Segurança
Segurança no SyncZap
Como o SyncZap isola os dados de cada organização, protege as credenciais do WhatsApp, guarda tokens só como hash e exige confirmação antes de cada envio.
O SyncZap conecta o WhatsApp da sua organização ao painel e aos assistentes de IA que você autoriza. Esta página resume como os dados ficam separados e o que cada parte do sistema pode ver. Os detalhes legais estão na Política de Privacidade.
Cada organização isolada
- Cada número de cada organização tem banco de dados, sessão do WhatsApp e diretório próprios no servidor de sincronização.
- Cada pedido é autorizado no servidor, pela associação do usuário à organização. Papéis e identificadores enviados pelo navegador não são aceitos como prova.
- O console da plataforma mostra dados administrativos e contagens, não o conteúdo das conversas.
Credenciais do WhatsApp ficam no motor
- A sessão do aparelho vinculado fica somente no servidor de sincronização. Ela nunca vai para o navegador, para o painel nem para os assistentes de IA.
- O painel fala com o servidor de sincronização por chamadas assinadas com HMAC, com prazo de validade e proteção contra repetição.
- Senhas e tokens de sessão, OAuth e convites, além das chaves de API, são guardados apenas como hash. A chave de API completa aparece só na criação; segredos de webhooks ficam cifrados.
- Todo o tráfego usa HTTPS, e os e-mails transacionais saem com TLS obrigatório.
Você escolhe o que é salvo
- Só conversas com sincronização ativa são gravadas, exibidas e lidas por assistentes. Dono ou administrador pode ligar Sincronizar todas as conversas, que ignora os feeds de sistema do WhatsApp.
- Desligar a sincronização de uma conversa interrompe a gravação, e o que já foi salvo deixa de ser exibido e lido por assistentes. Apagar tudo remove de imediato as mensagens e arquivos salvos do número.
- Fotos, áudios, vídeos e documentos continuam no celular. Quando alguém abre um anexo ou pede a leitura por IA, o SyncZap baixa uma cópia temporária, apagada do servidor 24 horas depois do download. Transcrições e leituras ficam guardadas como texto.
- Áudios e imagens enviados para transcrição ou leitura vão à API do Google Gemini ou da OpenAI, contratadas sem uso dos dados para treinar modelos.
Assistentes de IA recebem só o que pedem
- O ChatGPT, o Claude e outros clientes MCP se conectam por OAuth 2.1 com PKCE. Cada autorização vale para uma organização escolhida por você, e o token só serve para o servidor MCP do SyncZap.
- Leitura (whatsapp:read) e envio (whatsapp:send) são permissões separadas. Só dono ou administrador concede envio.
- Nada é enviado ao assistente por iniciativa do SyncZap: ele recebe apenas o resultado das ferramentas que chama, e somente de conversas sincronizadas. Credenciais do WhatsApp nunca são enviadas.
- Nomes, mensagens e legendas são conteúdo de terceiros, entregues como dados e nunca como instruções.
Auditoria e conta
- Ações administrativas ficam registradas na auditoria: convites, permissões, integrações, opções de sincronização e exclusões.
- Convites têm destinatário, prazo e uso único. Chaves de API pertencem a uma organização e têm permissões próprias.
- Não usamos o conteúdo das conversas para publicidade nem para treinar modelos de IA.
Envio exige confirmação
1. Preparar
O assistente prepara a mensagem com o destinatário e o texto exatos. Preparar não envia nada.
2. Mostrar
O assistente mostra a você para quem vai e o que vai ser enviado.
3. Confirmar
Só depois da sua confirmação explícita o envio acontece, com um código válido apenas para aquele destinatário e aquele texto.
- Cada envio tem uma chave de idempotência: repetir a mesma chave não manda a mensagem duas vezes, e um resultado desconhecido nunca gera um novo envio automático.
- Aceito significa que o WhatsApp aceitou a mensagem, não que ela foi entregue ou lida.
- Marcar como lida e reagir com um emoji não pedem confirmação, mas só valem para conversas sincronizadas. O contato pode ver a confirmação de leitura e a reação.
- A entrega automática de transcrições é opcional e ligada por dono ou administrador: o SyncZap envia o texto de cada áudio recebido ao seu chat Mensagem para você ou como resposta na própria conversa, onde o contato também vê. Grupos ficam de fora, salvo com a opção Incluir grupos, e cada áudio gera no máximo um envio.
Relatar um problema de segurança
Encontrou uma falha? Escreva para support@synczap.ai com os passos para reproduzir. Leia também a Política de Privacidade e os Termos de uso.