Política de Privacidade

business1. Quem somos e nossos papéis

O AtendZap CRM é uma plataforma de gestão para clínicas e consultórios: cadastro de pacientes, agenda, atendimento por WhatsApp, Instagram, Messenger e Telegram, e uma assistente virtual de atendimento (a "Clara"). Esta política explica como tratamos dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018).

Nosso papel depende do dado:

• Controlador dos dados das pessoas que usam o sistema (administradores e equipe da clínica): conta de acesso, registros de uso e segurança.
• Operador dos dados dos pacientes e contatos da clínica (cadastro, agenda, conversas). Nesse caso, quem decide por que e como esses dados são usados é a clínica contratante, que é a controladora, e nós tratamos os dados em nome dela e conforme as instruções dela. Se você é paciente ou contato de uma clínica e quer exercer um direito, o primeiro canal é a própria clínica; também podemos ajudar (veja a seção 10).

folder_shared2. Dados que tratamos

hub3. Dados recebidos da Meta e do Google

A clínica pode conectar sua conta do Instagram Profissional e sua Página do Facebook ao AtendZap, por meio do login oficial da Meta (OAuth). Ao autorizar, passamos a receber da Meta apenas o necessário para atender pelo canal:

• Da conta conectada: identificador, nome e foto da Página/conta profissional e a permissão (token) para ler e responder mensagens em nome dela.
• De quem escreve para a clínica: identificador do contato no canal, nome e foto de perfil quando a Meta os disponibiliza, e o conteúdo das mensagens trocadas.

Esses dados são usados exclusivamente para exibir as conversas à equipe da clínica, permitir que ela responda e manter o histórico de atendimento. Não vendemos esses dados, não os usamos para publicidade, para criar perfis de comportamento nem para treinar modelos de inteligência artificial, e não os compartilhamos fora do descrito na seção 5. A Clara não responde pelos canais da Meta: o atendimento por Instagram e Messenger é feito pela equipe da clínica.

As credenciais de acesso da Meta são guardadas criptografadas e nunca são exibidas novamente na tela. A clínica pode desconectar o canal a qualquer momento (seção 10).

Google (Perfil da Empresa / Google Meu Negócio)

A empresa pode conectar uma ou mais fichas do seu Perfil da Empresa no Google ao AtendZap, por meio do login oficial do Google (OAuth 2.0), para ver e responder as avaliações. O acesso solicitado é o escopo business.manage (gerenciar o Perfil da Empresa), além do e-mail da conta Google, que usamos apenas para mostrar qual conta foi conectada. Passamos a receber do Google:

• Das fichas conectadas: nome, endereço e identificador da ficha, e a permissão (token de atualização) para ler avaliações e publicar respostas em nome da empresa.
• De cada avaliação: nota, comentário, data, o nome e a foto de perfil públicos de quem avaliou (quando não é anônimo) e a resposta da empresa, se houver.

Esses dados são usados exclusivamente para exibir as avaliações à equipe, permitir que ela responda e acompanhar a nota da ficha. O uso e a transferência, pelo AtendZap, das informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado. Não vendemos esses dados, não os usamos para publicidade nem para treinar modelos de inteligência artificial, não os transferimos a terceiros além dos fornecedores da seção 5 e não permitimos que pessoas leiam esses dados, exceto a equipe da própria empresa que os conectou, para segurança, cumprimento da lei ou suporte solicitado por ela. O token de atualização é guardado criptografado e nunca é exibido. A empresa pode desconectar a ficha a qualquer momento ou revogar o acesso na sua conta Google (seção 10).

fact_check4. Para que usamos os dados

• Prestar o serviço contratado pela clínica: cadastro, agenda, atendimento nos canais conectados, lembretes e confirmações de consulta, campanhas e relatórios. Base legal: execução de contrato (art. 7º, V); para dados de saúde, tutela da saúde e procedimentos realizados por profissionais de saúde (art. 11, II, "f"), conforme a atuação da clínica.
• Atendimento automático pela Clara, quando a clínica a ativa no WhatsApp: entender a mensagem, responder dúvidas e pré-agendar consultas. Base legal: execução de contrato.
• Segurança, prevenção a fraudes e registros de auditoria. Base legal: legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal.
• Suporte, melhoria do produto e comunicação sobre o serviço com os usuários do sistema. Base legal: legítimo interesse e execução de contrato.
• Cumprir obrigações legais ou ordens de autoridades e exercer direitos em processos. Base legal: art. 7º, II e VI.

Não usamos dados pessoais de pacientes para publicidade própria nem os vendemos a ninguém.

share5. Com quem compartilhamos

Compartilhamos dados somente com fornecedores necessários para o funcionamento do serviço, que os tratam em nosso nome:

Também podemos divulgar dados quando exigido por lei, ordem judicial ou autoridade competente, e em eventual reorganização societária, com a mesma proteção desta política. Exigimos dos fornecedores confidencialidade e medidas de segurança compatíveis.

public6. Transferência internacional

Alguns fornecedores acima (como Meta, OpenAI e Amazon Web Services) podem tratar dados em servidores fora do Brasil. Nesses casos, a transferência ocorre para viabilizar o serviço e com as salvaguardas previstas nos arts. 33 a 36 da LGPD, como cláusulas contratuais e a adoção, por esses fornecedores, de padrões de segurança reconhecidos.

schedule7. Por quanto tempo guardamos

• Dados de pacientes, conversas e agenda: enquanto o contrato da clínica estiver ativo e a clínica precisar deles. Ela pode excluir cadastros pelo próprio sistema.
• Após o encerramento do contrato: os dados são eliminados ou anonimizados em prazo razoável, salvo se a lei exigir a guarda (por exemplo, prazos de guarda de documentos de saúde que cabem à clínica) ou se forem necessários para defesa em processos.
• Cópias de segurança: mantidas por até 30 dias e depois descartadas automaticamente; um dado excluído pode permanecer nelas até esse prazo.
• Credenciais de canais (Meta, Google e Telegram): apagadas assim que o canal é desconectado.
• Imagem da carteirinha do convênio: enquanto fizer parte do cadastro do paciente; a equipe pode descartá-la a qualquer momento (a imagem é apagada na hora). Imagens que não são carteirinha não são guardadas.
• Avaliações do Google: mantidas enquanto a ficha estiver conectada e, depois de desconectada, como histórico da empresa até ela pedir a exclusão (seção 10) ou o contrato terminar.

security8. Segurança

• Senhas guardadas com hash de via única (bcrypt); nunca em texto legível.
• Credenciais dos canais (tokens da Meta e do Telegram) guardadas criptografadas (AES-256-GCM) e usadas apenas no servidor.
• Tráfego criptografado por HTTPS entre o navegador e os servidores; mensagens recebidas da Meta têm a assinatura verificada.
• Isolamento entre clínicas: os dados de cada clínica são separados; uma clínica não acessa dados de outra.
• Controle de acesso por perfil, encerramento automático de sessão por inatividade e registro de ações no sistema.

Nenhum sistema é totalmente imune a falhas. Em caso de incidente que possa causar risco ou dano relevante, comunicaremos os controladores afetados e, quando cabível, a Autoridade Nacional de Proteção de Dados (ANPD), nos termos do art. 48 da LGPD.

accessibility_new9. Seus direitos

Conforme o art. 18 da LGPD, você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade dos dados;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• revogação do consentimento e oposição a tratamento feito com outra base legal, quando houver descumprimento da lei.

Para exercer esses direitos, use os contatos da seção 14. Se você é paciente de uma clínica, ela é a controladora dos seus dados e é quem decide sobre o pedido; nós encaminhamos e a apoiamos para atendê-lo. Você também pode reclamar à ANPD (gov.br/anpd).

delete_forever10. Como excluir seus dados

Você pode escolher uma destas formas:

• Clínica que conectou um canal: no CRM, abra Conversas → Canais e clique em Desconectar. As credenciais do canal são apagadas na hora.
• Remover o AtendZap pela Meta: no Facebook, acesse Configurações e privacidade → Configurações → Integrações de negócios (no Instagram, o caminho equivalente fica em Configurações, na seção de apps e sites, conforme a versão do aplicativo), selecione o AtendZap e clique em Remover. A Meta nos avisa automaticamente, apagamos as credenciais ligadas à sua conta e geramos um código de confirmação.
• Google: no CRM, abra Conversas → Canais e clique em Desconectar na ficha; o AtendZap revoga o acesso no Google e apaga o token na hora. Você também pode remover o AtendZap em myaccount.google.com/permissions; nesse caso o AtendZap deixa de conseguir ler as avaliações e a conta passa a exigir reconexão.
• Apagar histórico de mensagens e dados de contato (por exemplo, o seu nome, foto e mensagens recebidos pelo Instagram, Messenger ou WhatsApp de uma clínica): envie um e-mail para suporte@atendzapcrm.com.br com o assunto "Exclusão de dados", informando seu nome, a conta ou o telefone usado na conversa e, se tiver, o código de confirmação. Podemos pedir informações adicionais para confirmar que o pedido é seu. Respondemos em até 15 dias.

Mantemos o que a lei obrigar a guardar. Dados em cópias de segurança são descartados no prazo da seção 7. Se os dados forem de paciente de uma clínica, a exclusão pode depender da decisão da clínica, que é a controladora (seção 1).

cookie11. Cookies e armazenamento local

O sistema usa o armazenamento do navegador apenas para manter você conectado (sessão), lembrar o tema claro/escuro e preferências da tela. Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros. As fontes e ícones desta página são carregados do Google Fonts, que pode registrar o endereço IP de quem acessa.

child_care12. Crianças e adolescentes

O AtendZap é uma ferramenta profissional e não é destinado a menores de 18 anos como usuários. Pacientes menores podem ter dados cadastrados pela clínica, em geral por meio do responsável legal, no melhor interesse do menor (art. 14 da LGPD).

update13. Alterações desta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A data no topo indica a última revisão. Mudanças relevantes serão comunicadas aos usuários do sistema.

contact_support14. Contato e Encarregado (DPO)

Dúvidas, pedidos de titulares e exclusão de dados podem ser enviados ao nosso Encarregado pelo Tratamento de Dados Pessoais:

E-mail: suporte@atendzapcrm.com.br
Telefone / WhatsApp: +55 (61) 98441-1804

Veja também nossa página sobre Segurança da Informação e LGPD.