1. Quem somos e o que esta política cobre
O ZapFlow é uma plataforma de atendimento e automação de mensagens operada por Growth Tap Ltda, CNPJ 39.512.345/0001-60, com sede no Brasil ("nós"). O serviço é oferecido em zapflow.growthtap.com.br.
Esta política explica como tratamos dados pessoais no ZapFlow, incluindo os dados que recebemos das plataformas da Meta (WhatsApp Business Platform e Instagram) quando uma empresa conecta as próprias contas ao produto.
Dois papéis diferentes. Em relação à conta e ao uso da plataforma pelas empresas clientes, a Growth Tap é controladora. Em relação ao conteúdo das conversas que a empresa cliente troca com os clientes dela, a Growth Tap atua como operadora: quem decide por que e como aquelas mensagens são tratadas é a empresa contratante, que é a controladora desses dados.
2. Dados que tratamos
2.1 Dados da conta (cliente da plataforma)
- Nome, e-mail, telefone e senha (armazenada apenas como hash bcrypt).
- Dados de uso do produto: registros de acesso, endereço IP, ações realizadas e logs técnicos.
2.2 Dados recebidos das plataformas da Meta
Quando a empresa cliente conecta uma conta do WhatsApp Business ou uma conta profissional do Instagram, passamos a receber, por meio das APIs oficiais e apenas com as permissões que ela concedeu:
| Origem | Dados | Para quê |
|---|---|---|
| WhatsApp Business Platform | Identificadores da conta e do número (WABA ID, phone number ID), nome de exibição, mensagens enviadas e recebidas, status de entrega e leitura, número de telefone e nome do contato final | Exibir e operar a caixa de entrada, executar as automações configuradas pela empresa e mostrar métricas de envio |
ID e nome de usuário da conta profissional e sua foto de perfil (instagram_business_basic); mensagens do Direct (instagram_business_manage_messages); comentários nas publicações da própria conta (instagram_business_manage_comments) | Identificar a conta conectada na interface, exibir e responder conversas do Direct e executar automações de resposta a comentários | |
| Tokens | Tokens de acesso emitidos pela Meta | Manter a integração ativa em nome da empresa |
2.3 O que não fazemos
- Não vendemos, alugamos nem licenciamos dados pessoais.
- Não usamos o conteúdo de mensagens ou comentários para publicidade, criação de perfis de marketing ou enriquecimento de bases.
- Não acessamos comentários ou mídias de contas que não foram conectadas pela própria empresa titular.
- Não usamos dados de uma empresa cliente em benefício de outra.
3. Bases legais (LGPD)
- Execução de contrato (art. 7º, V): operar a plataforma para a empresa contratante.
- Legítimo interesse (art. 7º, IX): segurança, prevenção a fraude e melhoria do serviço, sempre com avaliação de impacto e minimização.
- Cumprimento de obrigação legal (art. 7º, II): guarda de registros exigidos por lei.
- Consentimento, quando aplicável — por exemplo, a autorização que a empresa concede à Meta ao conectar as contas dela.
4. Compartilhamento e operadores
Compartilhamos dados apenas com quem é necessário para o serviço funcionar. Nossos operadores são:
| Operador | Função | Onde trata |
|---|---|---|
| Hostinger International Ltd | Servidor e banco de dados da aplicação | Brasil (data center em São Paulo); acesso remoto de suporte a partir da Lituânia |
| Cloudflare, Inc. | Armazenamento de mídias das conversas (R2) e camada de rede | Estados Unidos |
| Elastic Email Inc. | Envio de e-mails transacionais e de campanha | Canadá |
Também há transferência para a Meta Platforms quando a mensagem é entregue ao WhatsApp ou ao Instagram — é o próprio serviço contratado. Fora isso, só compartilhamos dados mediante ordem legal válida (ver seção 6).
Transferências internacionais seguem os arts. 33 a 36 da LGPD, com cláusulas contratuais e garantias equivalentes junto aos operadores acima.
5. Retenção e eliminação
- Conversas, contatos e mídias ficam disponíveis enquanto a conta da empresa estiver ativa.
- Encerrado o contrato, os dados são eliminados ou anonimizados em até 90 dias, salvo obrigação legal de guarda.
- Desconectada uma instância de WhatsApp ou Instagram, o token correspondente é invalidado e deixamos de receber novos dados daquela conta.
- Logs técnicos e registros de acesso são mantidos por até 6 meses, conforme o Marco Civil da Internet.
Pedidos de exclusão: privacidade@growthtap.com.br. Respondemos em até 15 dias.
6. Pedidos de autoridades públicas
Quando uma autoridade pública solicita dados pessoais, aplicamos, sem exceção:
- análise obrigatória da legitimidade e da base legal do pedido, antes de qualquer entrega;
- contestação dos pedidos que consideramos ilegais ou desproporcionais;
- minimização — entregamos apenas o mínimo de informação capaz de atender ao pedido;
- registro do pedido, da resposta, do fundamento jurídico e das pessoas envolvidas.
Sempre que a lei permitir, informamos a empresa cliente afetada antes de responder.
7. Segurança
- Tráfego cifrado em trânsito (TLS) e senhas armazenadas apenas como hash bcrypt.
- Acesso à infraestrutura restrito por chave e por necessidade, com autenticação de dois fatores nos provedores.
- Separação lógica por projeto: cada empresa cliente enxerga apenas os próprios dados.
- Registro de atividades administrativas e monitoramento de erros.
Em caso de incidente de segurança com risco relevante, comunicamos os titulares e a ANPD nos prazos legais.
8. Direitos do titular
Você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamentos, revogação de consentimento e eliminação dos seus dados.
Se seus dados estão no ZapFlow porque você conversou com uma empresa que usa a plataforma, o pedido deve ser dirigido primeiro a essa empresa, que é a controladora daquela conversa. Ainda assim, se nos escrever, encaminhamos o pedido e apoiamos o atendimento.
9. Dados de crianças e adolescentes
O ZapFlow é destinado a empresas e a maiores de 18 anos. Não coletamos intencionalmente dados de menores de 18 anos. Identificado esse tratamento sem a devida autorização, eliminamos os dados.
10. Cookies
Usamos armazenamento local e cookies estritamente necessários para manter a sessão autenticada e as preferências da interface. Não usamos cookies de publicidade nem de rastreamento de terceiros no painel.
11. Alterações
Podemos atualizar esta política. Mudanças relevantes são comunicadas por e-mail ou aviso no painel, com pelo menos 15 dias de antecedência quando exigirem nova ciência.
12. Contato e encarregado
Growth Tap Ltda — CNPJ 39.512.345/0001-60
Encarregado de Proteção de Dados (DPO): privacidade@growthtap.com.br
Contato geral: contato@growthtap.com.br