Acordo de Tratamento de Dados (DPA)

Versão 1.0, atualizada em julho de 2026

A Zapster API é um produto da RIGEL SOLUÇÕES EM TECNOLOGIA DA INFORMAÇÃO LTDA, inscrita no CNPJ sob o nº 47.185.631/0001-96, com sede na Av. Cardoso de Sá, nº 860, Andar Térreo, Loja 005, Bairro Cidade Universitária, CEP 56328-020, Petrolina – PE, doravante denominada "CONTRATADA".

Este Acordo de Tratamento de Dados Pessoais ("DPA") integra, por referência, o instrumento de contratação dos serviços da plataforma Zapster API celebrado entre a CONTRATADA e o cliente, doravante denominada "CONTRATANTE", seja tal instrumento um contrato específico de prestação de serviços, sejam os Termos de Uso da plataforma (em qualquer caso, o "Contrato Principal"). O presente DPA regula o tratamento de dados pessoais realizado pela CONTRATADA em nome da CONTRATANTE, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).

Havendo conflito entre este DPA e o Contrato Principal no que se refere à proteção de dados pessoais, prevalece o disposto neste DPA.

1. Definições

Para os fins deste DPA, aplicam-se as seguintes definições:

1.1. "LGPD": Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).

1.2. "Dados pessoais": informação relacionada a pessoa natural identificada ou identificável.

1.3. "Dados pessoais sensíveis": dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculados a uma pessoa natural.

1.4. "Titular": pessoa natural a quem se referem os dados pessoais objeto de tratamento.

1.5. "Tratamento": toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência, difusão ou extração.

1.6. "Controladora": pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

1.7. "Operadora": pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome da controladora.

1.8. "Suboperador": pessoa natural ou jurídica, de direito público ou privado, que auxilia a operadora a realizar o tratamento de dados pessoais em nome da controladora.

1.9. "Violação": incidente de segurança que acarrete destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais transmitidos, armazenados ou tratados de qualquer outra forma.

1.10. "ANPD": Autoridade Nacional de Proteção de Dados, órgão responsável por zelar pela proteção de dados pessoais e por implementar e fiscalizar o cumprimento da LGPD no território nacional.

1.11. "Plataforma": o conjunto de serviços de conectividade WhatsApp comercializados sob a marca Zapster API.

2. Papéis das partes

2.1. Em relação aos dados pessoais trafegados pela Plataforma, em especial os dados dos clientes e contatos finais da CONTRATANTE, a CONTRATANTE atua como controladora e a CONTRATADA atua como operadora, tratando tais dados exclusivamente para a prestação dos serviços e conforme as instruções documentadas da CONTRATANTE.

2.2. Em relação aos dados pessoais que a CONTRATADA coleta para finalidades próprias, tais como cadastro da CONTRATANTE na Plataforma, faturamento, comunicação, suporte e análise de uso, a CONTRATADA atua como controladora, e o respectivo tratamento é regido pela Política de Privacidade, não por este DPA.

2.3. Cada parte é responsável pelo cumprimento das obrigações que a LGPD atribui ao seu respectivo papel.

3. Objeto e instruções de tratamento

3.1. Constitui objeto deste DPA o tratamento, pela CONTRATADA, dos dados pessoais necessários à prestação dos serviços da Plataforma, conforme descrito no Anexo A (Descrição do tratamento).

3.2. As instruções da CONTRATANTE à CONTRATADA materializam-se pelo uso da Plataforma: as chamadas de API, as configurações realizadas no painel, os webhooks configurados e as demais funcionalidades contratadas constituem instruções documentadas de tratamento.

3.3. A CONTRATADA informará a CONTRATANTE, sem demora injustificada, caso entenda que alguma instrução recebida viola a LGPD ou outra norma de proteção de dados aplicável.

4. Obrigações da CONTRATADA

4.1. Tratar os dados pessoais somente para a prestação dos serviços e de acordo com as instruções da CONTRATANTE, salvo obrigação legal em sentido diverso, hipótese em que a CONTRATANTE será previamente informada, exceto se a comunicação for vedada por lei.

4.2. Assegurar que todas as pessoas autorizadas a tratar os dados pessoais, incluindo empregados, prestadores de serviço e suboperadores, estejam sujeitas a compromissos de confidencialidade.

4.3. Adotar medidas técnicas e administrativas de segurança aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, incluindo criptografia em trânsito (TLS) e em repouso, controle de acesso segundo o princípio do menor privilégio, isolamento de ambientes e monitoramento contínuo.

4.4. Conceder acesso aos dados pessoais na medida estritamente necessária à prestação dos serviços, com registro e rastreabilidade dos acessos.

4.5. Auxiliar a CONTRATANTE, nos limites técnicos do serviço, no atendimento às requisições de titulares previstas no art. 18 da LGPD, tais como acesso, correção, eliminação e portabilidade, bem como às requisições da ANPD ou de outra autoridade competente.

4.6. Notificar a CONTRATANTE, sem demora injustificada, sobre requisições de titulares ou de autoridades relativas aos dados pessoais tratados sob este DPA.

4.7. Manter registro das operações de tratamento realizadas em nome da CONTRATANTE e disponibilizar as informações necessárias para que a CONTRATANTE cumpra as suas próprias obrigações de registro.

4.8. Responder pelos atos e omissões de seus empregados, prepostos e suboperadores no âmbito deste DPA.

5. Obrigações da CONTRATANTE

5.1. Responder pela exatidão, pela qualidade e pela licitude dos dados pessoais que submete à Plataforma, bem como pela forma de sua obtenção, o que inclui a existência de base legal válida para o tratamento e para o envio de mensagens aos titulares.

5.2. Assegurar que o compartilhamento de dados pessoais com a CONTRATADA observa as hipóteses autorizativas da LGPD.

5.3. Responder, na condição de controladora, pela informação e pela garantia dos direitos dos titulares.

5.4. Utilizar a Plataforma em conformidade com o Contrato Principal e com as políticas de uso aceitável, abstendo-se de tratar dados de forma ilícita ou fraudulenta e de enviar mensagens não solicitadas em massa.

5.5. Adotar medidas de segurança adequadas nos seus próprios ambientes e sistemas, sobre os quais a CONTRATADA não possui ingerência, incluindo a guarda dos tokens de API e das credenciais de acesso.

6. Suboperadores

6.1. A CONTRATANTE autoriza, de forma geral, a contratação de suboperadores pela CONTRATADA para atividades auxiliares à prestação dos serviços, tais como infraestrutura de nuvem, armazenamento, mensageria, observabilidade, processamento de pagamentos e envio de e-mails transacionais.

6.2. A relação atualizada de suboperadores encontra-se publicada na página Lista de Suboperadores e integra este DPA para todos os fins.

6.3. A CONTRATADA imporá aos suboperadores, por contrato, obrigações de proteção de dados equivalentes às previstas neste DPA e permanecerá responsável, perante a CONTRATANTE, pelas atividades de tratamento por eles realizadas.

6.4. Alterações relevantes na lista de suboperadores serão comunicadas pelos canais oficiais da Plataforma com antecedência mínima de 15 (quinze) dias. Nesse prazo, a CONTRATANTE poderá apresentar objeção fundamentada; não havendo objeção, a alteração considera-se aceita.

7. Transferência internacional de dados

7.1. A CONTRATANTE reconhece e autoriza que parte da infraestrutura utilizada pela CONTRATADA está localizada fora do território brasileiro, conforme indicado na Lista de Suboperadores, o que caracteriza transferência internacional de dados pessoais nos termos do art. 33 da LGPD.

7.2. A CONTRATADA assegura que tais transferências se destinam a países ou organizações que proporcionam grau de proteção adequado ou se amparam em garantias apropriadas, incluindo cláusulas contratuais de proteção de dados celebradas com os suboperadores, observada a regulamentação da ANPD sobre transferências internacionais (Resolução CD/ANPD nº 19/2024).

8. Incidentes de segurança

8.1. Ao tomar ciência de violação envolvendo dados pessoais tratados sob este DPA que possa acarretar risco ou dano relevante aos titulares, a CONTRATADA notificará a CONTRATANTE no prazo de até 48 (quarenta e oito) horas.

8.2. A notificação conterá, na medida das informações disponíveis: a descrição da natureza do incidente; as categorias e o volume estimado de titulares e de dados afetados; as medidas de contenção e remediação adotadas ou propostas; e o ponto de contato para acompanhamento.

8.3. A CONTRATADA adotará, sem demora, as medidas de investigação, contenção e remediação cabíveis, cooperando com a CONTRATANTE no cumprimento das obrigações desta perante a ANPD e os titulares.

8.4. Nenhuma das partes divulgará publicamente informações sobre incidente envolvendo dados da outra parte sem prévio acordo, salvo obrigação legal ou determinação de autoridade competente. A notificação de incidente não constitui reconhecimento de falha ou de responsabilidade.

9. Demonstração de conformidade e auditoria

9.1. A CONTRATADA disponibilizará à CONTRATANTE, mediante solicitação, informações, documentação e, quando existentes, certificações e relatórios de terceiros razoavelmente necessários para demonstrar o cumprimento das obrigações previstas neste DPA.

9.2. Caso a documentação fornecida não seja suficiente, a CONTRATANTE poderá realizar, diretamente ou por auditor independente sujeito a compromisso de confidencialidade, auditoria de conformidade restrita ao escopo deste DPA, observadas as seguintes condições: aviso prévio por escrito de no mínimo 15 (quinze) dias; realização em horário comercial e no máximo uma vez a cada 12 (doze) meses; vedação de acesso a dados de outros clientes da Plataforma; e custos integralmente suportados pela CONTRATANTE. Auditorias adicionais poderão ocorrer quando exigidas pela ANPD ou após incidente de segurança relevante.

10. Retenção e eliminação de dados

10.1. A Plataforma adota o princípio da minimização: o conteúdo das mensagens não é armazenado de forma persistente. As mensagens enviadas pela Plataforma são criptografadas e descartadas após o envio, permanecendo somente metadados para fins de auditoria e de faturamento.

10.2. Os prazos padrão de retenção operacional são os seguintes: (i) logs de webhooks: até 1 (uma) hora; (ii) mídias recebidas: até 24 (vinte e quatro) horas; (iii) logs e métricas de infraestrutura do cluster: até 5 (cinco) dias; e (iv) logs de aplicação na plataforma de observabilidade: até 30 (trinta) dias.

10.2.1. O prazo de retenção dos logs de webhooks poderá ser ampliado até o limite de 30 (trinta) dias, mediante previsão no Contrato Principal ou em aditivo contratual. A retenção ampliada constitui instrução documentada da CONTRATANTE, nos termos da cláusula 3.2, e os registros retidos, incluindo o conteúdo dos eventos, permanecem sujeitos a este DPA e à eliminação prevista na cláusula 10.4.

10.3. Encerrado o Contrato Principal, a CONTRATANTE poderá solicitar, no prazo de 30 (trinta) dias contados do encerramento, a exportação dos metadados de uso e de faturamento vinculados à sua conta. Prazos distintos previstos em contrato específico prevalecem sobre o prazo desta cláusula.

10.4. Decorrido o prazo da cláusula 10.3, a CONTRATADA eliminará os dados pessoais tratados em nome da CONTRATANTE, ressalvadas as hipóteses de guarda obrigatória previstas em lei, caso em que os dados permanecerão protegidos por este DPA enquanto estiverem sob custódia da CONTRATADA.

11. Responsabilidade

11.1. A CONTRATADA responde pelos danos causados pelo tratamento quando descumprir as obrigações da LGPD aplicáveis à operadora ou quando não tiver seguido as instruções lícitas da CONTRATANTE.

11.2. A responsabilidade total da CONTRATADA sob este DPA fica limitada ao teto de responsabilidade previsto no Contrato Principal. Na ausência de previsão específica, fica limitada ao valor efetivamente pago pela CONTRATANTE nos 3 (três) meses anteriores ao evento que der origem à responsabilidade, excluídos os danos indiretos, os lucros cessantes e a perda de receita.

11.3. As limitações desta cláusula não se aplicam nas hipóteses em que a legislação vedar a sua aplicação.

12. Vigência

12.1. Este DPA vigora enquanto vigorar o Contrato Principal e, após o seu término, enquanto a CONTRATADA ou os seus suboperadores mantiverem dados pessoais da CONTRATANTE sob custódia, nos termos da cláusula 10.

13. Disposições gerais e foro

13.1. Este DPA poderá ser atualizado para refletir mudanças na legislação, na regulamentação da ANPD ou nos serviços da Plataforma. A versão vigente estará sempre disponível nesta página, e as alterações materiais serão comunicadas pelos canais oficiais.

13.2. Aplica-se a este DPA a legislação brasileira. Fica eleito o foro previsto no Contrato Principal ou, na sua ausência, o foro da Comarca de Petrolina – PE.

Anexo A: Descrição do tratamento

Natureza e finalidade do tratamento: operação da Plataforma de conectividade WhatsApp, compreendendo o envio e o recebimento de mensagens em nome da CONTRATANTE, a entrega de eventos por meio de webhooks, o gerenciamento de instâncias de conexão, o processamento temporário de mídias e a geração de metadados de auditoria e de faturamento.

Categorias de dados pessoais tratados:

números de telefone dos contatos da CONTRATANTE e identificadores atribuídos pelo WhatsApp aos seus usuários e contas, como o LID e, quando disponível, o BSUID;
nomes de exibição e fotos de perfil públicas de contatos, quando fornecidos pela plataforma WhatsApp;
conteúdo de mensagens e mídias, exclusivamente em trânsito ou em retenção temporária, nos prazos da cláusula 10;
metadados de mensagens e de eventos, como remetente, destinatário, data, hora e status de entrega.

Categorias de titulares: clientes finais, contatos e leads da CONTRATANTE que se comunicam com os números conectados à Plataforma; colaboradores da CONTRATANTE que operam a Plataforma.

Dados pessoais sensíveis: a Plataforma não requer nem coleta intencionalmente dados pessoais sensíveis. O eventual tráfego desse tipo de dado no conteúdo das mensagens é determinado exclusivamente pela CONTRATANTE e pelos titulares, sob responsabilidade da CONTRATANTE na condição de controladora.

Duração: pela vigência do Contrato Principal, observados os prazos de retenção da cláusula 10.

Contato

Para dúvidas ou solicitações relacionadas a este DPA e à proteção de dados pessoais:

E-mail: privacy@zapsterapi.com
WhatsApp: +55 87 99907-9455
Empresa: RIGEL SOLUÇÕES EM TECNOLOGIA DA INFORMAÇÃO LTDA
CNPJ: 47.185.631/0001-96
Endereço: Av. Cardoso de Sá, nº 860, Andar Térreo, Loja 005, Bairro Cidade Universitária, CEP 56328-020, Petrolina – PE