Política de privacidade

• Dados das contas do painel (pessoas das empresas clientes, os "Parceiros"): o Waflow é o controlador.
• Dados dos contatos do WhatsApp (pessoas que conversam com um Parceiro): o Parceiro é o controlador e o Waflow é o operador, tratando esses dados apenas para prestar o serviço, conforme as instruções do Parceiro.

• Conta e acesso: nome, e-mail, senha (guardada apenas como hash), papel no painel, convites e registros de auditoria das ações feitas no painel e pela API (quem fez, o quê e quando).
• Contas do WhatsApp conectadas: identificadores da Meta (empresa, conta do WhatsApp Business e número), número de telefone, nome de exibição, status, qualidade e limites da conta. O token de acesso emitido pela Meta no cadastro e o PIN de verificação em duas etapas ficam criptografados.
• Metadados de mensagens: número do contato (identificador do WhatsApp), direção, tipo, nome do modelo usado, identificador da mensagem na Meta, status (enviada, entregue, lida, com falha), datas, códigos de erro e categoria de cobrança. O texto das mensagens não é guardado de forma permanente: ele é repassado à Meta (no envio) ou ao Parceiro (no recebimento).
• Números dos contatos: o número e o nome de perfil enviados pela Meta, a data da última mensagem recebida (para calcular a janela de 24 horas do WhatsApp) e as preferências de recebimento de mensagens de marketing (descadastro).
• Mídias: tratadas de forma transitória. Arquivos enviados pelo Parceiro são repassados à Meta e guardamos só o identificador, o tipo e o tamanho; mídias recebidas são baixadas da Meta e repassadas ao Parceiro no momento do pedido, sem cópia no Waflow. O logotipo que o Parceiro envia para a página de cadastro fica guardado no nosso armazenamento.
• Webhooks: os eventos enviados aos endereços que o Parceiro cadastra (que podem conter o conteúdo das mensagens recebidas) e os registros de entrega (tentativas, código de resposta e erro).
• Modelos de mensagem: o conteúdo dos modelos do Parceiro e seu status de aprovação na Meta.
• Leads de anúncios (Lead Ads): quando esse recurso estiver disponível, os dados que a pessoa preencher em um formulário de anúncio do Parceiro na Meta, repassados ao Parceiro.

• prestar o serviço: conectar números, enviar e receber mensagens, entregar webhooks e gerar relatórios;
• autenticar usuários, proteger contas, limitar abusos e investigar incidentes de segurança;
• enviar e-mails transacionais (convites, recuperação de senha, avisos sobre a conta);
• cumprir obrigações legais e regulatórias e exercer direitos em processos.

As bases legais são a execução do contrato com o Parceiro, o legítimo interesse (segurança e prevenção de fraude) e o cumprimento de obrigação legal (LGPD, art. 7º). Não usamos os dados para publicidade nem para perfis de consumo, e não vendemos dados pessoais.

Os dados obtidos pelas APIs da Meta (WhatsApp Business Platform e Login do Facebook para Empresas) são usados somente para prestar o serviço ao Parceiro que autorizou a conexão, conforme os Termos da Plataforma da Meta. Em especial:

• o acesso é limitado às permissões que o Parceiro concede no cadastro e às contas que ele escolhe;
• os tokens de acesso ficam criptografados e nunca são mostrados nem registrados em log;
• os dados não são vendidos, licenciados, usados para publicidade nem compartilhados com terceiros além dos listados na seção 5;
• o Parceiro pode revogar o acesso a qualquer momento desconectando o número no painel ou removendo o app nas Integrações comerciais da sua conta da Meta; ao desconectar, apagamos o token e removemos a assinatura da conta.

• Meta (WhatsApp e Facebook), para enviar mensagens e gerenciar contas, sob as políticas da Meta;
• Provedores de infraestrutura: hospedagem dos servidores e do banco de dados (Hostinger) e envio de e-mails transacionais (Resend);
• O próprio Parceiro, pelos endereços de webhook e integrações que ele mesmo cadastra;
• autoridades, quando a lei ou uma ordem judicial exigir.

Alguns desses fornecedores podem tratar dados fora do Brasil. Nesses casos, a transferência segue o art. 33 da LGPD, com fornecedores que adotam garantias contratuais de proteção de dados.

Ao fim do contrato ou a pedido do Parceiro, os dados são excluídos ou anonimizados, exceto os que a lei nos obriga a manter. Veja como pedir na página Exclusão de dados.

Usamos conexões HTTPS, criptografia dos segredos guardados (tokens, PINs e segredos de webhook), senhas com hash, controle de acesso por Parceiro e por papel, assinatura dos webhooks enviados e verificação da assinatura dos webhooks recebidos da Meta. Nenhuma medida é infalível; se houver um incidente que possa causar risco ou dano relevante, avisaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD).

Pela LGPD (art. 18), você pode pedir:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• portabilidade e informação sobre com quem compartilhamos;
• eliminação dos dados tratados com consentimento e revogação do consentimento;
• oposição a um tratamento e revisão de decisões automatizadas.

Se você é contato de uma empresa que usa o Waflow, o controlador dos seus dados é essa empresa: procure-a primeiro. Se preferir, escreva para nós e encaminharemos o pedido a ela. Você também pode reclamar à ANPD (gov.br/anpd).

O painel usa apenas cookies essenciais de sessão (para manter você conectado). A página de cadastro do WhatsApp carrega o SDK da Meta, que pode usar cookies próprios conforme a política de privacidade da Meta.

O Waflow é um serviço para empresas e não se destina a menores de 18 anos.

Podemos atualizar esta política. A data no topo indica a versão vigente, e mudanças relevantes são avisadas aos Parceiros.