1. O que é um subprocessador
Nos dados dos seus contatos e conversas, você é o controlador e o BotoZap é o operador (veja LGPD). Para o serviço funcionar, o BotoZap contrata algumas empresas que também tratam esses dados. Elas são os subprocessadores. Cada uma recebe só o que precisa para a sua parte do trabalho, sob obrigações de segurança e confidencialidade.
2. A lista
Supabase (sobre a AWS)
- O que faz
- Banco de dados, login, cofre de tokens e filas
- Onde
- Brasil (São Paulo, AWS sa-east-1)
- Dados
- Tudo o que o BotoZap guarda: contas, equipe, contatos, conversas, mensagens e, no cofre cifrado, tokens da Meta e chaves de IA
Vercel
- O que faz
- Hospedagem do painel, da API, da entrada de eventos da Meta e das rotinas agendadas
- Onde
- Brasil (funções em São Paulo); rede de entrega mundial
- Dados
- Os dados de cada requisição, enquanto ela é atendida, e registros de execução
Cloudflare
- O que faz
- Armazenamento da mídia (R2), cópia de segurança diária do banco, DNS e proteção do site
- Onde
- Leste da América do Norte (EUA), para a mídia e a cópia do banco; a proteção do site roda na rede mundial da Cloudflare
- Dados
- Fotos, áudios, vídeos e documentos das conversas e a cópia do banco, cifrados; o tráfego do site passa pela proteção dela
Hostinger
- O que faz
- Servidor das filas de processamento
- Onde
- Brasil (São Paulo)
- Dados
- Mensagens que entram e saem, mídia, rotinas dos agentes de IA e exclusão de conta, durante o processamento
Fly.io
- O que faz
- Reserva das filas de processamento, que liga se o servidor principal parar
- Onde
- Brasil (São Paulo)
- Dados
- Os mesmos dados do servidor principal, só quando a reserva está ligada
Amazon SES
- O que faz
- E-mail transacional: convites, avisos de cobrança e de limite, relatório diário, avisos de incidente
- Onde
- Estados Unidos
- Dados
- Nome e e-mail de quem recebe e o conteúdo do aviso
Upstash
- O que faz
- Limite de requisições e bloqueio de abuso
- Onde
- Brasil (São Paulo, AWS sa-east-1)
- Dados
- Endereço IP, códigos internos da conta ou do usuário e contadores de limite de uso, que expiram sozinhos. Nunca conteúdo de conversa
Asaas
- O que faz
- Cobrança da assinatura (Pix e cartão)
- Onde
- Brasil
- Dados
- Nome ou razão social, e-mail e CPF ou CNPJ de quem assina, valores e situação do pagamento
PostHog
- O que faz
- Medição de uso do painel
- Onde
- União Europeia
- Dados
- Telas e cliques sem o texto, com dados pessoais mascarados nas gravações; códigos internos da conta e do plano. Nunca nome, e-mail, telefone, contatos ou mensagens
OpenAI (relatório diário)
- O que faz
- Redigir a análise do relatório diário, com a chave do próprio BotoZap
- Onde
- Estados Unidos
- Dados
- Indicadores do dia e saúde dos números de WhatsApp. Sem texto de conversa nem dados de contatos
Serviços de notificação dos navegadores (Google, Apple, Mozilla)
- O que faz
- Entregar as notificações no aparelho de quem as ativou
- Onde
- Mundial
- Dados
- Aviso curto cifrado e o endereço de entrega do aparelho
Como cada transferência para fora do Brasil é amparada está em LGPD, transferência internacional.
3. Quem não entra na lista
- Meta (WhatsApp e Instagram): você contrata o uso do WhatsApp Business e do Instagram diretamente com a Meta, e os termos dela regem o tratamento que ela faz das mensagens.
- Serviços que você escolhe: o provedor de IA da sua chave (OpenAI ou Anthropic), o ChatGPT conectado por você, a sua conta Google (Agenda e Meet) e os webhooks e integrações que você cadastra. Eles recebem dados por decisão sua e seguem os termos que você aceitou com eles.
4. Quando a lista muda
Antes de incluir ou trocar um subprocessador, ou de mudar o país onde um deles trata os dados, avisamos os Administradores de todas as contas por e-mail com pelo menos 30 dias de antecedência, dizendo quem é, o que vai fazer, onde e com que dados. Esta página é atualizada na mesma data.
Numa emergência, quando um fornecedor deixa de prestar o serviço sem alternativa, podemos ativar o substituto antes do prazo. Nesse caso avisamos no mesmo dia, com o motivo.
Quem não concordar pode cancelar o plano nos 30 dias seguintes ao aviso.
Quem somos
O BotoZap é operado por BYTECRAFT CONSULTORIA EM TECNOLOGIA LTDA, CNPJ 57.564.014/0001-55. O encarregado pelo tratamento de dados pessoais é Fernando Gomes, em privacidade@botozap.com.br.
O assunto continua aqui
- Termos de Uso: As regras do contrato entre você e o BotoZap.
- Política de Privacidade: Quais dados tratamos, para quê e com quem.
- Segurança: Onde os dados ficam, quem acessa, criptografia, incidentes e vulnerabilidades.
- Retenção de dados: Quanto tempo cada dado fica guardado e o que sai na exclusão.
- LGPD: Papéis, bases legais, direitos dos titulares, DPA e encarregado.
- Status do BotoZap: a situação de cada serviço agora, medida a cada minuto.