Política de Privacidade

1. Responsável e contato

A operação da Agendato está sob responsabilidade de Eric Lugão de Freitas. Para assuntos de privacidade, escreva para contato@agendato.com.br.

Na gestão das contas, cobrança da assinatura e segurança da plataforma, a Agendato decide as finalidades do tratamento. Nos dados de clientes e atendimentos cadastrados por uma empresa, essa empresa define o uso para prestar seus serviços, e a Agendato os processa para disponibilizar a agenda. Os papéis de controlador e operador dependem de cada atividade.

2. Dados tratados

• Contas: nome, e-mail, informações do negócio, dados de autenticação e vínculos com empresas e profissionais.
• Páginas públicas: nome do negócio e dos profissionais, fotos, logo, descrições, serviços e horários publicados pelo administrador.
• Agendamentos: nome e telefone do cliente, e-mail quando informado, serviço, profissional, modalidade, datas, horários, status e identificadores da reserva.
• Pagamentos: valor, identificadores da cobrança e do recebedor, ambiente e status retornados pelos provedores. Para diagnóstico técnico do Mercado Pago, preservamos o JSON enviado na criação do checkout, que pode incluir nome, sobrenome, telefone e e-mail do comprador e o serviço escolhido, além de horários, status HTTP e identificador da requisição. Esses registros têm acesso administrativo restrito, e os que ultrapassam 30 dias são excluídos na rotina diária de limpeza. Não incluímos tokens de conexão nem o identificador do dispositivo nesses registros. Os dados completos de cartão são preenchidos no ambiente do provedor de pagamento.
• Integrações: identificadores de conta e calendário, autorizações e tokens de conexão, identificadores de eventos e links do Meet.
• Operação e atendimento: registros técnicos de solicitações, falhas, envio de notificações e informações fornecidas ao suporte. A infraestrutura pode registrar dados de acesso, como IP e informações do navegador.

3. Finalidades e fundamentos

Usamos os dados necessários para criar e autenticar contas, organizar a agenda, processar cobranças, enviar comunicações sobre reservas, executar integrações solicitadas e prestar suporte. Conforme a atividade, o tratamento se fundamenta na execução do contrato ou em procedimentos solicitados pelo titular, no cumprimento de obrigações legais, no exercício de direitos e na segurança e prevenção de fraude, observadas as condições legais.

Quando uma atividade exigir consentimento, ele deve ser específico para essa finalidade e poderá ser revogado. A criação de conta ou a leitura desta política não representa uma autorização genérica para marketing.

O administrador deve avaliar o fundamento adequado para tratar os dados dos seus clientes. A agenda não deve ser usada como prontuário ou para armazenar dados sensíveis desnecessários; o próprio serviço escolhido pode revelar informações sobre o atendimento e merece cuidado.

4. Quem recebe os dados

A empresa recebe os dados dos seus agendamentos. Administradores e profissionais autorizados têm acesso conforme sua função; o profissional acessa sua agenda e os clientes dos seus atendimentos. Informações publicadas pelo administrador na página de agendamento ficam acessíveis aos visitantes.

• Supabase: autenticação, banco de dados e armazenamento utilizado pela plataforma.
• Vercel: hospedagem e processamento das solicitações.
• Resend: envio de e-mails transacionais.
• Brevo: envio de comunicações sobre a Agendato quando o responsável pela conta optar por recebê-las; recebe e-mail, nome da empresa e informações sobre teste e plano. Não recebe tokens, eventos ou dados da agenda Google.
• Meta / WhatsApp: envio de mensagens habilitadas pela empresa.
• Asaas: processamento da assinatura da Agendato.
• Mercado Pago: conexão da conta vendedora e pagamentos dos serviços.
• Google: integração opcional de Agenda e Meet.

Cada fornecedor recebe os dados necessários à sua função e pode tratar dados sob suas próprias políticas. Autoridades e assessores podem receber informações quando houver obrigação legal ou necessidade de exercício de direitos. Não comercializamos os dados pessoais dos clientes.

5. Dados do Google: acesso, uso e compartilhamento

Login com Google

Ao escolher entrar com Google, usamos o identificador da conta, e-mail e dados básicos de perfil disponibilizados pelo Google, como nome e foto, para autenticar e identificar seu cadastro por meio do Supabase Auth. O login solicita as permissões básicas openid, email e profile; não concede, por si só, acesso à agenda. Sua senha Google não é recebida pela Agendato.

Google Agenda e Meet

A conexão da agenda é opcional, separada do login e iniciada pelo administrador no painel. Solicitamos o acesso aos eventos da agenda (calendar.events) para criar, consultar, atualizar e remover os eventos dos agendamentos da Agendato e gerar links do Google Meet, além do acesso ao e-mail da conta (userinfo.email) para identificar qual conta foi conectada.

A sincronização usa a agenda principal da conta conectada. Nosso fluxo consulta os eventos vinculados às reservas da Agendato; não importa outros compromissos nem usa o conteúdo da agenda Google para definir os horários disponíveis. Os eventos enviados ao Google incluem serviço, profissional, data, horário e identificadores da reserva; não incluem nome, telefone ou e-mail do cliente no conteúdo do evento.

Armazenamos no Supabase o e-mail da conta conectada, identificador da agenda, permissões concedidas, tokens de acesso e renovação, validade da conexão e, nas reservas, identificadores dos eventos, links do Meet e status de sincronização. Esses dados permitem manter a conexão e refletir confirmações, remarcações e cancelamentos.

Quem recebe os dados do Google

• Google: recebe as solicitações de autenticação e sincronização e os dados dos eventos necessários para Agenda e Meet.
• Supabase: processa a autenticação e armazena os dados da conexão e das reservas. Vercel: executa no servidor as solicitações necessárias à integração.
• Administradores autorizados da empresa: visualizam a conta conectada e gerenciam a integração. Profissionais autorizados acessam os links dos atendimentos conforme suas permissões.
• Clientes com atendimento online: recebem o link do Meet da própria reserva pela página de gerenciamento e pelas notificações habilitadas. Resend e Meta/WhatsApp processam esse link para entregar e-mails e mensagens, respectivamente. Quem receber o link poderá repassá-lo, por isso ele deve ser protegido.

Os tokens da agenda não são enviados aos clientes, profissionais ou provedores de mensagens e pagamentos. Asaas, Mercado Pago e Brevo não recebem os dados da conexão Google Agenda ou o conteúdo de seus eventos por essa integração.

Não vendemos dados obtidos das APIs Google nem os utilizamos para publicidade, avaliação de crédito ou treinamento de modelos de inteligência artificial. Limitamos seu uso às funcionalidades solicitadas pelo usuário. Transferências são limitadas à prestação dessas funcionalidades com autorização do usuário, à segurança, ao cumprimento da lei ou a uma transferência do negócio com consentimento prévio explícito. A leitura por nossa equipe só é permitida com autorização explícita para dados específicos, por necessidade de segurança, para cumprir a lei ou para operações internas com dados agregados e anonimizados.

O uso e a transferência de informações recebidas das APIs Google pela Agendato seguem a Política de Dados do Usuário dos Serviços de API do Google e a Política de Dados do Usuário do Google Workspace, incluindo os requisitos de Uso Limitado (Limited Use).

Desconexão, revogação e exclusão

O administrador pode desconectar a integração em Configurações. Isso exclui o registro ativo da conexão, incluindo seus tokens, e impede novas sincronizações por essa conexão. Também é possível revogar a autorização em Conexões da Conta Google. A desconexão não apaga automaticamente eventos já criados no Google nem identificadores e links associados ao histórico de reservas. Para solicitar a exclusão dos dados mantidos pela Agendato, use contato@agendato.com.br; registros sujeitos a conservação legal e cópias de segurança seguem suas condições de retenção.

6. Cookies e armazenamento local

Nos agendamentos com pagamento, após autorizar o uso dos dados da reserva, o navegador pode carregar o script de segurança do Mercado Pago para gerar um identificador do dispositivo. Enviamos esse identificador ao Mercado Pago na criação do checkout para apoiar a prevenção de fraude. A Agendato não o grava no banco de dados; o fornecedor trata as informações coletadas pelo script conforme sua própria política.

A autenticação usa cookies e mecanismos necessários para manter a sessão e permitir acesso ao painel. Páginas dos provedores, como os checkouts de pagamento, podem usar seus próprios cookies e tecnologias conforme suas políticas.

Bloquear cookies necessários pode impedir o login ou outros recursos. Eventuais ferramentas opcionais de publicidade ou medição devem ser informadas e configuradas com o controle aplicável antes de sua utilização.

7. Conservação, segurança e processamento internacional

Os dados são mantidos enquanto necessários para operar a conta e os agendamentos, atender obrigações legais, resolver pendências e exercer direitos. Voltar ao Free ou cancelar o Pro não exclui os dados. Pedidos de encerramento e exclusão são analisados pelo atendimento; a conservação de alguns registros pode continuar quando houver fundamento legal.

Protegemos a transmissão de dados com HTTPS/TLS. O Supabase fornece criptografia em repouso para o banco de dados e suas cópias de segurança. Usamos autenticação e controles de acesso por empresa e função. A integração Google exige autorização administrativa e usa state e PKCE para proteger o fluxo OAuth; seus tokens são processados no servidor, e não exibidos nos formulários do painel. Essas medidas também protegem os dados pessoais e potencialmente sensíveis relacionados aos atendimentos. Nenhuma medida elimina todos os riscos. Se identificar acesso indevido, informe o suporte e proteja suas credenciais e links de reserva.

Os fornecedores podem processar dados em outros países. A localização e as condições variam conforme o serviço e sua configuração. Para esclarecimentos sobre os fornecedores e as transferências relacionadas aos seus dados, use o contato de privacidade.

8. Seus direitos e solicitações

Você pode solicitar confirmação do tratamento, acesso e correção dos dados, informações sobre compartilhamento e, nas condições legais, portabilidade, anonimização, bloqueio ou exclusão. Também pode revogar consentimento, obter informações sobre a recusa de consentimento e opor-se a tratamento irregular.

Envie sua solicitação para contato@agendato.com.br. Podemos pedir informações proporcionais para verificar sua identidade. O pedido será tratado sem custo, nos prazos aplicáveis; se houver impedimento ou necessidade de conservação, explicaremos o motivo. Para dados sob responsabilidade da empresa que presta o atendimento, podemos orientar ou encaminhar o pedido ao responsável.

Você também pode apresentar reclamações à Autoridade Nacional de Proteção de Dados e aos órgãos de defesa do consumidor.

9. Atualizações

A versão e a data desta política aparecem no início da página. Mudanças relevantes no tratamento devem ser comunicadas conforme a legislação. Consulte também os Termos de Uso e a página de Suporte.