Política de privacidade

Esta Política explica como [RAZÃO SOCIAL], inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO COMPLETO] trata dados pessoais no ZapinApi, conforme a Lei nº 13.709/2018 (LGPD).

• Dados da conta (cadastro, login, cobrança, suporte, segurança): somos CONTROLADORES. Decidimos como e por que tratamos esses dados.
• Mensagens e contatos de terceiros trafegados pelas instâncias (números, nomes, conteúdo e mídia de quem conversa com o Cliente): o Cliente é o CONTROLADOR e nós somos OPERADORES. Tratamos esses dados somente para executar o Serviço, segundo as instruções do Cliente e o Acordo de Tratamento de Dados (DPA).

Se você conversou com uma empresa que usa o nosso Serviço e quer exercer seus direitos sobre essas mensagens, procure essa empresa. Se nos procurar, encaminharemos o pedido ao Cliente responsável.

• Conta: nome, e-mail, senha (somente hash Argon2id), identificador do login Google/Microsoft, organização e papel na equipe.
• Cobrança: razão social ou nome, CPF/CNPJ, endereço e dados de faturamento. Dados de cartão são coletados diretamente pelo Asaas; não os armazenamos.
• Segurança e uso: IP, agente do navegador, dispositivos conectados, registro de auditoria, contadores de uso e métricas técnicas.
• Credenciais: tokens de instância, API keys e segredos de webhook, guardados apenas como hash.
• Instâncias (como operadores): número conectado, chaves de sessão do WhatsApp, mensagens recebidas e enviadas, mídia, contatos, grupos e eventos de entrega do webhook.

Os registros técnicos (logs) não contêm números de telefone, texto de mensagens, QR Code nem tokens.

• Prestar o Serviço, criar e manter a conta e as instâncias — execução de contrato (art. 7º, V).
• Cobrar, emitir nota fiscal e cumprir obrigações fiscais — execução de contrato e cumprimento de obrigação legal (art. 7º, II e V).
• Prevenir fraude, abuso, spam e incidentes de segurança; manter auditoria — legítimo interesse (art. 7º, IX) e obrigação legal (Marco Civil da Internet, art. 15, quanto a registros de acesso).
• Comunicações transacionais (confirmação de e-mail, avisos de cobrança, alertas de instância) — execução de contrato.
• Comunicações de marketing — consentimento, revogável a qualquer momento.
• Mensagens de terceiros — conforme a base legal definida pelo Cliente, que é o controlador.

• Histórico de mensagens e eventos das instâncias: 30 dias por padrão, configurável pelo Cliente. Depois disso é apagado automaticamente.
• Entregas de webhook já confirmadas seguem o mesmo prazo do histórico; entregas na fila de falhas (DLQ) ficam até o reenvio ou até o fim do prazo.
• Conta cancelada: dados da conta e das instâncias purgados em até 30 dias após o cancelamento. Conta suspensa por falta de pagamento: dados retidos por até 30 dias.
• Registros de acesso: 6 meses (Marco Civil da Internet). Dados fiscais e de cobrança: pelo prazo legal (em regra, 5 anos).
• Backups: sobrescritos em ciclo de até [35] dias; dados apagados deixam de existir nos backups ao fim desse ciclo.

Não vendemos dados pessoais. Compartilhamos apenas o necessário com:

• Asaas — processamento de pagamentos (Pix, boleto e cartão) e emissão de cobranças.
• Resend — envio de e-mails transacionais (somente endereço de e-mail e conteúdo do aviso).
• [PROVEDOR DE HOSPEDAGEM] — servidores e banco de dados, em [REGIÃO/PAÍS].
• Google e Microsoft — somente quando você escolhe entrar com essas contas.
• WhatsApp/Meta — as mensagens que o Cliente envia trafegam pela rede do WhatsApp, sob as regras dele.
• Autoridades — quando exigido por lei ou ordem judicial.

A lista atualizada fica nesta página; mudanças de suboperador são comunicadas aos Clientes com antecedência, conforme o DPA. Se algum suboperador tratar dados fora do Brasil, adotamos as salvaguardas do art. 33 da LGPD.

Como titular, você pode pedir: confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamento, revogação do consentimento e revisão de decisões automatizadas (art. 18 da LGPD).

Pedidos sobre dados da conta: pelo painel (exportar e excluir conta) ou pelo e-mail do encarregado. Respondemos em até 15 dias. Clientes podem solicitar a exportação dos dados das suas instâncias pelo mesmo canal.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

Encarregado pelo tratamento de dados pessoais: [NOME DO ENCARREGADO] — [E-MAIL DO ENCARREGADO].

• Tráfego somente por HTTPS/TLS; rede interna privada entre os serviços.
• Criptografia em repouso do disco do banco e dos backups; criptografia adicional de colunas sensíveis.
• Senhas com Argon2id; tokens, API keys e segredos guardados só como hash.
• Isolamento entre clientes verificado no banco e no código; acesso administrativo restrito, com auditoria.
• Logs sem telefone, texto, QR Code ou token.
• Plano de resposta a incidentes, com comunicação à ANPD e aos titulares quando exigido (art. 48).

Usamos apenas o cookie essencial de sessão do painel (httpOnly, seguro, sem acesso por JavaScript). Não usamos cookies de publicidade. Se passarmos a usar métricas de terceiros, pediremos consentimento.

Podemos atualizar esta Política. Mudanças relevantes são avisadas por e-mail e no painel com antecedência. A data da última atualização fica no topo.