Política de Privacidade — WL API
Versão: [VERSÃO] · Vigência a partir de: [DATA DE VIGÊNCIA]
Esta Política explica como a WL Serviços Digitais Ltda, CNPJ 41.508.381/0001-00, com sede em [ENDEREÇO], [CIDADE/UF] ("WL API", "nós"), trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados — LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014).
Encarregado pelo tratamento de dados (DPO): wntuto@gmail.com.
1. Papéis: quando somos controladores e quando somos operadores
1.1. Somos controladores dos dados pessoais dos nossos Clientes e Parceiros (e de seus usuários no Painel): cadastro, cobrança, acesso, suporte e comunicações. Esta Política trata principalmente desses dados.
1.2. Somos operadores dos dados dos Contatos dos Clientes, ou seja, das pessoas com quem o Cliente conversa pelo WhatsApp conectado à WL API (números, nomes, fotos de perfil, mensagens, mídias, metadados). Nesse caso, o controlador é o Cliente (LGPD, art. 5º, VI e VII, e art. 39). Tratamos esses dados apenas para prestar o serviço e conforme as instruções do Cliente, nos termos do Acordo de Tratamento de Dados. Quando a instância é criada por um Parceiro para um Cliente Final, atuamos como suboperadores.
1.3. Se você é Contato de um Cliente e quer exercer seus direitos (acesso, exclusão, oposição etc.) sobre mensagens que recebeu ou enviou, procure primeiro a empresa com quem conversou, que é a responsável. Se nos procurar, encaminharemos o pedido ao Cliente responsável, quando for possível identificá-lo (ver Cláusula 9.4).
2. Dados que coletamos (como controladores)
| Categoria | Exemplos | Origem |
|---|---|---|
| Cadastro | nome, e-mail, telefone, empresa, CPF/CNPJ | fornecidos por você |
| Cobrança | histórico de faturas, status de pagamento, últimos 4 dígitos e bandeira do cartão, dados do boleto | você e o Stripe |
| Acesso e segurança | IP, data/hora de acesso, navegador, dispositivo, registros de login, configuração de 2FA, IPs autorizados | gerados pelo uso |
| Uso técnico | chamadas à API, erros, volume de mensagens por instância, métricas, URLs de Webhook | gerados pelo uso |
| Suporte | mensagens e anexos enviados ao suporte | você |
| Parceiros | dados de identificação dos Clientes Finais necessários à gestão das instâncias | Parceiro |
2.1. Não armazenamos o número completo do cartão. Os dados de pagamento são coletados e processados diretamente pelo Stripe.
2.2. Não tratamos intencionalmente dados de menores de 18 anos como Clientes. O serviço não se destina a eles.
3. Finalidades e bases legais
| Finalidade | Base legal (LGPD) |
|---|---|
| Criar e manter a Conta, prestar o serviço, operar instâncias | execução de contrato (art. 7º, V) |
| Cobrança, faturamento, emissão de nota fiscal | execução de contrato (art. 7º, V) e obrigação legal (art. 7º, II) |
| Guardar registros de acesso a aplicação por 6 meses | obrigação legal (art. 7º, II; Marco Civil, art. 15) |
| Segurança, prevenção a fraude, abuso, spam e chargeback | legítimo interesse (art. 7º, IX) e prevenção à fraude (art. 11, II, "g", quando aplicável) |
| Suporte e comunicações operacionais (avisos de cobrança, alterações, incidentes) | execução de contrato (art. 7º, V) |
| Melhoria do serviço, métricas internas e estatísticas | legítimo interesse (art. 7º, IX), preferindo dados agregados |
| Marketing e novidades por e-mail | consentimento (art. 7º, I) ou legítimo interesse para clientes atuais, sempre com opção de descadastro |
| Defesa em processos e cumprimento de ordens | exercício regular de direitos (art. 7º, VI) e obrigação legal (art. 7º, II) |
3.1. Quando usarmos legítimo interesse, avaliamos se ele não se sobrepõe aos seus direitos, e você pode se opor (Cláusula 9).
4. Dados dos Contatos (como operadores)
4.1. Para que a instância funcione, processamos: chaves e dados da sessão do WhatsApp; números e identificadores dos Contatos; nomes e fotos de perfil; conteúdo de mensagens e mídias enviadas e recebidas; status de entrega; dados de grupos.
4.2. Usamos esses dados somente para: enviar e receber mensagens; entregar eventos ao Webhook do Cliente; exibir registros e métricas ao Cliente; garantir segurança e investigar abusos; cumprir a lei.
4.3. Não vendemos, não usamos para publicidade e não usamos esses dados para treinar modelos ou para qualquer finalidade própria.
5. Retenção e exclusão
5.1. Guardamos dados apenas pelo tempo necessário. Os prazos abaixo são aplicados com expiração automática:
| Dado | Prazo |
|---|---|
| Mensagens e logs de mensagens das instâncias | [PRAZO — ex.: 30 dias] após o registro |
| Mídias recebidas e enviadas (imagens, áudios, vídeos, documentos) | [PRAZO — ex.: 7 dias] após o recebimento |
| Métricas agregadas por instância | [PRAZO — ex.: 12 meses] |
| Sessão do WhatsApp da instância | até a desconexão ou a exclusão da instância |
| Registros de acesso ao Painel e à API | 6 meses (Marco Civil, art. 15), ou mais se houver ordem judicial ou investigação |
| Dados de cadastro | enquanto a Conta existir e por até [PRAZO — ex.: 5 anos] após o encerramento, para defesa de direitos |
| Dados fiscais e de cobrança | pelo prazo exigido pela legislação fiscal (em regra, 5 anos) |
5.2. Ao excluir uma instância, apagamos a sessão, os logs, as métricas e as mídias associadas, ressalvados os registros que a lei obriga a manter.
5.3. Backups podem manter cópias por até [PRAZO DE BACKUP — ex.: 30 dias] adicionais, até serem sobrescritos.
6. Compartilhamento e suboperadores
6.1. Compartilhamos dados apenas com quem precisa deles para o serviço funcionar:
| Fornecedor | Função | Local principal |
|---|---|---|
| Hostinger International Ltd. | servidores das instâncias, banco de dados e mídias | Estados Unidos (Boston) |
| Supabase | autenticação e banco de dados do Painel | [REGIÃO DO PROJETO SUPABASE] |
| Stripe | processamento de pagamentos (cartão e boleto) | EUA e outros |
| Vercel | hospedagem do Painel e do site | EUA e outros (rede global) |
| [OUTROS — e-mail transacional, suporte, monitoramento] | [FUNÇÃO] | [LOCAL] |
6.2. Também podemos compartilhar dados: com autoridades, mediante ordem ou obrigação legal; com assessores jurídicos e contábeis, sob sigilo; em operação societária (fusão, venda), com aviso prévio.
6.3. Não vendemos dados pessoais.
6.4. Meta/WhatsApp. Como as mensagens trafegam pela rede do WhatsApp, a Meta trata dados segundo as políticas dela, sobre as quais não temos controle. A Meta não é nossa suboperadora nem parceira.
7. Transferência internacional
7.1. Nossos servidores principais ficam nos Estados Unidos (Hostinger, Boston), e alguns fornecedores (Stripe, Vercel e, conforme a região, Supabase) podem tratar dados nos Estados Unidos ou em outros países. Isso é transferência internacional de dados (LGPD, arts. 33 a 36).
7.2. Realizamos essas transferências com base nos mecanismos previstos na LGPD e na Resolução CD/ANPD nº 19/2024, em especial cláusulas-padrão contratuais e as garantias contratuais dos fornecedores, além da necessidade para execução do contrato com você (art. 33, II e IX). [REVISAR COM ADVOGADO: inclusão das cláusulas-padrão da ANPD nos contratos com fornecedores.]
8. Segurança
8.1. Adotamos medidas técnicas e administrativas razoáveis (LGPD, art. 46), incluindo:
- tokens por instância e Client-Token por conta, exigidos em toda chamada à API, que podem ser trocados a qualquer momento;
- restrição de chamadas por IP (lista de IPs autorizados configurável pelo Cliente);
- autenticação em dois fatores (2FA) no Painel;
- comunicação criptografada (HTTPS/TLS);
- controle de acesso interno por necessidade e registro de acessos administrativos;
- isolamento lógico entre instâncias e contas;
- expiração automática de mensagens e mídias;
- backups e monitoramento.
8.2. Nenhum sistema é 100% seguro. O Cliente também é responsável por proteger suas credenciais, seu Webhook (recomendamos HTTPS e validação de origem) e os sistemas que recebem os dados.
9. Direitos do titular (LGPD, art. 18)
9.1. Você pode pedir, a qualquer momento e gratuitamente:
- confirmação de que tratamos seus dados;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- portabilidade a outro fornecedor, nos termos da regulamentação da ANPD;
- eliminação dos dados tratados com base no consentimento;
- informação sobre com quem compartilhamos seus dados;
- informação sobre a possibilidade de não dar consentimento e suas consequências;
- revogação do consentimento;
- oposição a tratamento baseado em outras hipóteses, se houver descumprimento da LGPD;
- revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).
9.2. Pedidos devem ser enviados para wntuto@gmail.com. Podemos pedir informações para confirmar sua identidade. Respondemos em até 15 (quinze) dias (art. 19, II), ou no prazo que a regulamentação definir.
9.3. Alguns dados podem ser mantidos mesmo após pedido de exclusão, quando houver obrigação legal, exercício regular de direitos ou outra hipótese do art. 16 da LGPD.
9.4. Contatos de Clientes: como o controlador é o Cliente, encaminharemos seu pedido a ele e o apoiaremos no atendimento, conforme o Acordo de Tratamento de Dados.
9.5. Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).
10. Cookies do Painel
10.1. O Painel e o site usam:
| Tipo | Para quê | Pode desativar? |
|---|---|---|
| Estritamente necessários | manter você logado (sessão/autenticação do Supabase), segurança, CSRF, lembrar preferências básicas | não, sem eles o Painel não funciona |
| Desempenho/analíticos | entender uso e erros de forma agregada | sim |
| Marketing | [DEFINIR SE SERÃO USADOS] | sim |
10.2. Cookies não necessários só são usados com seu consentimento, coletado por aviso no primeiro acesso, e podem ser recusados ou revogados a qualquer momento em [LOCAL DA CONFIGURAÇÃO DE COOKIES]. Você também pode apagá-los pelo navegador.
11. Incidentes de segurança
11.1. Se ocorrer incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos prazos e na forma da regulamentação (Resolução CD/ANPD nº 15/2024 — em regra, 3 dias úteis do conhecimento).
11.2. Quando o incidente envolver dados de Contatos (em que somos operadores), avisaremos o Cliente controlador sem demora injustificada, para que ele faça as comunicações que lhe cabem, conforme o Acordo de Tratamento de Dados.
12. Alterações desta Política
12.1. Podemos atualizar esta Política. Mudanças relevantes serão avisadas com 30 (trinta) dias de antecedência por e-mail ou no Painel, salvo quando exigidas por lei ou por segurança. Se não concordar, o Cliente pode cancelar pelo Painel, sem multa ou penalidade.
13. Contato
WL Serviços Digitais Ltda · CNPJ 41.508.381/0001-00 · [ENDEREÇO], [CIDADE/UF] SAC: wntuto@gmail.com Encarregado (DPO): [NOME DO ENCARREGADO] · wntuto@gmail.com