Segurança

O token

• O token nunca é passado como argumento de tool: entra só pelo header Authorization (remoto) ou pela variável PICCHAT_TOKEN (local). Por isso ele não aparece na conversa com o Claude.
• O token age como o usuário que o criou — mesmas permissões e canais. Use um token por pessoa e por cliente; não compartilhe.
• Excluiu o token no painel, ele para de funcionar em todos os lugares na hora.

O servidor remoto

• https://mcp.picchat.io/mcp não guarda sessão nem estado: cada requisição traz o próprio token e é atendida do zero.
• O servidor não acessa banco de dados; ele só chama a API pública com o seu token. Tudo que ele faz, um curl com o mesmo token também faz.

Somente leitura

Para contas PicChat padrão, todas as tools são de consulta. O MCP não envia mensagens, não cria nem altera contatos e não mexe em configurações.

Dados na conversa

O que o MCP consulta entra na conversa com o Claude, como qualquer arquivo que você anexasse. Siga a política de dados da sua empresa ao consultar informações de clientes, e prefira pedidos agregados ("quantos", "qual a taxa") quando não precisar dos dados pessoais.