O Notifyer by Whatsable está comprometido com a proteção de dados e com práticas alinhadas ao GDPR. Nossa infraestrutura é construída sobre provedores com certificação SOC 2 Type 2 e ISO 27001.
O Notifyer by Whatsable (operado pela Automazing, LLC) trata comunicações empresariais e dados de clientes em nome dos nossos clientes. Levamos essa responsabilidade a sério e mantemos práticas de segurança, privacidade e conformidade adequadas para compradores empresariais, equipes de compras e auditores.
Esta página descreve nossa postura operacional de segurança, certificações de infraestrutura, suboperadores, tratamento de incidentes e como solicitar documentação de segurança. A lista de Suboperadores abaixo é mantida alinhada ao Anexo 1 do nosso Contrato de Tratamento de Dados. Para direitos dos titulares e informações sobre base legal, consulte nossa Política de Privacidade. Para termos contratuais, consulte nossos Termos de Serviço.
Os dados principais da aplicação e as APIs rodam em infraestrutura auditada de forma independente.
Nosso backend principal, incluindo armazenamento de dados, lógica de negócio e processamento de API, é construído sobre a Xano, uma plataforma que mantém certificações SOC 2 Type 2 e ISO 27001 e um programa documentado de conformidade com o GDPR. O monitoramento no nível da infraestrutura, os controles de acesso e as operações de segurança dessa camada são gerenciados pela Xano de acordo com o programa de segurança dela.
Os frontends da aplicação são hospedados na Vercel: o site de marketing (whatsable.app), o console do Notifyer (notifyer.whatsable.app) e a interface de chat (chat.notifyer-systems.com). A Vercel não é usada para tratar, armazenar ou entregar mensagens de WhatsApp. Servidores de aplicação adicionais em Node.js/Hono rodam na Railway Corporation, em Amsterdã, Países Baixos (UE). Os Dados do Cliente são tratados principalmente nos Estados Unidos (Xano) e em parte na UE (Railway). A entrega de mensagens de WhatsApp é feita pela WhatsApp Business Platform da Meta (WhatsApp Cloud API), que opera de acordo com os termos de tratamento de dados da Meta para provedores de tecnologia.
Toda a comunicação entre cliente e servidor usa TLS. Credenciais e tokens de API são transmitidos por canais criptografados.
A criptografia em repouso é fornecida pela infraestrutura dos suboperadores (Xano e Railway), de acordo com os padrões de segurança desses provedores.
Acesso aos sistemas de produção baseado em funções e no menor privilégio. Credenciais únicas para cada funcionário, nenhum login compartilhado e autenticação de dois fatores (2FA) em todos os logins de funcionários.
Seguimos práticas padrão do setor para gestão de credenciais, separação de ambientes e cuidado com dependências na nossa camada de aplicação.
Atestados independentes que abrangem nossa infraestrutura principal e nossas práticas operacionais.
Nosso provedor de backend concluiu uma auditoria completa SOC 2 Type II que abrange controles de segurança, disponibilidade e confidencialidade. A documentação resumida está disponível no Xano Security Center. Os relatórios SOC 2 completos estão disponíveis para clientes corporativos, mediante solicitação, pelo nosso contato de segurança.
Nossa infraestrutura de backend está coberta pela certificação ISO 27001:2022 de gestão de segurança da informação. Os detalhes e as referências do certificado estão publicados no Xano Security Center.
Tratamos dados pessoais de acordo com a legislação de proteção de dados aplicável, incluindo o GDPR quando aplicável. A base legal, os direitos dos titulares e as informações sobre coleta estão documentados na nossa Política de Privacidade. Contratos de tratamento de dados estão disponíveis mediante solicitação em team@whatsable.app.
Como provedor de tecnologia da WhatsApp Business Platform, mantemos práticas de proteção de dados e segurança de acordo com os requisitos da Meta para parceiros que se integram à WhatsApp Cloud API.
Fornecedores que tratam Dados do Cliente em nosso nome, conforme o Anexo 1 do nosso Contrato de Tratamento de Dados.
O Cliente concede autorização geral por escrito para os Suboperadores abaixo, que são a mesma lista do Anexo 1 do nosso Contrato de Tratamento de Dados. O mecanismo de transferência de cada fornecedor é o mecanismo indicado nesse anexo. Cópias das SCCs relevantes dos Suboperadores estão disponíveis mediante solicitação.
| Suboperador | Finalidade | Localização | Mecanismo de transferência |
|---|---|---|---|
| Xano, Inc. | Banco de dados principal da aplicação e lógica de backend (api.insightssystem.com). Security Center | Estados Unidos (Woodland Hills, CA) | Cláusulas Contratuais-Padrão (DPA); certificada SOC 2 Type II e ISO 27001 |
| Railway Corporation | Hospedagem de servidores de aplicação (serviços Node.js/Hono) | Amsterdã, Países Baixos (UE) | Hospedagem principalmente na UE. A Railway Corporation é uma entidade dos EUA, portanto o acesso administrativo ou de suporte limitado pode envolver uma transferência restrita, coberta pelas SCCs da DPA da Railway. |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Respostas de chatbot geradas por IA, usadas somente se o Cliente ativar os recursos de IA | Estados Unidos / Irlanda | Cláusulas Contratuais-Padrão e certificação EU-U.S. Data Privacy Framework |
| Meta Platforms, Inc. | Transporte de mensagens pela WhatsApp Cloud API (necessário para o Serviço principal) | Estados Unidos | Termos de GDPR da própria Meta para a WhatsApp Business Platform; certificada no Data Privacy Framework |
| Stripe, Inc. | Cobrança e processamento de pagamentos | Estados Unidos | Cláusulas Contratuais-Padrão; DPA da própria Stripe |
| Functional Software, Inc. (Sentry) | Monitoramento de erros técnicos e registros da aplicação. Confirmado: conteúdo de mensagens, números de telefone e dados de contato nunca chegam à Sentry, por concepção. | Estados Unidos | Cláusulas Contratuais-Padrão e certificação EU-U.S. Data Privacy Framework; DPA disponível em autoatendimento |
Os fornecedores a seguir também são usados para operar o console do Notifyer, o site de marketing e a análise de produto. Eles são divulgados aqui para que questionários de segurança possam ver quem hospeda o frontend e quem trata dados de uso pseudonimizados. Hoje, eles não constam do Anexo 1 da DPA assinada; devem ser adicionados a ele para que os dois documentos fiquem alinhados.
| Fornecedor | Finalidade | Localização | Mecanismo de transferência |
|---|---|---|---|
| Vercel, Inc. | Hospedagem de frontend de whatsable.app (site de marketing), notifyer.whatsable.app (console do Notifyer) e chat.notifyer-systems.com (interface de chat). A Vercel não trata, armazena nem entrega conteúdo de mensagens de WhatsApp, números de telefone ou Dados do Cliente de CRM. | Estados Unidos (rede global de borda) | Cláusulas Contratuais-Padrão; DPA da Vercel |
| PostHog, Inc. | Análise de produto e insights de sessão no site de marketing e no console do Notifyer. Trata dados de uso pseudonimizados (visualizações de página, uso de recursos e eventos semelhantes). Conteúdo de mensagens de WhatsApp, números de telefone e registros de contato não são enviados à PostHog como Dados do Cliente. | União Europeia (PostHog EU Cloud) | Hospedagem principalmente na UE. A PostHog, Inc. é uma entidade dos EUA; as transferências são cobertas pelas Cláusulas Contratuais-Padrão da DPA da PostHog. |
Como detectamos, respondemos e comunicamos eventos de segurança.
Os Dados do Cliente são tratados principalmente nos Estados Unidos (Xano, Woodland Hills, CA) e em parte na União Europeia (Railway, hospedada em Amsterdã). O conteúdo das mensagens transita pela WhatsApp Cloud API da Meta para entrega. Mediante solicitação, podemos fornecer mais detalhes em questionários de segurança.
O conteúdo das mensagens e o histórico de conversas são mantidos durante o período da assinatura e depois excluídos ou devolvidos em até 30 dias após o término, salvo se a lei exigir um período maior. Os backups do banco de dados principal usam uma janela contínua de retenção de 30 dias. Os registros de erros técnicos na Sentry são mantidos por 90 dias e, por concepção, não contêm conteúdo de mensagens nem números de telefone.
Para excluir conta ou dados, use nosso formulário de solicitação de exclusão de dados ou envie um e-mail para team@whatsable.app.
Para resumos de SOC 2, listas de suboperadores, contratos de tratamento de dados ou respostas a avaliações de segurança de fornecedores, nossa equipe responderá o mais rápido possível.
Whatsable
