1. Escopo, LGPD e papéis
Esta política explica como o UsaAí BSP trata dados pessoais e técnicos necessários para oferecer uma plataforma de conexão com a WhatsApp Business Platform, integrações e sistemas de atendimento. Ela observa a Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018 (LGPD) e normas aplicáveis.
A UsaAí é controladora dos dados necessários para administrar sua relação direta com usuários, como conta, autenticação, segurança, cobrança e suporte. Quando uma empresa cliente usa a plataforma para atender seus próprios contatos, ela define as finalidades essenciais do atendimento e, em regra, atua como controladora. Nessa operação, a UsaAí atua como operadora técnica, limitada às instruções documentadas, ao contrato e à legislação.
2. Dados tratados
- Conta e autenticação: e-mail, identificador Firebase, nome quando informado, método de login, estado da conta e datas de criação e atualização.
- Instâncias: nome, proprietário, modalidade de conexão, estado, identificadores técnicos da Meta, número mascarado, estado do webhook e referência de credencial.
- Operação e segurança: data/hora, registros técnicos mínimos, trace_id, eventos de auditoria sanitizados, informações de prevenção a fraude e dados necessários para diagnosticar falhas.
- Billing: intenção de pagamento, status, valores e referências de cobrança necessários à operação comercial. Dados financeiros completos são tratados pelo provedor de pagamento quando aplicável.
- Tráfego transitório: mensagens, anexos e eventos podem passar pela camada de tráfego quando indispensável à entrega solicitada, conforme o conector e o fluxo contratado.
3. Finalidades e bases legais
Tratamos dados para criar e proteger contas, autenticar usuários, administrar instâncias e números, configurar integrações, encaminhar comunicações solicitadas, processar cobrança, prestar suporte, cumprir obrigações legais, manter registros de segurança e prevenir fraude ou abuso.
As bases legais podem incluir execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos e legítimo interesse para segurança, estabilidade e prevenção a fraude. Quando o consentimento for necessário, ele será solicitado de forma livre, informada e registrável.
4. Minimização e retenção transitória
A arquitetura do UsaAí BSP separa Control Plane e Traffic API. O Control Plane mantém metadados de conta, instância, número conectado, integração e prontidão. O plano de tráfego processa eventos para entrega e pode manter registros técnicos mínimos de idempotência, entrega e auditoria.
Mensagens e anexos podem ser recebidos, transformados e encaminhados pelo tempo técnico necessário, mas não são mantidos como histórico próprio de conversas. Não usamos conteúdo de mensagens para publicidade comportamental, venda de dados, treinamento de modelos ou perfilamento comercial.
5. O que não armazenamos como produto
Não armazenamos como produto histórico de chats, fotos, áudios, vídeos, documentos, contatos de clientes finais, QR Codes de sessão ou payloads brutos de webhook. Tokens Meta não devem ser enviados ao navegador e não são gravados em texto claro no Firestore; credenciais ficam em mecanismo de segredo apropriado ou são representadas por referência protegida.
6. Infraestrutura e fornecedores
Podemos compartilhar o mínimo necessário com Meta/WhatsApp Business Platform, Firebase/Google, Google Secret Manager, provedor de hospedagem, provedor de pagamento e sistema de atendimento ou integração escolhido pelo cliente. Cada fornecedor pode tratar dados sob seus próprios termos e políticas.
Não vendemos, alugamos ou comercializamos dados pessoais. O cliente deve avaliar e configurar integrações externas de acordo com suas obrigações de privacidade e segurança.
7. Transferências internacionais
Alguns fornecedores podem processar dados no Brasil ou em outros países conforme sua infraestrutura. Quando houver transferência internacional, ela será limitada ao necessário, terá finalidade legítima e observará a LGPD e as regras da ANPD. Informações adicionais podem ser solicitadas pelo canal de contato.
8. Segurança
Adotamos controles proporcionais ao risco, incluindo autenticação, escopo por proprietário da instância, regras de banco, validação de tokens no servidor, separação entre portal e API, referências protegidas para segredos, mascaramento de telefone e sanitização de logs. Nenhuma medida é absoluta; usuários devem proteger senhas, tokens, chaves privadas e códigos de autenticação.
9. Incidentes
Em caso de incidente relevante, adotaremos contenção, investigação, correção e comunicação compatíveis com a legislação, o contrato e o papel exercido no tratamento. Quando aplicável, cooperaremos com o cliente controlador para avaliação de impacto, resposta a titulares e comunicação à autoridade competente.
10. Direitos dos titulares
O titular pode solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação quando aplicável, informação sobre compartilhamento e portabilidade nos termos legais. Para dados de contatos tratados pela empresa cliente, a solicitação deve ser direcionada inicialmente à empresa que controla aquele atendimento; a UsaAí cooperará tecnicamente quando aplicável.
Solicitações sobre dados da conta UsaAí, dúvidas ou incidentes devem ser enviadas para contato@usaai.com.br. Podemos solicitar informações para confirmar a identidade e proteger os dados.
11. Retenção e exclusão
Dados de conta e configuração são mantidos enquanto a conta ou instância estiver ativa e, depois, somente pelo período necessário para suporte, segurança, prevenção a fraude, obrigações legais ou exercício de direitos. O cliente pode solicitar exclusão da conta e das instâncias pelo canal de contato, respeitadas hipóteses legais de conservação e registros técnicos necessários.
12. Cookies, navegação e menores
A página institucional não foi projetada para criar perfis publicitários próprios. Hospedagem, segurança, fontes e ferramentas técnicas podem registrar IP, agente do navegador, data/hora e eventos de segurança. Se forem adicionados cookies não essenciais ou análises que exijam consentimento, esta política será atualizada.
A plataforma é destinada a empresas e usuários autorizados. Não é projetada para coleta intencional de dados de crianças e adolescentes.
13. Responsabilidade do cliente
O cliente é responsável por sua base legal, transparência, consentimentos, lista de destinatários, conteúdo, templates, automações, integrações e atendimento das solicitações dos titulares. Também deve respeitar políticas da Meta/WhatsApp, leis aplicáveis e direitos de terceiros.
14. Meta, WhatsApp e Coexistence
A UsaAí não é Meta ou WhatsApp e não garante aprovação de contas, números, templates ou mensagens. API Oficial e Coexistence são modalidades distintas. Coexistence depende de elegibilidade e autorização da Meta; quando a funcionalidade estiver desabilitada no ambiente, o UsaAí não inicia migração, sessão ou conexão externa.
15. Atualizações
Podemos atualizar esta política para refletir mudanças legais, técnicas, de segurança ou do serviço. A versão vigente ficará publicada nesta rota com sua data. Alterações materiais serão comunicadas de forma apropriada quando exigido por lei ou contrato.