Direitos do titular: exportação e exclusão

O painel para atender pedidos de titular fica em Configurações → Direitos do titular (menu lateral: Configurações). Só o dono e os administradores da conta veem e usam essa seção — um vendedor recebe erro de permissão até se chamar a rota na mão.

A descrição na própria tela resume o que ela faz:

Procure uma pessoa por e-mail, telefone ou identificador do visitante para exportar ou apagar tudo o que a conta guarda sobre ela. Exportar e apagar ficam registrados na trilha abaixo; procurar, não.

O prazo legal de resposta a um pedido do titular é de até 15 dias.

1. Procurar a pessoa

1. Abra Configurações e role até Direitos do titular.
2. Em Tipo, escolha E-mail, Telefone ou Identificador do visitante (ds_id).
3. Preencha Valor. A dica abaixo do campo muda conforme o tipo:
   • E-mail: "Como a pessoa escreveu: maiúsculas e espaços não atrapalham."
   • Telefone: "Com DDD. Aceita (11) 91234-0000 ou +5511912340000."
   • Identificador: "O identificador anônimo do visitante, visível na conversa."
4. Clique em Procurar.

O resultado mostra o identificador mascarado (por exemplo, jo***a@empresa.com.br) e três contagens: visitantes, leads e conversas. Quando não há nada, a tela responde "Nenhum dado encontrado para esse identificador." e os botões de exportar e excluir não aparecem.

A busca não deixa rastro na trilha de auditoria, de propósito: ela é a checagem que você faz antes de decidir, e não é acesso ao dado. O valor digitado só existe na tela e no pedido ao servidor — nunca vai para a barra de endereços nem para log.

2. Exportar (direito de acesso e portabilidade)

Com um resultado na tela, clique em Baixar dados. O navegador baixa um arquivo JSON com nome sem identificador nenhum (titular-email-<carimbo>.json), e a tela confirma com "Exportação gerada. O download começou."

O arquivo vem indentado, para ser lido por gente: quem recebe a exportação é o titular ou quem o representa, e a lei pede formato de fácil acesso. Dá para abrir em qualquer editor de texto ou no próprio navegador.

O pacote traz tudo o que a conta guarda sobre a pessoa:

• visitantes, incluindo a identidade resolvida (empresa e páginas de maior interesse);
• leads;
• conversas, com as mensagens, os slots coletados e a versão estruturada de cada mensagem;
• sessões e eventos, com as propriedades de cada um;
• reuniões marcadas;
• a fila de saída ainda pendente (sem o conteúdo do envio, que carrega segredo de terceiro);
• consentimentos, enriquecimentos e vínculos de identidade.

A regra que o produto segue é: nada pode ser apagado sem ter caminho de exportação.

3. Excluir (direito de eliminação)

O botão Excluir tudo abre uma confirmação que diz, com números, o que vai embora:

Excluir todos os dados de jo***a@empresa.com.br? Vão embora 1 visitante, 1 lead, 3 conversas, além de sessões, eventos, enriquecimentos e entregas pendentes para integrações. O registro de consentimento FICA, sem identificador: ele é a prova de base legal que o controlador precisa conseguir demonstrar. Apagar é definitivo: não tem desfazer.

Para o botão vermelho acordar, é preciso digitar exatamente a palavra EXCLUIR no campo "Digite EXCLUIR para confirmar". A palavra é conferida também no servidor — não é enfeite de tela. Depois clique em Excluir definitivamente; a confirmação aparece como "Dados do titular excluídos."

Tudo acontece em uma única operação, e a exclusão também invalida o cache de enriquecimento daquele titular — sem isso, o dado voltaria a ser servido na conversa seguinte.

O que é apagado e o que fica

O consentimento é anonimizado, não apagado

A linha de consentimento não some: ela perde tudo o que liga a escolha a uma pessoa. Ficam nulos o identificador do visitante (ds_id), o identificador interno do visitante, o identificador da sessão, o prefixo do IP e o navegador declarado (user agent). Ficam guardados o modo escolhido, a origem da escolha, a versão e o texto do aviso exibido e a data — que sozinhos não identificam ninguém.

O motivo é o art. 37 da LGPD: o controlador precisa conseguir demonstrar depois que houve base legal enquanto o tratamento durou. Guardar a prova sem o titular atende às duas coisas ao mesmo tempo.

Essa última linha é importante no atendimento: apagar aqui não apaga o contato que já sincronizou para o seu CRM. Trate o CRM como um destino separado.

Trilha de auditoria

Abaixo do painel fica a Trilha de auditoria, com quatro colunas: Quando, Quem, O que e Titular. Os horários são sempre em horário de Brasília, e o titular aparece sempre mascarado — a prova não pode ser uma cópia nova do dado.

As ações registradas incluem "Exportou dados do titular", "Excluiu dados do titular" e as de equipe ("Convidou alguém", "Reenviou convite", "Cancelou convite", "Aceitou convite", "Mudou papel", "Removeu da equipe"). Quando ainda não houve nenhuma, a tela diz "Nenhum acesso a dado de titular registrado ainda."

O e-mail do encarregado

Logo abaixo do painel há o campo E-mail do encarregado. Ele é o canal que o widget publica no aviso de privacidade, como o link "Falar com o encarregado" ao lado da faixa de consentimento. Preencha com o endereço que a sua empresa usa para pedidos de titular (por exemplo, encarregado@suaempresa.com.br) e clique em Salvar contato.

Deixar em branco é uma escolha válida: o widget simplesmente não publica canal nenhum — e a pessoa fica sem para onde escrever.

Quando algo dá errado

• "A operação demorou demais. Tente novamente." — um titular com histórico muito longo pode estourar o limite de 5 minutos da tela. Tente de novo; se insistir, fale com o suporte.
• "Nada foi alterado. Tente de novo." — o pedido parou antes de mexer em qualquer coisa. Repetir não custa nada e é o caminho certo.
• "A exclusão começou e não terminou. O visitante pode estar com uma visita em andamento: aguarde alguns minutos e repita o pedido — ele continua de onde parou." — parte dos dados já saiu. Repetir é necessário, e cada tentativa avança do ponto em que a anterior parou; nada é apagado duas vezes. A causa mais comum é a pessoa estar navegando no seu site neste momento: enquanto a aba dela estiver aberta, a gravação da sessão continua sendo enviada, e cada nova parte chega depois de a exclusão ter limpado as anteriores. Por isso a espera — cinco ou dez minutos costumam bastar. Se a mensagem se repetir por horas, fale com o suporte.
• "Este titular tem gravações demais para apagar pela tela. Fale com o suporte." — o volume de gravações de sessão desta pessoa não cabe num pedido feito pelo painel. Nada foi alterado; o suporte conclui a exclusão por outro caminho.
• "Pode haver uma exclusão em andamento para este titular; aguarde alguns minutos e tente de novo." — quase sempre é isso mesmo: alguém (você em outra aba, ou outra pessoa da equipe) já disparou a exclusão desta mesma pessoa e ela ainda está rodando. Nada de errado aconteceu: espere a primeira terminar — uma exclusão pode levar até 5 minutos quando há muitas gravações de sessão. A frase diz "pode haver" porque, mais raramente, a reserva pode ter ficado presa depois de uma falha de rede; nesse caso ela se solta sozinha em até 5 minutos e o pedido passa na tentativa seguinte. Nos dois casos o que fazer é o mesmo: esperar alguns minutos.
• "A exclusão não foi iniciada: não deu para garantir que não há outra em andamento. Tente de novo em alguns minutos." — um serviço interno de que a exclusão depende não respondeu, e o produto não começa a apagar sem ter certeza de que não há outro pedido do mesmo titular em curso. Nada foi alterado. Tente de novo em alguns minutos; se insistir, fale com o suporte. (Procurar e baixar dados continuam funcionando normalmente — só a exclusão é que espera.)
• "Os dados foram excluídos, mas o cache de enriquecimento não foi invalidado. Avise o suporte." — a exclusão aconteceu no banco, e uma cópia temporária dos dados enriquecidos pode seguir disponível por até 24 horas. Não repita a exclusão; avise o suporte.
• "Os dados foram excluídos, mas o registro do pedido não foi gravado. Avise o suporte." — a exclusão aconteceu; o que faltou foi o registro do atendimento. Não repita a exclusão; avise o suporte para regularizar o registro.

Em três dessas mensagens — as duas que começam com "Os dados foram excluídos, mas…" e a de "gravações demais" — o aviso aparece destacado e a tela limpa o resultado da busca: os botões "Baixar dados" e "Excluir tudo" somem junto. É de propósito, e o motivo é o mesmo nas três: repetir não resolve. Nas duas primeiras porque a exclusão já foi cumprida e o que faltou não se conserta clicando de novo; na de volume porque o limite é do sistema e não muda de uma tentativa para a outra. Um botão vermelho sobre as contagens antigas convidaria a fazer exatamente o que a mensagem pede para não fazer. Nos outros casos — os que mandam repetir —, o resultado continua na tela e o botão continua lá.

• "Identificador inválido para esse tipo." — o valor não tem a forma do tipo escolhido (um telefone sem DDD, por exemplo). Confira o tipo selecionado.

Veja também

• Retenção de dados
• Equipe e papéis
• Política de privacidade modelo

Precisa de ajuda?

Fale com o suporte da Data Stone pelo canal combinado com a sua conta. Informe a data e a hora do pedido e o identificador mascarado que apareceu na tela — nunca o valor completo do titular.