Pular para o conteúdo principal

Obrigações, Termos e DPA

Ao criar a organização, você aceita, em nome dela, os Termos do Desenvolvedor e o Acordo de Tratamento de Dados (DPA) vigentes. Os textos ficam em Termos, com uma URL fixa por versão.

Termos em minuta

Os Termos do Desenvolvedor e o DPA publicados hoje (versão 2026-11) são uma minuta provisória, sem valor jurídico. A versão final será publicada em uma nova URL versionada em Termos.

Quando entra em vigor uma versão nova, a organização fica com termos pendentes, e um dono ou admin precisa aceitá-la no portal (Termos). Cada aceite fica registrado com a versão, a data e quem aceitou.

Obrigações técnicas​

Estas regras fazem parte do contrato e são conferidas na revisão.

Segredos e tokens​

  • Guarde client_secret, refresh tokens e o segredo do webhook só no servidor, de preferência cifrados. Nunca no navegador, em app móvel, em log ou no repositório.
  • Na instalação: use PKCE em toda instalação e confira o state no callback.
  • Salve o refresh novo antes de usar o access token novo.
  • Revogue os segredos que vazarem (portal › Credenciais) e avise a Botzetta.

Escopos​

  • Peça só os escopos de que precisa, com uma justificativa verdadeira.
  • Escopo de risco alto passa por revisão.

Tela em iframe​

  • Envie Content-Security-Policy: frame-ancestors com as origens do Botzetta.
  • Valide o token de usuário no backend e use a empresa do token, nunca uma vinda do navegador.
  • Não guarde o token de usuário em localStorage, sessionStorage ou cookie.
  • Reconfira no backend o que o menu esconde (soAdmin, acesso).

Webhooks​

  • Confira a assinatura de toda entrega e deduplique pelo id.
  • Responda 2xx em até 10 segundos.

Suporte e privacidade​

  • Mantenha um e-mail de suporte que responda e uma política de privacidade publicada. Os dois aparecem para o cliente no consentimento.

Dados pessoais (LGPD)​

O app trata dados pessoais de clientes das empresas que o instalam. O DPA define os papéis e as obrigações de cada parte. Na prática:

  • trate os dados só para a finalidade que o app declara, dentro dos escopos consentidos;
  • guarde o mínimo; não copie conteúdo de conversas sem necessidade;
  • não ponha dados pessoais em logs, URLs, mensagens de erro ou ferramentas de terceiros não previstas;
  • ao receber app.desinstalado, apague os dados da empresa em até 30 dias;
  • em caso de incidente de segurança, avise a Botzetta e a empresa afetada;
  • use só dados fictícios em testes e na sandbox.