Política de Privacidade

A Azendy atua de duas formas: como controladora dos dados de cadastro e uso dos estabelecimentos que contratam a Plataforma; e como operadora dos dados que esses estabelecimentos tratam sobre seus próprios clientes (agendamentos, atendimento, histórico), seguindo as instruções de cada estabelecimento, que é o controlador desses dados.

As obrigações entre o estabelecimento (controlador) e a Azendy (operadora) estão no Anexo de Tratamento de Dados.

Coletamos os dados necessários para operar a Plataforma:

• Dados de conta: nome, e-mail, telefone e credenciais de profissionais e administradores dos estabelecimentos.
• Dados de clientes do estabelecimento: nome, telefone, e-mail, agendamentos, serviços, valores e histórico de atendimento — tratados em nome do estabelecimento.
• Dados de comunicação por WhatsApp: número de telefone, nome de perfil e conteúdo das mensagens (texto, imagem, áudio e documentos) trocadas entre o cliente e o estabelecimento pelo canal de atendimento, usados para viabilizar e registrar esse atendimento.
• Dados de comunicação pelo Direct do Instagram: quando o estabelecimento conecta uma conta profissional do Instagram, recebemos da Meta, sobre quem escreve para essa conta pelo Direct: o identificador que o Instagram atribui a essa pessoa na conversa com o estabelecimento (ID do Instagram, que não é o telefone nem o @), o nome, o @ (nome de usuário) e a foto do perfil, e o conteúdo das mensagens trocadas com o estabelecimento — texto, foto, vídeo, áudio e documentos, inclusive respostas aos stories do estabelecimento e stories em que a pessoa o menciona e, quando a conversa começa por um anúncio do estabelecimento, a identificação desse anúncio. As respostas que a equipe envia pelo próprio aplicativo do Instagram também são registradas, para o histórico do atendimento ficar completo. A consulta do perfil devolve ainda o número de seguidores da pessoa e se ela segue o estabelecimento; essas duas informações não são guardadas. Não recebemos do Instagram telefone, e-mail, senha nem mensagens de outras conversas da pessoa.
• Conta do Instagram conectada: o ID, o @, o nome e a foto da conta profissional do estabelecimento, e o token de acesso emitido pela Meta, guardado em cofre de segredos e renovado automaticamente enquanto a conexão estiver ativa.
• Dados de saúde (quando aplicável): respostas de fichas de anamnese e informações clínicas que o estabelecimento registra para executar o procedimento. São dados pessoais sensíveis e seguem a seção 6.
• Imagens e áudio: fotos e vídeos de portfólio, antes e depois, e áudios enviados no atendimento, conforme o estabelecimento utilize esses recursos.
• Dados de pagamento: informações necessárias para processar sinais e cobranças, processadas pelos provedores de pagamento (não armazenamos dados completos de cartão).
• Dados técnicos: registros de acesso (endereço IP, data e hora), dispositivo e cookies/pixels de mensuração, conforme a seção 11.

• Fornecer e operar a Plataforma (agenda, atendimento, comanda, faturamento).
• Viabilizar a comunicação por WhatsApp entre o estabelecimento e seus clientes (confirmações, lembretes e atendimento solicitado).
• Mostrar as mensagens do Direct do Instagram na caixa de Conversas do estabelecimento, com o nome e a foto de quem escreveu, para que a equipe dele atenda e responda as clientes ali mesmo — e registrar de qual anúncio do estabelecimento a conversa veio, quando for o caso. Não vendemos esses dados, não os usamos para publicidade e não os cruzamos com os de outros estabelecimentos.
• Operar os recursos de inteligência artificial contratados pelo estabelecimento, conforme a seção 5.
• Processar pagamentos e emitir documentos fiscais.
• Prevenir fraudes, garantir segurança e cumprir obrigações legais.
• Prestar suporte técnico — o que pode envolver acesso à conta do estabelecimento, conforme a seção 9.
• Melhorar a Plataforma a partir de dados agregados e anonimizados, que não identificam pessoa nem estabelecimento.

Tratamos dados pessoais com fundamento em:

• execução de contrato e procedimentos preliminares (art. 7º, V);
• cumprimento de obrigação legal ou regulatória (art. 7º, II);
• legítimo interesse, quando aplicável e sem sobrepor direitos do titular (art. 7º, IX);
• consentimento, quando exigido — por exemplo, para comunicações de marketing (art. 7º, I) e para dados de saúde (art. 11, I);
• tutela da saúde, em procedimento realizado por profissional de saúde ou serviço de saúde (art. 11, II, "f"), quando for o caso.

A Plataforma oferece recursos de inteligência artificial que o estabelecimento contrata e ativa: sugerir e escrever respostas no atendimento, resumir uma conversa, consultar o manual do próprio estabelecimento e apoiar o agendamento.

Para isso, o conteúdo necessário da conversa e do atendimento é enviado ao nosso provedor de IA, a OpenAI, com servidores nos Estados Unidos. Esse envio acontece sem retenção do lado do provedor: os dados são usados para gerar aquela resposta e não ficam guardados por ele.

Não usamos os dados de clientes para treinar modelos de IA de terceiros. Quando o estabelecimento opta por melhorar a IA a partir das próprias conversas, isso acontece apenas dentro da conta dele, mediante ativação específica e reversível.

No Direct do Instagram, a IA não responde sozinha às clientes: o atendimento ali é feito pela equipe do estabelecimento. Se alguém da equipe pedir a transcrição de um áudio recebido pelo Direct, ou se o estabelecimento ativar a melhoria da IA a partir das próprias conversas, as mensagens envolvidas seguem as regras desta seção.

Respostas geradas por IA podem conter erro. Elas são ferramenta de trabalho do estabelecimento, que responde pelo conteúdo enviado a seus clientes, conforme o Anexo de Tratamento de Dados.

Fichas de anamnese e informações clínicas são dados sensíveis e exigem consentimento específico e destacado, ou outra hipótese do art. 11 da LGPD. A Plataforma guarda o texto exato do consentimento no momento da assinatura, inclusive quanto ao uso de imagem — e quem coleta e responde por ele é o estabelecimento, na qualidade de controlador.

O atendimento de menores de 18 anos deve observar o art. 14 da LGPD, no melhor interesse da criança ou adolescente, com o consentimento de ao menos um dos pais ou do responsável legal quando exigido. A obtenção desse consentimento cabe ao estabelecimento.

Não vendemos dados pessoais. Compartilhamos dados apenas quando necessário para operar a Plataforma, com as empresas listadas — de forma nominal, com finalidade, dados acessados e país — em azendy.com.br/subprocessadores. Entre elas: Amazon Web Services (infraestrutura), Meta Platforms (WhatsApp e Instagram), OpenAI (inteligência artificial), Vercel, Resend, Asaas, Pagar.me/Stone, Mercado Pago, Whop e Focus NFe.

Também compartilhamos com autoridades, quando exigido por lei ou ordem judicial, e nas integrações que o próprio estabelecimento ativa.

Esses parceiros tratam os dados conforme nossas instruções e estão sujeitos a obrigações de confidencialidade e segurança.

Parte do processamento e do armazenamento ocorre fora do Brasil — em especial nos Estados Unidos, na infraestrutura de nuvem, nos canais de WhatsApp e do Instagram e nos recursos de inteligência artificial. A página de subprocessadores identifica o país de cada empresa. Essas transferências são necessárias à execução do contrato e contam com as salvaguardas contratuais aplicáveis (LGPD, art. 33).

Para diagnosticar problemas, nossa equipe pode acessar a conta de um estabelecimento vendo as mesmas telas que ele vê. Esse acesso é registrado (quem entrou, quando entrou e quando saiu), expira automaticamente e acontece para resolver chamado, investigar incidente ou cumprir obrigação legal. O estabelecimento pode solicitar o registro dos acessos à sua conta.

Mantemos cada dado pelo tempo necessário à sua finalidade:

• Dados dos clientes do estabelecimento: enquanto durar o contrato, conforme a instrução do estabelecimento, que é o controlador.
• Conversas do Direct do Instagram: como as demais conversas, ficam no histórico do estabelecimento enquanto durar o contrato — inclusive se ele desconectar o Instagram ou remover a Azendy das permissões da conta, o que apenas interrompe o recebimento de novas mensagens. Saem antes disso se a pessoa pedir a exclusão, conforme a seção 12.
• Após o encerramento da conta: o estabelecimento tem 30 dias para solicitar a exportação dos dados. Passado esse prazo, eliminamos ou anonimizamos os dados pessoais tratados por conta dele.
• Registros de acesso: ao menos 6 meses, conforme o art. 15 do Marco Civil da Internet.
• Documentos fiscais e financeiros: pelo prazo exigido pela legislação fiscal, em regra 5 anos.
• Prova de aceite dos Termos: enquanto houver contrato e pelo prazo prescricional aplicável, para defesa em eventual processo.

A Plataforma e as páginas de agendamento usam cookies necessários ao funcionamento e à segurança (sessão, autenticação, prevenção a fraude), que não dependem de consentimento.

Cookies e pixels de mensuração e publicidade (por exemplo Meta, Google, TikTok) são usados conforme a configuração de cada estabelecimento em sua página de agendamento, e no site da Azendy para medir nosso próprio funil. Você pode aceitar ou recusar esses cookies no aviso exibido, e mudar de ideia a qualquer momento limpando os cookies do navegador.

Como titular, você pode, nos termos da LGPD (art. 18), solicitar:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários;
• portabilidade e informação sobre compartilhamento;
• revogação do consentimento, quando essa for a base legal.

Responderemos em até 15 dias do recebimento do pedido, pelo endereço da seção 14. Podemos solicitar informações para confirmar sua identidade antes de atender — entregar dado pessoal a quem não é o titular também é violação.

Para dados tratados em nome de um estabelecimento (clientes de uma clínica ou salão), quem atende o pedido é o próprio estabelecimento, que é o controlador. Nesse caso, encaminhamos sua solicitação a ele e avisamos você desse encaminhamento.

Exclusão dos dados do Instagram Direct. Se você conversou com um estabelecimento pelo Direct do Instagram, pode pedir a exclusão dos seus dados pelo próprio Instagram. A Meta nos envia o pedido automaticamente, assinado, pelo endereço de exclusão de dados que cadastramos nela (api.azendy.com.br/public/v1/integrations/instagram/data-deletion), e a exclusão roda no mesmo instante, em todos os estabelecimentos que usam a Azendy com quem você conversou pelo Direct.

Apagamos as conversas e as mensagens do Direct, os arquivos (fotos, vídeos, áudios, documentos e a sua foto de perfil) e os registros de recebimento dessas mensagens. No funil do estabelecimento, o registro da conversa fica sem o seu nome e o seu contato. Agendamentos, comandas e notas fiscais já existentes ficam com o estabelecimento, que é obrigado por lei a guardá-los, assim como o cadastro de cliente que ele tenha feito com você.

A Meta mostra a você um código de confirmação, com o qual você acompanha o pedido em azendy.com.br/exclusao-de-dados. Do pedido, guardamos só o registro (o identificador da Meta, o código, a data e quantos itens foram apagados), sem o conteúdo apagado. Você também pode pedir a exclusão pelo endereço da seção 14.

Adotamos medidas técnicas e organizacionais para proteger os dados contra acesso não autorizado, perda ou alteração — incluindo controle de acesso por papel, autenticação em duas etapas disponível, criptografia em trânsito, isolamento entre estabelecimentos, registro de auditoria e cópias de segurança diárias.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicamos os controladores afetados e, no que nos couber, a Autoridade Nacional de Proteção de Dados e os titulares, nos prazos da regulamentação vigente.

Vulnerabilidades podem ser reportadas em security@azendy.com.br.

Para exercer seus direitos ou tirar dúvidas sobre privacidade, fale com nosso Encarregado pelo Tratamento de Dados Pessoais:

privacidade@azendy.com.br

Azendy Tecnologia LTDA - ME — CNPJ 62.492.990/0001-80.

Podemos atualizar esta Política periodicamente. A data da última atualização é indicada no topo, e as versões anteriores ficam arquivadas. Alterações relevantes serão comunicadas pelos canais apropriados.