Dados sensíveis: perguntas frequentes

O skyseat está em acesso antecipado. Estas são as respostas de hoje: o que ainda não temos, também dizemos. O que depende do seu caso fica marcado.

Onde estão os meus dados?

A plataforma, o banco de dados e o cofre de chaves ficam em servidores da Hetzner na Finlândia. Os computadores dos seus funcionários de IA ficam na Alemanha. Todo dia é feita uma cópia criptografada, guardada fora do servidor. Se você precisar que os dados fiquem nos Estados Unidos, eles podem ser hospedados lá, mas combinamos isso por escrito antes de começar.

Quem pode vê-los?

Só a sua empresa e, dentro dela, cada pessoa conforme o papel: o administrador vê tudo; o responsável responde aos avisos e atribui tarefas; o membro atribui tarefas e acompanha o trabalho; quem só vê não altera nada. Se você trabalha com uma agência, a agência vê os clientes que gerencia. A equipe do skyseat só vê o necessário para operar a plataforma e o que você nos escreve em «Escrever para a equipe».

O que o modelo de IA vê?

Para cada tarefa, o funcionário envia ao Claude (da Anthropic, nos Estados Unidos) o que aquela tarefa precisa: o e-mail ou o documento em que está trabalhando. Ele usa a chave de API da sua empresa ou a conta Claude Team ou Enterprise dela. Segundo as condições para empresas da Anthropic, esses dados não são usados para treinar os modelos dela. O skyseat também não usa dados dos clientes para treinar nenhum modelo. As senhas das suas contas não passam pelo computador do funcionário: a plataforma as usa por ele.

Tudo que você colar ou entregar a ele pode chegar ao modelo. Dê a ele só o que a tarefa precisa.

E os dados de saúde?

Se entrar um e-mail, um chat, uma mensagem de WhatsApp ou um documento com dados de saúde (um diagnóstico, um afastamento médico, uma receita…), a plataforma marca isso. O funcionário não guarda na memória dele nem na memória da equipe, e avisamos uma pessoa na Caixa de entrada sem copiar o texto. A IA da própria plataforma não lê esses dados, a menos que você permita, e isso vem desligado.

Mas a marcação funciona por palavras: não pega tudo. E enquanto o funcionário trabalha com um texto, esse texto chega ao modelo. O skyseat não é um prontuário nem tem certificações da área da saúde. Se você é uma clínica, recomendamos não enviar históricos nem exames médicos completos: use para o administrativo (agendamentos, faturamento, lembretes) e decida você o que entrega a ele. Tratar dados de saúde exige uma base legal própria, que você define com o seu consultor.

Por quanto tempo cada coisa fica guardada?

Estes são os prazos padrão. Você pode mudá-los em Conta › Dados e privacidade, dentro de limites, e a plataforma aplica os prazos a cada 6 horas. Cada exclusão fica registrada no Registro.

• Chamadas (resumo e transcrição): 90 dias.
• E-mails e mensagens de WhatsApp: 90 dias.
• Mensagens do chat da equipe e anexos: sem prazo padrão; você pode definir um.
• Chat do site com visitantes: 90 dias sem atividade.
• O que um funcionário lembra sobre um cliente ou contato: 365 dias desde a última vez que foi alterado.
• Registro de auditoria: não expira por padrão. Se você definir um prazo próprio, ele é de dois anos no mínimo.
• Endereços IP dos acessos: 6 meses.
• Cópias de segurança: o que você exclui sai delas em 63 dias, no máximo.

Como se exclui?

• Sozinho: pelos prazos acima, quando vencem.
• Manualmente: chamadas, e-mails e mensagens. Na memória de um funcionário, você pode pedir que ele esqueça uma pessoa em toda a equipe.
• Um funcionário desligado: perde o acesso na hora. O computador dele fica guardado por 30 dias e depois é excluído; se você preferir, é excluído já.
• Sua conta ou sua empresa: «Encerrar a empresa» tem 30 dias para ser cancelado. Passado esse prazo, tudo é excluído. Baixe antes o que quer manter.

O que já foi enviado (um e-mail, uma publicação) não pode ser retirado.

Vocês cumprem a LGPD e o RGPD?

Você é o controlador dos dados dos seus clientes ou pacientes, e o skyseat é o operador. Isso está no contrato de operador (DPA), com a lista de suboperadores e a política de privacidade. São rascunhos pendentes de revisão jurídica. Os funcionários trabalham com a LGPD e o RGPD nas instruções deles e com o mínimo necessário. Se uma pessoa pedir acesso, correção ou exclusão dos dados, você atende como controlador, e tem um prazo para responder. Na memória de um funcionário, você pode pedir que ele esqueça essa pessoa.

Se houver um incidente que afete você, avisamos pelo painel e por e-mail. O prazo exato é confirmado por uma pessoa.

O que fica no Registro?

Tudo o que fazem os funcionários e as pessoas: o quê, quando, com qual conta e quem aprovou. Não se pode editar nem apagar à mão. Cada linha leva uma impressão digital encadeada com a anterior, então qualquer alteração aparece. Você baixa em PDF, CSV ou JSON, e qualquer pessoa pode conferir com a chave pública do skyseat que o arquivo está íntegro, sem precisar nos perguntar. Os funcionários se apresentam como assistentes de IA ao começar uma chamada ou um e-mail.

O que eu faço se chegar uma fiscalização?

1. Baixe o Registro de auditoria do período pedido: Registro › Registro de auditoria, em PDF, CSV ou JSON. Guarde você mesmo: as chamadas só ficam guardadas por 90 dias.
2. Confira o arquivo na mesma página, com «Verificar um arquivo».
3. Tenha à mão o seu registro de atividades de tratamento, o DPA assinado e a lista de suboperadores.
4. Se pedirem algo ao skyseat, escreva para nós pela Central de ajuda, em «Escrever para a equipe». Uma pessoa responde em um dia útil.

Isso ajuda você a documentar. Não é uma certificação nem garante que você cumpra a lei: converse sobre isso com o seu consultor.

Vocês têm certificações?

Ainda não. Hoje não temos SOC 2 nem ISO 27001, nem um teste de invasão feito por uma empresa externa. O SOC 2 Tipo I está planejado, sem data confirmada. O que temos, com as fontes, está na Central de confiança.