Política de Privacidade

Última atualização: 22 de outubro de 2026

Esta política explica como o ZapOps, plataforma de atendimento e automação pelo WhatsApp Business, trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Quem é o responsável

O ZapOps é um nome fantasia de 69.458.001 LUCAS HERNANE BARBOSA SILVA, inscrita no CNPJ sob o nº 69.458.001/0001-80. Canal para assuntos de privacidade e pedidos dos titulares de dados: lcs.lucasher@gmail.com.

Há dois papéis diferentes, conforme o tipo de dado:

Controlador: dos dados das pessoas que usam a plataforma (empresas clientes e seus atendentes), como cadastro, acesso e assinatura.
Operador: dos dados dos contatos finais, isto é, pessoas que conversam pelo WhatsApp com uma empresa cliente. Nesse caso a empresa cliente é a controladora e o ZapOps trata os dados em nome dela e conforme as instruções dela.

2. Quais dados tratamos

Cadastro e acesso: nome, e-mail, empresa e senha (guardada somente como hash, nunca em texto puro).
Verificação em 2 etapas (opcional): se você ligar, guardamos o segredo do aplicativo autenticador (criptografado) e os códigos de recuperação (somente o hash, nunca o código). Se você marcar "Confiar neste navegador", guardamos também o hash de um número gravado nesse navegador, o nome do navegador e as datas de uso e de validade (30 dias).
Assinatura: nome da empresa e do responsável, e-mail, telefone e CPF/CNPJ informados ao contratar um plano. Os dados do cartão de crédito são digitados na página de pagamento do Asaas e não passam pelo ZapOps.
Formulário de contato do site: nome, e-mail, telefone, empresa e a mensagem enviada.
Conexão com o WhatsApp: identificadores da conta e do número e o token de acesso fornecido pela Meta (guardado criptografado).
Conversas e contatos: número de telefone, nome, mensagens enviadas e recebidas, arquivos de áudio, imagem, vídeo e documento, e as informações que a empresa cliente cadastrar sobre o contato (e-mail, CPF/CNPJ, etiquetas, campos personalizados, anotações, tarefas e negócios no funil de vendas).
Cobranças via Pix (opcional): nome e CPF/CNPJ do pagador, valor, descrição e status da cobrança, quando a empresa cliente ativa essa função.
Registro do aceite: ao entrar pela primeira vez, registramos que você aceitou estes termos: data e hora, endereço IP, navegador e a versão do texto aceito.
Registros de acesso: data, hora, endereço IP e porta de origem de cada login, de cada renovação da sessão e de cada envio dos formulários do site (junto com o e-mail do usuário ou o informado no formulário).
Registros técnicos e de segurança: tentativas de login (incluindo o e-mail digitado), histórico de ações sensíveis na conta e registros de funcionamento do servidor (endereço IP e endereços acessados).

3. Para que usamos e em que base legal

Prestar o serviço contratado: autenticação, conversas, automações, campanhas e cobranças (execução de contrato).
Contratar, cobrar e administrar a assinatura (execução de contrato).
Responder mensagens enviadas pelo formulário de contato (procedimentos preliminares a contrato).
Enviar e-mails do serviço, como a redefinição de senha, lembretes de tarefas e avisos operacionais (execução de contrato).
Proteger a plataforma e os usuários contra acesso indevido e fraude, incluindo o bloqueio após tentativas de login erradas, e comprovar o aceite destes termos (legítimo interesse).
Guardar os registros de acesso por 6 meses, como determina o Marco Civil da Internet (Lei nº 12.965/2014, art. 15), e fornecê-los a autoridades quando houver ordem legal (obrigação legal).
Cumprir outras obrigações legais e regulatórias.

A empresa cliente é responsável por ter base legal para falar com os próprios contatos (por exemplo, consentimento para receber campanhas) e pelo conteúdo das mensagens que envia.

4. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário com prestadores que fazem o serviço funcionar:

Meta Platforms (WhatsApp Business Platform): transporta as mensagens enviadas e recebidas. Empresa sediada nos Estados Unidos.
Brevo: envio de e-mails do serviço. Empresa sediada na França.
Asaas: geração e confirmação de cobranças Pix e processamento da assinatura. Empresa brasileira.
Vultr: hospedagem. Os servidores onde a plataforma e seus dados ficam armazenados estão no Brasil.

Destinos escolhidos pela empresa cliente: se a empresa ativar o webhook de saída ou outras integrações, o ZapOps envia eventos (como mensagens recebidas e pagamentos) ao endereço que ela indicar. A responsabilidade por esse destino é da empresa cliente.

Acesso interno: quem opera a plataforma pode acessar dados de contas de clientes quando necessário para suporte, manutenção e segurança.

Transferência internacional: o uso da Meta (Estados Unidos) e do Brevo (Europa) implica transferência internacional de dados, feita com as salvaguardas previstas na LGPD. Também podemos compartilhar dados com autoridades quando a lei exigir.

5. Como protegemos

Comunicação protegida por HTTPS.
Senhas armazenadas com hash; tokens de acesso e chaves de integração armazenados criptografados.
Verificação em 2 etapas opcional (código de aplicativo autenticador) para quem quiser proteger a conta além da senha.
Controle de acesso: cada empresa só enxerga os próprios dados, e o acesso de uma conta removida é encerrado na hora.
Bloqueio temporário de conta após várias senhas erradas seguidas e limite de tentativas por endereço.
Política de segurança de conteúdo no site, que limita de onde podem vir scripts e conexões.
Registro das ações sensíveis feitas na conta.
Os registros de acesso ficam em banco de dados com acesso restrito aos administradores da plataforma, e cada consulta a eles é registrada.

Nenhum sistema é totalmente imune a falhas; em caso de incidente relevante, comunicaremos os afetados e as autoridades conforme a lei.

6. Por quanto tempo guardamos

Conta, conversas e contatos: enquanto a conta estiver ativa. Não apagamos mensagens automaticamente por prazo; a empresa cliente pode excluir contatos pelo painel.
Ao encerrar a conta: os dados ficam disponíveis por até 30 dias, para exportação a pedido, e depois são excluídos, ressalvadas as informações que a lei nos obrigue a manter (por exemplo, registros de cobrança e fiscais).
Cópias de segurança: feitas diariamente e mantidas por 14 dias. Dados excluídos deixam de existir nelas dentro desse prazo.
Registros de acesso: 6 meses (Marco Civil da Internet, art. 15); depois são apagados automaticamente. Ficam guardados mesmo que a conta seja excluída, porque a lei obriga.
Registros de funcionamento do servidor: mantidos em rotação automática, por tempo limitado (de alguns dias a poucas semanas, conforme o volume de uso), e depois apagados.
Registro do aceite e registros de segurança: pelo tempo necessário para comprovar o aceite e proteger a plataforma.

7. Seus direitos

Conforme o art. 18 da LGPD, você pode solicitar:

confirmação de que tratamos seus dados e acesso a eles;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
portabilidade dos dados;
informações sobre com quem compartilhamos seus dados;
revogação do consentimento, quando essa for a base legal.

Se você é um contato final que conversou com uma empresa pelo WhatsApp, o caminho mais rápido é falar com a própria empresa, que é a controladora dos seus dados; podemos auxiliá-la a atender o seu pedido. Para parar de receber campanhas, basta responder PARAR à mensagem recebida.

8. Como solicitar a exclusão dos seus dados

Envie um e-mail para lcs.lucasher@gmail.com com o assunto "Exclusão de dados", informando seu nome, o e-mail ou telefone associado e, se for contato de uma empresa, o nome dela. Responderemos em até 15 dias. Para confirmar que o pedido é seu, podemos pedir uma verificação simples de identidade. Os registros de acesso (seção 6) e as informações que a lei nos obrigue a manter não podem ser apagados antes do prazo legal.

9. Cookies e armazenamento no navegador

Usamos apenas o armazenamento local do navegador necessário ao funcionamento: manter sua sessão ativa, lembrar que você aceitou estes termos e guardar suas preferências, como o tema claro ou escuro e os avisos de mensagem nova. Não usamos cookies de publicidade, de análise de audiência nem de rastreamento de terceiros.

O único cookie que o ZapOps grava é opcional: se você marcar "Confiar neste navegador" ao entrar com a verificação em 2 etapas, um cookie de segurança (inacessível a scripts da página, válido por 30 dias) lembra que este navegador já confirmou o código. Você pode desfazer isso a qualquer momento em Minha conta, ao esquecer os navegadores confiáveis; trocar a senha ou desligar a verificação também apaga essa confiança.

O site não carrega fontes nem scripts de terceiros. As exceções são o código da Meta, carregado só na tela de conexão do WhatsApp, e a página de pagamento do Asaas, para onde você é levado ao assinar.

10. Alterações nesta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A data no topo mostra a versão em vigor. Mudanças relevantes serão comunicadas aos usuários da plataforma.