blis") trata dados pessoais ao operar o Serviço Blis Travel Support, em conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018, "LGPD").

2. Papéis

A Agência cliente é a controladora dos dados pessoais dos seus clientes finais (titulares atendidos via WhatsApp), definindo finalidade e meios do tratamento.

A Blis atua como operadora desses dados (art. 5º X da LGPD), processando-os exclusivamente em nome e sob instrução da Agência, conforme estes termos e o eventual Acordo de Processamento de Dados (DPA) firmado.

Para os dados pessoais da própria Agência (cadastro, login, billing), a Blis é controladora.

3. Quais dados tratamos

3.1 Da Agência

  • Identificação: nome fantasia, razão social, CNPJ, cidade;
  • Contato do usuário responsável: nome, e-mail, telefone;
  • Autenticação: gerenciada por Clerk (hash de senha, MFA opcional);
  • Pagamento: cartão tokenizado pela **Asaas** — a Blis nunca armazena número de cartão;
  • Uso da plataforma: telemetria de produto via PostHog (eventos de UX).

3.2 Dos clientes finais da Agência

  • Número de telefone (WhatsApp);
  • Nome (quando informado);
  • Conteúdo das conversas com o agente IA;
  • Metadados das mensagens (timestamps, status de entrega);
  • Dados de triagem extraídos pelo agente (destino, datas, orçamento aproximado).

4. Bases legais

  • Execução de contrato (art. 7º V LGPD) — para tratar dados da Agência e operar o Serviço;
  • Legítimo interesse (art. 7º IX LGPD) — para segurança da plataforma, prevenção de fraude e melhoria do produto, balanceado contra direitos do titular;
  • Consentimento (art. 7º I LGPD) — para gravação de conversas dos clientes finais da Agência, comunicado via mensagem automática no primeiro contato (LGPD art. 8º).

5. Suboperadores

A Blis usa os seguintes suboperadores para entregar o Serviço:

  • Amazon Web Services (us-east-2) — hospedagem de aplicação, banco e arquivos
  • Meta Platforms — entrega de mensagens via WhatsApp Business API (Cloud API)
  • Anthropic — modelo de linguagem (Claude) usado pelo agente IA
  • LangSmith (LangChain) — observabilidade e tracing técnico do agente IA; a aplicação oculta inputs e outputs dos traces para evitar envio do conteúdo completo das conversas dos clientes finais
  • Asaas — processamento de pagamentos (gateway brasileiro)
  • Clerk — autenticação e gerenciamento de identidade
  • n8n (Digital Bot) — orquestração de envio de e-mails transacionais
  • PostHog — analytics de produto

A Blis exige contratos com cada suboperador garantindo padrão de segurança e tratamento conforme a LGPD.

6. Transferência internacional

Alguns suboperadores (Anthropic, LangSmith, Asaas, Clerk, Resend, PostHog) operam infraestrutura fora do Brasil. A Blis se vale da hipótese de transferência internacional baseada em cláusulas contratuais e/ou consentimento (art. 33 LGPD).

7. Retenção

  • Dados cadastrais da Agência: enquanto a conta estiver ativa, e até 5 anos após cancelamento (para fins fiscais e regulatórios);
  • Histórico de conversas com clientes finais: até 24 meses após a última interação, ou conforme instrução da Agência (controladora);
  • Logs de auditoria: 12 meses;
  • Dados de billing: conforme exigência fiscal (mínimo 5 anos).

8. Segurança

  • Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256 no RDS e S3);
  • Tokens sensíveis (ex.: WhatsApp access token) protegidos por envelope encryption via AWS KMS;
  • Acesso ao banco restrito a roles IAM com IRSA;
  • Logs de auditoria de ações sensíveis (troca de cartão, conexão WhatsApp, envio de campanha).

9. Direitos do titular (art. 18 LGPD)

O titular pode, a qualquer momento, exercer:

  • Confirmação do tratamento;
  • Acesso e correção dos dados;
  • Anonimização, bloqueio ou eliminação;
  • Portabilidade;
  • Revogação do consentimento.

Solicitações via lgpd@blisai.com ou pelos endpoints da plataforma (/api/lgpd/export e /api/lgpd/delete). Respondemos em até 15 dias úteis.

10. Cookies

Usamos cookies estritamente necessários (sessão, segurança) sem opt-in, e cookies de analytics (PostHog) apenas após aceite no banner de cookies da landing.

11. Encarregado (DPO)

O encarregado pelo tratamento de dados pessoais (DPO) pode ser contatado em dpo@blisai.com.

12. Mudanças nesta política

Mudanças relevantes são comunicadas por e-mail à Agência e refletidas na versão deste documento. A Agência tem direito de cancelar a assinatura caso não concorde com a nova versão.