Quem somos
O Matra Meta Hub é operado pela Matra Tecnologia. Site: matratecnologia.com.
O hub é a infraestrutura que conecta os softwares da Matra (os apps consumidores) às APIs da Meta: WhatsApp Cloud API e Lead Ads do Facebook e do Instagram. Ele guarda as credenciais de acesso concedidas pela Meta, recebe os eventos que a Meta envia, repassa esses eventos ao app consumidor do cliente e envia mensagens em nome do cliente quando o app consumidor solicita.
Esta política vale para a API do hub, para a página de conexão em que o cliente autoriza o acesso aos seus ativos da Meta, para o painel interno usado pela equipe da Matra e para este site.
Nosso papel no tratamento
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD) distingue quem decide sobre o tratamento (controlador) de quem trata em nome dele (operador). No hub, a Matra ocupa os dois papéis, conforme o dado.
Operadora
Para os dados que o cliente conecta ao hub por meio de um app consumidor: identificadores dos ativos da Meta, tokens de acesso, mensagens, mídias, status de entrega e dados de leads de anúncios. O cliente (a empresa que usa o app consumidor) é o controlador: decide com quem conversa, que mensagens envia, que formulários publica e por quanto tempo guarda os dados no próprio app. A Matra trata esses dados apenas para prestar o serviço contratado e segundo as instruções do cliente.
Controladora
Para os dados das contas do painel interno, para os registros técnicos de segurança do hub e para os dados de quem entra em contato conosco.
Dados que tratamos
A seguir, cada categoria de dado, a finalidade do tratamento e a base legal do art. 7º da LGPD que o sustenta.
Identificadores dos ativos da Meta
- Dados
- Identificador do portfólio empresarial, da conta do WhatsApp Business (WABA) e do número de telefone; número exibido, nome verificado e classificação de qualidade do número; identificador e nome das páginas do Facebook; identificadores e nomes dos formulários de Lead Ads.
- Finalidade
- Identificar cada conexão, direcionar os eventos recebidos ao app consumidor correto e executar as operações solicitadas por ele.
- Base legal
- Definida pelo cliente, que é o controlador. A Matra trata esses dados como operadora, conforme as instruções do cliente (art. 39 da LGPD), para executar o contrato firmado com ele.
Tokens de acesso
- Dados
- Tokens emitidos pela Meta quando o cliente autoriza o acesso, com os escopos concedidos e a data de expiração.
- Finalidade
- Chamar as APIs da Meta em nome do cliente. Os tokens nunca são entregues ao app consumidor.
- Base legal
- Definida pelo cliente, que é o controlador. A Matra trata esses dados como operadora, conforme as instruções do cliente (art. 39 da LGPD), para executar o contrato firmado com ele.
Mensagens, mídias e status
- Dados
- Conteúdo das mensagens recebidas e enviadas pelos números conectados, número de telefone e nome de perfil dos contatos, arquivos de mídia, status de entrega e leitura, as informações de categoria e cobrança que a Meta envia com cada status e o horário da última mensagem recebida de cada contato (janela de atendimento).
- Finalidade
- Entregar as mensagens recebidas ao app consumidor, enviar as mensagens que ele solicita, evitar envio duplicado, reentregar eventos que falharam e apurar o consumo de cada cliente.
- Base legal
- Definida pelo cliente, que é o controlador. A Matra trata esses dados como operadora, conforme as instruções do cliente (art. 39 da LGPD), para executar o contrato firmado com ele.
Dados de leads de anúncios
- Dados
- Respostas aos formulários de Lead Ads (como nome, e-mail, telefone e os demais campos definidos pelo anunciante), identificador do lead, do formulário, do anúncio e da página.
- Finalidade
- Buscar o lead completo na Meta assim que ele é gerado e repassá-lo ao app consumidor do cliente.
- Base legal
- Definida pelo cliente, que é o controlador. A Matra trata esses dados como operadora, conforme as instruções do cliente (art. 39 da LGPD), para executar o contrato firmado com ele.
Registros técnicos e endereço IP
- Dados
- Endereço IP, agente de usuário do navegador, data e hora, identificador da requisição e registro de auditoria das ações que alteram dados no hub.
- Finalidade
- Proteger o serviço contra acesso indevido e abuso, investigar incidentes e diagnosticar falhas.
- Base legal
- Legítimo interesse da Matra em manter o serviço seguro (art. 7º, IX) e cumprimento de obrigação legal ou regulatória, quando houver (art. 7º, II).
Contas do painel interno
- Dados
- Nome, e-mail, telefone (opcional), foto de perfil, senha armazenada apenas em forma de hash, configuração de autenticação em dois fatores e sessões ativas (IP e dispositivo).
- Finalidade
- Autenticar a equipe da Matra que opera o hub e controlar o que cada pessoa pode fazer.
- Base legal
- Execução de contrato (art. 7º, V) e legítimo interesse em controlar o acesso ao serviço (art. 7º, IX).
Contato com a Matra
- Dados
- Nome, e-mail, telefone e o conteúdo da mensagem enviada por e-mail ou WhatsApp.
- Finalidade
- Responder a pedidos, dúvidas e solicitações de titulares.
- Base legal
- Procedimentos preliminares ou execução de contrato (art. 7º, V), legítimo interesse (art. 7º, IX) e, quando se tratar de pedido de titular, cumprimento de obrigação legal (art. 7º, II).
O hub não pede dados sensíveis (art. 5º, II). Se o conteúdo de uma mensagem ou de um lead trouxer dado dessa natureza, ele é tratado como os demais dados do controlador, que responde pela base legal aplicável (art. 11).
Origem dos dados
Os dados dos ativos, as mensagens, as mídias, os status e os leads vêm da Meta Platforms, depois que o cliente autoriza o acesso pela página de conexão do hub, em fluxo conduzido pela própria Meta. O cliente escolhe quais contas, números e páginas compartilha e pode revogar a autorização a qualquer momento.
As mensagens enviadas chegam ao hub pelo app consumidor do cliente. Os dados das contas do painel são informados pela equipe da Matra, e os registros técnicos são gerados pelo uso do serviço.
Uso dos dados recebidos da Meta
Os dados obtidos pelas APIs da Meta são usados somente para prestar o serviço ao cliente que autorizou o acesso, nos limites dos Termos da Plataforma da Meta e das políticas de cada produto. Em particular, a Matra:
- não vende, aluga nem licencia esses dados;
- não os usa para publicidade, para criar perfis de usuários ou para enriquecer bases de terceiros;
- não os compartilha com ninguém além do app consumidor escolhido pelo cliente e dos provedores que tratam dados em nome da Matra;
- não usa os dados de um cliente para atender outro;
- apaga os dados quando deixam de ser necessários, quando o cliente desconecta o ativo ou quando a Meta ou o titular solicita, conforme a página Exclusão de dados.
Compartilhamento
Os dados são compartilhados apenas com:
- Meta Platforms, ao executar as operações solicitadas pelo cliente, como enviar uma mensagem, consultar um template ou buscar um lead;
- o app consumidor autorizado pelo cliente, que recebe os eventos e os dados de leads do próprio cliente e nunca recebe os tokens de acesso da Meta;
- provedores de infraestrutura que tratam dados em nome da Matra: hospedagem em nuvem, banco de dados, armazenamento de objetos (para mídias) e envio de e-mail transacional (para as mensagens de acesso ao painel);
- autoridades públicas, quando houver obrigação legal ou ordem judicial.
A Matra não vende dados pessoais.
Transferência internacional
Alguns provedores de infraestrutura podem tratar dados fora do Brasil. Nesses casos, a transferência ocorre nas hipóteses do art. 33 da LGPD, como as cláusulas-padrão contratuais aprovadas pela ANPD, quando adotadas pelo provedor.
A Meta Platforms trata os dados que recebe dos ativos conectados como controladora independente, segundo os próprios termos e a própria política de privacidade, inclusive quanto à transferência internacional.
Retenção
O hub guarda cada dado pelo menor prazo compatível com a finalidade:
- eventos recebidos da Meta, mensagens enviadas e seus status: até 30 dias;
- mídias recebidas e enviadas: até 30 dias;
- dados de leads: até 30 dias após o repasse ao app consumidor;
- registro de janela de atendimento (identificador do contato e horário da última mensagem): até 30 dias;
- tokens de acesso: apagados imediatamente na desconexão do ativo;
- identificadores da conexão (conta do WhatsApp Business, números, páginas e formulários): até 30 dias após a desconexão;
- totais de consumo (contagem por categoria e período, sem conteúdo de mensagens nem dados de contatos): enquanto durar o contrato com o cliente e, depois, pelo prazo exigido pela legislação fiscal e contábil;
- registros de auditoria: 90 dias;
- registros de acesso à aplicação (IP, data e hora): 6 meses, como exige o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014);
- contas do painel: enquanto a conta existir.
O histórico de conversas e de leads que o cliente mantém no app consumidor segue as regras desse app, definidas pelo cliente. Dados que a lei obrigue a manter ficam guardados pelo prazo legal, mesmo depois de um pedido de exclusão.
Segurança
- Tokens de acesso e segredos de webhook ficam cifrados com AES-256-GCM, com chave mantida fora do banco de dados.
- Todo o tráfego usa TLS (HTTPS).
- Cada app consumidor acessa apenas os dados dos próprios clientes. As chaves de API são armazenadas apenas em forma de hash e podem ser revogadas a qualquer momento.
- O painel é restrito à equipe da Matra, com controle de acesso por papel e autenticação em dois fatores disponível.
- Os webhooks recebidos da Meta têm a assinatura verificada, e os enviados aos apps consumidores são assinados.
- Os registros técnicos não guardam tokens, conteúdo de mensagens nem dados de leads.
Direitos do titular
O art. 18 da LGPD garante ao titular o direito de obter:
- confirmação de que seus dados são tratados;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados tratados com base no consentimento;
- informação sobre as entidades com as quais os dados são compartilhados;
- informação sobre a possibilidade de não consentir e suas consequências;
- revogação do consentimento.
O titular também pode se opor a tratamento feito sem consentimento em desacordo com a lei e peticionar à Autoridade Nacional de Proteção de Dados (ANPD).
Como exercer
Envie o pedido para matratecnologia@gmail.com informando o que deseja e o número de telefone, e-mail ou página relacionado aos dados. Podemos pedir informações para confirmar a sua identidade antes de atender. A resposta sai em até 15 dias, prazo alinhado ao art. 19 da LGPD.
Quando a Matra é operadora (mensagens e leads de uma empresa cliente), quem decide sobre o pedido é a empresa com quem você conversou ou cujo formulário preencheu. Nesse caso, encaminhamos o pedido a ela, avisamos você do encaminhamento e executamos no hub o que o controlador determinar.
Para apagar os dados de uma conexão, veja Exclusão de dados.
Crianças e adolescentes
O hub é um serviço entre empresas e não se destina a crianças e adolescentes. A Matra não coleta dados deles para fins próprios. Se uma mensagem ou um lead recebido pelos canais de um cliente vier de uma criança ou de um adolescente, o cliente, como controlador, responde pelas exigências do art. 14 da LGPD.
Encarregado e contato
Dúvidas sobre esta política e pedidos de titulares podem ser enviados ao encarregado pelo tratamento de dados pessoais da Matra Tecnologia:
- E-mail: matratecnologia@gmail.com
- WhatsApp: +55 (43) 99914-0409
- Site: matratecnologia.com
Alterações desta política
Esta política pode ser atualizada quando o serviço ou a legislação mudarem. A data da última atualização aparece no topo da página. Mudanças que afetem os direitos dos titulares ou o uso dos dados serão comunicadas aos clientes.