Resumo
- A FLX Digital presta um serviço para empresas: conecta o número do WhatsApp Business de cada empresa cliente à Plataforma do WhatsApp Business (Cloud API), da Meta, e entrega as mensagens ao sistema de atendimento dessa empresa.
- As mensagens do WhatsApp são tratadas em nome das empresas clientes e conforme as instruções delas. A empresa cliente é a controladora desses dados; a FLX Digital é a operadora.
- O serviço não guarda o conteúdo das mensagens: ele fica apenas na fila de entrega, por no máximo 24 horas.
- As credenciais de acesso são guardadas cifradas e apagadas quando a empresa se desconecta.
- Não vendemos dados e não os usamos para publicidade.
- Qualquer pessoa pode pedir a exclusão dos seus dados: veja como pedir a exclusão dos dados.
Quem é o responsável
Este serviço é operado pela FLX Digital.
- Empresa
- FLX Digital
- Razão social
- (a informar)
- CNPJ
- (a informar)
- Endereço
- (a informar)
- País
- Brasil
- E-mail de contato e suporte
- (a informar)
- E-mail de privacidade
- (a informar)
- Site
- (a informar)
Nesta política, "FLX Digital", "nós" e "serviço" se referem a essa empresa e ao serviço de conexão do WhatsApp Business descrito aqui. "Empresa cliente" é a empresa que conecta o próprio número do WhatsApp Business ao serviço. "Você" pode ser quem representa uma empresa cliente ou uma pessoa que conversa com uma empresa cliente pelo WhatsApp.
Nosso papel no tratamento dos dados
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD) distingue quem decide sobre o tratamento dos dados (controlador) de quem trata os dados em nome de outro (operador).
- Mensagens e contatos do WhatsApp das empresas clientes: a empresa cliente é a controladora. A FLX Digital atua como operadora: trata esses dados somente em nome da empresa cliente, conforme as instruções dela e para prestar o serviço contratado, nunca para fins próprios nem de outro cliente.
- Dados da conta e da conexão, contatos comerciais e registros técnicos do serviço: a FLX Digital é a controladora, porque precisa deles para prestar, proteger e administrar o serviço.
Os dados de cada empresa cliente são mantidos separados dos dados das demais.
Quais dados tratamos
Dados da conta do WhatsApp Business da empresa cliente
Recebidos da Meta quando a empresa autoriza a conexão: o identificador do portfólio empresarial, o identificador da conta do WhatsApp Business (WABA), o identificador e o número do telefone conectado, o nome verificado do número, o tipo de conexão (por exemplo, se o número continua em uso no aplicativo) e a situação e as datas de conexão e desconexão.
Credenciais de acesso
O token de acesso emitido pela Meta para a empresa cliente, que permite ao serviço agir na conta do WhatsApp Business que ela escolheu compartilhar, e chaves técnicas geradas pela FLX Digital para assinar a entrega das mensagens ao sistema da empresa. Nunca recebemos nem pedimos a senha do Facebook, do WhatsApp ou de qualquer outra conta da Meta.
Mensagens e avisos de entrega, em trânsito
As mensagens enviadas e recebidas pelo número conectado e os avisos de situação (enviada, entregue, lida) chegam ao serviço pela Meta e são entregues ao sistema de atendimento da empresa cliente. Esses dados podem incluir o conteúdo da mensagem, o número de telefone e o nome de perfil de quem conversa com a empresa, e a data e a hora. O serviço não guarda esse conteúdo: ele permanece apenas na fila de recebimento e entrega (veja por quanto tempo guardamos os dados).
Contatos e histórico do aplicativo (sincronização inicial)
Na conexão em modo de coexistência, a empresa cliente pode autorizar, no próprio aplicativo, o compartilhamento dos seus contatos e do histórico recente de conversas. O serviço inicia essa sincronização, como prevê o processo de conexão da Meta, e não guarda o conteúdo recebido: registra apenas o andamento (por exemplo, a fase e o percentual concluído) e contagens.
Registros técnicos e de auditoria
Para operar e proteger o serviço, registramos eventos sem conteúdo de mensagens: conexões e desconexões, mudanças de situação da conta e dos modelos de mensagem informadas pela Meta, contagens de mensagens, identificadores técnicos de mensagens (usados só para não entregar a mesma mensagem duas vezes) e as ações da nossa equipe no painel interno. Nos registros do serviço, números de telefone e endereços IP aparecem apenas de forma parcial (mascarados).
Dados de contato
Quando alguém nos escreve (por exemplo, por e-mail), tratamos o nome, o endereço de e-mail e o conteúdo da mensagem para responder.
Acesso às páginas deste site
Estas páginas públicas não usam cookies, formulários nem ferramentas de análise ou de publicidade. Como em qualquer site, o servidor e o provedor de hospedagem podem registrar dados técnicos de acesso (endereço IP, data e hora, página pedida e navegador) por segurança.
Crianças e dados sensíveis
O serviço é contratado por empresas e não é dirigido a crianças e adolescentes. Não pedimos dados pessoais sensíveis. O conteúdo das conversas é definido pela empresa cliente e pelas pessoas que falam com ela, e passa pelo serviço apenas em trânsito.
Para que usamos os dados
- conectar o número do WhatsApp Business da empresa cliente à plataforma da Meta e conferir que a conexão foi feita com a conta e o número certos;
- receber da Meta as mensagens e os avisos do número conectado e entregá-los ao sistema de atendimento da empresa cliente;
- permitir que a empresa cliente, por meio desse sistema, envie mensagens e use modelos de mensagem aprovados pela Meta;
- acompanhar a situação da conexão e dar suporte à empresa cliente;
- proteger o serviço, prevenir fraude e abuso e investigar falhas;
- cumprir obrigações legais e as regras da Plataforma da Meta;
- responder a pedidos de suporte, de privacidade e de exclusão de dados.
Não usamos os dados para publicidade nem para criar perfis de pessoas, e não os vendemos.
Base legal (LGPD)
Tratamos dados pessoais com base nas seguintes hipóteses da LGPD:
- execução de contrato (art. 7º, V): para conectar a conta e prestar o serviço à empresa cliente;
- legítimo interesse (art. 7º, IX): para manter registros técnicos, proteger o serviço e prevenir abuso, sempre sem conteúdo de mensagens;
- cumprimento de obrigação legal ou regulatória (art. 7º, II): quando a lei exigir a guarda ou a entrega de alguma informação;
- exercício regular de direitos (art. 7º, VI): em processo judicial, administrativo ou arbitral.
Para as mensagens trocadas com os clientes de cada empresa, quem define a base legal é a empresa cliente, que é a controladora. A FLX Digital trata essas mensagens como operadora, seguindo as instruções dela.
Dados recebidos da Plataforma da Meta
O serviço usa a Plataforma do WhatsApp Business por meio de um aplicativo registrado na Meta. Os dados recebidos por essa plataforma (identificadores, tokens de acesso, mensagens e avisos) são usados somente para prestar o serviço à empresa cliente que os compartilhou. Em especial:
- não vendemos nem licenciamos esses dados, e não os compartilhamos para publicidade;
- não os usamos para fins próprios nem em benefício de outro cliente;
- o acesso se limita aos ativos que a empresa cliente escolheu compartilhar na tela de autorização da Meta;
- a empresa cliente pode retirar essa autorização a qualquer momento (veja como pedir a exclusão dos dados).
Com quem compartilhamos
- A empresa cliente: as mensagens e os avisos do número dela são entregues ao sistema de atendimento que ela indicou. A partir da entrega, o tratamento nesse sistema segue as instruções e a política de privacidade da própria empresa. Quando a FLX Digital também opera esse sistema para a empresa, faz isso como operadora, sob as instruções dela.
- Meta Platforms: o serviço funciona sobre a Plataforma do WhatsApp Business. A Meta trata os dados das conversas conforme os termos e as políticas dela.
- Prestadores de serviço: empresas que nos ajudam a operar o serviço e que só podem tratar os dados para
essa finalidade:
- Hostinger: hospedagem do serviço (país: (a informar))
- Autoridades: quando houver obrigação legal ou ordem de autoridade competente, e só no limite do que for exigido.
Transferência internacional
A Meta e os prestadores de serviço podem tratar dados em servidores fora do Brasil. Nesses casos, a transferência segue as regras da LGPD para transferência internacional de dados e ocorre para a execução do contrato com a empresa cliente. O país de cada prestador aparece na lista acima.
Por quanto tempo guardamos os dados
| Dado | Por quanto tempo |
|---|---|
| Conteúdo das mensagens e dos avisos de entrega | Não é guardado. Fica na fila de recebimento e entrega só até ser entregue ao sistema da empresa cliente. Se a entrega falhar, o serviço tenta de novo por até 24 horas e depois descarta a mensagem. |
| Identificadores técnicos de mensagens (sem conteúdo) | Até 7 dias, para evitar entrega repetida. |
| Contatos e histórico da sincronização inicial | Não são guardados; fica registrado só o andamento da sincronização. |
| Credenciais de acesso (token e chaves) | Enquanto a empresa estiver conectada. São apagadas automaticamente quando a empresa se desconecta ou remove o aplicativo, ou a pedido. |
| Dados da conta e da conexão (identificadores, número, nome, datas) | Enquanto durar a relação com a empresa cliente. Depois de uma desconexão, ficam apenas como registro, até o pedido de exclusão ou enquanto houver obrigação legal de guarda. |
| Registros técnicos e de auditoria (sem conteúdo de mensagens) | Pelo tempo necessário para operar, auditar e proteger o serviço. |
| Links de conexão | Cada link tem prazo de validade e deixa de funcionar depois de usado. O serviço guarda apenas um resumo criptográfico (hash) do link, nunca o link em si. |
| E-mails e pedidos de suporte | Pelo tempo necessário para responder e comprovar o atendimento. |
Segurança
- as credenciais de acesso são guardadas cifradas em repouso (AES-256-GCM), em arquivo separado para cada empresa cliente;
- toda comunicação com a Meta e com o seu navegador usa conexão cifrada (HTTPS);
- as notificações recebidas da Meta só são aceitas depois de conferida a assinatura digital;
- as entregas ao sistema da empresa cliente são assinadas digitalmente (HMAC-SHA-256) com uma chave exclusiva de cada cliente, para que o sistema confirme a origem e a integridade das mensagens;
- os segredos do serviço ficam apenas no servidor; o painel interno é protegido por senha, limita o número de tentativas e é de acesso restrito à equipe autorizada;
- os registros do serviço não contêm senhas, tokens nem conteúdo de mensagens, e mostram números de telefone apenas de forma parcial;
- cada link de conexão é individual, tem prazo de validade e deixa de funcionar depois de usado.
Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante, avisaremos as empresas clientes afetadas e tomaremos as providências previstas na LGPD, inclusive a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) quando couber.
Encontrou uma falha? Veja relato de vulnerabilidades de segurança.
Seus direitos
A LGPD garante ao titular dos dados, entre outros, os direitos de:
- confirmar se tratamos os seus dados e acessá-los;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
- pedir a portabilidade dos dados;
- pedir a eliminação dos dados tratados com base no consentimento;
- saber com quem os dados foram compartilhados;
- ser informado sobre a possibilidade de não dar consentimento e sobre as consequências da recusa, e revogar o consentimento;
- opor-se a um tratamento feito em desacordo com a lei;
- apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
Como exercer: escreva para o e-mail de privacidade ((a informar)). Prazo de resposta aos pedidos: (a informar).
Se você é cliente de uma empresa que usa este serviço (isto é, conversou com ela pelo WhatsApp): a controladora dos seus dados é essa empresa, e o pedido deve ser feito a ela. Se você escrever para nós, encaminharemos o pedido à empresa responsável e ajudaremos no atendimento.
Como pedir a exclusão dos dados
Qualquer empresa cliente e qualquer pessoa cujos dados tenham passado pelo serviço pode pedir a exclusão. Há três caminhos. Os dois primeiros têm efeito imediato e não dependem de nós.
1. Desconectar pelo aplicativo WhatsApp Business
- No celular da empresa, abra o aplicativo WhatsApp Business.
- Vá em Configurações > Conta > Plataforma comercial.
- Toque em Desconectar conta e confirme.
2. Remover o aplicativo da FLX Digital nas configurações da empresa na Meta
- Entre no Meta Business Suite (business.facebook.com) com um usuário administrador da empresa e abra as Configurações da empresa.
- Abra Integrações > Apps conectados.
- Selecione o aplicativo da FLX Digital e escolha Remover.
Os nomes dos menus podem mudar conforme a versão do aplicativo e das ferramentas da Meta.
O que é apagado automaticamente
Nos dois casos, a Meta avisa o nosso serviço, que apaga automaticamente, sem depender de ação humana:
- as credenciais de acesso da empresa (o token emitido pela Meta e as chaves técnicas de entrega);
- as mensagens que ainda estivessem na fila de entrega.
A entrega de mensagens ao sistema da empresa é desligada no mesmo momento. A remoção do aplicativo também invalida o token na própria Meta.
3. Pedir por e-mail
Escreva para o e-mail de privacidade ((a informar)) informando:
- o nome da empresa e o número do WhatsApp Business conectado (ou, se você é cliente de uma empresa, o seu número e o nome da empresa com quem conversou);
- o que deseja excluir.
Para proteger os dados, podemos pedir uma confirmação de que quem faz o pedido representa a empresa ou é o titular dos dados. Por este caminho também apagamos o que resta depois de uma desconexão: os identificadores da conta e os registros técnicos ligados a ela.
Prazo de resposta aos pedidos: (a informar).
O que pode permanecer
- O conteúdo das mensagens não fica guardado no nosso serviço; portanto, não há cópia a apagar além da fila de entrega.
- As mensagens já entregues ao sistema da empresa cliente ficam sob a responsabilidade dela, que é a controladora dos dados. Se o pedido incluir esses dados, nós o encaminhamos à empresa.
- Podemos manter o mínimo exigido por lei ou necessário ao exercício regular de direitos, e o registro do próprio pedido de exclusão.
- As conversas continuam no aplicativo WhatsApp Business da empresa e nos sistemas da Meta, que seguem as políticas da própria Meta.
Relato de vulnerabilidades de segurança
Encontrou uma falha de segurança neste serviço? Escreva para o e-mail de contato ((a informar)) com o assunto "Segurança", descrevendo o problema e os passos para reproduzi-lo. Pedimos que não acesse, altere nem apague dados de terceiros e que nos dê um prazo razoável para a correção antes de divulgar a falha. Relatos de segurança são tratados com prioridade.
Suporte e contato
Dúvidas, suporte e problemas com o serviço: (a informar).
Assuntos de privacidade e proteção de dados: (a informar).
- Empresa
- FLX Digital
- Razão social
- (a informar)
- CNPJ
- (a informar)
- Endereço
- (a informar)
- País
- Brasil
- E-mail de contato e suporte
- (a informar)
- E-mail de privacidade
- (a informar)
- Site
- (a informar)
Alterações desta política
Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A data da última atualização aparece no topo desta página. Mudanças relevantes serão comunicadas às empresas clientes.
Esta política não substitui nem altera os Termos da Plataforma da Meta, que continuam valendo para o uso dos dados da plataforma.