Central de confiança

Segurança e Confiança

Última atualização: 9 de setembro de 2026 · Versão 1.0

Esta página existe para você conferir, antes de contratar, o que é feito de verdade para proteger sua conta, seu pagamento e as conversas dos seus clientes.

A regra desta página

Aqui só está escrito o que já está implementado e pode ser verificado. O que ainda não existe aparece dito com todas as letras, na cor laranja. Não usamos selo de certificação que não temos, nem logotipo de empresa de segurança com a qual não temos relação. Se um dia houver certificação real, ela vai aparecer aqui com o link oficial de verificação.

1. Segurança da conta

São três chaves diferentes por empresa, cada uma com um poder distinto — de propósito. Assim, a chave que fica exposta no site do cliente não é a mesma que abre as conversas.

Token do site — público, fica no seu site. Só conversa; não lê histórico.
Token do painel — secreto. É o link pessoal que abre suas conversas.
Código de equipe — 6 dígitos que você digita para transformar o balão de atendimento no seu painel. O token do painel nunca aparece no código da página: ele só é entregue depois do código certo.
Código errado recebe resposta com 1,5 segundo de atraso proposital, o que torna tentativa por força bruta inviável na prática.
Uma empresa não enxerga nem abre conversa de outra. O isolamento por token foi testado.
O painel administrativo exige senha guardada com scrypt e sal por senha — a senha em si não fica gravada em lugar nenhum.
A sessão do administrador vive num cookie HttpOnly, Secure e SameSite=Lax: não é legível por JavaScript e não viaja para outros sites.

O que ainda não existe: verificação em duas etapas (2FA) e registro de acessos visível para o cliente. Estão na fila; enquanto não existirem, não vamos dizer que existem.

2. Segurança do pagamento

O ponto mais importante desta página inteira:

O Secretário nunca vê os dados do seu cartão

O pagamento é processado pela Cakto, em ambiente próprio dela. Número do cartão, código de segurança (CVV) e validade não passam pelo nosso servidor e não existem no nosso banco de dados — não há sequer um campo onde guardá-los. O que recebemos da Cakto é apenas o aviso de que o pagamento foi aprovado, com nome, e-mail e o produto comprado.

O aviso de pagamento chega por um endereço secreto e, quando a Cakto assina a entrega, é conferida a assinatura HMAC-SHA256 sobre o conteúdo exato recebido. Assinatura que não confere é recusada.
O mesmo aviso de pagamento não é processado duas vezes. Cada evento é registrado e reivindicado uma única vez, então uma reentrega da Cakto não gera cobrança dobrada, prazo dobrado nem acesso duplicado.
O registro interno do pagamento guarda produto, valor e situação — sem e-mail e sem telefone nos logs do servidor.
Nenhuma chave secreta de pagamento existe no código que roda no seu navegador.

3. Privacidade

Todo o tráfego do site e do painel é cifrado por HTTPS/TLS, com certificado válido e redirecionamento automático de HTTP para HTTPS.
As conversas dos seus clientes são suas. Não são vendidas, não são cedidas e não são usadas para treinar modelo nosso.
O áudio enviado pelo visitante é transcrito na própria máquina, por um serviço local, e o arquivo é apagado depois de virar texto.
A medição de conversão deste site é feita no nosso próprio banco: sem Google Analytics, sem pixel de rede social, sem cookie de rastreamento e sem gravar o seu IP.

O detalhamento completo — inclusive quais provedores de inteligência artificial recebem o texto das conversas — está na Política de Privacidade.

4. Tratamento de dados

Na relação da LGPD, você é o controlador dos dados dos seus clientes e O Secretário é o operador: tratamos esses dados para executar o atendimento que você contratou, e conforme a sua instrução.

Conversas ficam enquanto sua conta estiver ativa; você pode apagar uma conversa a qualquer momento pelo painel.
Cópias de segurança são mantidas por 30 dias — um dado apagado some das cópias nesse prazo.
Se quiser que tudo seja apagado antes do prazo normal, basta pedir.

5. Infraestrutura

Servidor da Contabo GmbH, em Lauterbourg, França. Isso caracteriza transferência internacional de dados pela LGPD; a França integra o Espaço Econômico Europeu e é submetida ao RGPD.
Cada aplicação roda como serviço isolado, com usuário próprio, e volta sozinha se cair.
O servidor responde com X-Content-Type-Options, X-Frame-Options e Referrer-Policy em todas as páginas.
As rotas públicas têm freio por endereço de origem, para que ninguém consiga usar tentativa em massa contra elas.

Honestidade sobre o WhatsApp: a conexão com o WhatsApp é feita por leitura de QR code, não pela API oficial da Meta. É o que permite usar o seu número atual sem trocar de linha e sem custo por conversa — mas a Meta pode, em tese, restringir números que usam conexão não-oficial. Preferimos que você saiba disso antes de contratar, e não depois.

6. Continuidade do serviço

Cópia de segurança do banco todos os dias, guardada por 30 dias, com verificação de integridade depois de copiar — cópia corrompida é descartada e gera alerta.
Uma cópia é mantida fora do servidor principal.
Um monitor verifica os serviços e o site periodicamente e dispara alerta automático quando algo cai — e avisa de novo quando volta.
Se a assinatura vencer, o atendimento para, mas seus dados continuam lá e voltam a funcionar assim que a renovação for confirmada.

Não prometemos SLA: não existe contrato de disponibilidade garantida (aqueles "99,9%") e não vamos fingir que existe. O serviço é monitorado e a recuperação é rápida, mas isso é prática, não garantia contratual.

7. Cancelamento

Você cancela quando quiser, pelo painel ou pelo WhatsApp de contato.
Sem multa e sem fidelidade.
O serviço continua funcionando até o fim do período que você já pagou.
Ao cancelar, seu WhatsApp é desconectado e a atendente para de responder.

Passo a passo na página de Cancelamento e Reembolso.

8. Reembolso

Compras feitas pela internet têm 7 dias de arrependimento, contados do pagamento, como manda o art. 49 do Código de Defesa do Consumidor. Dentro desse prazo o valor é devolvido integralmente, sem justificativa. Depois disso, o valor do período em curso não é devolvido — mas o serviço segue disponível até o fim dele.

É o mesmo que está escrito nos Termos de Uso, seção 9.

9. Direito de arrependimento

O art. 49 do Código de Defesa do Consumidor dá ao consumidor o direito de desistir da contratação em 7 dias corridos quando ela acontece fora do estabelecimento comercial — que é exatamente o caso de uma contratação feita pela internet.

Não chamamos isso de "teste grátis", porque não é: O Secretário não tem período gratuito. É um direito seu previsto em lei, e está aqui para você saber que ele existe — não como convite para usar e pedir o dinheiro de volta.

Como exercer: peça pelo WhatsApp de contato, dentro dos 7 dias, informando o e-mail usado na compra. Detalhes na página de Cancelamento e Reembolso.

10. Suporte

Canal oficial: WhatsApp (12) 98270-9732 — o mesmo número que atende antes e depois da contratação.
Quem responde é uma pessoa identificada, não um número anônimo.

Ainda não temos e-mail de suporte próprio nem central de chamados. Enquanto não existirem, o WhatsApp acima é o canal, e é ele que está publicado em todas as páginas.

Todas as formas de falar com a gente estão em Contato.

11. Como reportar um problema de segurança

Se você encontrou uma falha — sua ou de outro cliente, no site, no painel ou no balão de atendimento — nos avise antes de divulgar. Trataremos com prioridade e sem retaliação contra quem reportar de boa-fé.

Como reportar

Mande no WhatsApp (12) 98270-9732 com:

o endereço da página onde acontece;
o passo a passo para reproduzir;
o que você conseguiu ver ou fazer que não deveria.

Pedimos que você não acesse, altere ou divulgue dado de terceiro, não execute ataque de negação de serviço e não use a falha além do mínimo necessário para demonstrá-la.

Em caso de incidente com risco relevante, os afetados e a ANPD serão comunicados, como manda o art. 48 da LGPD.

Quem responde por isto

O Secretário é um produto Complexo-X, desenvolvido e mantido pela LDCODE. O serviço é prestado por Luiz Cipolari, pessoa física, com contato pelo WhatsApp (12) 98270-9732. Se e quando houver pessoa jurídica constituída, os dados dela passam a constar aqui.