Segurança e LGPD

Acesso

• Painel: login com senha (scrypt), sessão em cookie httpOnly (no banco fica só o hash), bloqueio após 5 tentativas erradas em 15 min. Cada ação do painel confere a sessão e a conta: tudo o que se lê ou altera é filtrado pela conta de quem está logado, e o banco recusa misturar contas (uma mensagem, envio ou fluxo herda sempre a conta da conversa).
• Cadastro público com confirmação do e-mail e liberação manual pelo administrador da plataforma; limite de cadastros por conexão. Os links por e-mail (confirmar, convite, nova senha) guardam só o hash do token, vencem (48 h, 7 dias, 1 h) e valem uma vez.
• O painel só existe com HTTPS e autenticação; não há tela pública de administração.

Segredos

• Chaves de integração (OpenAI, Gemini, WuzAPI, Meta, Safefy, PerfectPay, Hotmart, Resend, Utmify, segredo dos pagamentos...) ficam cifradas no servidor (AES-GCM). O navegador nunca recebe o valor inteiro: só "configurado ••••abcd".
• A chave que cifra os segredos fica fora do banco, nas variáveis do servidor (APP_ENCRYPTION_KEY).
• As chaves da Safefy no bot são usadas só para leitura de transações.

Webhooks

Webhook	Como é autenticado
WuzAPI → bot	Chave aleatória na URL + assinatura HMAC
Meta → bot	X-Hub-Signature-256 com o App Secret
Site → bot (vendas e conexão do WhatsApp)	HMAC-SHA256 com timestamp (janela de 5 min)
Safefy → bot (sem assinatura do site)	Não é aceito como prova: só dispara a consulta na API da Safefy

Dados pessoais (LGPD)

• O bot guarda só o necessário para a conversa: nome do WhatsApp, número, mensagens e etapa. Vendas guardam valor, pedido e uma chave do telefone (sem nome ou e-mail).
• Conversas sem atividade são apagadas depois do período de retenção (padrão: 365 dias, em Configurações → Privacidade). Qualquer conversa pode ser apagada na hora com Excluir dados.
• O pedido para parar de receber mensagens é guardado, por conta, por uma chave do telefone e continua valendo mesmo depois de excluir a conversa.
• Os logs não guardam texto de mensagens nem telefones e são apagados após 30 dias.
• O remarketing sempre informa como parar de receber mensagens.
• Grupos: só o grupo escolhido num fluxo ligado é lido; os outros grupos do número nunca são guardados. As mensagens de um grupo saem uma a uma depois do período de retenção, e a memória do grupo (resumo da IA) não guarda telefones, e-mails nem dados de pagamento. Limpar memória e Excluir dados apagam na hora. Avise os participantes de que há uma assistente virtual no grupo.

Transparência da automação

A IA se apresenta como assistente virtual quando perguntada e nunca finge ser uma pessoa. Ela não inventa informações do produto e não confirma compras: isso é sempre do sistema de pagamento.