Política de Privacidade

Quem é controlador e quem é operador

A empresa que contrata a Argovis (clínica ou outro estabelecimento) é a controladora dos dados de seus pacientes e clientes: ela decide por que e como esses dados são usados.

A Argovis atua como operadora: trata esses dados em nome da empresa, apenas para operar a plataforma e seguindo as instruções dela. Dos dados da própria conta de acesso da empresa (e-mail, cobrança), a Argovis é controladora.

Quais dados são tratados

• Mensagens de WhatsApp trocadas entre o paciente ou cliente, o assistente de IA e a equipe da empresa.
• Contatos (leads): número de telefone, nome, interesse e situação do atendimento.
• Agendamentos, quando a empresa conecta o Google Calendar: horário e identificação do paciente (nome e telefone).
• Base de conhecimento: textos sobre a empresa que ela mesma cadastra para o assistente consultar.
• Dados da conta: e-mail de acesso e dados de assinatura e pagamento.

Para que os dados são usados

Não vendemos dados pessoais nem os usamos para publicidade.

• Responder mensagens no WhatsApp com base nas informações da empresa.
• Organizar contatos e permitir que a equipe assuma a conversa quando necessário.
• Gerenciar agendamentos e lembretes.
• Operar, proteger e cobrar o serviço.

Dados de usuário do Google (Google Agenda)

Esta seção vale somente se a empresa escolher conectar o Google Agenda. A conexão é opcional e feita pela empresa, com a conta Google dela.

• Quais dados acessamos: pedimos três permissões do Google: identificação básica da conta (openid), o endereço de e-mail da conta (email) e acesso aos eventos das agendas que pertencem à conta conectada (https://www.googleapis.com/auth/calendar.events.owned: ver, criar, alterar e excluir eventos). Usamos somente a agenda principal da conta. O Google nos envia cada evento completo (título, descrição, local, participantes, anexos e horário); usamos apenas o identificador, o horário, se o evento ocupa o horário, o estado (cancelado ou não) e a marca interna que a Argovis grava nos eventos que ela cria, e o título e a descrição para reconhecer o nome e o telefone do paciente. Não lemos seus e-mails do Gmail, contatos, arquivos do Google Drive nem agendas de outras pessoas.
• Por que: ler os eventos para calcular horários livres e reconhecer a quem pertence cada consulta; criar um evento quando o paciente confirma um agendamento; cancelar ou excluir o evento quando o paciente ou a empresa cancela; e mostrar qual conta Google está conectada, evitando que outra conta a substitua sem aviso.
• Onde ficam: o token de atualização (refresh token) é guardado criptografado e só o servidor o lê. Dos eventos, guardamos o identificador, o horário e se o evento ocupa o horário. Quando o título ou a descrição identificam um paciente (nome e telefone), guardamos nome, telefone e horário do agendamento e descartamos o título; o título de um evento que não corresponde a nenhum paciente é guardado até 7 dias após o fim do evento, para a empresa poder identificá-lo. Guardamos também o e-mail da conta Google conectada (apagado ao desconectar) e o identificador da conta Google (mantido enquanto a empresa existir, para impedir que outra conta substitua a conectada sem aviso). Quando o paciente agenda pelo WhatsApp, criamos no Google Agenda da empresa um evento com o nome e o telefone dele.
• Quem acessa: os membros da própria empresa, no aplicativo, e os sistemas da Argovis necessários para operar o serviço. Pessoas da equipe da Argovis não leem esses dados, exceto: com a concordância expressa da empresa para ver dados específicos (por exemplo, num pedido de suporte); quando necessário por segurança, como investigar uma falha ou abuso; para cumprir a lei; ou de forma agregada e anonimizada, para a operação interna. A área administrativa da Argovis mostra o status da conexão e o e-mail da conta Google conectada, não os eventos.
• Uso pelo assistente de IA: para responder aos pacientes da própria empresa, o assistente recebe somente os horários livres (calculados a partir dos eventos e do horário de atendimento) e a data e hora das próximas consultas da pessoa que está conversando; nunca títulos, descrições, participantes ou nomes de eventos. Esse conteúdo é enviado aos provedores de IA listados em "Suboperadores" (OpenRouter e Google Gemini) apenas para gerar a resposta. Não usamos dados recebidos do Google para criar, treinar ou melhorar modelos de inteligência artificial ou de aprendizado de máquina.
• Não vendemos esses dados, não os transferimos a terceiros além dos fornecedores necessários para prestar o serviço, e não os usamos para publicidade.
• Prazos: os registros de agenda seguem os prazos de exclusão automática descritos em "Por quanto tempo guardamos os dados" (por exemplo, o título de evento sem paciente é apagado 7 dias após o evento; a identificação do paciente em um agendamento, 24 meses após o fim dele; o registro técnico de operação da agenda, 396 dias; o registro de lembretes, 90 dias). O token do Google é apagado quando a empresa desconecta a agenda.
• Como desconectar e revogar o acesso: no aplicativo, em Agenda, o dono ou um administrador usa o botão "Desconectar" (com confirmação por código enviado por e-mail): pedimos ao Google que revogue o acesso e apagamos o token e o e-mail da conta. Se o Google não responder, o token é apagado mesmo assim. Você também pode revogar o acesso a qualquer momento em https://myaccount.google.com/permissions (abre em nova aba)
• Exclusão: a função de exclusão por pessoa do aplicativo cancela no Google Agenda os eventos futuros da pessoa, troca o título dos eventos passados por "Paciente removido (LGPD)" e apaga a descrição, o local, os participantes e os anexos deles, remove a identificação da pessoa dos agendamentos e apaga o contato, as mensagens e os registros de lembretes. Se a agenda não estiver conectada nesse momento, os eventos no Google ficam como estão e a empresa é avisada para apagá-los lá. Para pedir outras exclusões, como a de todos os dados da empresa, escreva para o contato indicado nesta política.

O uso e a transferência, pela Argovis, para qualquer outro aplicativo, de informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Argovis's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy): https://developers.google.com/terms/api-services-user-data-policy (abre em nova aba)

Suboperadores (quem mais participa do tratamento)

Para prestar o serviço, a Argovis usa os fornecedores abaixo, cada um com a função indicada:

• Supabase: banco de dados e autenticação.
• Cloudflare: hospedagem da aplicação.
• OpenRouter: intermediação do acesso aos modelos de IA (respostas e embeddings).
• Google Gemini: modelos de IA que geram as respostas e os embeddings da base de conhecimento.
• Resend: envio de e-mails transacionais.
• Asaas: pagamentos e cobrança da assinatura.
• Google Calendar: sincronização opcional da agenda, apenas se a empresa conectar a própria conta.
• Evolution API / WhatsApp: envio e recebimento de mensagens no WhatsApp.

Transferência internacional

Alguns desses fornecedores processam dados fora do Brasil. Nesses casos, a transferência ocorre para a prestação do serviço e com base nas hipóteses previstas na LGPD, como cláusulas contratuais dos próprios fornecedores.

Por quanto tempo guardamos os dados

• Mensagens e contatos ficam guardados até a empresa ou a própria pessoa pedir a exclusão. Não há prazo automático de exclusão para eles.
• A empresa pode apagar os dados de uma pessoa a qualquer momento pela função de exclusão por pessoa dentro do aplicativo, que apaga o contato e as mensagens, e remove a identificação da pessoa nos agendamentos. Para apagar todos os dados da empresa, escreva para o contato indicado nesta política.
• Os registros técnicos de recebimento de mensagens do WhatsApp (sem o texto das mensagens) são apagados automaticamente após 90 dias.
• Registros técnicos de agenda e de lembretes têm prazos próprios de exclusão automática: o título de um evento do Google sem paciente é apagado 7 dias após o fim do evento; a identificação do paciente em um agendamento é removida 24 meses após o fim dele; o registro técnico de operação da agenda é apagado após 396 dias; e o registro de lembretes, após 90 dias.

Segurança

Nenhuma medida elimina todo risco, mas revisamos essas proteções continuamente.

• Chaves e credenciais de integração são armazenadas criptografadas.
• Isolamento de dados por empresa no banco de dados (RLS): uma empresa não acessa os dados de outra.
• Confirmação por código enviado por e-mail para ações sensíveis, como conectar a agenda ou alterar a senha.

Direitos do titular (art. 18 da LGPD)

Você pode pedir confirmação do tratamento, acesso, correção, anonimização, portabilidade, eliminação dos dados e informações sobre com quem eles são compartilhados, além de revogar consentimento.

Como o controlador dos dados de pacientes é a empresa atendida, faça o pedido diretamente a ela. Se não souber a quem recorrer, escreva para contact.hypershift@gmail.com e encaminhamos à empresa responsável.

Incidentes de segurança

Se houver um incidente que afete dados pessoais, a Argovis avisará a empresa controladora sem demora injustificada, com as informações disponíveis para que ela cumpra suas obrigações legais.

Contato

Dúvidas sobre esta política: contact.hypershift@gmail.com.