Segurança

1. Onde os seus dados ficam

• Banco de dados: na Supabase, sobre a infraestrutura da AWS, na região de São Paulo (sa-east-1). É onde ficam contas, contatos, conversas e mensagens.
• Aplicativo: o painel, a API e a entrada dos eventos da Meta rodam na Vercel, com as funções em São Paulo. A Cloudflare fica na frente do site e filtra o tráfego.
• Filas de processamento: rodam num servidor da Hostinger em São Paulo. Uma reserva na Fly.io, também em São Paulo, liga sozinha se o servidor principal parar.
• Mídia das conversas: fotos, áudios, vídeos e documentos ficam no Cloudflare R2, no leste da América do Norte, cifrados.
• Cópia de segurança do banco: fica num espaço separado do Cloudflare R2, no leste da América do Norte, cifrada antes de sair do servidor que faz a cópia.

A lista completa das empresas que tratam dados dos seus contatos, com o que cada uma faz e onde, está em Subprocessadores. Antes de incluir uma nova, avisamos todos os clientes com 30 dias de antecedência.

2. Criptografia

No caminho. Todo acesso ao site, ao painel e à API usa HTTPS, com TLS 1.2 ou superior. O site instrui o navegador a nunca abrir a conexão sem cifra (HSTS). As conexões do aplicativo com o banco, com o armazenamento e com a Meta também são cifradas.

Guardado. O banco fica em disco cifrado com AES-256. A mídia das conversas e os arquivos de exportação ficam no Cloudflare R2, que cifra cada arquivo com AES-256. Os tokens de acesso da Meta e as chaves dos provedores de IA ficam num cofre cifrado (Vault), separado dos demais dados. A cópia de segurança é cifrada com uma chave que não fica no servidor que faz a cópia: quem invadisse esse servidor não conseguiria ler as cópias.

3. Quem entra na sua conta

Cada conta só enxerga os próprios dados. O BotoZap confere a conta em cada leitura e em cada escrita, no painel e na API.

• Entrada com código. O login é por um código enviado ao seu e-mail. Com a verificação em duas etapas, a pessoa também digita o código de um aplicativo autenticador no celular. Ela está em todos os planos, e o Administrador pode exigi-la de toda a equipe. Para ativar, entre no painel e abra Segurança da conta, no menu da sua foto.
• Dois papéis. O Operador faz o trabalho do dia a dia de ponta a ponta. O Administrador faz o mesmo e cuida do que apaga de vez, de desconectar canais, do plano e da cobrança, da equipe e das chaves.
• Chaves de API com limite. Cada chave só faz o que as permissões marcadas deixam e pode ficar restrita a uma lista de endereços IP. Chamada de fora da lista é recusada.
• Registro de atividades. O Administrador vê quem fez o quê na conta: convites, papéis, chaves, canais, webhooks, exportações, plano e quem abriu cada conversa. Ninguém edita esse registro.

Acesso a dado de cliente exige aprovação nominal, é temporário e fica registrado. Ninguém da equipe lê conversa de cliente fora de um chamado aberto por você.

4. O que fica registrado

• Registro de acesso: cada login (usuário, endereço IP, data e hora) e cada chamada à API (chave, endereço IP, método, caminho, data e hora). Fica guardado por 6 meses, como pede o art. 15 do Marco Civil da Internet, inclusive depois da exclusão da conta. O conteúdo das chamadas não é guardado.
• Registro de atividades da equipe: fica 12 meses e sai junto com a conta. Nunca guarda senhas, chaves, tokens nem o texto das conversas.

Os prazos de todos os dados estão em Retenção de dados.

5. Cópia de segurança

Todo dia o banco inteiro é copiado, cifrado e guardado fora da Supabase, no Cloudflare R2. Cada cópia expira sozinha em 30 dias. Ela existe para recuperar o serviço, e a restauração é testada. Além dela, a Supabase mantém o próprio backup diário do banco.

6. Aviso de incidente

Se um incidente de segurança atingir dados ou o acesso da sua conta, avisamos os Administradores por e-mail em até 48 horas da confirmação. O aviso diz o que aconteceu, o que foi afetado, o que já fizemos e o que você deve fazer. Se ainda faltar alguma informação, o primeiro aviso sai no prazo mesmo assim, e o restante vem depois.

Quando somos controladores dos dados afetados, comunicamos a ANPD e os titulares no prazo legal (art. 48 da LGPD). Quando os dados são dos seus contatos, você é o controlador: entregamos as informações para você fazer essa comunicação e ajudamos no que for preciso.

7. Encontrou uma vulnerabilidade?

Se você achou uma falha de segurança no BotoZap, queremos saber antes de qualquer outra pessoa. Escreva para privacidade@botozap.com.br, em português ou em inglês. Não abra issue pública nem divulgue detalhes antes da correção.

O que pedimos

• Conte o que encontrou, onde, e os passos para reproduzir.
• Teste só com contas suas ou com a autorização de quem é dono da conta.
• Pare quando provar que a falha existe, sem copiar nem guardar dados de terceiros.
• Não degrade o serviço: sem negação de serviço e sem envio em massa.
• Não use engenharia social contra a nossa equipe ou os nossos clientes, nem ataque físico.
• Dê um prazo razoável para corrigirmos antes de divulgar.

O que você recebe

• Resposta em até 5 dias úteis.
• Atualizações quando confirmarmos a falha e quando ela for corrigida.
• Correção em prazo proporcional à gravidade: o que expõe dados de clientes passa na frente de tudo.
• Crédito público, se você quiser ser citado.

Porto seguro. Não acionamos, judicial ou administrativamente, quem relata de boa-fé dentro destas regras. Este compromisso é do BotoZap e não vale em nome de clientes, da Meta ou de autoridades. Se você acessar dados de outra pessoa por acidente, pare, não compartilhe e conte no mesmo relato.

Relatório automático de ferramenta sem prova de exploração e falhas em serviços de terceiros (Meta, WhatsApp, Google, Asaas) ficam de fora: esses vão direto ao fornecedor. O endereço de contato também está em /.well-known/security.txt.

8. Disponibilidade

Medimos a disponibilidade e publicamos em status.botozap.com.br. A página confere a cada minuto o site e o painel, a API e o envio de mensagens, o banco de dados e a integração com IAs, e mostra a situação de cada um.

9. Seus dados continuam com você

• Exportação a qualquer momento. O Administrador baixa contatos, conversas com mensagens e o registro de envio em Configurações › Exportar dados, ou pela API. O arquivo fica disponível por 7 dias.
• Cancelar o plano não apaga nada. A conta segue no plano Free, com os dados guardados.
• Excluir a conta tem prazo para voltar atrás. Depois do pedido, a conta fica 30 dias em somente leitura: a exportação continua liberada e o pedido pode ser cancelado.
• Se o BotoZap encerrar as operações, avisamos os Administradores com pelo menos 90 dias de antecedência, mantemos a exportação liberada nesse período e devolvemos a parte proporcional do que foi pago por período que não será prestado.

Quem somos

O BotoZap é operado por BYTECRAFT CONSULTORIA EM TECNOLOGIA LTDA, CNPJ 57.564.014/0001-55. O encarregado pelo tratamento de dados pessoais é Fernando Gomes, em privacidade@botozap.com.br.

O assunto continua aqui

• Termos de Uso: As regras do contrato entre você e o BotoZap.
• Política de Privacidade: Quais dados tratamos, para quê e com quem.
• Retenção de dados: Quanto tempo cada dado fica guardado e o que sai na exclusão.
• LGPD: Papéis, bases legais, direitos dos titulares, DPA e encarregado.
• Subprocessadores: As empresas que o BotoZap contrata para tratar dados dos seus contatos.
• Status do BotoZap: a situação de cada serviço agora, medida a cada minuto.