Segurança (LGPD)

O desenho separa a conta do escritório dos dados que o escritório lança sobre os próprios clientes. A Política de Privacidade diz quais dados entram, para que, com quem podem seguir e como o titular pede acesso ou exclusão.

Cada operação da aplicação identifica o escritório da sessão e limita leitura e gravação a esse escritório. Papéis mínimos separam quem administra a conta de quem atende. Isso é controle de acesso do produto, não uma certificação.

Cada escritório escolhe um canal. O recomendado é a API oficial da Meta (Cloud API), no número do escritório; o webhook de entrada, quando as credenciais estão configuradas, é conferido pela assinatura que a Meta envia. A plataforma não é “Meta Business Partner” por esta página: a frase do selo indica só o tipo de API.

A outra opção é o WhatsApp Web, conectado por QR code a partir do celular do escritório. Ela não é oficial: viola os termos de uso do WhatsApp e o número pode ser bloqueado ou banido pela Meta. Quem escolhe essa opção assume esse risco. A sessão roda em um serviço próprio no nosso servidor, separada por escritório, sem porta aberta na internet; a credencial de cada sessão fica cifrada no banco e os avisos que esse serviço manda para a API são autenticados.

Enquanto nenhum dos dois está ligado, o simulador permite testar o fluxo.

Senhas são armazenadas como hash bcrypt. Não ficam em texto puro.

O site e a API só atendem por HTTPS, com certificado TLS da Let's Encrypt. Acesso por HTTP é redirecionado para HTTPS e o navegador é instruído (HSTS) a não voltar ao HTTP. Assim, o tráfego entre o navegador e a plataforma vai cifrado em trânsito. Os dois canais de WhatsApp também protegem o transporte até a Meta, mas nenhum deles mantém o sigilo de ponta a ponta do aplicativo pessoal dentro da plataforma: a conversa do atendimento existe para o escritório poder lê-la no inbox.

Credenciais de integração guardadas pela plataforma, como o token da sessão do WhatsApp Web, ficam cifradas no banco com AES-256-GCM.

Não afirmamos cifra de disco, certificação ISO 27001 nem SOC. Se isso passar a existir, esta página será a primeira a dizê-lo com o nome do certificado.

Senha forte, convite só para quem trabalha no escritório e revisão humana antes de usar uma minuta. O sigilo profissional da advocacia continua com o advogado. A plataforma é a ferramenta; o dever de segredo é de quem advoga.

Falha que possa acarretar risco ou dano relevante a titulares será avaliada e, quando a LGPD exigir, comunicada à autoridade e aos titulares afetados, pelo escritório ou por quem for o agente responsável no caso. O canal para reportar um problema de segurança da própria conta é o acesso logado no produto.