Política de Dados WhatsApp Business

1. Sobre Esta Política

O ImobSystem é uma plataforma SaaS de gestão imobiliária que oferece integração com a WhatsApp Business Platform da Meta Platforms, Inc. ("Meta"). Atuamos junto à Meta como Tech Provider (e, futuramente, Solution Partner), o que significa que oferecemos a infraestrutura e o software para que imobiliárias se comuniquem com seus clientes via WhatsApp Business API.

Esta página descreve, em detalhe, quais dados recebemos da Meta, como os tratamos, com quem compartilhamos e quais direitos os titulares têm em relação a esses dados — em conformidade com a LGPD (Lei 13.709/2018), a Política de Plataforma da Meta e a WhatsApp Business Policy.

2. Papéis no Tratamento de Dados

• Meta Platforms, Inc.: provedora da infraestrutura WhatsApp Business Platform; controladora dos dados de tráfego e identificadores técnicos
• Imobiliária (cliente do ImobSystem): controladora dos dados de seus contatos finais (compradores, locatários, proprietários). É ela quem decide o que comunicar, com quem e quando
• ImobSystem (Tkm Web Solutions): operadora dos dados — fornece o software, a integração técnica com a Meta e os fluxos automatizados (templates, agente IA), seguindo as instruções da imobiliária
• Contato final: titular dos dados pessoais — pessoa que envia ou recebe mensagens via WhatsApp através da imobiliária

3. Dados Recebidos da Meta

Quando uma imobiliária conecta sua conta WhatsApp Business via nosso fluxo de Embedded Signup, recebemos da Meta os seguintes dados, exclusivamente para operar a integração:

3.1 Identificadores técnicos da conta

• waba_id — identificador da WhatsApp Business Account
• phone_number_id — identificador do número WhatsApp Business conectado
• access_token — token de acesso de longa duração (60 dias), usado para chamar a API da Meta em nome da imobiliária

3.2 Metadados do número

• Número de telefone exibido (display phone number)
• Nome de exibição verificado
• Status de qualidade (Quality Rating: GREEN/YELLOW/RED)
• Status do número (PENDING/VERIFIED/CONNECTED/DISCONNECTED)

3.3 Conteúdo de mensagens

• Texto de mensagens enviadas e recebidas pela imobiliária
• Mídia recebida pelos contatos finais (imagens, áudios, vídeos, PDFs, documentos, stickers, localização)
• Respostas a mensagens interativas (botões e listas)
• Identificadores de mensagens (message_id) e timestamps
• Status de entrega das mensagens enviadas (sent → delivered → read → failed)
• Nome de perfil do contato final (quando disponibilizado por ele no app WhatsApp)

3.4 Eventos administrativos

• Atualizações de status de templates de mensagem
• Atualizações de qualidade do número
• Eventos de revisão e suspensão da conta

4. Permissões Solicitadas à Meta

Durante o Embedded Signup, a imobiliária autoriza o ImobSystem a utilizar duas permissões — e somente estas duas:

Não solicitamos nenhuma outra permissão. Não acessamos dados pessoais do administrador da conta Meta além dos identificadores técnicos necessários para a integração.

5. Finalidade do Tratamento

Utilizamos os dados recebidos da Meta exclusivamente para:

• Enviar mensagens transacionais e operacionais em nome da imobiliária — confirmações de visita, lembretes de contrato, cobranças, atualizações de documentação
• Receber e armazenar conversas iniciadas por contatos finais para que a imobiliária possa atendê-los
• Operar agentes de inteligência artificial (VortaAI) que respondem automaticamente quando configurados pela imobiliária
• Criar, submeter para aprovação e gerenciar templates de mensagem na Meta
• Acompanhar status de entrega, leitura e qualidade das mensagens, exibindo essas informações no painel da imobiliária
• Faturar o uso da plataforma com base no volume de mensagens enviadas (modelo pré-pago de créditos)
• Operar funcionalidades de auditoria e segurança (rate limiting, circuit breaker, validação HMAC dos webhooks Meta)

Não usamos dados de mensagens para treinar modelos próprios de IA, vender publicidade, perfilamento de marketing ou qualquer finalidade não relacionada à operação da integração.

6. Armazenamento e Segurança

• Tokens de acesso e PINs de 2 etapas: criptografados com AES-256 antes de qualquer persistência (via Laravel Crypt). Apenas o sistema descriptografa em runtime para chamar a API da Meta.
• Mensagens de texto: armazenadas no banco relacional com isolamento por tenant (cada imobiliária só acessa seus próprios dados).
• Mídia (imagens, áudios, vídeos, documentos): armazenada em bucket privado no Cloudflare R2. O acesso é feito exclusivamente via URLs assinadas com expiração curta (30 minutos por padrão).
• Webhooks: validados via HMAC-SHA256 com app_secret da Meta antes de qualquer processamento. Em produção, requisições sem assinatura válida são rejeitadas com HTTP 403.
• Comunicação: 100% sobre HTTPS (TLS 1.2+). Nunca trafegamos tokens ou conteúdo de mensagens em texto claro.
• Controle de acesso: RBAC por permissões granulares (whatsapp.view, whatsapp.edit) atribuídas pelo administrador da imobiliária.
• Auditoria: logs estruturados de todas as operações com a API da Meta (envios, recepções, webhooks) com redação de PII em níveis de log de produção.

7. Prazos de Retenção

Prazos de retenção podem ser estendidos quando exigido por obrigação legal (fiscal, tributária, judicial).

8. Compartilhamento de Dados WhatsApp

Dados oriundos da WhatsApp Business Platform são compartilhados apenas com:

• Meta Platforms, Inc. — para operar a própria integração (envio/recepção de mensagens, gestão de templates, billing). Os dados ficam sujeitos à Política de Privacidade da Meta.
• Provedores de IA (apenas se a imobiliária habilitar VortaAI) — quando uma conversa é roteada para um agente de IA, o trecho relevante da conversa é enviado ao provedor (atualmente Anthropic / OpenAI). Esses provedores operam sob cláusulas contratuais de não retenção (zero data retention) ou retenção limitada a 30 dias para auditoria de abuso.
• Provedores de infraestrutura — Cloudflare (CDN/R2), AWS (compute/banco), Vercel (hospedagem do frontend). Todos com cláusulas DPA assinadas.
• Autoridades públicas — quando exigido por lei ou ordem judicial.

Nunca compartilhamos conteúdo de mensagens com terceiros para fins de marketing, publicidade ou qualquer finalidade não relacionada à operação direta do serviço.

9. Direitos do Contato Final

Se você é um contato final que recebe mensagens de uma imobiliária através do ImobSystem, você tem os seguintes direitos garantidos pela LGPD:

• Solicitar à imobiliária a confirmação da existência de tratamento dos seus dados
• Acessar seus dados pessoais armazenados
• Corrigir dados incompletos, inexatos ou desatualizados
• Solicitar a anonimização, bloqueio ou eliminação de seus dados
• Solicitar a portabilidade dos seus dados
• Revogar consentimento e solicitar a exclusão dos dados tratados com base nesse consentimento
• Opor-se a tratamento realizado com fundamento em interesse legítimo

9.1 Como fazer opt-out

Você pode parar de receber mensagens da imobiliária a qualquer momento de uma das seguintes formas:

• Responder "PARAR", "SAIR" ou "CANCELAR" na própria conversa do WhatsApp
• Bloquear o número da imobiliária no app WhatsApp (a Meta nos avisa via webhook e paramos os envios)
• Solicitar diretamente à imobiliária a exclusão dos seus dados via canal de atendimento

10. Conformidade com Políticas Meta

O ImobSystem opera em estrita conformidade com:

• WhatsApp Business Policy — regras de conteúdo, opt-in e opt-out
• WhatsApp Commerce Policy — produtos e serviços não permitidos
• Meta Platform Terms — termos de plataforma para desenvolvedores
• Meta Developer Policies
• Janelas de conversação de 24h para mensagens de sessão (free-form)
• Templates pré-aprovados pela Meta para mensagens fora da janela de 24h

11. Contato

Para dúvidas sobre o tratamento de dados via WhatsApp Business, ou para exercer seus direitos:

Para reclamações ou denúncias relacionadas ao uso indevido de mensagens WhatsApp por uma imobiliária específica, você também pode reportar diretamente à Meta através do app WhatsApp (Configurações → Ajuda → Fale conosco).