Este Adendo integra os Termos de Uso e passa a valer no momento da contratação, sem necessidade de assinatura separada. Ele existe porque, sobre os dados dos contatos e dos tomadores do cliente, quem decide é o cliente — e a lei exige que essa relação esteja escrita.
1. Quem é quem
Controlador: o cliente que contrata a APIFácil. É ele quem decide por que e como tratar os dados dos contatos de WhatsApp, dos tomadores das notas que emite e de qualquer outro titular cujos dados insira na plataforma.
Operador: TECHWEB SOFTWARES LTDA, CNPJ 41.524.289/0001-25, que opera a APIFácil e trata esses dados exclusivamente segundo as instruções do controlador.
Este Adendo não se aplica aos dados de cadastro e cobrança do próprio cliente: sobre aqueles, a APIFácil é controladora, e vale a Política de Privacidade.
2. Objeto do tratamento
| Item | Descrição |
|---|---|
| Natureza e finalidade | Envio e recebimento de mensagens de WhatsApp; atendimento multiagente; emissão, consulta e guarda de documentos fiscais eletrônicos; automação de fluxos de atendimento |
| Categorias de titulares | Contatos e clientes do controlador; tomadores e destinatários das notas fiscais; atendentes e usuários indicados pelo controlador |
| Categorias de dados | Nome, telefone, e-mail, CPF ou CNPJ, endereço, conteúdo de mensagens e de arquivos enviados na conversa, dados dos documentos fiscais |
| Duração | Enquanto durar o contrato, somados os prazos de guarda legal descritos no item 9 |
A APIFácil não foi desenhada para tratar dados pessoais sensíveis. Se o controlador optar por trafegar esse tipo de dado — por exemplo, informação de saúde numa conversa —, a decisão e a base legal são dele.
3. Instruções do controlador
A APIFácil trata os dados somente para prestar os serviços contratados, seguindo as instruções dadas pelo controlador por meio do painel, das APIs e do suporte. Não usa esses dados para finalidade própria, não os vende, não os cede a terceiros para publicidade e não treina modelos de Inteligência Artificial com eles.
Se uma instrução do controlador parecer contrária à LGPD, a APIFácil informa e pode suspender o cumprimento até que a questão se resolva.
4. Confidencialidade
O acesso aos dados é restrito ao pessoal que precisa dele para operar e dar suporte, sob obrigação de confidencialidade que sobrevive ao fim do vínculo. Acessos administrativos ao módulo fiscal ficam registrados em trilha de auditoria.
5. Segurança
A APIFácil mantém, na forma do art. 46 da LGPD:
- criptografia em trânsito e em repouso;
- certificado digital e credenciais do controlador guardados de forma cifrada, usados apenas na finalidade contratada;
- senhas e códigos de confirmação que não podem ser lidos de volta;
- segregação entre contas, de modo que um cliente não alcance dado de outro;
- conteúdo de mensagem ilegível em 3 dias e apagado em 7, durante toda a vigência;
- trilha de auditoria das operações fiscais.
O detalhamento técnico dessas medidas é fornecido sob acordo de confidencialidade, a controlador que precise dele para a própria conformidade.
6. Subprocessadores
O controlador autoriza, de forma geral, o uso dos subprocessadores abaixo, necessários ao funcionamento do serviço:
| Categoria | Para quê | Onde |
|---|---|---|
| Infraestrutura em nuvem | Servidores e armazenamento de arquivos | Exterior |
| WhatsApp (Meta) | Tráfego das mensagens no Business Oficial | Exterior |
| E-mail transacional | Avisos e documentos enviados pela plataforma | Exterior |
| Meio de pagamento | Cobrança por cartão | Exterior |
| Provedor de Inteligência Artificial | Passo de IA, quando o controlador ativa | Exterior |
| Órgãos do fisco | Transmissão dos documentos fiscais | Brasil |
A relação nominal e atualizada dos fornecedores de cada categoria é enviada ao controlador que solicitar por suporte@apifacil.dev, para instrução do programa de conformidade dele.
A inclusão de um subprocessador novo é comunicada com pelo menos 30 dias de antecedência. O controlador que se opuser pode rescindir o contrato, sem multa, antes de a mudança entrar em vigor.
No passo de Inteligência Artificial o controlador escolhe o provedor e informa a própria chave. O envio do trecho de conversa ao modelo é decisão dele, e a relação com esse provedor é direta.
7. Transferência internacional
Os subprocessadores acima tratam dados fora do Brasil. Essas transferências se apoiam no art. 33 da LGPD, pelos instrumentos contratuais mantidos com cada fornecedor, que seguem as cláusulas-padrão aprovadas pela Resolução CD/ANPD nº 19/2024. Os documentos fiscais e a comunicação com os órgãos do fisco permanecem no Brasil.
8. Apoio ao controlador
A APIFácil auxilia o controlador, na medida do que a plataforma permite, para que ele:
- atenda pedidos de titular — acesso, correção, eliminação, portabilidade — encaminhados a ele;
- demonstre a segurança aplicada, quando precisar responder à ANPD ou elaborar relatório de impacto;
- cumpra as obrigações de comunicação de incidente.
Pedido de titular que chegar direto à APIFácil é encaminhado ao controlador, sem resposta de mérito da nossa parte — quem decide sobre aqueles dados é ele.
9. Incidente de segurança
Identificado incidente que atinja dados tratados por conta do controlador, a APIFácil o comunica sem demora injustificada e em no máximo 2 dias úteis contados do conhecimento, com o que se sabe até ali: natureza, dados e titulares envolvidos, medidas tomadas e riscos. O prazo é menor que os 3 dias úteis que a Resolução CD/ANPD nº 15/2024 dá ao controlador para comunicar a ANPD, justamente para que ele tenha margem de cumprir o dele.
10. Guarda, devolução e eliminação
Encerrado o contrato, o controlador tem 30 dias para exportar o que precisar. Passado esse prazo, os dados tratados por conta dele são eliminados ou anonimizados, exceto:
- XML e dados dos documentos fiscais emitidos, mantidos por 5 anos contados do fato fiscal, porque a legislação tributária exige essa guarda;
- registros de acesso, mantidos pelo prazo do art. 15 do Marco Civil da Internet;
- o que precisar ficar por determinação de autoridade ou para exercício regular de direito em processo.
O conteúdo das mensagens não depende do fim do contrato: ele já fica ilegível em 3 dias e é apagado em 7, durante toda a vigência.
11. Comprovação
A pedido do controlador, no máximo uma vez por ano, a APIFácil presta as informações necessárias para demonstrar o cumprimento deste Adendo. Auditoria presencial pode ser acordada quando exigida por autoridade, às custas de quem a solicitar, sem acesso a dados de outros clientes.
12. Responsabilidade
Cada parte responde na medida da sua atuação, conforme os arts. 42 a 45 da LGPD. O controlador responde por ter base legal para o tratamento que ordena, pela veracidade dos dados que insere e pela informação aos titulares dele. A APIFácil responde pelo cumprimento das instruções recebidas e das medidas de segurança deste Adendo.
13. Vigência
Este Adendo vigora enquanto durar o contrato e, no que couber, pelo tempo em que a APIFácil ainda guardar dados por obrigação legal. Alteração relevante é comunicada aos clientes ativos por e-mail antes de passar a valer.
14. Contato
Assuntos deste Adendo, pedidos de titular e comunicação de incidente: suporte@apifacil.dev.