Política de Privacidade

Última atualização: 20 de agosto de 2026

1. Informações Gerais

Esta Política de Privacidade explica como a Fiwano processa e protege dados pessoais quando você usa nossa plataforma de integração para WhatsApp Business, Instagram Messaging e Facebook Messenger.

A Fiwano é operada por Individual Entrepreneur Roman Babakin (P/E Roman Babakin), registrado na Geórgia (país). A Fiwano é um provedor técnico verificado pela Meta e fornece uma camada técnica para conectar seus canais da Meta aos seus sistemas, webhooks, CRMs, helpdesks, agentes de IA e automações.

Esta página é a versão em português para clientes e usuários no Brasil. Mantemos a mesma base global de privacidade para todos os mercados e aplicamos o padrão mais protetivo quando diferentes leis forem relevantes.

1.1. Leis e Padrões que Seguimos

• Brasil — LGPD (Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018), incluindo direitos dos titulares, segurança, transparência e transferências internacionais.
• União Europeia e Reino Unido — GDPR / UK GDPR, incluindo regras de controlador, operador/processador, suboperadores, segurança e notificações de violação.
• Transferências internacionais — Cláusulas Contratuais Padrão da União Europeia (Decisão de Execução (UE) 2021/914, Módulos Dois e Três) e o UK ICO International Data Transfer Addendum quando aplicável.
• Geórgia — Lei de Proteção de Dados Pessoais da Geórgia, pois a entidade operadora está registrada na Geórgia.
• Índia — DPDP Act 2023, para dados pessoais de titulares na Índia quando aplicável.
• Estados Unidos — direitos equivalentes a CCPA/CPRA e outras leis estaduais de privacidade quando aplicável; a Fiwano não vende dados pessoais e não compartilha dados para publicidade comportamental cruzada.
• Google API Services User Data Policy, incluindo os requisitos de Limited Use para login com Google.

1.2. Brasil LGPD: Controlador, Operador e Ponto de Contato

Para dados de conta, autenticação, segurança, auditoria, analytics com consentimento e informações de cobrança, a Fiwano atua como controlador, pois define as finalidades e meios necessários para operar o Serviço.

Para dados pessoais contidos nas mensagens e metadados que você roteia por seus canais conectados de WhatsApp, Instagram e Messenger, você é o controlador e a Fiwano atua como operador. Processamos esses dados apenas conforme sua configuração do Serviço: canais conectados, URLs de webhook, chaves de API, templates e regras técnicas de entrega.

O e-mail contact@fiwano.com é o ponto de contato de privacidade da Fiwano para solicitações de titulares no Brasil e comunicações relacionadas à LGPD.

1.3. GDPR, DPDP e Demais Mercados

Em mercados sujeitos ao GDPR ou UK GDPR, a Fiwano atua como controlador para dados de conta e como processador/subprocessador para conteúdo de mensagens roteado pelo cliente. Em mercados sujeitos ao DPDP Act da Índia, a Fiwano atua como Data Fiduciary para dados próprios de conta e como Data Processor para dados de mensagens processados sob instrução do cliente. Essa separação de papéis é a base da nossa arquitetura de privacidade.

2. Dados que Processamos

2.1. Dados da Conta

• E-mail, nome e hash de senha.
• Identificadores OAuth do Google ou GitHub, quando você escolhe esses métodos de login.
• Chaves de API armazenadas somente como hashes SHA-256; a chave completa é exibida uma única vez.
• Logs de auditoria, segurança, autenticação e uso operacional.
• Dados de plano, assinatura e cobrança processados pela Paddle como Merchant of Record.

2.2. Dados de Canais da Meta

• Tokens de acesso da Meta, armazenados criptografados com Fernet/AES.
• IDs de WhatsApp Business Account, Phone Number ID, Instagram Account ID e Facebook Page ID.
• Nomes, números, status de conexão e metadados técnicos dos canais.

2.3. Dados de Mensagens Roteadas

Quando a Meta envia eventos para a Fiwano ou quando você envia mensagens pela API, podemos processar conteúdo de mensagens, anexos, identificadores de remetente/destinatário, timestamps, status de entrega/leitura e metadados expostos pelas APIs da Meta.

A Fiwano não usa esse conteúdo para nenhuma finalidade independente. Especificamente:

• não lemos o conteúdo das mensagens;
• não o usamos para treinar ou ajustar nenhum modelo;
• não fazemos perfilamento dos seus clientes finais;
• não construímos datasets derivados, analytics ou classificações a partir dele;
• não o vendemos nem o compartilhamos para publicidade comportamental entre contextos, e não o usamos para publicidade ou marketing de qualquer tipo.

O conteúdo é transmitido apenas ao endpoint que você configura e por meio dos suboperadores de plataforma listados na Seção 5. Ele é processado para receber, validar, assinar, entregar, reenviar por curto período quando necessário e apagar.

2.4. Login com Google

Se você entrar com Google, solicitamos apenas openid email profile: e-mail, nome de exibição e identificador interno da conta Google. Não acessamos Gmail, Drive, Calendário, Contatos ou outros serviços Google. Esses dados são usados somente para autenticação e identificação da sua conta Fiwano e seguem a política de Limited Use do Google.

3. Finalidades do Processamento

• Operar integrações com WhatsApp, Instagram e Facebook Messenger.
• Entregar webhooks assinados ao endpoint configurado pelo cliente.
• Enviar mensagens e gerenciar templates autorizados pela Meta.
• Manter contas, autenticação, segurança, prevenção a fraude e auditoria.
• Processar assinaturas, impostos, reembolsos e faturas por meio da Paddle.
• Cumprir obrigações legais e responder a solicitações de titulares.
• Medir uso de páginas públicas com analytics somente quando houver consentimento.

4. Retenção e Segurança

4.1. Criptografia e Controles Técnicos

Em trânsito. Todas as conexões de e para o Serviço usam TLS (HTTPS), inclusive as entregas de webhook ao endpoint que você configura.

Em repouso. Criptografados com Fernet (AES), com a chave mantida separadamente dos dados e nunca compartilhada com terceiros:

• tokens de acesso da Meta dos seus canais conectados;
• payloads de mensagens aguardando retry, quando a entrega ao seu endpoint falha — mantidos por no máximo 20 minutos e então apagados (Seção 4.2);
• arquivos de mídia recebidos e suas legendas, durante os 60 minutos em que ficam disponíveis para download (Seção 4.2).

O conteúdo de mensagens entregues com sucesso não é armazenado, portanto não há o que criptografar: ele é repassado ao seu endpoint e descartado (Seção 4.2).

Credenciais têm hash, não criptografia, de modo que não podem ser recuperadas por ninguém, inclusive por nós: senhas com bcrypt, chaves de API com SHA-256. A chave completa é exibida uma única vez, na criação.

Demais controles técnicos:

• Webhooks de saída assinados com HMAC-SHA256.
• Autenticação por API key com rate limiting.
• Isolamento por conta, controle de acesso, auditoria e backups criptografados.

4.2. Retenção de Conteúdo de Mensagens

• Mensagens entregues com sucesso: o conteúdo não é armazenado. O payload é repassado ao endpoint configurado e não fica arquivado na Fiwano. A única exceção são as mídias recebidas, descritas abaixo.
• Arquivos de mídia recebidos: anexos são obtidos da Meta e mantidos em infraestrutura controlada pela Fiwano na União Europeia. Nunca são publicados em URL pública, CDN ou storage de objetos de terceiros: o download exige API key autenticada e é limitado à conta dona do canal que recebeu a mensagem. Os arquivos armazenados são criptografados em repouso (AES / Fernet), com a chave mantida separadamente do volume de armazenamento. Arquivos, legendas e metadados técnicos são apagados 60 minutos após o recebimento.
• Falha temporária no webhook: o payload é criptografado e colocado em uma fila curta de retry.
• Retry: uma tentativa imediata e até 7 novas tentativas durante aproximadamente 11,5 minutos.
• TTL rígido: 20 minutos desde a falha inicial. Após entrega ou expiração, o payload criptografado é apagado.
• Registros de envio: registro sem conteúdo de cada mensagem enviada e de cada status de entrega que resolvemos: nosso identificador da mensagem, o canal, o identificador do destinatário (telefone ou user ID do Instagram/Facebook), o ID da mensagem no provedor, o status e um timestamp. Nenhum texto, anexo ou legenda. Apagados 45 dias após a criação.
• Registros da fila de retry: depois que o payload criptografado é apagado, uma linha sem payload (canal, identificador do destinatário, status, último erro e timestamps) é mantida por até 7 dias para que problemas recentes de entrega permaneçam visíveis no painel, e então é apagada.
• Logs de auditoria e segurança: retidos enquanto a conta existir, para fins de segurança, prevenção a fraude e defesa legal. Após o encerramento da conta, esses registros são mantidos apenas até completarem 3 anos e então apagados; registros que já forem mais antigos que isso no momento do encerramento são apagados na próxima rotina de expurgo.
• Registros de consentimento (consent_records): retidos enquanto a conta existir. Após o encerramento da conta, e no caso de registros anônimos anteriores ao cadastro que nunca foram vinculados a uma conta, são mantidos até completarem 3 anos e então apagados. Esses registros são necessários para demonstrar a conformidade com o consentimento (LGPD Art. 8; GDPR Art. 7).

A Fiwano não oferece interface operacional para leitura de conteúdo de mensagens de clientes. Não há pipeline de analytics, classificação, perfilamento ou treinamento de IA sobre dados de mensagens roteadas.

5. Suboperadores, Destinatários e Transferências Internacionais

5.1. Terceiros Envolvidos

5.2. Transferências Internacionais

A Fiwano é operada a partir da Geórgia e usa infraestrutura principal na União Europeia, em data centers localizados na Alemanha. Dados pessoais podem ser processados nesses locais e nos locais dos terceiros listados acima. Não prometemos residência de dados no Brasil.

Para transferências do Brasil, usamos os mecanismos do Capítulo V da LGPD, incluindo, quando aplicável, cláusulas-padrão contratuais alinhadas aos modelos da ANPD (Resolução CD/ANPD nº 19/2024), base legítima do controlador cliente ou outro mecanismo autorizado. Para transferências do EEE/Reino Unido à Geórgia, usamos SCCs da UE (Módulos Dois e Três) e o UK Addendum quando aplicável.

5.3. Notificação de Incidente

Se a Fiwano confirmar uma violação de dados pessoais que afete dados processados em nome de um cliente, notificaremos o contato da conta sem demora indevida e, quando viável, dentro de 72 horas da confirmação. Para dados de mensagens roteadas, o cliente controlador continua responsável por avaliar notificações à ANPD e aos titulares; a Fiwano prestará assistência razoável.

6. Direitos dos Titulares

Titulares no Brasil podem exercer os direitos previstos na LGPD Art. 18: confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos, portabilidade, informação sobre compartilhamento, informação sobre a possibilidade de negar consentimento e revogação de consentimento quando aplicável.

Também atendemos direitos equivalentes sob GDPR/UK GDPR, DPDP e leis estaduais dos EUA quando aplicável. Para solicitar acesso, correção, exclusão ou exportação, escreva para contact@fiwano.com. Podemos verificar sua identidade antes de responder. Em geral respondemos em até 30 dias; solicitações sujeitas a leis estaduais dos EUA podem seguir prazo de até 45 dias quando permitido. Não oferecemos atualmente exportação de dados nem exclusão de conta em autoatendimento no painel: essas solicitações são tratadas pela nossa equipe por e-mail.

Você também tem o direito de peticionar à autoridade nacional (ANPD) contra o controlador, nos termos do LGPD Art. 18, § 1º. Onde o GDPR se aplicar, você pode apresentar reclamação a uma autoridade de proteção de dados, inclusive no país onde reside ou trabalha (Art. 77 GDPR).

Solicitações sobre mensagens. Se sua solicitação envolve mensagens trocadas com uma empresa que usa a Fiwano para operar seu canal de WhatsApp, Instagram ou Messenger, essa empresa é a controladora e a solicitação deve ser dirigida a ela. Tratamos esses dados apenas mediante instrução dessa empresa e prestaremos o auxílio cabível.

Decisões automatizadas. Não realizamos decisões automatizadas, incluindo definição de perfil, que produzam efeitos jurídicos ou afetem você de forma significativa.

7. Cookies e Tecnologias Semelhantes

7.1. Categorias

• Essenciais: autenticação, sessão, segurança, CSRF e registro da sua escolha de cookies. São necessários para fornecer o Serviço.
• Analytics opcionais: Google Analytics 4 com IP anonimizado, carregado somente após consentimento.

Não usamos cookies de publicidade, marketing comportamental ou rastreamento entre sites. Você pode recusar analytics no banner ou alterar a escolha em Profile → Cookies.

7.2. Cookies Definidos

8. Crianças

O Serviço é B2B e destinado a profissionais adultos. Nossos Termos de Serviço exigem que o titular da conta tenha no mínimo 18 anos, e o Serviço não é direcionado a crianças ou adolescentes. Não coletamos intencionalmente dados pessoais de menores de 18 anos. Se você acredita que uma criança ou adolescente forneceu dados pessoais, entre em contato para que possamos apagá-los.

9. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail, painel ou publicação nesta página. Recomendamos revisar esta página periodicamente.

10. Contato

Este é o canal único de comunicação para assuntos de privacidade — pedidos de titulares, questões de segurança ou incidentes e contatos de autoridades. Ele atende ao canal de comunicação com titulares previsto no LGPD Art. 41, § 2º, I, conforme a flexibilização da Resolução CD/ANPD nº 2/2022 para agentes de tratamento de pequeno porte. Endereço postal disponível mediante solicitação.