Segurança e
subprocessadores

Esta página existe para ser lida por quem precisa aprovar a AraraHQ como fornecedor. Ela diz onde os dados ficam, quem mais encosta neles e o que fazemos quando algo dá errado — inclusive o que ainda não temos.

Onde os dados ficam

A plataforma roda na Amazon Web Services, região América do Sul (São Paulo), sa-east-1. Banco de dados, anexos e registros de mensagem ficam no Brasil, com backup diário criptografado retido por 30 dias e restauração testada.

Há transferência internacional inevitável: a entrega da mensagem passa pela infraestrutura da Meta e do nosso provedor de conectividade, que operam fora do país. Está detalhada na tabela abaixo e na Política de Privacidade.

Subprocessadores

Estes são todos. Qualquer inclusão é avisada com 30 dias de antecedência aos clientes com contrato, que podem se opor no período.

• Meta Platforms Ireland Ltd. — Plataforma oficial do WhatsApp Business. Fica em Irlanda. Trata: número de telefone, conteúdo da mensagem, status de entrega.
• Gupshup Inc. — Conectividade com a plataforma da Meta. Fica em Estados Unidos. Trata: número de telefone, conteúdo da mensagem, registro de envio.
• Twilio Inc. — Verificação de número de telefone e envio complementar. Fica em Estados Unidos. Trata: número de telefone, tipo de linha, registro de envio.
• Amazon Web Services — Infraestrutura onde a plataforma roda. Fica em Brasil (região sa-east-1). Trata: todos os dados da conta, em repouso e em processamento.
• Stripe Payments Europe Ltd. — Cobrança de assinatura e de saldo. Fica em Irlanda. Trata: nome, e-mail, cnpj e dados de pagamento.

Criptografia

• Em trânsito: TLS 1.2 ou superior em toda conexão, sem exceção.
• Em repouso: AES-256 no banco, nos backups e nos anexos.
• Senha guardada com hash de derivação lenta. Não é possível recuperar uma senha, só redefinir.
• Segredo de terceiro — token da Meta, chave de pagamento — fica só no servidor, cifrado, e nunca é devolvido em resposta de API nem chega ao navegador.

Quem entra na sua conta

• Verificação em duas etapas por aplicativo autenticador, disponível em todos os planos.
• Papéis e permissões com seis níveis, do somente-leitura ao administrador.
• Chave de API com escopo e lista de endereços IP autorizados por chave.
• Login único (SSO) por SAML 2.0 ou OIDC, com criação e desativação automática de acesso pelo seu provedor de identidade. É recurso de contrato Primeira Classe.
• Do nosso lado: acesso a dado de cliente exige aprovação nominal, é temporário e fica registrado. Ninguém da AraraHQ lê conversa de cliente fora de um chamado aberto por você.

O que fica registrado

Todo evento de time — convite, mudança de papel, criação e revogação de chave, alteração de número — entra num registro filtrável e exportável, com 12 meses de retenção.

Em contrato Primeira Classe o registro inclui acesso a conversa: qual pessoa abriu qual atendimento, e quando. É o que permite auditar quem viu o dado do seu cliente, e é o motivo de não cobrarmos por usuário — cobrança por assento empurra o time para login compartilhado, e login compartilhado destrói o registro.

Incidente

Incidente de segurança com risco relevante para você é comunicado em até 48 horas da confirmação, por e-mail para os administradores da conta e pelo canal de contato do contrato, com o que aconteceu, o que foi afetado e o que já foi feito. A comunicação à ANPD segue o prazo legal.

Incidente de disponibilidade tem tratamento próprio, com crédito previsto, em Disponibilidade.

Encontrou uma vulnerabilidade

Escreva para privacidade@ararahq.com com o passo a passo para reproduzir. Respondemos em até 2 dias úteis, corrigimos em janela proporcional à gravidade e damos crédito público a quem reportar, se a pessoa quiser. Não acionamos ninguém que reporte de boa-fé, sem exfiltrar dado e sem degradar o serviço.

Continuidade

Sua base de contatos e o histórico de conversas saem por exportação completa, em planilha ou por API, a qualquer momento e sem pedido formal. Se a AraraHQ encerrar as operações, você tem 90 dias de acesso somente-leitura para exportar tudo, e a cláusula está no contrato — não é promessa de página.

O que ainda não temos

Esta lista importa tanto quanto a de cima, e ela é curta de propósito.

• Certificação ISO 27001 ou SOC 2 própria. A AWS tem as dela, e isso é da AWS, não nosso. Não vamos apresentar certificado de provedor como se fosse da AraraHQ.
• Teste de intrusão por empresa independente. Ainda não foi feito.

O que existe sob contrato específico

Nuvem dedicada, instalação no seu ambiente, integração com sistema interno e provisionamento automático de acesso (SCIM) existem, e saem com escopo e preço próprios — não estão no contrato padrão porque custam infra ou projeto dedicado. Se a política da sua empresa exigir qualquer um deles, entra na conversa antes da proposta.

Precisa de DPA assinado, do questionário de segurança da sua empresa preenchido, ou de uma conversa com quem opera a plataforma? Fale com o comercial — enviamos DPA, SLA e minuta de contrato antes de qualquer proposta.