Política de Privacidade

1. Controladora e Operadora de Dados

O cliente funciona como Controlador dos dados dos Usuários Finais, enquanto a WaBlast atua como Operadora em relação a esses dados, em conformidade com a Lei nº 13.709/2018 (LGPD).

2. Dados Coletados

2.1 Dados do Contratante

• Informações cadastrais: razão social/nome, CNPJ/CPF, endereço, e-mail, telefone
• Dados de acesso: IP de login, dispositivo, navegador, timestamps de sessão
• Dados financeiros: informações de pagamento tokenizadas (não armazenamos dados brutos de cartão)
• Dados de uso: logs de requisições às APIs, templates, volumes de envio, relatórios

2.2 Dados dos Usuários Finais

• Número de telefone (WhatsApp)
• ID de usuário do Facebook/Instagram (quando aplicável)
• Conteúdo das mensagens trocadas
• Metadados de entrega: timestamps, status de leitura, erros de envio

2.3 Dados Técnicos das APIs Meta

• Tokens de acesso (criptografados em repouso com AES-256-GCM)
• IDs de contas de negócios (WABA ID, Phone Number ID, Business ID)
• Webhooks recebidos da Meta

3. Finalidades e Bases Legais

O tratamento de dados ocorre conforme Art. 7 da LGPD:

• Execução de contrato (Art. 7, V): prestação dos serviços contratados
• Consentimento (Art. 7, I): especialmente para comunicações de marketing
• Legítimo interesse (Art. 7, IX): melhorias na Plataforma, prevenção a fraudes e mensuração dos nossos próprios anúncios (saber quais campanhas geraram cadastros e assinaturas)
• Cumprimento de obrigação legal (Art. 7, II): requisitos fiscais, contábeis e regulatórios

4. Compartilhamento de Dados

A WaBlast compartilha dados nas seguintes situações:

• Meta Platforms, Inc.: dados necessários para funcionamento das APIs conforme integração
• Meta Platforms, Inc. (mensuração de anúncios): quando o Contratante se cadastra ou assina um plano, enviamos à Meta, pelo Pixel da Meta e pela API de Conversões, o evento ocorrido (cadastro ou compra, com valor e moeda) e dados para associá-lo ao anúncio que o originou: e-mail e telefone em formato criptografado irreversível (hash SHA-256), identificador interno da conta também em hash, endereço IP e navegador (user agent) do momento do cadastro e os cookies _fbp/_fbc do Pixel. Esses dados são usados exclusivamente para medir e otimizar os anúncios da própria WaBlast. O IP e o navegador do cadastro ficam guardados apenas para essa finalidade e são eliminados quando a conta é eliminada, conforme a seção 6.
• Google (Google Ads e Google Analytics): eventos de navegação, cadastro e compra são enviados por meio do Google Tag Manager para medir o desempenho dos anúncios e o uso do site.
• Provedores de infraestrutura: servidores em nuvem, processadores de pagamento e ferramentas de monitoramento sob acordos de confidencialidade
• Autoridades públicas: quando exigido por lei, ordem judicial ou requisição de autoridade competente
• Sucessores: em caso de fusão ou aquisição, mediante notificação prévia

Declaração importante: a WaBlast não vende, aluga ou comercializa dados pessoais de clientes ou Usuários Finais com terceiros para fins publicitários. O envio descrito acima, à Meta e ao Google, serve apenas para medir os anúncios da própria WaBlast; esses dados não são usados para anunciar produtos de terceiros.

5. Transferência Internacional de Dados

Dados pessoais podem ser transferidos para fora do Brasil devido à integração com infraestrutura Meta (EUA) e provedores de nuvem internacionais, com base em:

• Cláusulas contratuais padrão aprovadas pela ANPD (quando disponíveis)
• Standard Contractual Clauses (SCCs) para transferências à União Europeia
• Adequação de nível de proteção reconhecida pelas autoridades competentes

6. Retenção de Dados

Os dados pessoais são retidos pelo tempo necessário para cumprir as finalidades de coleta, respeitando obrigações legais e regulatórias:

• Contas ativas: mantidos durante vigência contratual
• Após encerramento da conta: eliminados em até 90 dias
• Dados fiscais/contábeis: 5 anos conforme legislação tributária
• Logs de segurança: 6 meses para auditoria

Detalhes sobre exclusão de conta em /data-deletion.

7. Segurança dos Dados

A WaBlast adota medidas técnicas e organizacionais:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256-GCM)
• Autenticação multifator (MFA) para acesso ao painel administrativo
• Controles de acesso baseados em perfil (RBAC) com princípio do mínimo privilégio
• Monitoramento contínuo de segurança com alertas automáticos de anomalias
• Testes periódicos de penetração (pentests) e auditorias de segurança
• Plano de resposta a incidentes documentado e testado

Notificação de incidentes: em caso de incidente de segurança que possa afetar dados pessoais, a WaBlast notificará o Contratante em até 72 horas e a ANPD conforme exigido pela LGPD.

8. Direitos dos Titulares de Dados

Conforme LGPD (Art. 18) e GDPR, os titulares possuem direitos para:

• Confirmação e Acesso: confirmar existência de tratamento e obter cópia dos dados
• Correção: solicitar correção de dados incompletos, inexatos ou desatualizados
• Anonimização, Bloqueio ou Eliminação: de dados desnecessários ou tratados em desconformidade
• Portabilidade: receber dados em formato estruturado e interoperável
• Eliminação: solicitar exclusão de dados tratados com base em consentimento
• Informação sobre Compartilhamento: saber com quais entidades os dados são compartilhados
• Revogação do Consentimento: a qualquer momento, sem prejuízo a tratamentos anteriores
• Oposição: contestar tratamentos baseados em legítimo interesse

Exercício de direitos pelo canal do Encarregado (DPO) descrito na seção 12. Resposta garantida em até 15 dias úteis.

9. Cookies e Tecnologias de Rastreamento

A WaBlast utiliza cookies para:

• Cookies essenciais: autenticação e funcionamento básico do painel
• Cookies analíticos: medir uso da Plataforma (dados anonimizados ou pseudonimizados)
• Cookies de preferências: salvar configurações do usuário
• Cookies de publicidade e mensuração: Pixel da Meta (cookies _fbp e _fbc) e tags do Google Ads/Google Analytics, usados para saber quais anúncios da WaBlast geraram visitas, cadastros e assinaturas (ver seção 4)

O Contratante pode gerenciar preferências de cookies pelo painel de configurações ou opções do navegador. O bloqueio de cookies essenciais pode impactar o funcionamento da Plataforma.

10. Menores de Idade

A Plataforma não é direcionada a pessoas menores de 18 anos. A WaBlast não coleta intencionalmente dados de menores. Caso tome conhecimento de coleta de dados de menor sem consentimento adequado, procederá à exclusão imediata.

11. Atualizações desta Política

A Política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas ao Contratante por e-mail com antecedência mínima de 15 dias. A versão mais recente estará sempre disponível no site e painel da Plataforma com indicação da data de vigência.

12. Contato e Canal do Encarregado (DPO)

Para exercer direitos ou esclarecer dúvidas sobre tratamento de dados pessoais:

E-mail: [email protected]

Prazo de resposta: até 15 dias úteis.

Em caso de inadequação no tratamento, é possível peticionar à Autoridade Nacional de Proteção de Dados (ANPD) conforme Art. 18, §1 da LGPD.

13. Mensagens do Instagram

Quando o Contratante conecta uma conta profissional do Instagram à Plataforma, tratamos os dados abaixo, recebidos da Meta, exclusivamente para o atendimento das mensagens diretas (Direct) dessa conta.

O que armazenamos:

• Da conta conectada: ID da conta, nome de usuário, nome, endereço da foto de perfil, permissões concedidas e o token de acesso, guardado criptografado.
• Das conversas: mensagens diretas recebidas e enviadas pelo Inbox (texto, tipo, data e identificadores da Meta), endereços de mídia enviados pela Meta e toques nas perguntas prontas da conversa.
• De quem envia a mensagem: o identificador dessa pessoa no Instagram, fornecido pela Meta para a conta conectada, e o nome e o nome de usuário do perfil dela, obtidos da Meta na primeira mensagem.

Finalidade: exibir as mensagens diretas no Inbox da Plataforma e permitir que o Contratante responda dentro da janela de 24 horas definida pela Meta. Não usamos esses dados para publicidade e não os vendemos.

Por quanto tempo: enquanto a conta do Instagram estiver conectada e a conta do Contratante na Plataforma estiver ativa. Desconectar a conta pelo painel apaga o token de acesso na hora; o histórico de conversas continua no Inbox até que a exclusão seja pedida. Após o encerramento da conta na Plataforma, vale a seção 6.

Como pedir a exclusão: remova o WaBlast dos apps conectados nas configurações da sua conta do Instagram e solicite a exclusão dos dados, ou siga as instruções em /data-deletion.