Política de Privacidade

1. Quem somos e por que esta política existe

A N3ai (Astur e Camara Serviços de Tecnologia Ltda, CNPJ 65.075.577/0001-08, sede na Alameda Rio Negro, 503, Sala 2020, Alphaville Centro Industrial e Empresarial, Barueri/SP, CEP 06454-000) opera uma plataforma SaaS que permite a pequenas e médias empresas brasileiras gerenciar campanhas de mensagens via WhatsApp Business API oficial da Meta.

Esta Política explica de forma clara:

• Quais dados pessoais usamos.
• Por que usamos.
• Com quem compartilhamos.
• Por quanto tempo guardamos.
• Quais são os seus direitos.

Ela se aplica a todos que interagem com nosso serviço, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).

2. A quem esta política se aplica — e o papel da N3ai

Temos dois públicos distintos, e o papel da N3ai é diferente para cada um:

Essa distinção importa na prática: se você é um contato final (alguém que recebeu uma mensagem de um usuário da N3ai), a empresa que te enviou a mensagem é a controladora — e a ela que você deve se dirigir primeiro para exercer seus direitos. Se ela não responder, você pode nos contactar e redirecionaremos sua solicitação.

3. Dados que coletamos e por que

3.1 Dados do Cliente (você que contratou)

Não coletamos dados sensíveis (saúde, raça, religião, biometria) do Cliente. Se você nos enviar voluntariamente algum dado dessa natureza, nós avisaremos e pediremos que solicite o apagamento.

3.2 Dados que o Cliente sobe na plataforma (contatos finais)

O Cliente faz upload da própria lista de contatos. Nesses dados, a N3ai é operadora — o Cliente é o controlador. Tipicamente incluem:

• Número de telefone do contato.
• Nome do contato.
• Campos extras opcionais (ex.: cidade, data de aniversário, status).
• Conteúdo das mensagens enviadas.
• Etiquetas e origem do contato, definidas pelo Cliente no painel (ex.: "vip", "importado por planilha").
• Nome de perfil do WhatsApp do contato que escreve para o Cliente (o nome que a própria pessoa configurou no aplicativo), somente quando o Cliente ativa essa opção em Configurações. Desligada por padrão.

Importante: armazenamos os templates e parâmetros das mensagens enviadas pelo Cliente, mas não armazenamos o conteúdo das mensagens recebidas dos contatos finais — apenas contadores, horários (última mensagem recebida, entregue, lida, respondida) e, se ativado pelo Cliente, o nome de perfil público do WhatsApp. Nunca o texto das mensagens. Mensagens recebidas trafegam pelos webhooks da Meta e não são persistidas em nosso banco de dados.

Mecanismo de opt-out: quando um contato final responde com palavras de descadastro (como "PARAR" ou "SAIR", entre outras configuráveis pelo Cliente), o sistema registra o pedido automaticamente e bloqueia novos envios para aquele número. Esse registro é permanente por padrão, para honrar a vontade manifestada pelo titular.

A N3ai armazena esses dados em banco de dados isolado por Cliente e os usa exclusivamente para:

• Permitir que o Cliente envie mensagens via WhatsApp.
• Manter histórico para consulta do Cliente.
• Backup operacional para evitar perda de dados.

3.3 Credenciais Meta do Cliente

Phone Number ID, WABA ID e Access Token — fornecidos pelo Cliente para conectar o WhatsApp Business. Esses tokens são armazenados cifrados em repouso (AES-256) e decifrados apenas em memória no momento do envio. Base legal: execução de contrato.

3.4 Imagens e vídeos enviados para templates

O Cliente pode subir imagens (e vídeos) para usar em templates aprovados pela Meta. Essas mídias ficam em nosso servidor por até 24 horas, apenas para a Meta processar, e são apagadas automaticamente após esse prazo. A N3ai não inspeciona, indexa nem faz backup permanente dessas mídias. A Meta pode manter cópia própria conforme sua política — fora do nosso controle.

3.5 Cookies e rastreamento

Usamos cookies e tecnologias similares nas nossas páginas públicas (site e cadastro), separados em três categorias. Você controla as duas últimas pelo banner de cookies e pelo link "Preferências de cookies" no rodapé.

Essenciais — sempre ativos

Necessários para o site e o painel funcionarem. Não podem ser recusados.

Analytics — precisam da sua aceitação

Para entender como as pessoas chegam ao site e se cadastram, e melhorar o produto. Dados agregados; não identificam você individualmente.

Marketing e remarketing — precisam da sua aceitação

Para exibir anúncios da N3ai a quem já visitou o site. Só disparam se você aceitar.

Identificador de clique de anúncio (gclid) — não é cookie

Se você chega ao nosso site clicando num anúncio do Google, o endereço traz um identificador daquele clique (gclid). Quando e somente quando você conclui uma contratação, guardamos esse identificador junto do seu cadastro e informamos ao Google que aquele clique virou cliente. Serve para sabermos quais anúncios se pagam.

Esse envio não é usado para exibir anúncios a você, montar audiência ou personalizar publicidade, e acontece no nosso servidor, não no seu navegador. A base legal é o legítimo interesse em medir a eficácia da própria divulgação (LGPD art. 7º, IX, e art. 10). Você pode se opor a qualquer momento pelo e-mail de contato desta política, sem que isso afete a sua contratação. Personalização de anúncio e remarketing continuam dependendo do seu aceite, como descrito acima.

Base legal: analytics e marketing dependem do seu consentimento (LGPD art. 7º, I). Os essenciais se baseiam em execução do contrato e legítimo interesse.

Transferência internacional: cookies de analytics e marketing enviam dados ao Google e à Meta nos EUA. Ao aceitar, você autoriza essa transferência (LGPD art. 33).

Como recusar ou revogar: clique em "Preferências de cookies" no rodapé a qualquer momento (revogar é tão fácil quanto aceitar), ou bloqueie cookies de terceiros no seu navegador. Para sair de audiências: Google · Meta.

4. Para que usamos seus dados

5. Com quem compartilhamos — nossos subprocessadores

Compartilhamos dados apenas com o necessário para entregar o serviço:

Não vendemos nem alugamos dados. Não compartilhamos para fins de marketing de terceiros.

Compartilhamos com autoridades somente mediante ordem judicial ou requisição fundamentada de autoridade competente (LGPD art. 7º, VI).

6. Transferência internacional de dados

Alguns dos parceiros listados acima operam servidores fora do Brasil:

• Meta — servidores nos EUA e na Europa, sujeitos ao GDPR europeu e ao framework de adequação EUA-UE.
• Cloudflare — infraestrutura global; o roteamento pode passar por servidores em vários países.
• Resend — opera nos EUA.
• AWS (Amazon Web Services) — os servidores da N3ai operam na região us-east-1 (Virgínia, EUA). Transferência fundamentada no art. 33 da LGPD (execução de contrato), com as cláusulas contratuais e o adendo de proteção de dados (DPA) da AWS.
• OpenAI — usamos a API da OpenAI (servidores nos EUA) como ferramenta interna de apoio: ela ajuda nossa equipe a redigir respostas de suporte, que são sempre revisadas por uma pessoa antes de chegarem a você. Enviamos apenas o mínimo necessário para personalizar a resposta — nome, empresa, plano e situação de pagamento — e nunca CPF/CNPJ, senhas ou dados de cartão. Contratamos a OpenAI pela API corporativa, sob o adendo de proteção de dados (DPA) dela, cuja política vigente prevê que dados enviados pela API não sejam usados para treinar seus modelos. Essa transferência se apoia no nosso legítimo interesse em prestar suporte de forma eficiente (LGPD art. 7º, IX), e você pode se opor a qualquer momento pelo e-mail de contato desta política — nesse caso seu atendimento segue normalmente, apenas sem o apoio da IA.

Autorizamos essa transferência com base no art. 33 da LGPD porque:

• É necessária para a execução do contrato com o Cliente (enviar mensagens exige que a Meta receba os dados — art. 33, VIII).
• Os parceiros adotam políticas de privacidade e mecanismos de proteção equivalentes ou superiores aos exigidos pela LGPD.

Se você quiser mais detalhes sobre as salvaguardas de cada parceiro, entre em contato pelo e-mail de privacidade (seção 11).

7. Por quanto tempo guardamos seus dados

Após esses prazos, os dados são apagados permanentemente ou anonimizados (LGPD art. 16).

8. Seus direitos como titular (LGPD art. 18)

Você pode exercer os seguintes direitos a qualquer momento:

Como exercer seus direitos

Envie um e-mail para [email protected] com:

1. Seu nome completo e CPF (para confirmarmos sua identidade).
2. Qual direito você quer exercer.
3. Detalhes da sua solicitação.

Respondemos em até 15 dias úteis (LGPD art. 19).

Se você é um contato final (não contratou a N3ai diretamente)

Se você recebeu uma mensagem de um usuário da N3ai e quer que seus dados sejam removidos, entre em contato diretamente com a empresa que te enviou a mensagem — ela é a controladora desses dados. Se não obtiver resposta, entre em contato conosco e encaminharemos sua solicitação ao Cliente responsável.

9. Encarregado pelo tratamento de dados (DPO)

Conforme o art. 41 da LGPD, designamos como Encarregado pelo Tratamento de Dados:

O Encarregado é o canal oficial para comunicação com a Autoridade Nacional de Proteção de Dados (ANPD).

10. Como protegemos seus dados

• Senhas: armazenadas em hash bcrypt — não conseguimos recuperar, apenas redefinir.
• Tokens de API: cifrados em repouso com AES-256; decifrados apenas em memória no momento do uso.
• Comunicação: sempre via HTTPS com TLS 1.2 ou superior.
• Isolamento de dados: cada Cliente tem banco de dados próprio — nenhum Cliente acessa dados de outro.
• Controle de acesso: acesso interno restrito por função (princípio do privilégio mínimo).
• Logs de auditoria: operações sensíveis são registradas.
• Anti-bot: Cloudflare Turnstile no cadastro para prevenir cadastros automáticos.

Apesar das medidas adotadas, nenhum sistema é 100% seguro. Em caso de incidente de segurança com dados pessoais, comunicaremos a ANPD e os titulares afetados conforme LGPD art. 48, dentro de 72 horas após ciência do incidente sempre que tecnicamente possível.

11. Crianças e adolescentes

A plataforma N3ai não se destina a menores de 18 anos. Se identificarmos cadastro realizado por menor sem autorização do responsável legal, cancelaremos a conta e apagamos os dados.

O Cliente é responsável por garantir que não usa o serviço para envio comercial ativo a menores sem as salvaguardas exigidas pela LGPD art. 14.

12. Mudanças nesta política

Podemos atualizar esta política a qualquer momento. Mudanças relevantes — que afetem seus direitos ou nossos compromissos com seus dados — serão comunicadas por e-mail e/ou aviso no painel com 30 dias de antecedência.

Continuar usando o serviço após a data de vigência da nova versão implica aceite. A versão vigente estará sempre disponível em painel.n3ai.com.br/privacidade.

13. Contato