O Secretário← Voltar ao site

Política de Segurança e de Requisições de Autoridades

Última atualização: 1º de outubro de 2026

Summary (English): O Secretário is operated by M. F. DE OLIVEIRA (CNPJ 27.720.285/0001-91, Brazil). We protect the data we receive through the WhatsApp Business Platform with encryption in transit, strict per-customer data isolation, server-side-only storage of access tokens and secrets, hardened servers, encrypted backups and least-privilege access. We disclose data to public authorities only under a regular court order, after a legal review, limiting disclosure to the minimum required, and we log every request. We do not sell data, use it for advertising or share it with other customers. Security contact: contato@osecretario.com.

1. Objetivo e abrangência

Esta política define como o O Secretário, serviço de M. F. DE OLIVEIRA (CNPJ 27.720.285/0001-91, Hortolândia/SP), protege a confidencialidade, a integridade e a disponibilidade das informações que trata, em especial os Dados da Plataforma recebidos da Meta (identificadores de contas e números do WhatsApp, tokens de acesso, mensagens e contatos dos clientes dos negócios que usam o serviço) e os dados de cadastro dos donos de negócio. Ela vale para o aplicativo, a automação de atendimento, a infraestrutura e os fornecedores envolvidos, e complementa a Política de Privacidade.

2. Responsável e contato

O titular da empresa, Marcel Oliveira, é o responsável pela segurança da informação e o encarregado pelo tratamento de dados (DPO). Contato para dúvidas, solicitações de titulares e comunicação de incidentes: contato@osecretario.com.

3. Princípios

  • Minimização: coletamos apenas o necessário para agendar e atender.
  • Finalidade: os dados de cada negócio são usados somente para prestar o serviço a esse mesmo negócio — nunca para publicidade, venda ou perfilamento.
  • Menor privilégio: cada pessoa ou sistema acessa apenas o que precisa.
  • Segurança desde a concepção: proteção prevista no desenho de cada funcionalidade.
  • Transparência e conformidade legal: seguimos a LGPD (Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e o Decreto 8.771/2016, além dos Termos da Plataforma da Meta.

4. Controles técnicos já em operação

  • Criptografia em trânsito: todo o tráfego do aplicativo, do site e da automação usa HTTPS/TLS; o servidor da automação aplica HSTS e cabeçalhos de segurança.
  • Isolamento entre clientes: o banco de dados aplica segurança por linha (RLS) em todas as tabelas; cada negócio só lê e altera os próprios dados. O isolamento foi testado, e o dono não consegue alterar plano, status nem limites do serviço.
  • Tokens e segredos: os tokens de acesso ao WhatsApp ficam em tabela sem acesso pelo navegador e só são lidos por funções de servidor; chaves e segredos (como o segredo do app da Meta e as chaves de IA) ficam em cofres de segredos dos provedores, nunca no código nem no aplicativo do usuário, e não são gravados em registros.
  • Autenticação: e-mail confirmado, senha com no mínimo 8 caracteres, proteção anti-robô e limite de cadastros por período.
  • Servidores: acesso administrativo por chave SSH (senha desativada), firewall liberando somente as portas necessárias, bloqueio automático de tentativas repetidas (fail2ban) e atualizações de segurança automáticas.
  • Backups criptografados: as cópias de segurança da automação e do banco do app são cifradas com chave assimétrica (RSA 4096); a chave privada fica fora do servidor, e a restauração é testada.
  • Criptografia em repouso: o banco do aplicativo usa a criptografia em repouso do provedor (Supabase) e as credenciais guardadas na automação são cifradas com chave própria.
  • Conexão com a Meta: o endereço que recebe os eventos da Meta só conclui a verificação com um token secreto de verificação.

5. Controles em implantação (obrigatórios antes da operação com dados de produção)

  • Validação da assinatura X-Hub-Signature-256 de cada evento recebido da Meta.
  • Rotina de renovação dos tokens de acesso antes do vencimento e alerta de falhas.
  • Limites de uso e de custo por negócio, com alerta e bloqueio automáticos.
  • Verificação em duas etapas em todas as contas administrativas (já ativa no provedor de servidor; extensão às demais contas em andamento).

6. Controle de acesso

O acesso administrativo aos sistemas é restrito ao titular da empresa. Usamos credenciais exclusivas, mantemos segredos fora de repositórios e revisamos os acessos periodicamente. Não compartilhamos contas. Fornecedores só recebem os dados necessários à sua função.

7. Fornecedores

Tratam dados em nosso nome: Lovable e Supabase (aplicativo e banco de dados), Google (Gemini API, processamento das mensagens para gerar respostas), Contabo GmbH (servidor da automação) e Cloudflare (DNS e proteção). Para enviar e receber mensagens usamos a plataforma da Meta (WhatsApp Business Platform). Escolhemos fornecedores com medidas de segurança reconhecidas e reavaliamos a lista a cada mudança relevante.

8. Registros, retenção e exclusão

  • Os registros técnicos de acesso são mantidos pelo prazo mínimo necessário à segurança e ao suporte e pelo que a lei exigir (como o art. 15 do Marco Civil da Internet, quando aplicável), e usados somente para essas finalidades.
  • Prazos de retenção e exclusão de dados seguem a Política de Privacidade; pedidos de exclusão: /exclusao-de-dados.
  • Ambientes de teste não usam dados reais de clientes.

9. Resposta a incidentes

  1. Detectar e conter: isolar o sistema afetado, revogar tokens e segredos expostos e trocar credenciais.
  2. Avaliar: determinar quais dados e quais negócios foram afetados e o risco aos titulares.
  3. Comunicar: avisar os negócios e titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, com meta de até 3 dias úteis após a confirmação do incidente, e comunicar a Meta quando envolver Dados da Plataforma, conforme os Termos da Plataforma.
  4. Corrigir e aprender: eliminar a causa, restaurar o serviço e registrar as lições aprendidas.

10. Requisições de autoridades públicas

Regra: só fornecemos dados de usuários, mensagens ou registros a autoridades mediante ordem judicial regular. Requisições de órgãos administrativos, policiais ou de qualquer outra origem sem ordem judicial não são atendidas, e pedidos informais (telefone, mensagens ou e-mail sem formalização) são recusados. Não há exceção administrativa.

  1. Receber pelo canal formal e confirmar a autenticidade do documento e a competência de quem requisita.
  2. Análise obrigatória de legitimidade: base legal, escopo, prazo e proporcionalidade, com apoio jurídico quando necessário.
  3. Contestar pedidos que considerarmos ilegais, abusivos, vagos ou excessivos, pelos meios legais cabíveis.
  4. Minimização: entregar somente o mínimo de dados necessário para cumprir a ordem, por canal seguro.
  5. Registro: documentar cada requisição, a resposta dada, o fundamento legal e as pessoas envolvidas.
  6. Comunicação: informar o negócio ou o titular afetado, salvo se a lei ou a própria ordem judicial proibir.

Até esta data, não recebemos requisições de segurança nacional nem fornecemos dados de usuários a autoridades relativamente a este serviço.

11. Direitos dos titulares

Pedidos de acesso, correção, exclusão e demais direitos da LGPD podem ser feitos em contato@osecretario.com, com resposta em até 15 dias.

12. Referências e revisão

Usamos como referência boas práticas reconhecidas — ISO/IEC 27001 e 27002, NIST Cybersecurity Framework e CIS Controls —, sem possuir certificação formal. Esta política é revisada ao menos uma vez por ano e a cada marco relevante (novo fornecedor, nova funcionalidade que trate Dados da Plataforma ou incidente).

Versão 1.0 — vigente desde 1º de outubro de 2026.