Política de Privacidade

Quem sou eu

Esta política cobre o Excepcionalz, sistema pessoal desenvolvido e operado por Gabriel Zimmer, e as integrações que ele mantém com as plataformas da Meta:

WhatsApp Business Platform, na qual atuo como Tech Provider: conecto e opero, em nome de clientes que contratam esse serviço comigo, os números de WhatsApp e contas comerciais (WABA) deles.
Instagram, Facebook e Threads, para criar, agendar e publicar conteúdo nas contas conectadas — minhas e, quando contratado, de clientes.

Contato para qualquer assunto de privacidade: dev.gabrielzimmer@gmail.com.

Que dados eu coleto, e de quem

Do cliente que contrata a conexão (a empresa dona do número):

Um nome/rótulo que ele me dá pra identificar a conexão.
Identificadores da Meta: ID da conta comercial do WhatsApp (WABA), ID do número de telefone, ID do negócio.
O token de acesso (business token) emitido pela Meta pra eu operar a conta dele.

Das pessoas que conversam com um número conectado (contatos/clientes finais do meu cliente): quando um número entra no modo coexistência (continua no app WhatsApp Business e passa a responder também pela API), a Meta me envia, via webhook, o histórico de mensagens (até 180 dias), a lista de contatos daquele número e as mensagens novas — isso inclui números de telefone, nome salvo (quando disponível) e o conteúdo das mensagens trocadas.

Instagram, Facebook e Threads

Da conta conectada:

Identificadores da plataforma: ID da conta, nome de usuário, foto de perfil, ID da Página vinculada.
O token de acesso emitido pela Meta pra publicar em nome dessa conta.

Do conteúdo que eu mesmo publico: os textos, imagens e vídeos que eu envio pelo painel ficam guardados no meu sistema, junto com a data de publicação e o resultado (publicado, agendado, erro).

Não coleto dados de outras pessoas nessas plataformas — não leio feed, não coleto seguidores, não acesso mensagens ou comentários de terceiros.

De onde vêm esses dados

Diretamente da Meta (WhatsApp Business Platform, Instagram Graph API, Threads API), através da autorização que o titular da conta concede no fluxo de conexão, e dos webhooks que a Meta envia depois disso.

Pra que eu uso

Operar o envio e recebimento de mensagens em nome do cliente contratante (WhatsApp).
Manter sincronizado o histórico de conversa entre o app WhatsApp Business do cliente e a API (recurso de coexistência).
Gerenciar templates de mensagem e configurações da conta comercial (WABA) do cliente.
Publicar e agendar conteúdo nas contas de Instagram, Facebook e Threads conectadas.

Com quem eu compartilho

Com a própria Meta (obrigatório — é quem processa as mensagens e publica o conteúdo) e, no caso do WhatsApp, com o cliente contratante, dono do número, que é quem efetivamente usa essas informações pra atender os próprios contatos. Não vendo nem compartilho esses dados com terceiros pra fins de publicidade.

Onde e como eu guardo

Infraestrutura: banco de dados gerenciado (Supabase/Postgres).
O token de acesso nunca fica em texto plano: vive dentro do Supabase Vault, criptografado, acessível só pelo backend do sistema com uma credencial de serviço — nem eu, olhando direto no banco, vejo o valor em claro.
Toda chamada recebida da Meta (webhook) é validada por assinatura antes de ser processada ou guardada, pra garantir que veio mesmo da Meta.
O acesso aos registros de conexão é restrito por controle de acesso a nível de linha (RLS) — só a conta que criou a conexão consegue ler ou alterar aquele registro.
Exceção transparente: as imagens e vídeos destinados a publicação ficam num armazenamento de acesso público, porque a Meta precisa baixar o arquivo por uma URL aberta na hora de publicar — é uma exigência técnica da plataforma. Os arquivos recebem nomes aleatórios (não adivinháveis) e não são listáveis, mas quem tiver a URL exata consegue abri-los. Não envie por ali nada que não deva se tornar público — afinal, esse conteúdo é justamente o que vai ser publicado numa rede social.

Por quanto tempo eu guardo

Enquanto a conexão estiver ativa. Ao desconectar uma conta ou número, o token de acesso é apagado imediatamente. Os registros de eventos do WhatsApp (histórico, contatos, mensagens) ficam retidos por até 12 meses para fins de suporte e auditoria. As mídias e os registros de publicação ficam enquanto o post existir no painel. Tudo isso é excluído antes desses prazos mediante solicitação — ver Exclusão de Dados.

Seus direitos (LGPD)

Se você é o cliente que conectou um número ou uma conta, um contato que trocou mensagens com um número conectado, ou o titular de uma conta de rede social conectada a este sistema, você pode pedir acesso, correção ou exclusão dos seus dados a qualquer momento — ver Exclusão de Dados ou escrever pra dev.gabrielzimmer@gmail.com.

Cookies e analytics

O site público usa Vercel Analytics — métricas agregadas de uso, sem cookies e sem identificar visitantes individualmente. A área logada usa cookies estritamente necessários pra manter sua sessão autenticada.

Menores de idade

Este serviço não é direcionado a menores de 18 anos.

Alterações nesta política

Posso atualizar esta política conforme o serviço evolui. A data da última atualização fica no topo desta página.