Dados, acesso e LGPDsem letra miúda.

1. Onde os dados ficam

A infraestrutura principal da plataforma, com os servidores das aplicações, o banco de dados e os arquivos, fica na Amazon Web Services (AWS), na região de Ohio, nos Estados Unidos (us-east-2), numa rede privada.

O banco de dados não tem endereço público: só os servidores das aplicações, dentro da mesma rede, conseguem se conectar a ele. O banco tem cópia de segurança automática diária, guardada por 7 dias, e proteção contra exclusão acidental.

Como os servidores ficam fora do Brasil, o tratamento envolve transferência internacional de dados, nos termos do artigo 33 da Lei Geral de Proteção de Dados (LGPD).

2. Criptografia

• Em trânsito: o site, as telas e as APIs da Blis são acessados por HTTPS. Nos endereços publicados pela rede de distribuição da AWS, a versão mínima aceita é o TLS 1.2.
• Em repouso: o banco de dados, as cópias de segurança e os arquivos guardados pela plataforma ficam criptografados com AES-256.
• Credenciais da agência: as senhas e chaves que a agência cadastra para conectar o sistema de reservas e o WhatsApp são cifradas pela própria aplicação antes de chegar ao banco, além da criptografia do banco.
• Segredos da plataforma: chaves e senhas de infraestrutura ficam no AWS Secrets Manager, fora do código.

3. Acesso

• Cada agência é um ambiente separado: consultores, viajantes e aprovadores de uma agência só veem os dados dela.
• O link de aprovação enviado ao aprovador é individual, vale para uma viagem e expira. Depois de usado, não aprova de novo.
• Nada é enviado ao cliente pelo assistente do Blis Desk sem a confirmação do consultor. No WhatsApp, o consultor assume a conversa quando o caso foge do padrão.

4. Auditoria

• Cada mudança de situação de uma viagem fica registrada com quem fez, quando, por qual canal e o motivo. A aprovação, a recusa e a justificativa de uma opção fora da política entram no mesmo histórico.
• Na infraestrutura, o registro de auditoria do ambiente que roda as aplicações anota cada leitura de segredo e é guardado por 365 dias. Uma leitura fora do esperado dispara alerta para o time de engenharia.

5. LGPD: o papel da Blis

Dados que a agência coloca na plataforma (viajantes, viagens, conversas e cadastros dos clientes corporativos): a agência é a controladora, e a Blis atua como operadora. A Blis trata esses dados para executar o serviço contratado e conforme as instruções da agência.

Dados de quem fala com a Blis pelo site (formulário de contato e campanhas): a Blis é a controladora, como descreve a Política de Privacidade.

Para executar o serviço, os dados passam por estes fornecedores:

• Amazon Web Services, para hospedagem da plataforma;
• Meta, para as conversas pela API oficial do WhatsApp Business;
• Anthropic, Google e OpenAI, cujos modelos de linguagem processam o texto das conversas para gerar as respostas do agente;
• serviços gerenciados de banco de dados, de cache e de monitoramento da aplicação;
• o sistema de reservas da agência e os fornecedores de viagem (companhias aéreas, hotéis e locadoras) que recebem os dados necessários para reservar e emitir.

6. Encarregado de dados

O encarregado pelo tratamento de dados pessoais da Blis AI Tecnologia LTDA atende pelo e-mail dpo@blisai.com. Esse é o canal para dúvidas sobre privacidade, pedidos de titulares e comunicações da Autoridade Nacional de Proteção de Dados (ANPD).

7. Como pedir a exclusão dos seus dados

1. Envie um e-mail para dpo@blisai.com com o assunto "Exclusão de dados", informando seu nome, o telefone ou e-mail que você usou com a Blis e a agência ou empresa pela qual viaja.
2. A Blis confirma a sua identidade antes de qualquer exclusão.
3. Se você é viajante ou cliente de uma agência que usa a Blis, a agência é a controladora dos seus dados: a Blis encaminha o pedido a ela e executa a exclusão conforme a instrução da agência.
4. A exclusão apaga as suas conversas com o agente, o que o assistente guardou sobre você, os registros técnicos dessas conversas e as conversas ligadas a elas no Blis Desk.
5. Dados que a lei obriga a guardar, como os registros de reservas e emissões, ficam pelo prazo legal, conforme o artigo 16 da LGPD.

Pelo mesmo e-mail, você pode pedir acesso, correção ou portabilidade dos seus dados e revogar um consentimento. A resposta segue os prazos da LGPD.

8. Certificações

A Blis ainda não tem certificação ISO 27001 nem relatório SOC 2. Quando uma delas for obtida, ela será publicada nesta página. Até lá, preferimos descrever o que existe a sugerir um selo que não temos.