Política de Privacidade

O AlphaZelo é usado por dois públicos, e a lei nos coloca em posições diferentes em cada caso. Entender qual é o seu caso determina a quem você deve pedir acesso, correção ou exclusão dos seus dados.

• Se você é dono ou faz parte da equipe de um estabelecimento e criou uma conta aqui: somos controladores dos dados da sua conta. Nós decidimos como eles são tratados, e você trata diretamente conosco.
• Se você é cliente de um estabelecimento e seus dados foram cadastrados por ele: o estabelecimento é o controlador e nós somos operadores - processamos os dados sob instrução dele. Na prática, quem decide o que é coletado, por quanto tempo fica e se será apagado é o estabelecimento. Por isso, pedidos sobre esses dados devem ir primeiro a ele; nós damos suporte técnico para atendê-los.

Não coletamos nada além do que a operação do sistema exige. A tabela abaixo reflete os campos que existem de fato no banco de dados:

Dados sensíveis: observações, fichas de cuidado e conversas são texto livre e ficam sob controle do estabelecimento. Se ele registrar ali informação de saúde (alergias, condições de pele, reações a produtos) ou fotos do cliente, isso é dado sensível na LGPD e exige cuidado redobrado - o estabelecimento, como controlador, é responsável por essa decisão e pela base legal correspondente.

• Endereço IP, usado para conter abuso e tentativas automatizadas. Antes de virar chave de controle, o endereço é convertido em hash SHA-256 - não guardamos o IP em texto no nosso mecanismo de proteção. Nossa hospedagem, porém, mantém registros de acesso próprios (veja a seção 6).
• Cookies estritamente necessários, detalhados na seção 7.
• Preferências guardadas no seu navegador, como o tema claro ou escuro e os grupos do menu que você recolheu. Ficam só no seu aparelho e não são enviadas para nós.

Não usamos Google Analytics, pixel de rede social, mapa de calor ou qualquer ferramenta de rastreamento de comportamento. Não construímos perfil publicitário e não vendemos dados - nem os seus, nem os dos seus clientes.

Quando o estabelecimento liga o assistente de IA, as mensagens que chegam pelo WhatsApp são respondidas automaticamente. Para gerar cada resposta, enviamos ao provedor de IA:

• As mensagens recentes da conversa e o nome do contato.
• As instruções, serviços, profissionais e horários livres do estabelecimento.
• O resultado das consultas que o assistente fizer, como os agendamentos do próprio cliente.

O envio é configurado para o provedor não guardar a conversa (opção de armazenamento desligada). Pela política do provedor para uso via API, o conteúdo não é usado para treinar modelos e pode ser retido por tempo limitado apenas para prevenção de abuso. O assistente não toma decisões com efeito jurídico sobre o cliente; o que ele pode fazer - marcar, remarcar ou cancelar um horário - é definido pelo estabelecimento, e a conversa passa para uma pessoa da equipe sempre que o cliente pedir.

Não vendemos nem cedemos dados pessoais. Compartilhamos apenas com os prestadores necessários para o serviço funcionar:

Alguns desses prestadores são sediados fora do Brasil, o que caracteriza transferência internacional de dados. Nesses casos ela ocorre para permitir a execução do contrato com você, nos termos do art. 33 da LGPD.

Usamos apenas cookies necessários para o funcionamento. Nenhum é de publicidade ou análise de audiência - por isso não exibimos banner de consentimento, que a lei reserva justamente para os cookies não essenciais.

• Dados da conta e do estabelecimento: enquanto a conta existir.
• Dados de clientes e atendimentos: enquanto o estabelecimento mantiver a conta ativa, já que é ele quem define esse prazo como controlador.
• Mensagens das conversas do WhatsApp: apagadas automaticamente depois do prazo de guarda do estabelecimento, que vai de 1 a 24 meses (padrão de 4 meses).
• Pedidos de exclusão são avaliados conforme o papel do controlador e as obrigações legais. Registros históricos de atendimentos, cancelamentos e movimentações podem ser preservados quando necessários para cumprir obrigação legal, manter a integridade operacional ou exercer direitos.
• Registros de contenção de abuso: apagados automaticamente ao fim da janela de contagem, que é de minutos ou horas.
• Tokens de recuperação de senha: armazenados somente como hash, expiram em 1 hora e são removidos após uso ou falha de envio.

Nenhum sistema é imune, e seria desonesto prometer o contrário. O que adotamos concretamente:

• Senhas nunca são guardadas em texto - apenas o hash bcrypt, que não permite reverter a senha original.
• Links de recuperação são aleatórios, de uso único, expiram em 1 hora e revogam sessões anteriores depois da troca.
• Todo o tráfego trafega por HTTPS.
• Cada estabelecimento tem seus dados isolados: toda consulta ao banco é filtrada pelo identificador do estabelecimento da sessão ativa.
• Cada pessoa da equipe acessa só as telas que o dono liberar, e a permissão vale tanto para abrir a página quanto para executar as ações dela.
• As notificações recebidas do WhatsApp e do Mercado Pago só são aceitas com assinatura criptográfica válida.
• O banco de dados fica em São Paulo e exige conexão autenticada; as políticas de isolamento também são aplicadas no próprio PostgreSQL.
• Limites de tentativa em login, cadastro e agendamento, para conter ataque automatizado.

Se identificarmos incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD, conforme o art. 48 da LGPD.

O art. 18 da LGPD garante a você, a qualquer momento e sem custo:

• Confirmar se tratamos dados seus e acessar esses dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Solicitar a portabilidade a outro fornecedor.
• Ser informado com quem compartilhamos seus dados.
• Revogar o consentimento, quando o tratamento se basear nele.
• Opor-se a tratamento feito com base em legítimo interesse.

Se você é cliente de um estabelecimento: procure primeiro o próprio estabelecimento, que é o controlador dos seus dados. Se ele não responder ou você não souber como contatá-lo, escreva para nós que ajudamos a direcionar.

Para exercer qualquer direito, escreva para tech.igorsilva@gmail.com. Respondemos em até 15 dias. Podemos pedir informação adicional para confirmar sua identidade antes de liberar ou apagar dados - é proteção contra alguém se passar por você.

O painel administrativo é destinado a maiores de 18 anos. Atendimentos de menores podem ser agendados por pais ou responsáveis, e cabe ao estabelecimento obter o consentimento específico exigido pelo art. 14 da LGPD antes de cadastrar dados de criança.

Podemos atualizar este documento. A data de última atualização no topo sempre reflete a versão vigente. Mudança que altere de forma relevante como tratamos seus dados será avisada pelos canais de contato antes de entrar em vigor.

O AlphaZelo é operado por Igor Silva, que atua como encarregado pelo tratamento de dados pessoais para os fins do art. 41 da LGPD. Contato: tech.igorsilva@gmail.com.

Veja também os Termos de uso.