Dados do buffet na IA: o que sai do Festero e o que nunca sai

Toda conversa sobre ligar o sistema do buffet a uma inteligência artificial ou a outro programa esbarra na mesma pergunta, e ela é justa: “isso não é entregar os dados dos meus clientes para fora?”. Um buffet guarda nome, telefone e CPF de quem contrata, detalhes de festas de criança, valores negociados e a margem de cada evento. Pela LGPD, o buffet responde por esses dados.

Quando o Festero ganhou a API, os webhooks e o servidor MCP, a regra de projeto foi uma só: a integração leva para fora o que é útil e nada do que é sensível, e o dono do buffet controla quem abre cada porta. Este texto explica as proteções, uma por uma, e termina com um checklist para você aplicar na sua empresa.

1. Tudo é somente leitura

A API, os webhooks e o servidor MCP só leem. Não existe nenhum caminho, em nenhuma das três peças, para criar, alterar ou apagar informação no Festero. Um assistente de IA conectado não consegue cancelar um evento, dar baixa numa parcela ou mexer num contrato, nem por engano, nem por um pedido mal interpretado.

Isso elimina a categoria de risco que mais assusta em automação: o erro em massa. O pior que uma integração mal feita consegue fazer é ler errado, nunca estragar a sua base.

2. O que nunca sai do Festero

Alguns dados não saem por nenhuma das três peças, para nenhuma credencial, em nenhum plano:

• Contato de pessoas: telefone, e-mail e documento (CPF e CNPJ) de clientes e leads
• Custo e margem: todo valor que sai é o preço ao cliente. O resultado de cada festa fica dentro do Festero
• Anotações internas: as observações da equipe nos orçamentos e nas visitas, além do link de reunião das visitas

Tem um cuidado a mais. Às vezes alguém cadastra o cliente com o telefone no lugar do nome, ou escreve um e-mail no título de um evento. Quando um nome, título ou descrição traz um trecho que parece telefone, e-mail ou documento, a API troca esse trecho por [oculto] antes de entregar.

Essa escolha segue o princípio da necessidade da LGPD (art. 6º, III): tratar só o mínimo necessário para a finalidade. Para responder “quanto vendemos em outubro?” ou alimentar um painel de faturamento, ninguém precisa do telefone do cliente.

3. Ninguém libera mais do que enxerga

Criar um acesso para uma integração ou conectar um assistente exige a permissão Gerenciar a API pública e as chaves MCP, que o administrador concede em Perfis e Permissões.

E mesmo quem tem só consegue liberar o que já vê no Festero. Se o perfil de uma pessoa não acessa o financeiro, ela não consegue criar uma credencial que leia o financeiro, nem conectar um assistente que veja parcelas, nem assinar os avisos de pagamento por webhook. Um acesso nunca enxerga mais do que quem o criou.

Dentro disso, cada acesso lê só as áreas marcadas na criação: eventos, orçamentos, CRM, visitas ou financeiro. A integração de faturamento do ERP pode ler só o financeiro; o painel da agência, só o CRM.

4. Uma empresa por acesso

Cada credencial e cada assistente conectado valem para uma única empresa. Em uma rede de buffets, o acesso criado na unidade A não lê a unidade B. Se alguém tentar buscar um registro de outra empresa, a API responde como se ele não existisse, sem nem confirmar que existe.

5. Acessos que vencem e podem ser cortados na hora

Acesso eterno é acesso esquecido. Por isso, cada peça tem validade e botão de corte:

• Credenciais da API: valem 90 dias e precisam ser renovadas. Cada empresa pode ter até 5 em uso. O segredo aparece uma única vez, na criação, e uma credencial revogada não volta
• Chaves MCP, usadas por ferramentas como o Claude Code e o Cursor: até 5 por credencial, cada uma com vencimento e revogação individual. Se a credencial cai, todas as chaves dela caem junto
• Assistentes conectados por login, como o Claude: até 10 por empresa. A conexão cai sozinha depois de 30 dias sem uso, pede novo login depois de 1 ano e pode ser desconectada em API do Festero › Assistentes conectados, com efeito em até 20 segundos
• Mudança de plano: se a empresa sai dos planos que incluem a API, as credenciais ficam suspensas e as chamadas deixam de funcionar

6. Webhooks assinados e com destino conferido

O webhook é o Festero enviando avisos para fora, então ele tem regras próprias:

• Assinatura em todo aviso. Cada aviso traz uma assinatura que o seu sistema confere para ter certeza de que veio do Festero e não foi alterado no caminho. Quem descobrir o endereço do seu webhook não consegue se passar pelo Festero
• Só endereços seguros e públicos. O destino precisa usar HTTPS e um domínio da internet pública. O Festero recusa endereços que apontam para redes internas, confere o destino de novo a cada envio e não segue redirecionamentos
• Aviso enxuto. O aviso traz tipo, identificadores, situação e datas, nunca contato, custo ou texto livre. O detalhe é buscado na API, com uma credencial que tenha permissão para aquela área
• Segredo trocável sem parar a operação. Ao gerar um segredo novo, o anterior continua valendo por 24 horas, tempo para atualizar o seu sistema com calma

7. Quando a IA entra na conversa

Ao conectar um assistente como o Claude, os dados que ele consulta no Festero vão para o serviço de IA que você escolheu. Dois pontos práticos:

• O Festero só recebe as consultas, não a conversa. O assistente pede, por exemplo, “parcelas vencidas”, e o Festero responde. O que você escreve para o assistente fica com o serviço de IA
• A política de dados é a do assistente. Como cada serviço de IA trata e guarda as conversas depende do provedor e do plano que a sua empresa usa nele. Conecte apenas assistentes que a empresa aprovou para tratar esses dados

Como o assistente nunca recebe telefone, e-mail, documento, custo ou margem, o que chega ao serviço de IA já é a versão mínima dos dados.

Checklist de segurança para o dono do buffet

1. Revise quem tem a permissão Gerenciar a API pública e as chaves MCP. Em geral, o dono e a pessoa de TI bastam
2. Crie cada credencial só com as áreas que a integração precisa, e dê a ela um nome que diga para que serve
3. Use uma chave MCP por pessoa ou por ferramenta, para cortar uma sem derrubar as outras
4. Guarde segredos e chaves como senhas: num cofre de senhas, nunca em planilha, grupo de WhatsApp ou e-mail
5. Quando alguém sair da equipe, revogue as credenciais e chaves que a pessoa usava e desconecte os assistentes dela, no mesmo dia em que troca as senhas
6. Uma vez por mês, abra a tela API do Festero e confira as credenciais ativas e os assistentes conectados. O que ninguém reconhece, sai
7. Se um segredo vazar, revogue e crie outro. No webhook, use Gerar novo segredo
8. Combine com a sua equipe quais assistentes de IA estão aprovados, e não conecte outros

Perguntas frequentes

A IA consegue apagar ou alterar algo no meu sistema?

Não. O servidor MCP, a API e os webhooks são somente de leitura. Não existe ferramenta para criar, alterar ou apagar dados no Festero.

O assistente vê o telefone e o CPF dos meus clientes?

Não. Telefone, e-mail e documento não saem do Festero por nenhuma das integrações. Quando um desses dados aparece no meio de um nome ou título, ele é trocado por [oculto].

Um funcionário pode criar uma integração escondido?

Só quem tem a permissão de gerenciar a API consegue criar uma credencial ou conectar um assistente, e tudo fica listado na tela API do Festero. Mesmo com a permissão, a pessoa não libera nada além do que o próprio perfil enxerga.

O serviço de IA usa os meus dados para treinar o modelo?

Isso depende da política do provedor e do plano que você contratou com ele. Leia as configurações de privacidade do assistente antes de conectar e prefira os planos para empresas, que costumam ter regras mais restritas.

Como sei se a API está no ar?

A situação da API, dos webhooks e da documentação é publicada em status.festero.com.br, com o histórico dos últimos 90 dias.

Integração útil e segura não são escolhas opostas

O medo de vazamento faz muito buffet ficar na planilha exportada à mão, que é justamente o caminho menos seguro: o arquivo vai inteiro, com telefone e CPF, para o e-mail, o pendrive e o grupo de WhatsApp, sem validade e sem botão de revogar. Uma integração bem desenhada leva menos dados, para menos gente, por menos tempo.

Veja como o Festero cuida dos dados na página de segurança, conheça a API e as integrações ou leia a visão geral de API, webhooks e MCP no Festero.