1. Quem é quem
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) separa quem decide sobre o tratamento, o controlador, de quem trata em nome dele, o operador. No BotoZap os papéis dependem do dado.
- Contatos, conversas, mensagens e mídia: o BotoZap é operador. Quando você usa o BotoZap para o seu próprio negócio, você é o controlador.
- Agências: quando você atende negócios de terceiros, em geral o controlador é o negócio atendido. Você age como operador em nome dele, com autorização para contratar o BotoZap como suboperador, e as suas instruções valem como instruções do negócio. Se você mesmo decide sobre os dados, é o controlador.
- Dados da sua conta (nome, e-mail, WhatsApp do cadastro, login, equipe, cobrança e registros de acesso): o BotoZap é o controlador.
Como operador, o BotoZap trata os dados dos seus contatos só para prestar o serviço, conforme as suas instruções (art. 39). Não vendemos esses dados e não os usamos para treinar modelos de IA.
2. Finalidades e bases legais
Onde o BotoZap é controlador, cada finalidade tem uma base legal do art. 7º. Onde é operador, a base legal é a sua, como controlador.
| Finalidade | Base legal |
|---|---|
| Criar e manter a conta, autenticar, dar suporte e enviar avisos de operação | Execução de contrato (art. 7º, V) |
| Cobrança, nota fiscal e guarda dos eventos de cobrança | Obrigação legal (art. 7º, II) e execução de contrato (art. 7º, V) |
| Registro de acesso (IP, data e hora de login e de chamadas à API) | Obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15) |
| Segurança e prevenção de fraude e abuso no cadastro e na garantia de 7 dias | Legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI) |
| Comprovante de que um pedido de exclusão foi atendido | Exercício regular de direitos (art. 7º, VI) |
| Lembretes de configuração no WhatsApp do cadastro | Consentimento (art. 7º, I), revogável em Parar avisos |
| Medição do site e de anúncios (Google Analytics, Google Ads, pixel e API de conversões da Meta) e telas do painel no PostHog | Consentimento (art. 7º, I), dado no aviso de cookies e revogável |
| Melhoria do produto com indicadores de uso da conta, só com códigos internos | Legítimo interesse (art. 7º, IX) |
| Atender quem pede a Verificação Garantida | Procedimentos preliminares a contrato, a pedido do titular (art. 7º, V) |
| Enviar e receber as mensagens dos seus contatos e operar os recursos da conta | A base legal do cliente controlador; o BotoZap atua como operador |
Como controlador, o BotoZap não trata dados sensíveis (art. 11). Se eles aparecerem nas conversas dos seus contatos, valem a sua base legal e os seus cuidados.
3. O que cabe a você, como controlador
- Ter base legal para falar com cada contato, inclusive o opt-in que a Meta exige.
- Informar os seus contatos sobre o tratamento, na sua própria política de privacidade.
- Atender os pedidos dos seus contatos. O BotoZap ajuda: você exporta, corrige e exclui contatos e conversas pelo painel ou pela API.
- Cuidar de dados sensíveis e de dados de crianças e adolescentes que cheguem pelas conversas (arts. 11 e 14).
- Decidir o que os agentes de IA podem fazer e acompanhar o que eles respondem.
- Dar acesso à conta só a quem precisa, no papel certo, e respeitar as recusas de mensagem dos contatos.
4. Direitos dos titulares e prazos
O titular pode pedir, a qualquer momento (arts. 18 e 20):
- confirmação de que tratamos dados dele e acesso a esses dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
- portabilidade;
- eliminação dos dados tratados com base no consentimento;
- informação sobre com quem compartilhamos os dados;
- informação sobre a possibilidade de não dar consentimento e sobre o que acontece nesse caso;
- revogação do consentimento e oposição ao tratamento;
- revisão de decisão tomada só por tratamento automatizado.
Como pedir: escreva para privacidade@botozap.com.br. Podemos pedir informações para confirmar a identidade de quem pede.
- Dados que o BotoZap controla (conta, cadastro, cobrança): respondemos em até 15 dias.
- Dados dos contatos de um cliente: repassamos o pedido ao cliente controlador em até 5 dias úteis, avisamos o titular do repasse e ajudamos o cliente a responder.
Exportar os dados e excluir a conta também são self-service para o Administrador, em Configurações.
5. Acordo de tratamento de dados (DPA)
Os Termos de Uso já definem os papéis de controlador e operador. Se a sua empresa precisa de um contrato à parte, o DPA está disponível a pedido, em privacidade@botozap.com.br.
Ele descreve a finalidade e as instruções do tratamento, a confidencialidade da equipe, os subprocessadores (com aviso de 30 dias), o aviso de incidente em até 48 horas, a ajuda com pedidos de titulares e a devolução e a eliminação dos dados no fim do contrato.
6. Transferência internacional
O banco de dados principal fica no Brasil, na região de São Paulo (AWS sa-east-1), operado pela Supabase, e o aplicativo e as filas de processamento também rodam em São Paulo. Alguns fornecedores tratam dados fora do Brasil:
- União Europeia: PostHog, na medição de uso do painel. A ANPD reconhece a União Europeia como destino com nível adequado de proteção (art. 33, I).
- Estados Unidos e outros países: Cloudflare, onde ficam, no leste da América do Norte, a mídia das conversas e a cópia de segurança diária do banco, ambas cifradas; Amazon SES, no envio de e-mail; OpenAI, no relatório diário, sem texto de conversa; e os serviços de notificação dos navegadores.
Os fornecedores fora da União Europeia têm contratos com cláusulas de proteção de dados, e a transferência segue o art. 33 da LGPD, em especial para executar o contrato (art. 33, IX, combinado com o art. 7º, V). A lista completa, com o local de cada fornecedor, está em Subprocessadores.
A Meta (WhatsApp e Instagram), o provedor de IA da sua chave, o ChatGPT, o Google e as integrações que você conecta recebem dados por decisão sua, como controlador, e seguem os termos que você aceitou com eles.
7. Encarregado
O encarregado pelo tratamento de dados pessoais (art. 41) é Fernando Gomes. Contato: privacidade@botozap.com.br. O aviso completo sobre os dados que tratamos está na Política de Privacidade.
Quem somos
O BotoZap é operado por BYTECRAFT CONSULTORIA EM TECNOLOGIA LTDA, CNPJ 57.564.014/0001-55. O encarregado pelo tratamento de dados pessoais é Fernando Gomes, em privacidade@botozap.com.br.
O assunto continua aqui
- Termos de Uso: As regras do contrato entre você e o BotoZap.
- Política de Privacidade: Quais dados tratamos, para quê e com quem.
- Segurança: Onde os dados ficam, quem acessa, criptografia, incidentes e vulnerabilidades.
- Retenção de dados: Quanto tempo cada dado fica guardado e o que sai na exclusão.
- Subprocessadores: As empresas que o BotoZap contrata para tratar dados dos seus contatos.
- Status do BotoZap: a situação de cada serviço agora, medida a cada minuto.