Política de Privacidade

1. Quem somos

1.1. A Zapdeck é um produto da LOS Desenvolvimento de Software LTDA, inscrita no CNPJ sob o nº 49.561.309/0001-40, com sede na Alameda Rio Negro, 503, Sala 2020, Alphaville Centro Industrial e Empresarial, Barueri/SP, CEP 06454-000. Neste documento, "Zapdeck", "nós" e "nosso" referem-se a essa empresa.

1.2. O site é zapdeck.com.br e o painel do produto é app.zapdeck.com.br. O e-mail geral é ola@zapdeck.com.br.

1.3. Esta Política complementa os Termos de Uso e o Acordo de Tratamento de Dados (DPA). Ela segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e, quando o cliente for consumidor, o Código de Defesa do Consumidor (Lei 8.078/1990).

2. Encarregado pelo tratamento de dados (DPO)

2.1. Nosso encarregado, nos termos do art. 41 da LGPD, é Lucas de Oliveira Souza. Ele atende titulares de dados, clientes e a Autoridade Nacional de Proteção de Dados (ANPD).

2.2. Contato do encarregado e canal para todas as solicitações de titulares: privacidade@zapdeck.com.br. Esse endereço é lido diariamente.

3. Nossos papéis: controladora e operadora

3.1. A LGPD distingue quem decide sobre os dados (controlador) de quem os trata em nome de outro (operador), conforme o art. 5º, VI e VII. Na Zapdeck, o papel muda conforme o tipo de dado.

Controladora: dados da conta

3.2. Somos controladora dos dados da conta do cliente: nome, e-mail, telefone, CNPJ, dados de cobrança, logs de acesso e dados de uso do produto. Nós decidimos as finalidades e os meios desse tratamento, nos limites desta Política.

Operadora: dados de compradores e contatos

3.3. Somos operadora dos dados dos compradores e contatos que o cliente traz para a Zapdeck (nomes, telefones, mensagens de WhatsApp, pedidos, tags e histórico). Nesse caso, o cliente é o controlador.

3.4. Como operadora, tratamos esses dados somente conforme as instruções do cliente, registradas nos Termos de Uso e no DPA. Nós:

• nunca usamos esses dados para finalidades próprias;
• nunca os usamos para treinar modelos de inteligência artificial;
• nunca os compartilhamos com terceiros, exceto os suboperadores listados na seção 9.

3.5. O cliente é responsável por ter base legal para falar com seus compradores, por informá-los sobre o uso do WhatsApp e de IA na política de privacidade do próprio negócio e por respeitar pedidos de não receber mensagens.

4. Quais dados tratamos e de quem

4.1. Dados da conta do cliente (de quem contrata)

• nome, e-mail e telefone;
• foto, se você entrar com o Google;
• empresa, CNPJ e endereço de cobrança;
• plano contratado e faturas;
• endereço IP e logs de acesso;
• preferências de configuração;
• eventos de uso do painel.

4.2. Dados de compradores e contatos (tratados como operadora)

• nome e telefone (formato internacional E.164);
• mensagens trocadas no WhatsApp, em texto e mídia, com status de entrega e leitura;
• dados do pedido vindos da plataforma de checkout: produto, valor, status, código PIX ou linha digitável do boleto, e prazo;
• tags e notas do atendente;
• origem do contato (checkout, anúncio click-to-WhatsApp ou importação de CSV);
• status de opt-out (pedido de não receber mensagens);
• agendamentos.

4.3. Dados que NÃO coletamos

• Dados de cartão de pagamento dos compradores. Quem trata esses dados são as plataformas de checkout e o Asaas, nunca a Zapdeck.
• CPF dos compradores, a menos que a plataforma de checkout o envie. Se vier, ele nunca é repassado à IA.
• Dados pessoais sensíveis (art. 5º, II, da LGPD, como saúde, origem racial, religião ou biometria). Nós não os solicitamos e o cliente não deve usar a Zapdeck para coletá-los.

4.4. A Zapdeck não vende os produtos do cliente e não guarda o dinheiro dos compradores.

5. Para que usamos os dados e em quais bases legais

5.1. Todo tratamento precisa de uma base legal (art. 7º da LGPD). As nossas, como controladora, são:

5.2. Quando usamos o legítimo interesse, avaliamos se ele não prejudica seus direitos e fazemos o tratamento com o mínimo necessário. Você pode pedir informações sobre essa avaliação ao nosso encarregado.

5.3. Para dados de compradores, a base legal é responsabilidade do cliente (controlador). Em geral, lembretes transacionais sobre um pagamento pendente se apoiam na execução de contrato; envios de marketing exigem consentimento. A Zapdeck só envia por template aprovado pela Meta e para contatos que não pediram para sair.

6. O que usamos para operar o serviço

6.1. Com os dados, a Zapdeck faz o seguinte, sempre por instrução do cliente:

• conecta o WhatsApp Business do cliente pela API oficial da Meta;
• recebe eventos das plataformas de checkout conectadas (Kiwify, Hotmart, Yampi e outras): PIX gerado, boleto gerado, carrinho abandonado, compra aprovada e reembolso;
• executa playbooks de recuperação, com lembretes programados por template aprovado;
• oferece caixa de entrada para equipe, contatos, importação e exportação em CSV, envios em massa para contatos com consentimento, agenda, API para desenvolvedores e automações;
• cobra a assinatura pelo Asaas, com emissão de NFS-e.

7. Inteligência artificial: o que é enviado e o que não é

7.1. A Zapdeck oferece um agente de IA que responde a compradores dentro da janela de 24 horas de atendimento do WhatsApp. Ele usa um modelo de linguagem da Anthropic, PBC, por meio da API.

7.2. Enviamos à IA somente: o texto da conversa, o contexto do pedido (produto, valor, status e prazos) e a base de conhecimento escrita pelo cliente.

7.3. Não enviamos à IA: CPF, endereço completo, dados de pagamento ou dados de cartão.

7.4. A Anthropic não usa dados enviados pela API para treinar seus modelos, e nós também não. A IA é configurada pelo cliente (ofertas permitidas, tom e regras de transferência para humano).

7.5. A IA pode errar. O cliente acompanha as conversas e pode assumir qualquer uma delas a qualquer momento. Decisões automatizadas podem ser revistas: o titular pode pedir revisão ao controlador, conforme o art. 20 da LGPD, e nós ajudamos nisso.

7.6. O rastreamento de chamadas à IA (pergunta e resposta) fica guardado por 30 dias, para suporte e correção de erros, e depois é excluído (seção 11).

8. Dados obtidos via WhatsApp Cloud API (Meta) e via Login com Google

8.1. WhatsApp Cloud API

8.1.1. O cliente conecta o próprio Meta Business e a própria conta do WhatsApp Business (WABA). O número continua sendo do cliente. Nunca usamos automação não oficial como o "WhatsApp Web".

8.1.2. Pela API da Meta recebemos e enviamos mensagens, status de entrega e leitura, templates e sinais de qualidade do número. Os tokens de acesso à Meta são guardados criptografados.

8.1.3. As tarifas da Meta são cobradas pela Meta diretamente ao cliente, na conta WABA dele. O cliente também tem uma relação direta com a Meta, regida pelos termos do WhatsApp Business Platform.

8.1.4. Dados recebidos pela plataforma da Meta: número de telefone e nome de perfil do WhatsApp de quem conversa com o cliente, conteúdo das mensagens (texto e mídia) e status de entrega e leitura. Usamos esses dados apenas para exibir as conversas na caixa de entrada, executar os playbooks e o agente de IA configurados pelo cliente e aplicar os opt-outs. Guardamos enquanto a conta estiver ativa e por mais 30 dias após o cancelamento. Os logs brutos de webhooks da Meta ficam 30 dias. A exclusão segue a seção 11 e a página Exclusão de dados.

8.2. Login com Google

8.2.1. Se você escolher entrar com o Google, recebemos somente o nome, o e-mail e a foto (avatar) da sua conta Google. Não acessamos seu Gmail, contatos, agenda, Drive ou outros dados do Google.

8.2.2. Usamos esses dados apenas para criar e autenticar sua conta. Se preferir, entre por link mágico enviado ao seu e-mail.

8.2.3. Para remover os dados obtidos por esses logins, veja Exclusão de dados.

9. Com quem compartilhamos: suboperadores

9.1. Para prestar o serviço, contratamos os suboperadores abaixo. Eles tratam dados somente para as finalidades indicadas e sob contrato.

9.2. Mudanças nesta lista. Publicamos a atualização nesta página e avisamos os clientes por e-mail com pelo menos 15 dias de antecedência antes de incluir um suboperador que vá tratar dados de compradores. O cliente pode se opor e encerrar o contrato sem multa.

9.3. Além dos suboperadores, só compartilhamos dados quando a lei, uma ordem judicial ou uma autoridade competente exigir, ou para proteger direitos nossos em processo, sempre no mínimo necessário. Não vendemos dados pessoais.

10. Transferências internacionais

10.1. Alguns suboperadores estão nos Estados Unidos, na Irlanda ou na União Europeia, ou operam em rede global. Isso significa que dados pessoais podem ser tratados fora do Brasil.

10.2. Essas transferências se apoiam no art. 33, II, da LGPD, isto é, em garantias de cumprimento dos princípios e dos direitos do titular na forma de cláusulas contratuais padrão e acordos de tratamento de dados (DPA) firmados com os fornecedores, conforme a coluna "Base para transferência internacional" da tabela da seção 9.

10.3. Os dados principais (banco de dados, autenticação e mídia) ficam na região de São Paulo, no Brasil.

11. Por quanto tempo guardamos os dados

11.1. Guardamos os dados só pelo tempo necessário para cada finalidade, conforme a tabela abaixo.

11.2. Durante a vigência da conta, não excluímos seus dados sem pedido seu, exceto os registros técnicos com prazo próprio na tabela acima. Encerrada a retenção, os dados são excluídos ou anonimizados (art. 16 da LGPD).

12. Medidas de segurança

12.1. Adotamos medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas (arts. 46 e 49 da LGPD):

• isolamento dos dados de cada cliente no banco de dados (row-level security), com testes automatizados;
• criptografia em trânsito (TLS) e em repouso; tokens de acesso à Meta e segredos de integração são criptografados com AES-256-GCM, com rotação de chave;
• segredos nunca ficam no navegador, somente no servidor;
• verificação de assinatura em todos os webhooks, proteção contra replay e limite de tamanho;
• autenticação por link mágico ou Google; ações destrutivas exigem reconfirmação; papéis de acesso (owner, admin e agent);
• trilha de auditoria somente de inserção;
• backups diários criptografados;
• infraestrutura em provedores com certificações SOC 2 e ISO 27001.

12.2. Nenhum sistema é totalmente imune a falhas. Por isso, proteja suas credenciais, use papéis de acesso adequados para sua equipe e avise-nos se suspeitar de uso indevido da sua conta.

13. Incidentes de segurança

13.1. Se confirmarmos um incidente de segurança que possa acarretar risco ou dano relevante, avisaremos o cliente afetado em até 72 horas após a confirmação, com as informações exigidas pelo art. 48 da LGPD: natureza dos dados afetados, titulares envolvidos, medidas de segurança adotadas, riscos relacionados, os motivos da demora (se a comunicação não for imediata) e medidas para reverter ou mitigar os efeitos.

13.2. Comunicamos a ANPD quando a lei exigir. Quanto aos dados de compradores, o cliente, como controlador, é responsável por comunicar os titulares e a ANPD; a Zapdeck o auxilia nesse processo.

14. Seus direitos como titular (art. 18 da LGPD)

14.1. Você pode pedir, a qualquer momento e mediante requisição:

• confirmação de que tratamos seus dados;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados;
• eliminação dos dados tratados com base em consentimento;
• informação sobre as entidades com as quais compartilhamos dados;
• informação sobre a possibilidade de não fornecer consentimento e suas consequências;
• revogação do consentimento;
• revisão de decisões tomadas unicamente de forma automatizada (art. 20).

14.2. Você também pode peticionar à ANPD (gov.br/anpd) e, se for consumidor, aos órgãos de defesa do consumidor.

15. Como exercer seus direitos

15.1. Se você é cliente (dono da conta)

15.1.1. Pelo painel: em Configurações › Conta, você edita seus dados; em Configurações › Plano, cancela a assinatura; em Configurações › Workspace, exporta seus dados em CSV ou JSON e usa a opção "Excluir workspace".

15.1.2. Ou por e-mail ao nosso encarregado: privacidade@zapdeck.com.br.

15.2. Se você é comprador ou contato de uma empresa que usa a Zapdeck

15.2.1. A empresa com quem você comprou é a controladora dos seus dados. Faça o pedido primeiro a ela.

15.2.2. Se o pedido chegar até nós, encaminhamos ao cliente em até 5 dias úteis e o ajudamos a executá-lo.

15.2.3. Para parar imediatamente as mensagens automáticas, responda SAIR, PARAR ou STOP no próprio WhatsApp. O pedido é aplicado na hora.

15.3. Prazos e verificação

15.3.1. A confirmação da existência de tratamento e a resposta simplificada saem imediatamente, quando possível, e no máximo em 15 dias. A resposta completa também é dada em até 15 dias, conforme o art. 19 da LGPD e a Resolução CD/ANPD nº 18/2024.

15.3.2. A exclusão é concluída em até 30 dias do pedido, e os backups são limpos em mais 7 dias.

15.3.3. Antes de agir, verificamos a sua identidade, para que ninguém acesse ou apague dados de outra pessoa. Podemos pedir informações adicionais para isso.

15.3.4. Alguns dados podem ser mantidos por obrigação legal, como os registros fiscais por 5 anos e os logs de acesso por 6 meses. Explicamos isso na resposta ao pedido.

15.3.5. Para o passo a passo de exclusão, veja Exclusão de dados.

16. Cookies e análise de uso

16.1. O nosso site e o painel usam cookies essenciais, necessários para funcionar, manter sua sessão e garantir a segurança, e análise de uso do produto, que mede como as telas são usadas, de forma agregada, para melhorar o serviço (feita com o PostHog, conforme a seção 9).

16.2. Não usamos rastreadores de publicidade nem vendemos ou compartilhamos dados de navegação para anúncios.

16.3. Você pode bloquear ou apagar cookies nas configurações do seu navegador. Bloquear os essenciais pode impedir o login e o uso do painel.

17. Menores de 18 anos

17.1. A Zapdeck é um serviço para empresas e exige idade mínima de 18 anos. Não criamos contas para menores de idade nem coletamos dados deles de propósito.

17.2. Se soubermos que uma conta foi criada por menor de 18 anos, vamos encerrá-la. Se você acredita que isso ocorreu, escreva para privacidade@zapdeck.com.br.

17.3. O cliente deve cuidar para que o uso da Zapdeck com seus compradores respeite as regras do art. 14 da LGPD, caso trate dados de crianças ou adolescentes.

18. Alterações desta Política

18.1. Podemos atualizar esta Política para refletir mudanças no produto, na lei ou nos nossos suboperadores. A data da última atualização aparece no topo da página.

18.2. Para mudanças relevantes, avisamos os clientes por e-mail e dentro do painel, com antecedência de 30 dias, em linha com os Termos de Uso. Mudanças na lista de suboperadores seguem o prazo de 15 dias da seção 9.

19. Contato e foro

19.1. Dúvidas, pedidos e reclamações sobre dados pessoais: privacidade@zapdeck.com.br (encarregado: Lucas de Oliveira Souza). Assuntos gerais: ola@zapdeck.com.br.

19.2. Esta Política é regida pela lei brasileira. Fica eleito o foro da Comarca de Barueri/SP, ressalvado o direito do consumidor de ajuizar ação em seu domicílio quando a lei assim garantir.

19.3. Documentos relacionados: Termos de Uso, Acordo de Tratamento de Dados (DPA) e Exclusão de dados. Esta página é a Política de Privacidade.