Política de privacidade
Última atualização: 6 de novembro de 2026
Esta política explica como a Nigora Zap API trata dados pessoais, em linha com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD). Ela vale junto com os Termos de uso.
1. Controlador e operadora
- Controlador dos dados da conta, da cobrança e de segurança: A DEFINIR, CNPJ A DEFINIR.
- Contato de privacidade (dúvidas e exercício de direitos): A DEFINIR.
- Quanto ao conteúdo das mensagens e aos dados dos contatos do cliente, a Nigora Zap API atua como operadora, como explicado a seguir.
2. Seu papel e o nosso nos dados das mensagens
Quando o cliente usa a API para falar com os seus próprios contatos (clientes, leads, pacientes, alunos etc.), o cliente é o controlador dos dados desses contatos e do conteúdo das mensagens: é ele quem decide para quem enviar, o quê e por quê, e é ele quem precisa ter base legal para isso (por exemplo, consentimento ou legítimo interesse), respeitar pedidos de descadastro e atender os direitos desses titulares.
Nesse papel, a Nigora Zap API é operadora: trata esses dados só para transportá-los segundo as instruções do cliente (enviar, receber, entregar por webhook), sem usá-los para outras finalidades nossas, como publicidade ou venda.
3. Dados que tratamos
| Dado | Quando | Observações |
|---|---|---|
| Nome e e-mail | Cadastro | Também usamos o e-mail para avisos do serviço (confirmação, recuperação de senha, códigos, fim do teste, instância desconectada). |
| Senha | Cadastro com senha | Guardada apenas como hash Argon2id, nunca em texto legível. |
| Identificador do login com Google | Se você entrar com o Google | Guardamos o identificador da conta Google associado ao seu cadastro. |
| Sessões do painel: IP, navegador (user agent) e datas de uso | Cada login | Servem à segurança, ao controle de acessos e ao encerramento remoto de sessões. Esses registros permanecem enquanto a conta existir (ver Retenção). Códigos de verificação em duas etapas (opcional) são guardados só como hash. |
| Dados de cobrança: CPF ou CNPJ, razão social ou nome, nome fantasia, inscrição municipal, telefone e endereço (CEP, rua, número, complemento, bairro, cidade, UF) | Ao contratar ou testar | O CPF/CNPJ fica cifrado, e uma versão em hash serve para limitar o teste grátis a um por documento. Nem todos os campos são obrigatórios. |
| Pagamentos e assinatura | Cobrança | Valores, vencimentos, situação, forma de pagamento (Pix ou cartão) e link da fatura. Os dados do cartão são digitados no Asaas e não passam por nós. |
| Instâncias: nome, número de telefone conectado, configurações, credenciais da sessão do WhatsApp, endereço do webhook, IP de saída e eventos de conexão | Uso do serviço | As credenciais da sessão do WhatsApp, o segredo e a URL de proxy ficam cifrados. O token da instância é guardado só como hash. |
| Metadados de envio: destinatário (telefone), tipo, situação e erro, sem o texto | Cada mensagem enviada | Dados dos contatos do cliente, tratados como operadora. O telefone do destinatário fica em texto claro no banco por 7 dias. |
| Conteúdo das mensagens enviadas e recebidas, mídias e histórico de webhooks | Em trânsito | Passam pelo serviço para serem entregues. Ficam cifrados e por tempo limitado (ver seção Retenção). O serviço não acessa o conteúdo das mensagens para outras finalidades além de entregá-las e registrar o resultado. |
| Contadores de uso por dia, direção e tipo | Uso do serviço | Apenas números agregados, sem conteúdo nem contatos. |
| Lista de descadastro (telefones que pediram para não receber mensagens) | Quando o contato pede | Dado do contato, guardado em texto claro e sem prazo de expiração automático: permanece para respeitar o pedido enquanto a instância existir, até definirmos o prazo de exclusão. Pode ser removido a pedido, como descrito em Direitos do titular. |
| Registros de segurança e de auditoria | Eventos como login e alterações de segurança | Incluem endereço IP e identificadores internos (conta, instância), sem senhas, tokens nem conteúdo de mensagens. O IP é dado pessoal. |
4. Finalidades e base legal
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Criar e manter a conta, autenticar, prestar o serviço de API e entregar mensagens e webhooks | Execução de contrato (inciso V) |
| Cobrar, emitir faturas e controlar assinatura, atraso e suspensão | Execução de contrato (inciso V) |
| Guardar registros financeiros e atender exigências fiscais e contábeis | Cumprimento de obrigação legal ou regulatória (inciso II) |
| Segurança da conta e da infraestrutura, prevenção a fraude e abuso, limitar o teste grátis a um por documento | Legítimo interesse (inciso IX); proteção do crédito e prevenção à fraude, quando aplicável |
| Avisos do serviço por e-mail (fim do teste, fatura, instância desconectada) e suporte | Execução de contrato (inciso V) e legítimo interesse (inciso IX) |
| Defesa em processos e exercício regular de direitos | Exercício regular de direitos (inciso VI) |
| Conteúdo das mensagens e dados dos contatos do cliente | Definida pelo cliente, como controlador; nós tratamos como operadora, conforme as instruções dele |
Não vendemos dados pessoais nem os usamos para publicidade de terceiros.
5. Com quem compartilhamos
- Asaas (gateway de pagamento): recebe nome, CPF ou CNPJ, e-mail e, quando informados, telefone e CEP/número do endereço, para criar o cliente e cobrar por Pix ou cartão. O Asaas também trata os dados do cartão, que não passam por nós.
- Provedor de e-mail transacional: recebe o seu e-mail e o texto das mensagens do serviço (confirmação, recuperação de senha, códigos de verificação, avisos) para entregá-las.
- Provedor de hospedagem (Oracle Cloud): hospeda o servidor e o banco de dados. Os dados sensíveis são cifrados antes de serem gravados. A DEFINIR.
- Google, somente se você escolher entrar com a conta Google: o login é feito na página do Google, que nos informa o identificador e o e-mail da conta.
- WhatsApp (Meta): as mensagens trafegam pela rede do WhatsApp, que as trata segundo os próprios termos e política dele, e não segundo esta.
- Webhook do cliente: eventos (por exemplo, mensagens recebidas) são enviados à URL que o cliente configurou.
- Autoridades, quando houver ordem legal ou para defender direitos em processo.
6. Onde os dados ficam
Nossa infraestrutura está hospedada na Oracle Cloud, na região de Phoenix, nos Estados Unidos. Isso significa que os dados são armazenados e tratados fora do Brasil, o que caracteriza transferência internacional de dados. Ela é feita com base nos mecanismos do art. 33 da LGPD, em especial a execução de contrato e as garantias de proteção oferecidas pelos fornecedores. A DEFINIR. Prestadores como Asaas e o provedor de e-mail podem tratar dados no Brasil ou no exterior, segundo suas próprias políticas.
7. Retenção
- Histórico de entregas de webhook (conteúdo cifrado) e metadados de envio: apagados automaticamente após 7 dias.
- Mensagens na fila de envio: o conteúdo é cifrado e uma mensagem que não foi enviada em 7 dias expira e deixa de ser enviada.
- Mídias recebidas: arquivos temporários, apagados em até 24 horas; os links para elas expiram em 24 horas.
- Eventos de conexão das instâncias: apagados após 90 dias.
- Cópias de segurança do banco de dados: criptografadas e apagadas após 7 dias.
- Sessões do painel: perdem a validade em 12 horas (30 dias quando você escolhe permanecer conectado), mas o registro da sessão (IP e navegador) permanece no banco enquanto a conta existir; sessões vencidas e códigos de verificação vencidos não são apagados automaticamente.
- Conta, instâncias e dados de cobrança: mantidos enquanto a conta existir. Registros de assinatura, de pagamentos e do uso do teste grátis são registros financeiros e antifraude e permanecem mesmo depois da exclusão de uma instância, pelo prazo necessário ao cumprimento de obrigações legais e à defesa de direitos.
- Contadores de uso agregados não contêm dados pessoais e são mantidos.
- Sem prazo de exclusão automático: a lista de descadastro (telefones em texto claro), os registros de sessão e os dados de conta e de cobrança. Não definimos prazo para eles; a exclusão ocorre a pedido do titular, respeitadas as obrigações legais.
- Registros de segurança e de operação (logs do servidor): A DEFINIR.
8. Segurança
- Conexões por HTTPS.
- Senhas com hash Argon2id. Tokens de acesso e códigos de verificação guardados somente como hash.
- Cifragem em repouso (AES-256-GCM) das credenciais da sessão do WhatsApp, do conteúdo dos webhooks, das mídias, do conteúdo da fila de envio, de segredos e do CPF/CNPJ.
- Verificação em duas etapas por e-mail, opcional para clientes.
- Isolamento entre contas: uma conta não acessa dados de outra.
- Limites de requisições e de tentativas de acesso, e proteção contra requisições forjadas (CSRF) no painel.
- Registros de segurança e de operação sem senhas, tokens, segredos nem conteúdo de mensagens (eles incluem endereço IP e identificadores internos).
- Backups criptografados.
Nenhum sistema é totalmente seguro. Em caso de incidente que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados nos termos da LGPD.
9. Cookies
- Este site não usa cookies, nem ferramentas de análise ou de publicidade.
- O painel usa apenas cookies funcionais, necessários para você estar logado e seguro:
nigora_sessao(sessão, HttpOnly),nigora_csrf(proteção contra requisições forjadas) e, durante o login com Google,nigora_google_estado(validade de 10 minutos). Não são usados para rastreamento nem publicidade, por isso não pedem consentimento.
10. Direitos do titular
Nos termos do art. 18 da LGPD, você pode pedir: confirmação de que tratamos seus dados; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com base em consentimento; informação sobre com quem compartilhamos dados; informação sobre a possibilidade de não consentir e suas consequências; e revogação do consentimento.
Para exercer esses direitos, escreva para A DEFINIR. Podemos pedir informações para confirmar a sua identidade.
Se você é contato de um cliente nosso (recebeu uma mensagem enviada por meio da API), o controlador dos seus dados é esse cliente: dirija o pedido a ele. Se nos escrever, avisaremos o cliente ou indicaremos como falar com ele. Você também pode registrar reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD).
11. Alterações desta política
Podemos atualizar esta política. A data da última atualização está no topo, e mudanças relevantes serão avisadas por e-mail ou no painel.