01Who we are

AIM Broker is operated by Artur Moisés, registered under [CNPJ_CPF], with address at [ADDRESS] ("we", "us"). For questions about this policy or about how your data is handled, write to arturmoiscontato@gmail.com.

We are an independent developer. We are not affiliated with, endorsed by, or a partner of Meta Platforms, Inc. "WhatsApp", "Messenger", "Instagram" and "Facebook" are trademarks of Meta Platforms, Inc.

02Scope

This policy covers:

• the AIM Broker application and its API;
• the administrative dashboard used by our customers;
• the integration with the WhatsApp Business Platform (Cloud API), Messenger Platform and Instagram Messaging API;
• the website at arturmoises.com.br.

It does not cover Meta's own processing of your data. When you use WhatsApp, Messenger or Instagram, Meta processes your data under its own terms — see the Meta Privacy Policy and the WhatsApp Privacy Policy. Nor does it cover the privacy practices of the businesses that use AIM Broker to talk to you; each of them publishes its own policy.

03Controller and processor roles

Two distinct relationships exist, and they carry different responsibilities:

If you messaged a business and want your conversation deleted, we will act on the request, but you may get a faster answer from the business itself. Either path works — see Data Deletion.

04Data we process

We do not ask for and do not intentionally collect sensitive personal data (health, religion, biometrics, political opinions, sexual orientation). If an end user volunteers such data inside a message, it is stored as ordinary message content and inherits the retention rules in section 10.

05Meta permissions

We request only the permissions the product actually needs. Each one, the data it unlocks and why we need it:

Permissions are used strictly for the purposes above. If we later need a new permission, this section is updated before the permission goes live.

06Purposes and legal bases

We process personal data under the Brazilian General Data Protection Law (LGPD, Law 13.709/2018) and, where it applies, the GDPR:

07What we never do

08Sharing and sub-processors

Data is shared only with:

• Meta Platforms, Inc. — unavoidable: the message has to reach WhatsApp, Messenger or Instagram.
• Cloud infrastructure providers — hosting, database and object storage for the service, in [HOSTING_REGION].
• Operational service providers — transactional email, error monitoring and observability, strictly for running the service.
• Authorities — when a valid legal order requires it. We notify the affected customer unless the law forbids it.

Every sub-processor is bound by a contract with confidentiality and security obligations at least as strict as those in this policy, and may process data only on our instructions. A current list of sub-processors is available on request at arturmoiscontato@gmail.com.

09International transfers

Some providers process data outside Brazil. Where that happens, transfers rely on the safeguards in LGPD art. 33 — standard contractual clauses, or transfer to a country with an adequate level of protection — and, for GDPR, on the European Commission's Standard Contractual Clauses.

10Retention

When a retention period ends, data is permanently deleted or irreversibly anonymised. Data kept only for legal obligations stays blocked from ordinary use until that obligation expires.

11Security

• All traffic encrypted in transit with TLS 1.2 or higher; plaintext HTTP is refused.
• Data encrypted at rest with AES-256.
• Meta access tokens stored encrypted with keys held in a dedicated secrets manager, never in application code or version control.
• Every webhook from Meta is verified against its X-Hub-Signature-256 header before being processed.
• Role-based access control, least privilege, and mandatory multi-factor authentication for administrative accounts.
• Audit logging of administrative access to customer data.
• Dependency and vulnerability scanning in the deployment pipeline; security patches applied on a defined schedule.

No system is perfectly secure. If a breach is likely to create risk to data subjects, we notify the affected customers and the Brazilian data protection authority (ANPD) without undue delay, with the facts, the likely consequences and the measures taken.

12Your rights

Under LGPD art. 18 and the GDPR you may request:

• confirmation that processing takes place, and access to your data;
• correction of incomplete, inaccurate or outdated data;
• anonymisation, blocking or deletion of unnecessary or excessive data, or data processed unlawfully;
• portability of your data to another provider;
• deletion of data processed on the basis of consent;
• information on the entities with which your data has been shared;
• withdrawal of consent, and information on the consequences of refusing it;
• objection to processing based on legitimate interest;
• review of decisions made solely by automated processing.

Write to arturmoiscontato@gmail.com. We answer within 15 days as required by the LGPD, and may ask for information to confirm your identity before acting. If we are acting as processor for a customer, we forward the request to that customer and tell you we have done so.

13Data deletion

You can request deletion of all data we hold about you at any time, for free. Full instructions — self-service, email and the Meta deletion callback — are on a dedicated page:

Data deletion instructions →

Deletion is completed within 30 days of a confirmed request, except for data we are legally required to keep, which is blocked from all other use until its retention period ends.

14Children

AIM Broker is a business tool and is not directed to children or adolescents. We do not knowingly collect data from anyone under 18. If we learn that we hold data of a child collected without the appropriate legal basis, we delete it. Contact us if you believe this has happened.

15Cookies

The public website uses no tracking, advertising or analytics cookies. The dashboard uses only strictly necessary cookies to keep you signed in and to protect against cross-site request forgery. These cannot be switched off without breaking authentication.

16Changes

We may update this policy. The "last updated" date at the top always reflects the current version. Material changes are announced to customers by email and in the dashboard at least 30 days before taking effect. Continuing to use the service after that means you accept the revised policy.

17Contact

Data protection contact: arturmoiscontato@gmail.com
Controller: Artur Moisés, [CNPJ_CPF]
Address: [ADDRESS]

You also have the right to complain to the Brazilian National Data Protection Authority (ANPD) at gov.br/anpd, or to your local supervisory authority in the EEA.

01Quem somos

O AIM Broker é operado por Artur Moisés, inscrito sob [CNPJ_CPF], com endereço em [ADDRESS] ("nós"). Para dúvidas sobre esta política ou sobre o tratamento dos seus dados, escreva para arturmoiscontato@gmail.com.

Somos um desenvolvedor independente. Não somos afiliados, endossados ou parceiros da Meta Platforms, Inc. "WhatsApp", "Messenger", "Instagram" e "Facebook" são marcas da Meta Platforms, Inc.

02Abrangência

Esta política se aplica a:

• o aplicativo AIM Broker e sua API;
• o painel administrativo usado pelos nossos clientes;
• a integração com a WhatsApp Business Platform (Cloud API), a Messenger Platform e a Instagram Messaging API;
• o site arturmoises.com.br.

Ela não cobre o tratamento que a própria Meta faz dos seus dados. Ao usar WhatsApp, Messenger ou Instagram, a Meta trata seus dados sob os termos dela — veja a Política de Privacidade da Meta e a Política de Privacidade do WhatsApp. Também não cobre as práticas das empresas que usam o AIM Broker para falar com você; cada uma publica a própria política.

03Papéis: controlador e operador

Existem duas relações distintas, com responsabilidades diferentes:

Se você mandou mensagem para uma empresa e quer sua conversa apagada, nós atendemos o pedido, mas a própria empresa costuma responder mais rápido. Os dois caminhos funcionam — veja Exclusão de Dados.

04Dados tratados

Não solicitamos e não coletamos intencionalmente dados pessoais sensíveis (saúde, religião, biometria, opinião política, orientação sexual). Se um usuário final informar esse tipo de dado dentro de uma mensagem, ele é armazenado como conteúdo comum e segue as regras de retenção da seção 10.

05Permissões da Meta

Solicitamos somente as permissões de que o produto realmente precisa. Cada uma, o dado que libera e o motivo:

As permissões são usadas estritamente para as finalidades acima. Se passarmos a precisar de uma nova permissão, esta seção é atualizada antes de ela entrar em produção.

06Finalidades e bases legais

Tratamos dados pessoais com base na Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) e, quando aplicável, no GDPR:

07O que nunca fazemos

08Compartilhamento e suboperadores

Os dados são compartilhados apenas com:

• Meta Platforms, Inc. — inevitável: a mensagem precisa chegar ao WhatsApp, Messenger ou Instagram.
• Provedores de infraestrutura em nuvem — hospedagem, banco de dados e armazenamento de objetos, em [HOSTING_REGION].
• Prestadores operacionais — e-mail transacional, monitoramento de erros e observabilidade, estritamente para operar o serviço.
• Autoridades — mediante ordem legal válida. Notificamos o cliente afetado, salvo se a lei proibir.

Todo suboperador está vinculado a contrato com obrigações de confidencialidade e segurança ao menos tão rígidas quanto as desta política, e só pode tratar dados conforme nossas instruções. A lista atualizada de suboperadores está disponível mediante pedido em arturmoiscontato@gmail.com.

09Transferência internacional

Alguns provedores tratam dados fora do Brasil. Nesses casos, a transferência se apoia nas garantias do art. 33 da LGPD — cláusulas contratuais padrão ou transferência para país com grau de proteção adequado — e, no âmbito do GDPR, nas Cláusulas Contratuais Padrão da Comissão Europeia.

10Retenção

Encerrado o prazo, o dado é excluído em definitivo ou anonimizado de forma irreversível. Dados mantidos apenas por obrigação legal ficam bloqueados para qualquer outro uso até o fim dessa obrigação.

11Segurança

• Todo o tráfego é criptografado em trânsito com TLS 1.2 ou superior; HTTP em texto claro é recusado.
• Dados criptografados em repouso com AES-256.
• Tokens de acesso da Meta armazenados de forma cifrada, com chaves em gerenciador de segredos dedicado — nunca no código nem no controle de versão.
• Todo webhook vindo da Meta é verificado pelo header X-Hub-Signature-256 antes de ser processado.
• Controle de acesso por papel, menor privilégio e autenticação multifator obrigatória para contas administrativas.
• Registro de auditoria dos acessos administrativos a dados de clientes.
• Varredura de dependências e vulnerabilidades no pipeline de deploy; correções de segurança aplicadas em cronograma definido.

Nenhum sistema é perfeitamente seguro. Se um incidente puder acarretar risco aos titulares, comunicamos os clientes afetados e a Autoridade Nacional de Proteção de Dados (ANPD) sem demora injustificada, com os fatos, as consequências prováveis e as medidas adotadas.

12Seus direitos

Pelo art. 18 da LGPD e pelo GDPR, você pode solicitar:

• confirmação da existência de tratamento e acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos seus dados a outro fornecedor;
• eliminação dos dados tratados com base no consentimento;
• informação sobre as entidades com as quais seus dados foram compartilhados;
• revogação do consentimento e informação sobre as consequências da negativa;
• oposição ao tratamento fundado em legítimo interesse;
• revisão de decisões tomadas unicamente por tratamento automatizado.

Escreva para arturmoiscontato@gmail.com. Respondemos em até 15 dias, conforme a LGPD, e podemos pedir informações para confirmar sua identidade antes de agir. Se estivermos atuando como operador de um cliente, encaminhamos o pedido a ele e avisamos você.

13Exclusão de dados

Você pode pedir a exclusão de todos os dados que temos sobre você a qualquer momento, sem custo. As instruções completas — autoatendimento, e-mail e o callback de exclusão da Meta — estão em página dedicada:

Instruções de exclusão de dados →

A exclusão é concluída em até 30 dias a contar da confirmação do pedido, salvo dados que a lei nos obriga a manter, que ficam bloqueados para qualquer outro uso até o fim do prazo de guarda.

14Crianças e adolescentes

O AIM Broker é uma ferramenta corporativa e não se destina a crianças ou adolescentes. Não coletamos conscientemente dados de menores de 18 anos. Se soubermos que mantemos dados de uma criança coletados sem base legal adequada, nós os excluímos. Fale conosco se acreditar que isso aconteceu.

15Cookies

O site público não usa cookies de rastreamento, publicidade ou analytics. O painel usa apenas cookies estritamente necessários para manter você autenticado e proteger contra falsificação de requisição entre sites. Eles não podem ser desativados sem quebrar a autenticação.

16Alterações

Podemos atualizar esta política. A data de "última atualização" no topo sempre reflete a versão vigente. Mudanças relevantes são comunicadas aos clientes por e-mail e no painel com pelo menos 30 dias de antecedência. Continuar usando o serviço depois disso significa aceitar a política revisada.

17Contato

Contato de proteção de dados: arturmoiscontato@gmail.com
Controlador: Artur Moisés, [CNPJ_CPF]
Endereço: [ADDRESS]

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd, ou à autoridade de controle do seu país no EEE.