Encarregado de Proteção de Dados (DPO)

Como exercer seus direitos

Os endpoints abaixo permitem que você exerça seus direitos como titular de dados pessoais, conforme LGPD art. 18 e GDPR art. 15-21. Você precisa estar autenticado.

• Acesso aos seus dados (LGPD 18 II / GDPR 15): GET /api/v1/me/data
• Correção (LGPD 18 III / GDPR 16): PUT /api/v1/me/profile
• Eliminação / Direito ao esquecimento (LGPD 18 VI / GDPR 17): DELETE /api/v1/me
• Portabilidade (LGPD 18 V / GDPR 20): GET /api/v1/me/export (formato CSV/JSON)
• Oposição ao processamento (LGPD 18 §2 / GDPR 21): POST /api/v1/me/opt-out

Para titulares sem conta na plataforma (ex: contatos WhatsApp atendidos por clientes Korbi), envie email para dpo@korbi.com.br com seu CPF/CNPJ ou número de WhatsApp para verificação de identidade.

Bases legais e categorias de dados

Korbi processa dados pessoais sob as seguintes bases legais (LGPD art. 7 / GDPR art. 6):

• Consentimento — para armazenamento de memória conversacional, uso de mensagens em treinamento de modelos, e marketing direto. Pode ser retirado a qualquer momento.
• Execução de contrato — para envio e recebimento de mensagens via WhatsApp/canais entre cliente e seus contatos.
• Legítimo interesse — para detecção de fraude, segurança da plataforma e prevenção de abuso.
• Obrigação legal — para retenção de logs de auditoria conforme requisitos regulatórios setoriais.

Transferência internacional

Korbi utiliza provedores de IA (OpenAI, Anthropic, Groq) para processamento de linguagem natural. Esses provedores podem estar localizados nos Estados Unidos. Antes de envio para esses serviços, dados pessoais (CPF, CNPJ, telefone, email, números de cartão) são automaticamente redacted via filtros server-side. Standard Contractual Clauses (SCCs) estão em formalização — atualizações em /privacidade.

Notificação de incidentes

Em caso de violação de dados pessoais, Korbi notificará os titulares afetados e a autoridade competente (ANPD para LGPD, autoridade de supervisão DPA correspondente para GDPR) em até 72 horas após detecção, conforme GDPR art. 33 e prazo razoável LGPD art. 48.