--- title: "Acordo de Tratamento de Dados (DPA) | D-API" description: "DPA da D-API conforme a LGPD: papéis de operador e suboperador para SaaS que revendem WhatsApp, SMS e telefonia, controles para desativar armazenamento, segurança, suboperadores e incidentes." url: https://d-api.cloud/dpa --- # Acordo de Tratamento de Dados (DPA) ### Nesta página Este Acordo de Tratamento de Dados ("DPA") integra os [Termos de Uso](https://d-api.cloud/terms-of-use) celebrados entre a **D-API** (CNPJ 40.925.787/0001-17), doravante "D-API", e a pessoa jurídica que contrata os serviços ("Cliente"). Ele disciplina o tratamento de dados pessoais que trafegam pela infraestrutura de WhatsApp (API não oficial e API oficial da Meta), SMS e telefonia da D-API, em conformidade com a Lei nº 13.709/2018 ("LGPD") e com as normas da Autoridade Nacional de Proteção de Dados ("ANPD"). O DPA vale automaticamente para todo Cliente que utiliza os serviços, sem necessidade de assinatura. Se a sua política interna exige uma via assinada, solicite pelo e-mail [privacidade@d-api.cloud](mailto:privacidade@d-api.cloud) e enviaremos este mesmo texto para assinatura eletrônica. ## 1\. Definições Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "encarregado" e "transferência internacional" têm o significado dado pela LGPD. Além deles: - **Dados do Cliente:** dados pessoais que o Cliente, seus usuários ou seus próprios clientes enviam, recebem ou fazem trafegar pelos serviços, incluindo conteúdo de mensagens, mídias, áudio de chamadas, números de telefone e metadados de comunicação. - **Cliente Final:** empresa que usa um produto do Cliente (por exemplo, um SaaS de atendimento, CRM ou automação) que, por sua vez, utiliza a D-API como infraestrutura. - **Suboperador:** operador contratado por outro operador para realizar parte do tratamento em nome do controlador, conforme o Guia Orientativo de Agentes de Tratamento da ANPD. - **Conexão:** uma instância de WhatsApp, linha de telefonia ou rota de SMS configurada na conta do Cliente. - **Incidente de Segurança:** evento adverso confirmado que comprometa a confidencialidade, integridade ou disponibilidade dos Dados do Cliente. ## 2\. Papéis das partes A D-API não decide por que nem para quem as mensagens e chamadas são feitas. Por isso, o papel de cada parte depende de como o Cliente usa os serviços: | Cenário | Controlador | Operador | D-API | | --- | --- | --- | --- | | **Uso próprio:** o Cliente usa a D-API para se comunicar com os próprios contatos. | Cliente | D-API | Operadora | | **SaaS ou revenda:** o Cliente oferece a D-API embutida no seu produto a Clientes Finais. | Cliente Final | Cliente | Suboperadora | | **Dados da conta:** cadastro, faturamento, logs de acesso e prevenção a fraude e abuso. | D-API | — | Controladora, conforme a [Política de Privacidade](https://d-api.cloud/privacy-policy) | Quando o Cliente usar a D-API em parte para si e em parte para Clientes Finais, cada fluxo segue o papel correspondente da tabela acima. ## 3\. SaaS e cadeia de revenda A D-API foi construída para ser a camada de infraestrutura de SaaS. Na cadeia Cliente Final → Cliente → D-API, as partes acordam que: - **Interlocutor único.** O Cliente é o único ponto de contato da D-API. A D-API não mantém relação contratual com Clientes Finais nem recebe instruções diretamente deles, salvo determinação legal ou de autoridade. - **Repasse das obrigações.** O Cliente deve firmar com cada Cliente Final contrato ou termos que contenham obrigações de proteção de dados no mínimo equivalentes às deste DPA, e que autorizem expressamente o uso da D-API como suboperadora. - **Instruções em cadeia.** O Cliente garante que as instruções que envia à D-API, inclusive via API, refletem as instruções lícitas recebidas do Cliente Final. - **Segregação por Cliente Final.** Recomendamos que o Cliente use Conexões distintas para cada Cliente Final. Assim, os controles da seção 7 configurados por Conexão podem ser aplicados de forma individual a cada um, e as solicitações de titulares e de eliminação ficam isoladas. - **Marca branca.** O Cliente pode apresentar o serviço com a própria marca. Nesse caso, deve informar aos Clientes Finais, na sua lista de suboperadores ou documento equivalente, que utiliza um provedor de infraestrutura de comunicação, e disponibilizar este DPA ou suas obrigações equivalentes quando solicitado. ## 4\. Objeto e instruções de tratamento A D-API trata os Dados do Cliente exclusivamente para prestar os serviços contratados, conforme descrito no [Anexo I](https://d-api.cloud/#anexo-i), e de acordo com as instruções documentadas do Cliente. Constituem instruções documentadas: - estes Termos e este DPA; - as chamadas feitas à API, os webhooks, filas e integrações configurados pelo Cliente; - as configurações feitas no painel, incluindo os controles de armazenamento da seção 7; - instruções adicionais por escrito, aceitas pela D-API, que sejam compatíveis com os serviços. A D-API informará o Cliente se, a seu juízo, uma instrução violar a LGPD ou outra norma aplicável, podendo suspender sua execução até que seja esclarecida. A D-API não vende, não aluga e não usa os Dados do Cliente para publicidade, para criar perfis de titulares ou para treinar modelos de inteligência artificial. ## 5\. Obrigações do Cliente O Cliente, por si e, quando aplicável, em nome dos Clientes Finais, é responsável por: - ter base legal adequada para cada tratamento e coletar o opt-in exigido pelas políticas da Meta, das operadoras de telefonia e pela legislação de comunicações; - informar os titulares sobre o tratamento, incluindo a gravação de chamadas e o uso de agentes de voz com inteligência artificial, quando ativados; - não enviar dados pessoais sensíveis, de crianças ou de adolescentes, salvo quando necessário à finalidade e com a base legal específica exigida pela LGPD; - escolher e manter os controles de armazenamento da seção 7 adequados ao seu risco e ao dos Clientes Finais; - proteger as próprias credenciais, tokens de API e endpoints de webhook, e os sistemas que recebem os dados entregues pela D-API, que ficam sob sua exclusiva responsabilidade; - atender às solicitações dos titulares e às comunicações da ANPD que caibam ao controlador ou ao operador da cadeia. ## 6\. Obrigações da D-API - Tratar os Dados do Cliente apenas conforme a seção 4 e para nenhuma outra finalidade. - Garantir que seus colaboradores e prestadores com acesso aos Dados do Cliente estejam sujeitos a dever de confidencialidade e acessem apenas o necessário para a função (menor privilégio). - Manter as medidas técnicas e organizacionais descritas no [Anexo II](https://d-api.cloud/#anexo-ii), revisadas periodicamente e nunca reduzidas a um nível inferior ao descrito. - Auxiliar o Cliente, na medida do razoável e considerando a natureza do tratamento, no atendimento aos titulares, em relatórios de impacto à proteção de dados e em consultas à ANPD. - Manter registro das operações de tratamento que realiza, conforme o art. 37 da LGPD. - Indicar encarregado pelo tratamento de dados, contactável em [privacidade@d-api.cloud](mailto:privacidade@d-api.cloud). ## 7\. Controles de armazenamento e minimização A D-API permite que o Cliente decida o que fica persistido na infraestrutura dela. Com os controles ativados, a D-API atua como camada de transporte: recebe, processa em memória e entrega o evento ao Cliente, sem manter cópia do conteúdo. Os controles disponíveis são: | Controle | Escopo | Efeito quando ativado | | --- | --- | --- | | **Desativar armazenamento de mensagens** | Por Conexão ou para toda a conta | Mensagens de WhatsApp deixam de ser gravadas no banco de dados da D-API. O conteúdo é entregue ao Cliente por webhook, RabbitMQ ou integração, e não fica disponível para consulta posterior nem para reenvio de histórico pela D-API. | | **Desativar armazenamento de mídia** | Toda a conta | A D-API não grava imagens, áudios, vídeos e documentos em storage, cache, filas, banco de dados ou logs. O evento carrega apenas as referências criptográficas (API não oficial) ou o identificador de mídia da Meta (API oficial), e o Cliente baixa o arquivo sob demanda; o binário é devolvido na própria resposta HTTP, sem ser persistido. | | **Desativar gravação de chamadas** | Toda a conta, ou por chamada | As chamadas de WhatsApp e telefonia não são gravadas. O áudio trafega em tempo real e não é armazenado. | | **Storage próprio (S3)** | Toda a conta | Quando o armazenamento de mídia estiver ativo, os arquivos são gravados no bucket do Cliente, sob a política de retenção e a região escolhidas por ele, em vez do storage da D-API. | Mesmo com todos os controles ativados, permanecem os seguintes tratamentos, necessários para operar o serviço: - **Processamento transitório** em memória e em filas internas, pelo tempo estritamente necessário para processar e entregar cada evento. - **Registros de entrega de webhook** (payload enviado, resposta e status), retidos por até 3 dias para diagnóstico e reprocessamento a pedido do Cliente. - **Metadados operacionais** como identificadores de Conexão, números de telefone, data, hora, direção, tipo e status de mensagens e chamadas, usados para faturamento, limites de uso, relatórios agregados, segurança e prevenção a abuso. - **Dados das Conexões**, como credenciais de sessão e tokens de acesso, mantidos enquanto a Conexão existir. Com o armazenamento de mensagens desativado, a recuperação de eventos não entregues depende do endpoint do Cliente. Recomendamos o uso de fila durável (por exemplo, RabbitMQ) do lado do Cliente. A documentação técnica de cada controle está em [docs.d-api.cloud](https://docs.d-api.cloud/). ## 8\. Retenção e eliminação - **Durante o contrato:** os Dados do Cliente armazenados (quando os controles da seção 7 não estiverem ativados) ficam disponíveis enquanto a Conexão e a conta estiverem ativas, ou até que o Cliente os elimine ou solicite a eliminação. - **Exclusão de Conexão:** o Cliente pode excluir uma Conexão a qualquer momento; mensagens, mídias e credenciais associadas são eliminadas nos mesmos prazos aplicáveis ao término do contrato. - **Término do contrato:** mensagens, mídias, gravações e tokens de acesso são eliminados em até 30 dias após o encerramento da conta. Antes disso, o Cliente pode exportar seus dados pela API. - **Cópias de segurança:** dados contidos em backups são sobrescritos no ciclo regular de rotação e, até lá, permanecem isolados e protegidos, sem uso ativo. - **Exceções legais:** a D-API pode reter dados pelo prazo exigido por lei, ordem judicial ou requisição de autoridade, como os registros de acesso a aplicações exigidos pelo Marco Civil da Internet (Lei nº 12.965/2014), limitados ao necessário. ## 9\. Suboperadores - O Cliente autoriza, de forma geral, a D-API a contratar os suboperadores listados no [Anexo III](https://d-api.cloud/#anexo-iii), e, na cadeia de revenda, declara ter obtido essa autorização do Cliente Final. - A D-API impõe a cada suboperador, por contrato, obrigações de proteção de dados não inferiores às deste DPA, e responde perante o Cliente pelo cumprimento delas. - A D-API avisará o Cliente, por e-mail ou aviso no painel, com antecedência mínima de 15 dias, antes de incluir ou substituir um suboperador que trate Dados do Cliente. - O Cliente pode se opor à mudança, de forma fundamentada e por escrito, dentro desse prazo. Se as partes não chegarem a uma solução razoável, o Cliente pode encerrar os serviços afetados sem multa. A Meta (WhatsApp) e as operadoras de telecomunicações de destino atuam sob seus próprios termos e regulação na entrega das comunicações, que o Cliente ou o Cliente Final aceitam ao usar esses canais. Elas não são suboperadoras escolhidas pela D-API para tratar dados em seu nome. ## 10\. Transferência internacional O banco de dados principal da D-API fica no Brasil. Alguns suboperadores do Anexo III tratam dados fora do país. Nesses casos, a transferência se apoia em um dos mecanismos do art. 33 da LGPD, preferencialmente as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024. O armazenamento de mídia nos EUA pode ser evitado pelo Cliente: ao desativar o armazenamento de mídia ou usar storage próprio, os arquivos deixam de ser enviados à D-API e a região e a guarda passam a ser escolhidas e controladas por ele. ## 11\. Direitos dos titulares Se a D-API receber diretamente uma solicitação de titular relativa aos Dados do Cliente, ela não a responderá no mérito: encaminhará a solicitação ao Cliente em até 5 dias úteis, salvo se a lei exigir outra conduta. A D-API fornecerá ao Cliente as funcionalidades de API e o apoio razoável necessários para localizar, exportar, corrigir ou eliminar os dados, dentro dos prazos da LGPD. ## 12\. Incidentes de segurança - A D-API comunicará o Cliente em até **48 horas** após confirmar um Incidente de Segurança que envolva Dados do Cliente, pelo e-mail cadastrado na conta. - A comunicação conterá, na medida do disponível: a natureza do incidente, as categorias e a quantidade aproximada de titulares e registros afetados, as Conexões envolvidas, as consequências prováveis e as medidas adotadas ou propostas. Informações ainda não disponíveis serão enviadas assim que apuradas. - A D-API apoiará o Cliente, e por meio dele o Cliente Final, na comunicação à ANPD e aos titulares prevista no art. 48 da LGPD e na Resolução CD/ANPD nº 15/2024, cuja decisão e responsabilidade cabem ao controlador. - A comunicação de um incidente não significa reconhecimento de culpa ou responsabilidade pela D-API. ## 13\. Auditoria e comprovação - Mediante solicitação, até uma vez por ano, a D-API responderá a questionário de segurança e privacidade e fornecerá a documentação razoavelmente necessária para demonstrar o cumprimento deste DPA. - Se a documentação for insuficiente, ou se exigido por autoridade, o Cliente poderá realizar auditoria, diretamente ou por auditor independente sujeito a confidencialidade, com aviso prévio de 30 dias, em horário comercial, sem acesso a dados de outros clientes e sem comprometer a segurança da infraestrutura. Os custos da auditoria são do Cliente. - Na cadeia de revenda, o direito de auditoria do Cliente Final é exercido por meio do Cliente. ## 14\. Responsabilidade Cada parte responde pelos danos que causar em violação à LGPD ou a este DPA, nos termos dos arts. 42 a 45 da LGPD. O Cliente responde pela licitude das instruções que transmite à D-API, inclusive as recebidas de Clientes Finais. Na máxima extensão permitida pela lei, aplicam-se a este DPA as limitações de responsabilidade previstas nos [Termos de Uso](https://d-api.cloud/terms-of-use). ## 15\. Vigência e disposições gerais - Este DPA vigora enquanto a D-API tratar Dados do Cliente e sobrevive ao término dos Termos até a eliminação completa desses dados. - Em caso de conflito sobre proteção de dados pessoais, este DPA prevalece sobre os Termos de Uso. - A D-API pode atualizar este DPA para refletir mudanças na legislação, nos serviços ou nos suboperadores. Alterações materiais serão comunicadas com antecedência mínima de 15 dias e nunca reduzirão o nível de proteção dos Dados do Cliente. - Aplicam-se a lei brasileira e o foro definido nos Termos de Uso. ## Anexo I: Descrição do tratamento
Natureza e finalidadeProver infraestrutura de comunicação: enviar, receber, rotear, processar e entregar mensagens de WhatsApp e SMS e chamadas de voz; operar agentes de voz e URA quando contratados; entregar eventos ao Cliente por webhook, filas e integrações.
Categorias de titularesContatos, clientes e leads do Cliente ou dos Clientes Finais; usuários e atendentes do Cliente e dos Clientes Finais; participantes de grupos e chamadas.
Categorias de dadosNúmero de telefone e identificadores do WhatsApp; nome e foto de perfil; conteúdo de mensagens, mídias e documentos; áudio, gravação e transcrição de chamadas, quando ativados; metadados de comunicação (data, hora, direção, status, duração); endereço IP e dados técnicos de conexão.
Dados sensíveisA D-API não exige nem solicita dados sensíveis. Eles só são tratados se o Cliente ou o titular os incluírem no conteúdo das comunicações, sob responsabilidade do controlador.
DuraçãoEnquanto vigorarem os Termos de Uso, observadas a seção 7 e a seção 8.
FrequênciaContínua, conforme o uso dos serviços pelo Cliente.
## Anexo II: Medidas de segurança - **Criptografia em trânsito:** TLS em todas as interfaces públicas (API, painel, webhooks em HTTPS) e túneis criptografados entre os servidores da infraestrutura. - **Isolamento por cliente:** todo acesso a dado é vinculado à conta do Cliente; cada Conexão de WhatsApp roda em processo isolado. - **Controle de acesso:** autenticação por token de API por conta, acesso administrativo restrito por função e pelo princípio do menor privilégio, e revisão periódica de permissões. - **Registro e monitoramento:** logs de auditoria de operações administrativas, monitoramento contínuo de infraestrutura e alertas de segurança. - **Disponibilidade e resiliência:** infraestrutura distribuída em múltiplos data centers, com redundância, self-healing e cópias de segurança. - **Minimização:** controles de armazenamento da seção 7 e descarte das mensagens de histórico com mídia na sincronização. - **Gestão de segredos:** credenciais e chaves mantidas fora do código-fonte, em cofres e variáveis protegidas. - **Gestão de incidentes:** processo de resposta a incidentes com apuração, contenção, comunicação e análise de causa raiz. - **Desenvolvimento seguro:** revisão de código, testes automatizados e separação entre ambientes de desenvolvimento, homologação e produção. ## Anexo III: Suboperadores | Função | Suboperador | Dados tratados | Localização | | --- | --- | --- | --- | | Banco de dados e computação em nuvem | Oracle Cloud Infrastructure | Dados do Cliente armazenados | Vinhedo (SP), Brasil | | Servidores dedicados para processamento das Conexões | HostHunter e Azan (data center Ascenty); EVEO (data center Cirion) | Dados do Cliente em processamento | São Paulo, Brasil | | Armazenamento de objetos (mídia e gravações) | Backblaze B2 | Mídias e gravações, somente quando o armazenamento de mídia estiver ativo e o Cliente não usar storage próprio | EUA | | Proxies de rede para as Conexões de WhatsApp | Webshare | Tráfego de rede das Conexões, criptografado de ponta a ponta pelo protocolo do WhatsApp, e endereços IP | Brasil (saída de rede) | | Envio de SMS | Operadoras e agregadores de SMS | Número de destino e conteúdo do SMS | Brasil | | Telefonia | Operadoras de telefonia (SIP) | Números e áudio das chamadas | Brasil | | Agentes de voz com IA (somente quando contratados) | OpenAI, ElevenLabs e Deepgram | Áudio, transcrição e contexto da chamada | EUA | A razão social de cada suboperador, os contratos firmados e o histórico de alterações desta lista estão disponíveis mediante solicitação a [privacidade@d-api.cloud](mailto:privacidade@d-api.cloud). ## Contato D-API, CNPJ 40.925.787/0001-17 Encarregado (DPO): [privacidade@d-api.cloud](mailto:privacidade@d-api.cloud) Suporte geral: [contato@d-api.cloud](mailto:contato@d-api.cloud) WhatsApp: [+55 (51) 92001-8823](https://wa.me/5551920018823)