Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados ("DPA") integra os Termos de Uso celebrados entre a D-API (CNPJ 40.925.787/0001-17), doravante "D-API", e a pessoa jurídica que contrata os serviços ("Cliente"). Ele disciplina o tratamento de dados pessoais que trafegam pela infraestrutura de WhatsApp (API não oficial e API oficial da Meta), SMS e telefonia da D-API, em conformidade com a Lei nº 13.709/2018 ("LGPD") e com as normas da Autoridade Nacional de Proteção de Dados ("ANPD").

O DPA vale automaticamente para todo Cliente que utiliza os serviços, sem necessidade de assinatura. Se a sua política interna exige uma via assinada, solicite pelo e-mail [email protected] e enviaremos este mesmo texto para assinatura eletrônica.

1. Definições

Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "encarregado" e "transferência internacional" têm o significado dado pela LGPD. Além deles:

• Dados do Cliente: dados pessoais que o Cliente, seus usuários ou seus próprios clientes enviam, recebem ou fazem trafegar pelos serviços, incluindo conteúdo de mensagens, mídias, áudio de chamadas, números de telefone e metadados de comunicação.
• Cliente Final: empresa que usa um produto do Cliente (por exemplo, um SaaS de atendimento, CRM ou automação) que, por sua vez, utiliza a D-API como infraestrutura.
• Suboperador: operador contratado por outro operador para realizar parte do tratamento em nome do controlador, conforme o Guia Orientativo de Agentes de Tratamento da ANPD.
• Conexão: uma instância de WhatsApp, linha de telefonia ou rota de SMS configurada na conta do Cliente.
• Incidente de Segurança: evento adverso confirmado que comprometa a confidencialidade, integridade ou disponibilidade dos Dados do Cliente.

2. Papéis das partes

A D-API não decide por que nem para quem as mensagens e chamadas são feitas. Por isso, o papel de cada parte depende de como o Cliente usa os serviços:

Quando o Cliente usar a D-API em parte para si e em parte para Clientes Finais, cada fluxo segue o papel correspondente da tabela acima.

3. SaaS e cadeia de revenda

A D-API foi construída para ser a camada de infraestrutura de SaaS. Na cadeia Cliente Final → Cliente → D-API, as partes acordam que:

• Interlocutor único. O Cliente é o único ponto de contato da D-API. A D-API não mantém relação contratual com Clientes Finais nem recebe instruções diretamente deles, salvo determinação legal ou de autoridade.
• Repasse das obrigações. O Cliente deve firmar com cada Cliente Final contrato ou termos que contenham obrigações de proteção de dados no mínimo equivalentes às deste DPA, e que autorizem expressamente o uso da D-API como suboperadora.
• Instruções em cadeia. O Cliente garante que as instruções que envia à D-API, inclusive via API, refletem as instruções lícitas recebidas do Cliente Final.
• Segregação por Cliente Final. Recomendamos que o Cliente use Conexões distintas para cada Cliente Final. Assim, os controles da seção 7 configurados por Conexão podem ser aplicados de forma individual a cada um, e as solicitações de titulares e de eliminação ficam isoladas.
• Marca branca. O Cliente pode apresentar o serviço com a própria marca. Nesse caso, deve informar aos Clientes Finais, na sua lista de suboperadores ou documento equivalente, que utiliza um provedor de infraestrutura de comunicação, e disponibilizar este DPA ou suas obrigações equivalentes quando solicitado.

4. Objeto e instruções de tratamento

A D-API trata os Dados do Cliente exclusivamente para prestar os serviços contratados, conforme descrito no Anexo I, e de acordo com as instruções documentadas do Cliente. Constituem instruções documentadas:

• estes Termos e este DPA;
• as chamadas feitas à API, os webhooks, filas e integrações configurados pelo Cliente;
• as configurações feitas no painel, incluindo os controles de armazenamento da seção 7;
• instruções adicionais por escrito, aceitas pela D-API, que sejam compatíveis com os serviços.

A D-API informará o Cliente se, a seu juízo, uma instrução violar a LGPD ou outra norma aplicável, podendo suspender sua execução até que seja esclarecida. A D-API não vende, não aluga e não usa os Dados do Cliente para publicidade, para criar perfis de titulares ou para treinar modelos de inteligência artificial.

5. Obrigações do Cliente

O Cliente, por si e, quando aplicável, em nome dos Clientes Finais, é responsável por:

• ter base legal adequada para cada tratamento e coletar o opt-in exigido pelas políticas da Meta, das operadoras de telefonia e pela legislação de comunicações;
• informar os titulares sobre o tratamento, incluindo a gravação de chamadas e o uso de agentes de voz com inteligência artificial, quando ativados;
• não enviar dados pessoais sensíveis, de crianças ou de adolescentes, salvo quando necessário à finalidade e com a base legal específica exigida pela LGPD;
• escolher e manter os controles de armazenamento da seção 7 adequados ao seu risco e ao dos Clientes Finais;
• proteger as próprias credenciais, tokens de API e endpoints de webhook, e os sistemas que recebem os dados entregues pela D-API, que ficam sob sua exclusiva responsabilidade;
• atender às solicitações dos titulares e às comunicações da ANPD que caibam ao controlador ou ao operador da cadeia.

6. Obrigações da D-API

• Tratar os Dados do Cliente apenas conforme a seção 4 e para nenhuma outra finalidade.
• Garantir que seus colaboradores e prestadores com acesso aos Dados do Cliente estejam sujeitos a dever de confidencialidade e acessem apenas o necessário para a função (menor privilégio).
• Manter as medidas técnicas e organizacionais descritas no Anexo II, revisadas periodicamente e nunca reduzidas a um nível inferior ao descrito.
• Auxiliar o Cliente, na medida do razoável e considerando a natureza do tratamento, no atendimento aos titulares, em relatórios de impacto à proteção de dados e em consultas à ANPD.
• Manter registro das operações de tratamento que realiza, conforme o art. 37 da LGPD.
• Indicar encarregado pelo tratamento de dados, contactável em [email protected].

7. Controles de armazenamento e minimização

A D-API permite que o Cliente decida o que fica persistido na infraestrutura dela. Com os controles ativados, a D-API atua como camada de transporte: recebe, processa em memória e entrega o evento ao Cliente, sem manter cópia do conteúdo. Os controles disponíveis são:

Mesmo com todos os controles ativados, permanecem os seguintes tratamentos, necessários para operar o serviço:

• Processamento transitório em memória e em filas internas, pelo tempo estritamente necessário para processar e entregar cada evento.
• Registros de entrega de webhook (payload enviado, resposta e status), retidos por até 3 dias para diagnóstico e reprocessamento a pedido do Cliente.
• Metadados operacionais como identificadores de Conexão, números de telefone, data, hora, direção, tipo e status de mensagens e chamadas, usados para faturamento, limites de uso, relatórios agregados, segurança e prevenção a abuso.
• Dados das Conexões, como credenciais de sessão e tokens de acesso, mantidos enquanto a Conexão existir.

Com o armazenamento de mensagens desativado, a recuperação de eventos não entregues depende do endpoint do Cliente. Recomendamos o uso de fila durável (por exemplo, RabbitMQ) do lado do Cliente. A documentação técnica de cada controle está em docs.d-api.cloud.

8. Retenção e eliminação

• Durante o contrato: os Dados do Cliente armazenados (quando os controles da seção 7 não estiverem ativados) ficam disponíveis enquanto a Conexão e a conta estiverem ativas, ou até que o Cliente os elimine ou solicite a eliminação.
• Exclusão de Conexão: o Cliente pode excluir uma Conexão a qualquer momento; mensagens, mídias e credenciais associadas são eliminadas nos mesmos prazos aplicáveis ao término do contrato.
• Término do contrato: mensagens, mídias, gravações e tokens de acesso são eliminados em até 30 dias após o encerramento da conta. Antes disso, o Cliente pode exportar seus dados pela API.
• Cópias de segurança: dados contidos em backups são sobrescritos no ciclo regular de rotação e, até lá, permanecem isolados e protegidos, sem uso ativo.
• Exceções legais: a D-API pode reter dados pelo prazo exigido por lei, ordem judicial ou requisição de autoridade, como os registros de acesso a aplicações exigidos pelo Marco Civil da Internet (Lei nº 12.965/2014), limitados ao necessário.

9. Suboperadores

• O Cliente autoriza, de forma geral, a D-API a contratar os suboperadores listados no Anexo III, e, na cadeia de revenda, declara ter obtido essa autorização do Cliente Final.
• A D-API impõe a cada suboperador, por contrato, obrigações de proteção de dados não inferiores às deste DPA, e responde perante o Cliente pelo cumprimento delas.
• A D-API avisará o Cliente, por e-mail ou aviso no painel, com antecedência mínima de 15 dias, antes de incluir ou substituir um suboperador que trate Dados do Cliente.
• O Cliente pode se opor à mudança, de forma fundamentada e por escrito, dentro desse prazo. Se as partes não chegarem a uma solução razoável, o Cliente pode encerrar os serviços afetados sem multa.

A Meta (WhatsApp) e as operadoras de telecomunicações de destino atuam sob seus próprios termos e regulação na entrega das comunicações, que o Cliente ou o Cliente Final aceitam ao usar esses canais. Elas não são suboperadoras escolhidas pela D-API para tratar dados em seu nome.

10. Transferência internacional

O banco de dados principal da D-API fica no Brasil. Alguns suboperadores do Anexo III tratam dados fora do país. Nesses casos, a transferência se apoia em um dos mecanismos do art. 33 da LGPD, preferencialmente as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024. O armazenamento de mídia nos EUA pode ser evitado pelo Cliente: ao desativar o armazenamento de mídia ou usar storage próprio, os arquivos deixam de ser enviados à D-API e a região e a guarda passam a ser escolhidas e controladas por ele.

11. Direitos dos titulares

Se a D-API receber diretamente uma solicitação de titular relativa aos Dados do Cliente, ela não a responderá no mérito: encaminhará a solicitação ao Cliente em até 5 dias úteis, salvo se a lei exigir outra conduta. A D-API fornecerá ao Cliente as funcionalidades de API e o apoio razoável necessários para localizar, exportar, corrigir ou eliminar os dados, dentro dos prazos da LGPD.

12. Incidentes de segurança

• A D-API comunicará o Cliente em até 48 horas após confirmar um Incidente de Segurança que envolva Dados do Cliente, pelo e-mail cadastrado na conta.
• A comunicação conterá, na medida do disponível: a natureza do incidente, as categorias e a quantidade aproximada de titulares e registros afetados, as Conexões envolvidas, as consequências prováveis e as medidas adotadas ou propostas. Informações ainda não disponíveis serão enviadas assim que apuradas.
• A D-API apoiará o Cliente, e por meio dele o Cliente Final, na comunicação à ANPD e aos titulares prevista no art. 48 da LGPD e na Resolução CD/ANPD nº 15/2024, cuja decisão e responsabilidade cabem ao controlador.
• A comunicação de um incidente não significa reconhecimento de culpa ou responsabilidade pela D-API.

13. Auditoria e comprovação

• Mediante solicitação, até uma vez por ano, a D-API responderá a questionário de segurança e privacidade e fornecerá a documentação razoavelmente necessária para demonstrar o cumprimento deste DPA.
• Se a documentação for insuficiente, ou se exigido por autoridade, o Cliente poderá realizar auditoria, diretamente ou por auditor independente sujeito a confidencialidade, com aviso prévio de 30 dias, em horário comercial, sem acesso a dados de outros clientes e sem comprometer a segurança da infraestrutura. Os custos da auditoria são do Cliente.
• Na cadeia de revenda, o direito de auditoria do Cliente Final é exercido por meio do Cliente.

14. Responsabilidade

Cada parte responde pelos danos que causar em violação à LGPD ou a este DPA, nos termos dos arts. 42 a 45 da LGPD. O Cliente responde pela licitude das instruções que transmite à D-API, inclusive as recebidas de Clientes Finais. Na máxima extensão permitida pela lei, aplicam-se a este DPA as limitações de responsabilidade previstas nos Termos de Uso.

15. Vigência e disposições gerais

• Este DPA vigora enquanto a D-API tratar Dados do Cliente e sobrevive ao término dos Termos até a eliminação completa desses dados.
• Em caso de conflito sobre proteção de dados pessoais, este DPA prevalece sobre os Termos de Uso.
• A D-API pode atualizar este DPA para refletir mudanças na legislação, nos serviços ou nos suboperadores. Alterações materiais serão comunicadas com antecedência mínima de 15 dias e nunca reduzirão o nível de proteção dos Dados do Cliente.
• Aplicam-se a lei brasileira e o foro definido nos Termos de Uso.

Anexo I: Descrição do tratamento

Anexo II: Medidas de segurança

• Criptografia em trânsito: TLS em todas as interfaces públicas (API, painel, webhooks em HTTPS) e túneis criptografados entre os servidores da infraestrutura.
• Isolamento por cliente: todo acesso a dado é vinculado à conta do Cliente; cada Conexão de WhatsApp roda em processo isolado.
• Controle de acesso: autenticação por token de API por conta, acesso administrativo restrito por função e pelo princípio do menor privilégio, e revisão periódica de permissões.
• Registro e monitoramento: logs de auditoria de operações administrativas, monitoramento contínuo de infraestrutura e alertas de segurança.
• Disponibilidade e resiliência: infraestrutura distribuída em múltiplos data centers, com redundância, self-healing e cópias de segurança.
• Minimização: controles de armazenamento da seção 7 e descarte das mensagens de histórico com mídia na sincronização.
• Gestão de segredos: credenciais e chaves mantidas fora do código-fonte, em cofres e variáveis protegidas.
• Gestão de incidentes: processo de resposta a incidentes com apuração, contenção, comunicação e análise de causa raiz.
• Desenvolvimento seguro: revisão de código, testes automatizados e separação entre ambientes de desenvolvimento, homologação e produção.

Anexo III: Suboperadores

A razão social de cada suboperador, os contratos firmados e o histórico de alterações desta lista estão disponíveis mediante solicitação a [email protected].

Contato

D-API, CNPJ 40.925.787/0001-17
Encarregado (DPO): [email protected]
Suporte geral: [email protected]
WhatsApp: +55 (51) 92001-8823