Rascunho — revisar com advogado antes do lançamento.

Política de privacidade

Versão de 26 de outubro de 2026

Esta política explica quais dados pessoais a Chasque trata, por quê e quais são os seus direitos, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).

1. Quem somos

A Chasque é uma plataforma para desenvolvedores integrarem sistemas ao WhatsApp pela Cloud API da Meta, operada por Garnet Informática Ltda, CNPJ 07.947.098/0001-38, com sede na Av. Braz Leme, 2428, São Paulo/SP, CEP 02022-020, que é a controladora dos dados descritos aqui. Encarregado (DPO): [nome do encarregado], pelo formulário de contato.

2. Dados que tratamos

  • Conta: usuário, nome, e-mail verificado e foto do GitHub, obtidos no login.
  • Sessão: um cookie essencial mantém você conectado ao painel. Não usamos cookies de publicidade nem de análise.
  • Cobrança: dados de pagamento são coletados e armazenados pelo Stripe; recebemos apenas identificadores, o status da assinatura e as faturas.
  • Mensagens: metadados (remetente, destinatário, status, horários) e o conteúdo das mensagens enviadas e recebidas pelos números conectados, pelo período de retenção do plano.
  • Webhooks: o evento entregue ao servidor do cliente fica junto da entrega pelo período de retenção do plano; o registro da entrega, sem o evento, fica 30 dias.
  • Integração com a Meta: IDs da conta WhatsApp Business e do número, e o token de acesso concedido no cadastro, armazenado cifrado (AES-GCM).
  • Uso da API: contagens por minuto das chamadas à API e das entregas de webhook (rota, status, duração, conta e chave de API), para medir desempenho e erros. Não guardam conteúdo de mensagens nem IP.
  • Contato: nome, e-mail, empresa (opcional), assunto e mensagem enviados pelo formulário de contato, usados só para responder. O IP de quem envia serve só para limitar envios repetidos, não fica junto da mensagem e é apagado em até um dia.
  • Lista de espera: nome, e-mail, usuário do GitHub, empresa (opcional) e o que você quer construir, enviados pela lista de espera do beta, usados para avaliar o pedido e avisar por e-mail quando o convite for liberado. A liberação do convite guarda o usuário do GitHub e o motivo registrado pela equipe.
  • Proteção contra robôs: no formulário de contato e na lista de espera, o Cloudflare Turnstile analisa sinais técnicos do navegador para distinguir pessoas de robôs. O resultado é validado pela Chasque e não é usado para outra finalidade.
  • Coexistence: contatos e histórico sincronizados do app WhatsApp Business são repassados ao webhook do cliente e não entram no log de mensagens. Ficam na fila de processamento até 7 dias depois da entrega, e o evento entregue segue a retenção do plano, como os demais.

3. Finalidades e bases legais

Prestar o serviço contratado (execução de contrato), cobrar a assinatura (execução de contrato e obrigação legal), avaliar os pedidos da lista de espera (procedimentos preliminares do contrato), responder a quem nos procura e prevenir fraude, spam e abuso da plataforma (legítimo interesse) e cumprir obrigações legais e regulatórias.

4. Papel da Chasque sobre os dados dos usuários finais

Para as mensagens trocadas entre o cliente e os usuários finais dele, o cliente é o controlador e a Chasque atua como operadora, tratando os dados apenas conforme as instruções do cliente e esta política.

5. Compartilhamento (suboperadores)

  • Hostinger — servidor em nuvem (VPS) em Campinas/SP, no Brasil, onde rodam a API, o painel e o banco de dados com contas, mensagens e logs.
  • Meta Platforms — envio e recebimento pela WhatsApp Cloud API e a janela de conexão de números (Embedded Signup).
  • Stripe — processamento de pagamentos e faturas.
  • GitHub — autenticação.
  • Cloudflare — verificação anti-robô (Turnstile) do formulário de contato e da lista de espera e envio dos e-mails transacionais (avisos de cota, cobrança e incidentes, e o aviso de convite da lista de espera).

Recursos de terceiros carregados pelo navegador também recebem o seu IP: as fontes do site vêm do Google Fonts, a página de documentação da API carrega a interface do jsDelivr e as fontes da Scalar, e o painel carrega o SDK do Facebook ao conectar um número.

6. Transferência internacional

Os dados da Chasque ficam num servidor no Brasil. Meta, Stripe, GitHub, Cloudflare, Google e jsDelivr podem tratar dados fora do país; essas transferências seguem o art. 33 da LGPD, com as garantias contratuais oferecidas por esses fornecedores.

7. Retenção

Logs de mensagens e os eventos entregues aos webhooks ficam disponíveis por 3, 14, 30 ou 90 dias, conforme o plano, e depois são apagados. Tokens de acesso da Meta são apagados quando o número é desconectado. Dados da conta são mantidos enquanto a conta existir e pelo prazo exigido por lei após o encerramento. Mensagens do formulário de contato e as conversas de "Fale com a equipe" são guardadas até o atendimento terminar e apagadas 12 meses depois. As de privacidade e dados, denúncia de abuso e cobrança e reembolso ficam 5 anos, porque podem servir de prova numa reclamação do consumidor ou da ANPD. Uma conversa ligada a disputa, reclamação formal ou processo fica guardada até o caso terminar (LGPD, art. 16). Pedidos da lista de espera ficam até a equipe decidir e são apagados 90 dias depois da decisão; o convite liberado fica enquanto a conta criada com ele existir, ou até ser revogado. Quando a equipe da Chasque abre a sua conta para atender você, o acesso é só leitura e fica registrado por 12 meses. As contagens de uso da API ficam 30 dias e depois são apagadas.

8. Segurança

Tokens da Meta ficam cifrados com AES-GCM; chaves de API são guardadas apenas como hash; todo tráfego usa HTTPS. O banco de dados é Postgres operado pela Chasque no servidor da Hostinger, numa rede interna sem acesso de fora. Se um incidente de segurança puder causar risco ou dano relevante, a Chasque comunica os titulares afetados e a ANPD (art. 48 da LGPD) e, quando os dados forem de um cliente, avisa o cliente.

9. Seus direitos

Você pode pedir confirmação, acesso, correção, portabilidade, anonimização ou eliminação dos seus dados, informação sobre com quem eles são compartilhados, opor-se a um tratamento e revogar consentimentos, pelo formulário de contato, com o assunto "Privacidade e dados". A resposta sai em até 15 dias. Se não ficar satisfeito, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD). O serviço não se destina a menores de 18 anos. Veja também a página de exclusão de dados.

10. Alterações

Mudanças relevantes nesta política são avisadas por e-mail aos clientes antes de valerem, e a data da versão no topo desta página muda.