Política de Privacidade

1. Quem trata os seus dados

• Dados da conta do Estabelecimento e da equipe (cadastro, login, assinatura): a DEVRA é a controladora. DEVRA: [razão social], CNPJ [CNPJ], [endereço].
• Dados dos clientes de cada Estabelecimento (agendamentos, contatos, conversas no WhatsApp): o Estabelecimento é o controlador, e a DEVRA atua como operadora, tratando os dados apenas para prestar o serviço ao Estabelecimento e conforme as instruções dele. Para pedidos sobre esses dados, procure primeiro o Estabelecimento. A DEVRA ajuda o Estabelecimento a atender o seu pedido.

2. Quais dados tratamos

Estabelecimento e equipe

• Nome, e-mail, telefone, nome e endereço do negócio, fotos e informações publicadas na página de agendamento.
• Senha, guardada apenas de forma irreversível (hash). Nem a DEVRA consegue lê-la.
• Dados da assinatura: plano, situação dos pagamentos e identificadores do Mercado Pago. Não recebemos nem guardamos dados de cartão.
• Registro do aceite destes documentos (versão, data, endereço IP e navegador) e registros técnicos de acesso e segurança.

Clientes dos Estabelecimentos

• Nome, telefone (WhatsApp) e, se informado, e-mail.
• Agendamentos: serviço, profissional, data, horário, valor e situação.
• Autorizações de comunicação (lembretes e promoções), com data, origem e versão do texto apresentado, e os pedidos de descadastramento.
• Mensagens trocadas com o assistente virtual do Estabelecimento pelo WhatsApp, guardadas por até 30 dias.
• Situação de entrega das mensagens enviadas (enviada, entregue, lida).

Não pedimos dados sensíveis (como saúde, religião ou biometria). Pedimos que os Estabelecimentos não os registrem nas observações nem nas conversas.

3. Para que usamos e com qual base legal

• Prestar o serviço contratado (agenda, página de agendamento, painel, cobrança da assinatura): execução de contrato (art. 7º, V).
• Confirmações e lembretes do agendamento pelo WhatsApp: pedido do próprio cliente ao agendar (art. 7º, V) e a autorização marcada por ele na página de agendamento, que pode ser retirada a qualquer momento respondendo “SAIR”.
• Mensagens promocionais do Estabelecimento: somente com consentimento (art. 7º, I), que é opcional e pode ser retirado a qualquer momento.
• Segurança, prevenção a fraudes e abuso (limites de uso, registros de acesso): legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (art. 7º, II), como a guarda de registros de acesso prevista no Marco Civil da Internet.
• Obrigações fiscais e defesa em processos: obrigação legal e exercício regular de direitos (art. 7º, II e VI).

Não vendemos dados pessoais e não os usamos para publicidade de terceiros.

4. Assistente virtual com inteligência artificial

Quando o Estabelecimento ativa o assistente, as mensagens recebidas pelo WhatsApp, o histórico recente daquela conversa e as informações públicas do Estabelecimento (serviços, preços, horários e endereço) são enviados ao Google Gemini para gerar a resposta. O assistente não tem acesso à agenda, a dados de outros clientes nem a dados de outros estabelecimentos.

• Usamos o Gemini em plano pago. Nos termos do Google para esse plano, o conteúdo não é usado para treinar ou melhorar os produtos do Google e fica guardado por tempo limitado, apenas para detectar abusos.
• O assistente não toma decisões que afetem os seus direitos: ele só informa e encaminha. Você pode pedir para falar com uma pessoa a qualquer momento, e a conversa passa para a equipe do Estabelecimento.
• As respostas automáticas podem conter erros. Confirme informações importantes com o Estabelecimento.

5. Com quem compartilhamos

Somente com fornecedores necessários para prestar o serviço, que tratam os dados conforme as nossas instruções:

• Railway: hospedagem da aplicação e do banco de dados (Estados Unidos).
• Cloudflare: armazenamento das cópias de segurança, que são criptografadas antes do envio (Estados Unidos).
• Google (Gemini): geração das respostas do assistente virtual, quando ativado.
• WhatsApp (Meta): transporte das mensagens, a partir do número conectado pelo Estabelecimento.
• Mercado Pago: pagamentos da assinatura e, se usado, dos agendamentos.
• Resend: envio de e-mails da conta, como a recuperação de senha.

Também podemos compartilhar dados com autoridades quando houver obrigação legal ou ordem judicial.

6. Transferência internacional

Alguns fornecedores ficam fora do Brasil, principalmente nos Estados Unidos. Essas transferências são feitas para executar o contrato e com fornecedores que oferecem garantias contratuais de proteção de dados compatíveis com a LGPD (art. 33).

7. Por quanto tempo guardamos

• Dados da conta e da agenda: enquanto a conta estiver ativa e por até 90 dias após o encerramento. Depois disso, são excluídos, salvo o que a lei obrigar a guardar.
• Conversas com o assistente virtual: até 30 dias.
• Cópias de segurança criptografadas: até 30 dias.
• Registros de acesso à aplicação: 6 meses, conforme o Marco Civil da Internet (art. 15).
• Registro de aceite dos Termos e das autorizações de comunicação: enquanto a conta existir, como prova do consentimento.

8. Como protegemos os dados

• Conexões criptografadas (HTTPS) e senhas guardadas com hash forte.
• Separação dos dados de cada Estabelecimento no próprio banco de dados, de modo que um estabelecimento não acessa os dados de outro.
• Cópias de segurança diárias criptografadas, que só podem ser abertas com uma chave guardada fora da nuvem.
• Acesso interno restrito, limites contra tentativas de invasão e abuso, e credenciais separadas para cada função.

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, avisaremos os afetados e a ANPD, conforme a LGPD.

9. Seus direitos

Você pode pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamentos; revogação do consentimento; e revisão de decisões automatizadas (art. 18 da LGPD).

• Clientes de um Estabelecimento: procure o próprio Estabelecimento. Para parar de receber mensagens, responda “SAIR” no WhatsApp.
• Estabelecimentos e equipe, ou se o Estabelecimento não responder: escreva para [e-mail de privacidade].
• Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

10. Encarregado de dados (DPO)

Encarregado: [nome do encarregado]. Contato: [e-mail do encarregado].

11. Cookies e armazenamento no navegador

Usamos apenas o necessário para o login funcionar: um cookie de sessão seguro e um identificador de acesso guardado no navegador. Não usamos cookies de publicidade nem de rastreamento de terceiros.

12. Crianças e adolescentes

A DEVRA não é direcionada a menores de 18 anos. Quando um Estabelecimento atende crianças ou adolescentes, o agendamento deve ser feito pelo responsável legal.

13. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas com antecedência. A versão e a data em vigor aparecem no topo desta página.