Política de Privacidade

Última atualização: 18 de agosto de 2026. Esta Política descreve como o BotoZap trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados, a LGPD (Lei nº 13.709/2018) e com os termos da WhatsApp Business Platform da Meta.

1. Quem somos (controlador)

O BotoZap é uma plataforma de software como serviço (SaaS) operada por BYTECRAFT CONSULTORIA EM TECNOLOGIA LTDA, inscrita no CNPJ 57.564.014/0001-55, com sede em Rua Frei Clemente de Adorno, 681 – Jardim João XXIII, São Paulo/SP, CEP 05569-090. Contato: [email protected]. Sempre que esta Política mencionar “BotoZap”, “nós” ou “plataforma”, refere-se a essa pessoa jurídica.

2. Como o serviço funciona

O BotoZap é uma plataforma dev-first que atua como Tech Provider sobre a WhatsApp Cloud API oficial da Meta, em um modelo multi-tenant de dois níveis:

1. você, nosso cliente (desenvolvedor, agência ou SaaS), cria uma conta;
2. via Embedded Signup da Meta, você conecta as contas WhatsApp Business dos seus próprios clientes;
3. o BotoZap envia e recebe mensagens em nome desses números, oferecendo caixa de entrada, templates e APIs.

3. Dados que tratamos

3.1. Sua conta no BotoZap

• Nome, e-mail e WhatsApp de login; credenciais de autenticação;
• Dados de organização/workspace e configurações;
• Logs de uso, endereço IP, identificadores de sessão e auditoria;
• Dados de cobrança e faturamento (ex.: nome/razão social, CPF/CNPJ), quando aplicável. O pagamento ocorre no ambiente do processador: não armazenamos dados completos de cartão.

3.2. Credenciais e ativos da Meta/WhatsApp

• Tokens de acesso emitidos pela Meta, armazenados de forma cifrada (ver seção 8);
• Identificadores de WABA, números de telefone e templates de mensagem.

3.3. Conversas de WhatsApp (usuários finais)

Quando uma empresa atendida por você troca mensagens pelo número conectado, processamos em nome do cliente:

• conteúdo das mensagens (transcript de entrada e de saída);
• dados de contato do usuário final: identificador do WhatsApp (wa_id, que pode ser um BSUID e não um número de telefone), username público quando definido, número de telefone apenas quando o usuário o compartilha, e nome de perfil;
• mídia anexada (imagens, áudios, documentos, vídeos);
• metadados: horários, status (enviado/entregue/lido), identificadores.

O BotoZap não solicita nem incentiva o envio de dados sensíveis pelos usuários finais; o conteúdo das conversas é definido pelos participantes e pelo cliente controlador.

4. Papéis: Controlador e Operador

A LGPD distingue o controlador (quem decide sobre o tratamento) do operador (quem trata em nome do controlador). No BotoZap esses papéis variam conforme o dado:

• Dados da sua conta (nome, e-mail, login, faturamento, logs): o BotoZap é controlador.
• Mensagens, contatos e mídia dos usuários finais do WhatsApp: o BotoZap é operador (processador), tratando-os exclusivamente segundo as instruções do cliente, que é o controlador desses dados.

Como controlador dos dados dos usuários finais, você é responsável por definir finalidades e bases legais, obter consentimento/optin quando exigido, manter sua própria política de privacidade e responder, em primeira instância, às requisições dos titulares, com o nosso apoio. Esse arranjo operador/controlador é regido pelos Termos de Uso; um Acordo de Tratamento de Dados (DPA) pode ser fornecido sob demanda.

5. Finalidades e bases legais (LGPD, arts. 7º e 11)

• Criar e manter sua conta; autenticar: execução de contrato (art. 7º, V).
• Operar a integração com a WhatsApp Cloud API: execução de contrato (art. 7º, V); como operador, segundo instruções do controlador.
• Segurança, prevenção a fraude/abuso e auditoria: legítimo interesse (art. 7º, IX) e obrigação legal (art. 7º, II).
• Suporte e comunicação operacional: execução de contrato (art. 7º, V).
• Obrigações legais e fiscais; cobrança: obrigação legal (art. 7º, II) e execução de contrato (art. 7º, V).
• Melhoria do produto (métricas agregadas): legítimo interesse (art. 7º, IX).
• Marketing não essencial, quando houver: consentimento (art. 7º, I), revogável a qualquer tempo.

6. Compartilhamento e subprocessadores

Não vendemos dados pessoais. Compartilhamos apenas com as seguintes categorias de destinatários:

• Plataforma de mensageria: WhatsApp Cloud API (Meta): para enviar e receber mensagens em nome dos números conectados, segundo os termos da Meta.
• Infraestrutura de nuvem, banco de dados e armazenamento: hospedagem da aplicação e dos dados (contas, transcripts, mídia). O banco de dados e o Storage ficam hospedados no Brasil.
• E-mail transacional: mensagens operacionais (ex.: convites de equipe).
• Limitação de taxa e proteção contra abuso: processa IP e contadores temporários.
• Processamento assíncrono: filas de entrega e rotinas de manutenção (encaminhamento de eventos, download de mídia, exclusão programada), em infraestrutura hospedada no Brasil (São Paulo).
• Processador de pagamento: cobrança de assinatura da plataforma (Pix, boleto e cartão). Está estabelecido no Brasil e recebe apenas os dados necessários à emissão e liquidação da cobrança.
• Autoridades públicas: quando exigido por lei ou ordem judicial.

Esses destinatários atuam como sub-operadores, sob compromissos contratuais de segurança e confidencialidade. A lista nominal e atualizada dos sub-operadores está disponível mediante solicitação ao Encarregado ([email protected]).

7. Transferência internacional (LGPD, arts. 33–36)

O banco de dados e o armazenamento de arquivos ficam hospedados no Brasil. Outros sub-operadores (mensageria WhatsApp/Meta, hospedagem da aplicação, e-mail transacional e proteção contra abuso) podem armazenar ou processar dados fora do Brasil, inclusive nos Estados Unidos. Quando há transferência internacional, ela se apoia nas hipóteses do art. 33 da LGPD, em especial garantias contratuais de cumprimento dos princípios e direitos da lei e/ou a necessidade para a execução do contrato com você.

8. Segurança (LGPD, arts. 46–49)

• Cifragem dos tokens da Meta em repouso (armazenados em um cofre de segredos cifrado (o Vault), isolado dos demais dados);
• Row-Level Security (RLS), garantindo que cada conta só acesse os próprios dados;
• tráfego cifrado em trânsito (HTTPS/TLS);
• controle de acesso, autenticação e logs de auditoria;
• backups regulares, isolamento de ambientes e monitoramento.

Em caso de incidente que possa gerar risco relevante, comunicaremos os afetados e a ANPD nos termos do art. 48 da LGPD.

9. Cookies

Usamos cookies e armazenamento local estritamente necessários para autenticar sua sessão e manter o painel funcionando. Você pode gerenciar cookies no navegador, ciente de que desativar os essenciais pode impedir o login.

Nas páginas públicas do site usamos também o Google Analytics para medir visitas e entender quais páginas funcionam. Esse cookie só é criado se você aceitar no aviso de cookies; recusar não limita nada no uso do site. Os dados de medição são processados pelo Google e podem ser transferidos para fora do Brasil (LGPD, art. 33). O Google Analytics não roda no painel logado nem nos fluxos de conexão do WhatsApp. Para trocar sua decisão a qualquer momento, reabrir o aviso de cookies.

10. Retenção e eliminação (LGPD, art. 16)

• Dados de conta: enquanto a conta estiver ativa e por período razoável após o encerramento, para fins legais e de segurança.
• Mensagens, contatos e mídia dos usuários finais: mantidos conforme a configuração e as instruções do cliente controlador, ou até o encerramento da conexão/conta.
• Tokens da Meta: revogados/excluídos ao desconectar a conta.
• Exclusão do workspace (self-service): o proprietário pode solicitar a exclusão definitiva em Configurações. Após a confirmação, há um prazo de cancelamento de 7 dias; vencido o prazo, mensagens, contatos, mídia, templates, webhooks, chaves e credenciais são eliminados definitivamente, e mantemos apenas um comprovante mínimo sem dados pessoais. Permanecem apenas os registros com guarda legal obrigatória (ex.: registros de acesso do Marco Civil e dados fiscais, quando houver).

Cessada a finalidade, os dados são eliminados ou anonimizados, ressalvadas as hipóteses de guarda do art. 16 da LGPD. A exclusão não alcança dados mantidos de forma independente pela Meta/WhatsApp (ex.: a conta WhatsApp Business no Business Manager), que seguem as políticas da Meta.

11. Seus direitos (LGPD, art. 18)

Você pode, a qualquer momento, exercer os direitos de:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• portabilidade a outro fornecedor;
• eliminação dos dados tratados com base no consentimento;
• informação sobre compartilhamento e sobre o não consentimento;
• revogação do consentimento e oposição ao tratamento.

Para exercê-los, escreva para [email protected]. Podemos pedir informações para confirmar sua identidade. A eliminação da conta também está disponível de forma self-service para o proprietário do workspace, em Configurações → Excluir workspace (com confirmação por e-mail e prazo de cancelamento).

Modelo Tech Provider: se a solicitação envolver mensagens, contatos ou mídia de uma conversa de WhatsApp, nesse tratamento o BotoZap é operador: encaminharemos a requisição ao cliente controlador responsável pelo número e o apoiaremos. Se você é usuário final, recomendamos contatar diretamente a empresa com quem conversou.

12. Encarregado (DPO), art. 41

Encarregado(a): Fernando Gomes, e-mail [email protected]. Você também pode apresentar reclamações à Autoridade Nacional de Proteção de Dados (ANPD).

13. Dados de crianças e adolescentes

O BotoZap é um produto B2B e não se destina a menores de 18 anos. Não coletamos intencionalmente dados de menores para a operação da conta. Qualquer dado de menor que eventualmente trafegue nas conversas de WhatsApp é de responsabilidade do cliente controlador, que deve observar o art. 14 da LGPD.

14. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças legais ou no serviço. A versão vigente é sempre a publicada nesta página, com a data de última atualização no topo. Mudanças relevantes serão comunicadas pelos canais usuais.

15. Contato

BYTECRAFT CONSULTORIA EM TECNOLOGIA LTDA, CNPJ 57.564.014/0001-55, Rua Frei Clemente de Adorno, 681 – Jardim João XXIII, São Paulo/SP, CEP 05569-090. E-mail [email protected].