Acordo de Tratamento de Dados Pessoais do Zappe

Anexo II do Contrato de Assinatura · Versão de 4 de novembro de 2026

Este acordo diz como o ZAPPE trata, em nome do CLIENTE, os dados das pessoas que conversam com ele pelo WhatsApp. As referências são à Lei 13.709/2018 (LGPD) e às resoluções da ANPD.

1. Partes, papéis e definições

O CLIENTE é o controlador dos dados das pessoas que conversam com ele pelo WhatsApp, e o ZAPPE é o operador que os trata em nome dele (LGPD, art. 5º, VI e VII).

1.1 Partes. As do Contrato de Assinatura do Zappe: o ZAPPE (GUILHERME MACHADO SANTANA, empresário individual, CNPJ 59.173.759/0001-19) e o CLIENTE, identificado na contratação.

1.2 Papéis. Para os Dados Pessoais do Cliente, o CLIENTE é controlador e o ZAPPE é operador. Para os dados de cadastro e acesso do CLIENTE e dos Usuários, o ZAPPE é controlador e segue a Política de Privacidade do Zappe; esses dados ficam fora deste acordo.

1.3 Definições. Os termos da LGPD (dado pessoal, dado pessoal sensível, titular, tratamento, anonimização, incidente de segurança) têm o sentido da lei. Além deles:

• Dados Pessoais do Cliente: os dados pessoais dos Clientes Finais tratados pela Plataforma, descritos no Anexo A.
• Suboperador: fornecedor contratado pelo ZAPPE que trata Dados Pessoais do Cliente, listado no Anexo C.
• Plataforma, Clientes Finais, Usuários e Número: como definidos no contrato.

2. Objeto, natureza e finalidade

O ZAPPE trata os Dados Pessoais do Cliente só para prestar o serviço do contrato: receber, guardar e enviar as mensagens do WhatsApp, gerar as respostas da IA e mostrar as conversas à equipe do CLIENTE.

2.1 Finalidades.

1. Receber e enviar mensagens pelo Número, pela API oficial da Meta.
2. Gerar as respostas da IA e decidir a transferência para a equipe.
3. Transcrever áudios e ler imagens para a IA.
4. Mostrar as conversas na caixa de entrada e permitir o atendimento humano.
5. Consultar os sistemas do CLIENTE, quando ele configurar consultas, com os parâmetros da conversa e, se ele escolher, o telefone do Cliente Final.
6. Em coexistência, importar os contatos e as conversas dos últimos 180 dias do app WhatsApp Business, quando o CLIENTE conectar o Número nesse modo.
7. Medir o uso para a cobrança e o suporte.

2.2 Natureza. Coleta pelos webhooks da Meta, armazenamento, consulta, transmissão aos Suboperadores para as finalidades acima, exibição aos Usuários, exportação e eliminação.

2.3 Duração. Enquanto o contrato vigorar e, depois dele, pelo tempo da cláusula 11.

2.4 Descrição completa. Titulares, dados, operações e retenção estão no Anexo A.

3. Instruções do CLIENTE

O ZAPPE só trata os Dados Pessoais do Cliente conforme as instruções documentadas do CLIENTE (LGPD, art. 39).

3.1 O que são as instruções. O contrato, este acordo e o que o CLIENTE configura na Plataforma: contexto, regras de transferência, consultas, modo de conexão do Número e pedidos feitos pelo suporte.

3.2 Instrução ilícita. O ZAPPE avisa o CLIENTE quando entender que uma instrução contraria a LGPD e pode deixar de cumpri-la até que seja esclarecida.

3.3 Sem finalidade própria. O ZAPPE não trata os Dados Pessoais do Cliente para finalidade própria, salvo para cumprir obrigação legal ou ordem de autoridade, avisando o CLIENTE quando a lei permitir.

4. Obrigações do CLIENTE como controlador

O CLIENTE decide por que e como os dados dos Clientes Finais são tratados e responde por ter base legal para isso.

4.1 Base legal. Ter base legal (LGPD, art. 7º, e, para dados sensíveis, art. 11) para cada finalidade do Anexo A, inclusive para receber nos próprios sistemas o telefone do Cliente Final enviado pelas consultas.

4.2 Transparência. Manter um aviso de privacidade acessível aos Clientes Finais que informe o atendimento por IA, os Suboperadores e a transferência internacional.

4.3 Dados no que configura. Não colocar no contexto, nas regras ou nas consultas dados pessoais além do necessário, nem orientar a IA a coletar dados sensíveis.

4.4 Pedidos dos titulares. Responder aos Clientes Finais como controlador, com o apoio do ZAPPE previsto na cláusula 8.

4.5 Comunicação de incidentes. Avaliar e, quando exigido, comunicar à ANPD e aos titulares os incidentes que o ZAPPE informar, conforme a cláusula 9.

5. Obrigações do ZAPPE como operador

O ZAPPE protege os dados, mantém sigilo e não os usa para nada além do serviço, nem para treinar modelos de IA.

5.1 Sigilo. Só pessoas autorizadas, sob dever de sigilo, acessam os Dados Pessoais do Cliente, e só quando o serviço ou o suporte exigir.

5.2 Segurança. Manter as medidas técnicas e administrativas do Anexo B (LGPD, art. 46) e não reduzi-las durante o contrato.

5.3 Sem treinamento de IA. Não usar os Dados Pessoais do Cliente para treinar modelos de IA e só contratar Suboperadores de IA cujos termos não permitam esse uso.

5.4 Sem venda nem publicidade. Não vender, ceder nem usar os dados para publicidade.

5.5 Registro das operações. Manter o registro das operações de tratamento que realiza (LGPD, art. 37).

5.6 Apoio ao CLIENTE. Fornecer as informações de que o CLIENTE precisar para o relatório de impacto, para responder à ANPD e para atender os titulares.

5.7 Estatísticas. O ZAPPE pode gerar estatísticas agregadas e anonimizadas do uso da Plataforma que não identifiquem titulares nem o CLIENTE.

6. Suboperadores

O CLIENTE autoriza os Suboperadores do Anexo C; inclusões e trocas são avisadas com 30 dias, e o CLIENTE pode se opor.

6.1 Autorização. O CLIENTE autoriza o ZAPPE a usar os Suboperadores do Anexo C para as finalidades do Anexo A.

6.2 Mudanças. O ZAPPE avisa por e-mail, com 30 dias de antecedência, a inclusão ou a troca de um Suboperador, informando o serviço, os dados e o país.

6.3 Objeção. O CLIENTE pode se opor em até 15 dias do aviso, com motivo ligado à proteção de dados. Sem acordo, o CLIENTE pode rescindir o contrato sem multa antes da mudança, com devolução proporcional do que pagou antecipadamente.

6.4 Obrigações equivalentes. O ZAPPE contrata os Suboperadores com obrigações de proteção de dados equivalentes às deste acordo, nos limites dos termos padrão que esses fornecedores oferecem, e responde perante o CLIENTE pelo que eles fizerem.

6.5 Meta. A Meta não é Suboperadora do ZAPPE: o CLIENTE contrata a plataforma do WhatsApp Business diretamente com a Meta, nos termos dela, e é a conta dele que envia e recebe as mensagens.

7. Transferência internacional

Os Suboperadores tratam os dados nos Estados Unidos.

7.1 Países. Os Dados Pessoais do Cliente são tratados nos Estados Unidos pelos Suboperadores do Anexo C.

7.2 Fundamento. A transferência é feita para executar o contrato, com fornecedores que adotam garantias de segurança e confidencialidade, conforme o art. 33 da LGPD.

7.3 Transparência. O CLIENTE informa a transferência no seu aviso de privacidade (cláusula 4.2), e o ZAPPE a informa na Política de Privacidade do Zappe.

8. Pedidos dos titulares

O ZAPPE encaminha ao CLIENTE o pedido de um titular que chegar a ele e ajuda o CLIENTE a atendê-lo em até 15 dias.

8.1 Encaminhamento. O ZAPPE não responde diretamente a um Cliente Final sobre os dados que trata para o CLIENTE: encaminha o pedido ao CLIENTE em até 5 dias úteis, salvo instrução do CLIENTE.

8.2 Apoio. A pedido do CLIENTE, o ZAPPE fornece em até 15 dias a confirmação, a cópia, a correção ou a eliminação dos dados de um Cliente Final: contato, conversas e mídias.

8.3 Limites. A eliminação não alcança o que o CLIENTE já exportou nem o que estiver nos sistemas da Meta ou do próprio CLIENTE.

9. Incidentes de segurança

O ZAPPE avisa o CLIENTE logo depois de confirmar um incidente com os Dados Pessoais do Cliente, a tempo de ele cumprir o prazo da ANPD.

9.1 Aviso. Pelo e-mail de cadastro do CLIENTE, em até 24 horas depois de o ZAPPE confirmar o incidente.

9.2 Conteúdo. O que se souber até então, completado depois: natureza do incidente, dados e titulares afetados, riscos, medidas tomadas e recomendadas (LGPD, art. 48, § 1º).

9.3 Contenção. O ZAPPE toma de imediato as medidas para conter o incidente e reduzir os danos, e coopera com o CLIENTE nas comunicações.

9.4 Registro. O ZAPPE registra todo incidente com as medidas tomadas, mesmo quando não precisar ser comunicado.

10. Informações e auditoria

O ZAPPE responde por escrito às perguntas do CLIENTE sobre o tratamento e aceita uma auditoria por ano, com aviso de 30 dias.

10.1 Informações. O ZAPPE responde em até 15 dias aos questionários razoáveis do CLIENTE sobre o tratamento e as medidas do Anexo B.

10.2 Auditoria. Uma vez por ano, ou depois de um incidente, o CLIENTE pode verificar o cumprimento deste acordo, diretamente ou por auditor sob sigilo, com aviso de 30 dias, em horário comercial e às suas custas.

10.3 Limites. A auditoria começa por documentos e evidências e não dá acesso a dados de outros clientes nem a segredos de negócio do ZAPPE. Nos Suboperadores, vale o que os termos deles permitem.

11. Devolução e eliminação

No fim do contrato, o CLIENTE pode pedir uma exportação em até 30 dias, e o ZAPPE elimina os dados em até 90 dias.

11.1 Exportação. A pedido feito em até 30 dias do término, o ZAPPE entrega as conversas, os contatos e as configurações em formato aberto (CSV ou JSON), no prazo da cláusula 9.4 do contrato.

11.2 Eliminação. Os Dados Pessoais do Cliente, inclusive as mídias, são eliminados ou anonimizados em até 90 dias do término, e as cópias de segurança em até 35 dias depois disso.

11.3 Guarda legal. Fica guardado só o que a lei obrigar ou o necessário para exercer direitos em processo (LGPD, art. 16), pelo prazo exigido.

11.4 Confirmação. A pedido do CLIENTE, o ZAPPE confirma a eliminação por escrito.

12. Responsabilidade, vigência e prevalência

Cada parte responde pelos danos que causar ao violar a LGPD ou este acordo, e este acordo prevalece sobre o contrato em matéria de dados pessoais.

12.1 Responsabilidade. Nos termos dos arts. 42 a 45 da LGPD; o operador responde solidariamente quando descumprir a lei ou as instruções lícitas do controlador.

12.2 Vigência. Este acordo vale enquanto o ZAPPE tratar Dados Pessoais do Cliente, inclusive depois do fim do contrato, até a eliminação da cláusula 11.

12.3 Prevalência. Em conflito com o contrato, prevalece este acordo no que tratar de dados pessoais.

12.4 Contatos de privacidade. ZAPPE: contato.zappe.ia@gmail.com. CLIENTE: o e-mail de cadastro do administrador, salvo se ele indicar outro.

Anexo A: descrição do tratamento

O ZAPPE trata os dados de quem conversa com o CLIENTE pelo WhatsApp, durante o contrato e até a eliminação da cláusula 11. Os dados chegam pela conta do CLIENTE na Meta e só saem do Zappe para os quatro Suboperadores, a equipe e os sistemas do CLIENTE.

Titulares. Clientes e potenciais clientes do CLIENTE que conversam com ele pelo Número e, eventualmente, terceiros que eles mencionem nas mensagens.

Dados sensíveis. O serviço não pede dados sensíveis; os que um Cliente Final enviar por conta própria são tratados como parte da mensagem, com as mesmas proteções.

Anexo B: medidas de segurança

Estas são as medidas em vigor na Plataforma na data deste acordo.

Anexo C: suboperadores

Quatro fornecedores, todos nos Estados Unidos, tratam Dados Pessoais do Cliente.

A Meta, dona do WhatsApp, não está nesta lista: o CLIENTE a contrata diretamente (cláusula 6.5).