Política de privacidade

1. Nosso papel: quando somos controladora e quando somos operadora

Isto muda quem responde por cada dado, então vem primeiro.

• Somos controladora do dado de quem cria conta na plataforma (dono de negócio, gestor e profissional) e do dado técnico de segurança (ex.: limite de tentativas por IP). Decidimos nós como e por que esses dados são tratados.
• Somos operadora do dado do cliente final — quem agenda um horário pela página pública de um negócio. Esse dado (nome, telefone, e-mail, observações) é inserido pelo próprio cliente, na página de um negócio específico, e quem decide o que fazer com ele é quem administra aquele negócio, não a plataforma. Nós processamos seguindo as instruções dele, dentro das finalidades descritas aqui (agendar, confirmar, lembrar, gerir o atendimento).

Na prática: se você é cliente de um salão que usa o tenhora.com e quer saber, corrigir ou apagar seu dado, o primeiro contato é o próprio salão — é ele quem decide sobre esse dado. Continuamos disponíveis para dúvidas técnicas sobre como o dado é processado na plataforma.

2. Quem somos

tenhora.com, CNPJ 66.762.018/0001-39, operadora da plataforma de agendamentos disponível em tenhora.com. Contato: privacidade@tenhora.com.

3. Quais dados coletamos

De quem administra um negócio (dono, gestor e profissional)

• E-mail, senha (armazenada com hash de senha, nunca em texto puro), nome, telefone;
• Se você entra com o Google: o identificador da conta Google, o e-mail dela e as datas em que o vínculo foi feito e em que você entrou por ele pela última vez. Não guardamos a senha, o nome nem a foto da conta Google;
• Dados do negócio: nome, endereço, telefone, redes sociais, logo;
• O registro no conselho de quem atende (conselho, estado ou região, número de inscrição e RQE, quando houver) e o responsável técnico do negócio, com nome e registro, quando informados. Quem tem acesso ao painel informa o próprio registro em Minha conta, e o dono do negócio é avisado quando ele muda ou é removido; para quem não tem acesso, quem informa é o dono do negócio. Aparecem na página pública, sob o nome do profissional e no rodapé do negócio; o de quem tem acesso ao painel, só nos negócios cuja categoria pede registro. Quando quem atende fecha um registro de atendimento, o registro no conselho dessa pessoa fica gravado nele e continua lá mesmo que ela o mude ou remova depois; ele vai junto na cópia de dados do cliente atendido. O número de inscrição é público no próprio conselho. O nome de um responsável que não tem conta é dado de outra pessoa: informe-o só com a ciência dela;
• CPF ou CNPJ do negócio, quando informado. Serve para emitir a cobrança da assinatura. O CNPJ aparece na página pública do estabelecimento, como o de qualquer loja; o CPF não aparece em lugar nenhum fora do painel de quem administra o negócio. Se você assinar o plano completo, ele é enviado ao provedor de pagamento — seção 6;
• Se o negócio assinar o plano completo: o valor, o ciclo, o estado da assinatura e até quando o período pago vale, mais os identificadores que o provedor de pagamento nos devolve. Guardamos também o registro de cada aviso de cobrança que enviamos e o endereço para onde ele saiu, e o corpo de cada mensagem que o provedor nos manda sobre essa assinatura — é o que responde “o que foi cobrado, e quando” no dia de uma divergência. Número de cartão não está aí: ele nunca chega até nós (seção 6);
• E-mail de quem é convidado para atuar como profissional ou como gestor, antes mesmo de ele criar conta.
• Quem criou, remarcou ou mudou o status ou o pagamento de cada agendamento, ou abriu no WhatsApp uma mensagem pronta para o cliente, e quando: alguém da equipe ou o próprio cliente, pelo link do agendamento ou pela conversa no WhatsApp. Só o dono e quem gerencia o negócio veem esse histórico. Na remarcação, ele diz também de qual profissional para qual. Quando o agendamento foi feito, remarcado ou cancelado pela conversa no WhatsApp, o histórico guarda de qual conversa. Se a conta de quem agiu for excluída, o histórico passa a dizer “Alguém da equipe (conta excluída)”, sem o nome.
• Se você grava um atendimento ou dita um registro com a transcrição: de cada gravação, quem gravou, a agenda do atendimento, a semana, os minutos reservados para ela, o horário do último sinal que o aparelho mandou e, quando a gravação não termina, os minutos contados, além das datas, para controlar o limite semanal do adicional. Sai no pacote de dados da sua conta e é apagado junto com a sua conta, com o negócio, com a agenda do atendimento quando ela é excluída ou com o registro do atendimento (por exemplo, quando o cliente pede para apagar os dados dele).
• Se o negócio contrata a transcrição: o tempo que cada agenda usou da cota de cada semana, para que o dono veja, na seção de uso das Configurações, quanto da cota da semana cada profissional usou. O tempo conta para o profissional do atendimento, mesmo quando outra pessoa grava.
• Se o negócio conectar um WhatsApp, o número conectado é oferecido a quem agendou naquele negócio, num cartão de contato para salvar, junto do nome e da página do estabelecimento. É o mesmo número de onde saem as mensagens para essa pessoa.

De quem agenda um horário (cliente, geralmente sem conta)

O formulário de agendamento também pode ser exibido dentro do site do estabelecimento, em vez de na página dele aqui. É o mesmo formulário, e os dados continuam sendo tratados por nós, nas mesmas condições descritas nesta política — o site que o exibe não tem acesso ao que você digita.

• Nome, telefone e, se informado, e-mail;
• Observações que você escrever livremente no agendamento (opcional);
• Se o pagamento de um atendimento ficou em aberto, quando o estabelecimento registra isso;
• Se o estabelecimento vender a você um pacote de sessões: o serviço, a quantidade de sessões, o valor combinado, a validade e, se o pagamento ficou em aberto, quando o estabelecimento registra isso. Quando ele apaga seus dados a seu pedido, o pacote fica sem ligação com você.
• Dados cadastrais que o estabelecimento registrar: CPF, data de nascimento, sexo e endereço.
• Quando você agenda para outra pessoa — seu filho, por exemplo — o nome e os dados dela que o estabelecimento registrar. Você agenda como responsável.
• Respostas às perguntas que o estabelecimento criar no formulário dele (por exemplo, alergias antes de um procedimento ou a placa do carro). As perguntas são escolhidas por ele, não por nós. As respostas ficam guardadas na sua ficha naquele estabelecimento, e uma cópia de cada resposta fica junto do agendamento em que você respondeu — é o registro do que era verdade naquele atendimento. As duas são apagadas quando ele apaga seus dados a seu pedido. Se o estabelecimento trocar quem é atendido nesse agendamento, por exemplo de um filho para outro, a cópia das respostas sobre a pessoa de antes é apagada na hora da troca. A cópia das respostas sobre você fica.
• Se o estabelecimento atende animais ou veículos: o nome do seu animal, ou o modelo e a placa do seu veículo, e as respostas às perguntas sobre eles (por exemplo, o porte do cachorro ou a cor do carro). Ficam guardados na sua ficha naquele estabelecimento. O nome, o modelo e a placa que você digitou no agendamento ficam também junto dele, como registro do que era verdade naquele atendimento. Tudo isso é apagado quando ele apaga seus dados a seu pedido.
• Se o negócio envia confirmação automática por WhatsApp: o telefone usado para o envio e o status da mensagem (enviada, entregue, lida, falhou). “Lida” só aparece se você mantém ligada a confirmação de leitura do WhatsApp. As mensagens que chegam ao número do estabelecimento passam pelo nosso servidor para reconhecermos três respostas: o SIM a um lembrete, o PARE e o código de quem está confirmando o número para agendar. Delas guardamos só o efeito — a presença confirmada, o pedido para não receber avisos, o número confirmado —, nunca o texto. Qualquer outra mensagem é descartada assim que chega, a menos que o estabelecimento use o atendimento automático. E se ele usa o atendimento automático — quando o número responde sozinho às mensagens do cliente —, guardamos também as mensagens trocadas naquela conversa, porque o atendimento precisa do que já foi dito para continuar. O estabelecimento pode reler essas conversas depois, no painel, e vê a conversa junto do agendamento que ela criou, alterou ou cancelou. Esse registro é apagado a seu pedido (seção 12).
• Se o aviso sai por e-mail: o endereço usado e o resultado do envio.
• Se o negócio pede que o atendimento automático não responda a certos números, guardamos esses números e o nome que o negócio escreveu para reconhecê-los. A partir daí, as mensagens desses números não são guardadas nem enviadas para a IA.
• Se o serviço exigir um termo — autorização, consentimento, regulamento —, guardamos a prova de que você aceitou: o nome que você digitou ao aceitar, a data e a hora, o endereço de rede e o navegador usados, e um código que identifica a versão exata do texto que estava na tela. Se o estabelecimento usa WhatsApp, guardamos também o instante em que seu número foi confirmado pela mensagem que você enviou ao WhatsApp dele, ou, se você preferiu, o instante em que o código enviado ao seu e-mail foi conferido. O texto do termo é escrito por ele, não por nós. É um registro de aceite, não uma assinatura com certificado digital.
• Se o estabelecimento lhe mandar um orçamento: o nome, o telefone e, se ele informar, o e-mail que ele usou para endereçar o documento, mais a sua resposta — aprovado ou recusado, quando, e o motivo que você escrever (opcional). Isso vale mesmo que você recuse: o orçamento fica como registro de um valor que foi oferecido, com o mesmo prazo dos agendamentos. A seu pedido ele é anonimizado: saem nome, telefone, e-mail e o motivo da recusa, e ficam os valores e as datas, que são o registro comercial do estabelecimento.
• Se quem atende você gravar o atendimento ou ditar o registro dele em voz — o que só acontece com a sua autorização, dada para aquele atendimento (seção 9): a transcrição do que foi dito, com as falas numeradas (Falante 1, Falante 2); o rascunho que a inteligência artificial monta a partir dela, até quem gravou revisá-lo ou descartá-lo; a duração do áudio e o nome do serviço que fez a transcrição. O áudio não é guardado — nem por nós, nem pelo estabelecimento. Da autorização guardamos a prova, como a de qualquer termo aceito, e, se você a retirar, a data em que retirou.
• Se quem atende você escrever um registro de atendimento: o texto que essa pessoa digitar sobre o que foi feito, a data do atendimento, o nome de quem escreveu e, quando houver, o registro dessa pessoa no conselho profissional, e o agendamento a que ele se refere. É texto livre, escrito pelo estabelecimento — não por você e não por nós. Depois que quem escreveu fecha o registro, esse texto vai inteiro na cópia dos seus dados (seção 12). A seção 9 explica quem o lê no painel do estabelecimento.
• Se o estabelecimento lhe pedir uma avaliação depois do atendimento: as notas que você der, de 1 a 5, para o estabelecimento, o serviço e, quando houver, o profissional, e o comentário que escrever (opcional). O estabelecimento vê as notas e o comentário; a página pública dele mostra só a média e a quantidade de avaliações. O pedido chega no máximo uma vez a cada 60 dias, pelo WhatsApp ou e-mail do agendamento; para não recebê-lo, toque no link do próprio pedido ou responda PARE. O link para avaliar também fica na página do agendamento. A seu pedido ela é anonimizada: saem o comentário e a ligação com você, e ficam as notas, que são o registro estatístico do estabelecimento.

De quem visita a página pública, sem agendar

• Um identificador aleatório de visita, criado no seu navegador e apagado ao fechar a aba — nunca ligado a nome, IP ou dispositivo. Só existe se você consentir com cookies de estatísticas (seção 13).

Não guardamos número de cartão — nem o seu, nem o do seu cliente. São dois pagamentos diferentes, e nenhum dos dois passa por aqui. O que o cliente paga ao estabelecimento pelo atendimento é acertado entre os dois, fora da plataforma. A assinatura do plano completo, quando o negócio contrata uma, é cobrada por um provedor de pagamento: o cartão é digitado na tela dele, e o que enviamos está na seção 6. Veja também os Termos de uso, seção 8.

4. Base legal para cada tratamento

Usamos principalmente duas bases do Art. 7º da LGPD:

• Execução de contrato ou de procedimento preliminar (inciso V): para criar sua conta, para o cliente agendar um horário, para enviar a confirmação daquele agendamento.
• Legítimo interesse (inciso IX), com finalidade limitada à segurança e ao pedido de avaliação: para limitar tentativas de login e de criação de conta em massa, para a verificação anti-robô (Turnstile) nos formulários públicos, e para o estabelecimento pedir, no máximo uma vez a cada 60 dias, a sua avaliação. Você se opõe ao pedido pelo link que vem nele, ou respondendo PARE na conversa.
• Consentimento (inciso I): para o identificador de estatísticas da página pública (seção 13) e para o convite de retorno por WhatsApp ou e-mail, que só vai para quem aceita: marcando a caixinha ao agendar ou usando o botão da página do próprio agendamento. Você retira esse consentimento pelo mesmo botão, pelo link de descadastro do próprio convite, ou respondendo PARE na conversa. Não pedimos consentimento para o que é necessário ao agendamento em si.
• Consentimento específico e em destaque (art. 11, I, e art. 33, VIII): para gravar o seu atendimento ou ditar o registro dele, e para transformar esse áudio em texto fora do Brasil. É pedido a cada atendimento, num termo próprio que diz quem recebe o áudio e o texto e em que país. É opcional — recusar não muda o seu agendamento — e você o retira quando quiser (seção 9).
• Cumprimento de obrigação legal ou regulatória (inciso II): para manter o registro do agendamento como comprovante de uma transação comercial, mesmo depois de pedido de exclusão de outros dados relacionados.

5. Para que usamos os dados

• Viabilizar login, criação e gestão de conta;
• Processar e exibir agendamentos, calcular preço e duração, evitar sobreposição de horário;
• Transformar em texto a gravação ou o ditado de um atendimento e montar o rascunho do registro, só com o consentimento de quem é atendido;
• Enviar confirmação, lembrete e cancelamento (por link e, opcionalmente, por WhatsApp) e aviso de pronto (por WhatsApp);
• Verificar se as mensagens de WhatsApp chegaram, para o estabelecimento saber se o número dele está sendo bloqueado;
• Reconhecer, nas mensagens que chegam ao WhatsApp do estabelecimento, a confirmação de presença, o pedido para não receber avisos e a confirmação do número de quem está agendando;
• Pedir a avaliação de um atendimento, no máximo uma vez a cada 60 dias, depois que ele acontece;
• Prevenir abuso e fraude (limite de tentativas, verificação anti-robô);
• Gerar estatísticas de uso da página pública para quem administra o negócio, só com consentimento;
• Cumprir obrigação legal, quando aplicável.

Não usamos os dados para publicidade, não vendemos e não alugamos dado pessoal a terceiro.

6. Com quem compartilhamos

Compartilhamos o mínimo necessário, com estes prestadores:

• Cloudflare (Turnstile) — verificação anti-robô nos formulários públicos (cadastro, login, recuperação de senha, agendamento). Recebe o token do desafio e, opcionalmente, o IP de quem está enviando o formulário. Regida pela política de privacidade da Cloudflare.
• Asaas (provedor de pagamento) — cobra a assinatura do plano completo, quando o negócio contrata uma, e os adicionais: o Pix de cada contratação ou aumento e o valor deles na assinatura. Recebe o nome, o e-mail, o telefone e o CPF ou CNPJ de quem administra o negócio, e o endereço de cobrança (logradouro, número, bairro e CEP), para abrir o cadastro de pagador e criar a cobrança que se repete a cada ciclo. Sem assinatura, nada é enviado: quem usa o plano gratuito não tem dado nenhum lá. O cartão é digitado na tela do Asaas, nunca na nossa — não vemos nem guardamos número de cartão. Regido pela política de privacidade do Asaas.
• WhatsApp (Meta) — quando o dono do negócio conecta a própria conta de WhatsApp, o telefone do cliente e o texto de cada mensagem (confirmação, lembrete, aviso de pronto, convite de retorno, pedido de avaliação e o que for trocado no atendimento automático) passam pelo WhatsApp, que é quem transporta e entrega — como em qualquer conversa de WhatsApp. O programa que dispara o envio é nosso e roda na nossa própria infraestrutura, mas a entrega é da Meta, empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Sem uma conta de WhatsApp conectada, nada é enviado. As mensagens que chegam ao número conectado também passam pelo nosso servidor; só a confirmação de presença, o pedido para não receber avisos e a confirmação do número viram registro. Do nosso lado guardamos o status de cada envio e, quando o negócio usa o atendimento automático, o transcrito daquela conversa — as mensagens trocadas —, que é apagado a seu pedido (seção 12) e sai na sua exportação. Regido pela política de privacidade do WhatsApp.
• Anthropic (inteligência artificial) — recebe texto em dois adicionais opcionais e pagos, que o estabelecimento contrata separadamente, cada um com a sua condição. No adicional atendente com IA no WhatsApp, que também exige que o dono ligue a IA no painel e aceite os termos de risco da integração de WhatsApp: cada mensagem que o cliente escreve naquela conversa, para a IA entender o pedido em texto livre e agendar. Recebe o texto da conversa — as mensagens dos dois lados, como foram escritas —, a lista de serviços do negócio, as informações que o dono escreveu para a IA responder e o que a IA consulta sobre quem escreve: os agendamentos futuros dessa pessoa naquele negócio (serviço, dia, hora e quantas vagas). O telefone e o nome do cliente não vão junto: ficam no nosso servidor. A IA recebe também o que o sistema já fez ou montou naquela conversa, em frases escritas pelo próprio sistema e sem texto do cliente: a proposta de horário (serviço, dia, hora, preço e duração); o que a IA agendou, remarcou, cancelou ou pôs na fila de espera, e se reenviou o link da avaliação; o pedido de avaliação em aberto (serviço e dia do atendimento); e, nos negócios que avisam que o veículo ou o animal está pronto, quando o aviso saiu. No adicional transcrição de atendimento, nas agendas em que ele está ligado: o texto transcrito da gravação ou do ditado do registro — nunca o áudio —, para montar o rascunho que quem atendeu revisa. Esse texto pode conter o que foi dito sobre a saúde de quem foi atendido, e só é enviado se o termo que essa pessoa assinou naquele atendimento nomeia a Anthropic (seção 9). Sem nenhum dos dois adicionais em uso, nada é enviado: o bot padrão, de menu, e o registro escrito à mão não mandam nada para lá. É empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade da Anthropic.
• Deepgram (transcrição de voz) — transforma em texto a gravação de um atendimento ou o ditado de um registro, quando o estabelecimento usa o adicional transcrição de atendimento, opcional e pago, numa agenda em que o ligou. Só acontece se quem é atendido autorizar, num termo daquele atendimento (seção 9); sem essa autorização, nada é enviado. Recebe só o áudio, com a voz de quem atende e de quem é atendido — nenhum nome, telefone ou outro dado do cadastro. O áudio vai de dois jeitos: enquanto a gravação acontece, direto do navegador de quem grava, para o texto aparecer na tela — e por isso a Deepgram vê o endereço de rede (IP) desse aparelho —; e, no fim, a gravação inteira, enviada pelo nosso servidor. O processamento é em servidores na União Europeia. Em cada envio, pedimos que ela não guarde o áudio nem o texto e não os use para treinar os modelos dela. Com esse pedido, pelo que a Deepgram publica sobre os dados que recebe, ela não guarda o áudio nem o texto depois de devolver a transcrição, e mantém só o registro de uso de cada envio, sem o áudio e sem o texto. É empresa dos Estados Unidos, e esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade da Deepgram.
• Resend (envio de e-mail) — entrega os e-mails da plataforma: recuperação de senha, confirmação de e-mail, convite de profissional ou de gestor e boas-vindas; avisos de segurança (senha alterada, verificação em duas etapas ligada ou desligada, tentativas erradas com o código, e conta Google conectada à agenda, vinculada ao login ou desvinculada dele); avisos de agendamento ao cliente e o convite de retorno, que só saem quando o negócio não tem WhatsApp conectado (o convite, só para quem aceitou); o pedido de avaliação, que sai por e-mail quando o negócio não tem WhatsApp conectado ou não tem um número de WhatsApp de quem agendou; o aviso de que seu arquivo de dados ficou pronto; e os avisos de cobrança. Recebe o endereço de e-mail e o nome de quem vai receber, mais o texto da mensagem — que, no caso da exportação, contém o link do pacote, e no dos avisos de cobrança, o valor e a data e, no aviso de que um adicional por agenda ligou, o nome das agendas em que ele passou a valer, e no dos avisos de conta Google, o endereço dessa conta. É empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade da Resend.
• ImprovMX (encaminhamento de e-mail) — privacidade@tenhora.com e suporte@tenhora.com (seção 16) não são caixas de e-mail: são apelidos que o ImprovMX encaminha para a nossa caixa, e o mesmo vale para qualquer outro endereço terminado em @tenhora.com. Toda mensagem escrita para um deles passa por ele antes de chegar a nós — o seu endereço, o assunto e o texto inteiro, inclusive o de um pedido sobre os seus dados (seção 12). Ele é passagem, não caixa final: pela política dele, a mensagem fica só até ser entregue e é apagada em seguida, e o conteúdo não entra no registro de entrega. A caixa onde ela fica depois é a do Gmail, no item abaixo. É empresa dos Estados Unidos e o correio dela roda na França e nos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regido pela política de privacidade do ImprovMX.
• Google (entrar com Google, e a nossa caixa de e-mail) — quando você usa o botão de entrar ou criar conta com o Google, o navegador vai até o Google para você se identificar lá. Nessa ida o Google recebe o seu endereço de IP e o navegador que você usa, e sabe que você está entrando no tenhora.com. Pedimos o mínimo — identificar a conta e ver o e-mail dela —, não pedimos seu nome nem sua foto, e guardamos só o identificador da conta Google, o e-mail dela e as datas do vínculo (seção 3): nenhuma senha, nenhuma credencial que nos deixe agir no Google por você. Quem entra por e-mail e senha não passa pelo Google. Isso alcança quem tem conta aqui, dono, gestor ou profissional — quem agenda um horário não cria conta e não passa por aqui. Em Minha conta você vê a conta Google vinculada e pode desfazer o vínculo quando quiser. O Google também é a caixa onde o nosso e-mail fica: depois que o ImprovMX encaminha, a mensagem que você escreveu para privacidade@tenhora.com ou suporte@tenhora.com chega a uma caixa do Gmail, e é de lá que a lemos e respondemos. É empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade do Google.
• Google Agenda (a agenda de quem atende e o atendimento online). Quem atende pode conectar a própria conta Google. Com ela conectada, cada atendimento online individual ganha um evento na agenda dessa conta, com a sala de vídeo; se a pessoa ligar o envio, os demais atendimentos que ela faz também entram. O evento acompanha o agendamento: muda quando o horário muda, e sai quando o atendimento é cancelado ou quando o cliente pede a exclusão dos dados dele. O evento leva o nome do serviço, o nome do negócio, o horário e o fuso, e no atendimento presencial o endereço. Do cliente, nada, a menos que o negócio escolha mostrar o primeiro nome; em negócio de saúde de pessoas essa opção não existe. Telefone, e-mail e observações nunca vão, e o cliente não é convidado do evento. O evento é criado como particular, o que no Google Agenda esconde os detalhes de quem só tem permissão para ver a agenda da pessoa. O link da sala é enviado ao cliente por e-mail ou WhatsApp, e quando ele entra na sala é o navegador dele que fala com o Google. Quem conecta pode desligar o envio a qualquer momento. Ao desconectar, tiramos da agenda os eventos futuros criados por nós, se o Google ainda nos der acesso a ela, a menos que a pessoa escolha mantê-los; os do atendimento online ficam, porque guardam a sala já enviada ao cliente. Sem uma conta conectada, nada é enviado. Regido pela mesma política de privacidade do Google, acima.

Não vendemos dado pessoal e não enviamos dado a ninguém para publicidade: nenhum dos envios acima existe para anunciar, montar público de anúncio ou medir campanha.

7. Transferência internacional

Nossos servidores de produção ficam no Brasil — é neles que estão a sua agenda, os seus clientes e os seus agendamentos.

Estes prestadores da seção 6 operam infraestrutura própria fora do país e processam, por conta própria e sob a política deles:

• Cloudflare — o dado estritamente necessário à verificação anti-robô.
• Resend — o endereço de e-mail, o nome de quem recebe e o texto da mensagem, para entregar os e-mails da plataforma. Isso alcança quem tem conta e também quem só agendou: os avisos de agendamento vão para o cliente, e todo e-mail que vai para um cliente traz o link de descadastro.
• ImprovMX — o seu endereço, o assunto e o texto da mensagem que você escreve para qualquer endereço terminado em @tenhora.com, para encaminhá-la até a nossa caixa. É empresa dos Estados Unidos, e o correio dela roda na França e nos Estados Unidos.
• Anthropic — no atendente com IA do WhatsApp, o texto da conversa, a lista de serviços do negócio, as informações que o dono escreveu para a IA responder, o que o sistema já fez ou montou naquela conversa (a proposta de horário, o que agendou, remarcou ou cancelou, o pedido de avaliação em aberto e o aviso de pronto) e os agendamentos futuros de quem escreve, que ela consulta; na transcrição de atendimento, o texto transcrito do atendimento, para montar o rascunho do registro. Só alcança quem usa um desses dois adicionais; sem eles, nada sai daqui.
• Deepgram — o áudio da gravação ou do ditado de um atendimento, para transformá-lo em texto, e o endereço de rede do aparelho que grava. É empresa dos Estados Unidos, e o processamento é em servidores na União Europeia. Só alcança o atendimento, numa agenda com a transcrição ligada, em que quem é atendido autorizou a gravação.
• WhatsApp (Meta) — o telefone do cliente e o texto de cada mensagem, para entregar a conversa no aparelho dele. Só alcança quem tem WhatsApp conectado no negócio.
• Google — o IP e o navegador de quem clica em entrar com Google, e o fato de que aquela pessoa está entrando no tenhora.com; e, quando o negócio conecta uma conta para o atendimento online, o nome do serviço e o horário de cada sala. Nada do cliente vai para a agenda. E, no Gmail, a mensagem que você escreve para os nossos endereços, depois de encaminhada.

Na transcrição por voz, a transferência depende da autorização de quem é atendido. O áudio só vai à Deepgram, e o texto transcrito só vai à Anthropic, se a pessoa aceitar um termo próprio daquele atendimento, que diz em destaque, antes de ela decidir, quem recebe cada um e em que país (LGPD, art. 33, VIII). Autorizar é opcional, e a autorização pode ser retirada a qualquer momento: a seção 9 diz como, e o que acontece depois.

O Asaas, que cobra a assinatura do plano completo e os adicionais, é empresa brasileira; o que enviamos a ele está na seção 6.

8. Por quanto tempo guardamos

• Agendamentos: mantidos como registro da transação comercial, sem prazo de expurgo automático — é o comprovante do que foi vendido e atendido.
• Mensagens de WhatsApp e avisos por e-mail (registro de envio): guardamos o telefone ou o e-mail para onde cada mensagem foi enviada, a data e o resultado do envio. Apagamos esse registro automaticamente 180 dias depois da data do atendimento — ou do envio, quando ele acontece depois, como no convite de retorno. Antes disso, ele sai a seu pedido (seção 12) e quando o estabelecimento exclui o negócio.
• Transcrito da conversa de WhatsApp (as mensagens trocadas com o atendimento automático): guardado quando o estabelecimento usa esse atendimento, sem prazo de expurgo automático — a faxina encerra o ciclo da conversa, mas não apaga as mensagens. É apagado a seu pedido (seção 12). Não prometemos que ele fique anônimo: o corpo é o texto livre que você escreveu.
• Gravação e transcrição do atendimento: o áudio não é guardado — ele fica na memória do aparelho de quem grava e do nosso servidor só enquanto é enviado para a transcrição, e nunca é gravado em disco. A transcrição fica no registro de atendimento, sem prazo de expurgo automático, como o próprio registro (item “Registros de atendimento”, abaixo), com uma exceção: se o registro continuar sem nenhum texto escrito por quem atendeu, a transcrição é apagada 30 dias depois da última gravação ou alteração nele. O rascunho da inteligência artificial sai quando quem gravou o revisa ou o descarta e, se ninguém fizer isso, 30 dias depois da última gravação no registro. Retirar a autorização apaga a transcrição e o rascunho daquele atendimento; o apagamento dos seus dados a seu pedido e a exclusão do negócio levam os dois junto.
• Reserva de minutos da gravação (quem gravou, a agenda do atendimento, a semana, os minutos reservados, o horário do último sinal do aparelho, os minutos contados quando a gravação não termina e as datas de cada gravação): sem prazo de expurgo automático. É apagada junto com a conta de quem gravou, com o negócio, com a agenda do atendimento quando ela é excluída ou com o registro do atendimento (por exemplo, quando o cliente pede para apagar os dados dele).
• Uso da cota de transcrição por profissional (a agenda, a semana e o tempo usado): sem prazo de expurgo automático. Fica com o negócio e é apagado com ele, ou com a agenda do profissional quando ela é excluída.
• Fila de espera (nome e telefone de quem pediu encaixe): apagada automaticamente 90 dias depois da data para a qual a pessoa pediu encaixe. Pode ser apagada antes disso mediante pedido (seção 12).
• Arquivo de exportação (o pacote .zip que você pede em Configurações): sai do disco 7 dias depois de ficar pronto, e o link para de funcionar junto. É o prazo mais curto do documento de propósito — o pacote reúne, num arquivo só, o que o resto da plataforma mantém separado.
• Termos que você aceitou: sem prazo de expurgo automático, e isso é escolha nossa — prova com prazo deixa de ser prova. O registro é o que demonstra que o consentimento foi dado, para aquele texto, naquele momento (LGPD art. 16, I). A seu pedido ele é anonimizado: saem o nome de quem aceitou, o endereço de rede e o navegador; ficam a data, o texto e o código da versão. Sobra que alguém aceitou aquele documento naquele instante, sem sobrar quem.
• Registros de atendimento: sem prazo de expurgo automático — ficam enquanto o estabelecimento guardar a sua ficha. São apagados, com o texto, quando ele apaga seus dados a seu pedido (seção 12) e quando ele exclui o negócio. Da cópia de dados que ele gerar sobre você fica uma linha com a data, e ela sobrevive ao apagamento, sem apontar para você: é a prova de que o pedido foi atendido, e apagá-la junto destruiria o registro de quem entregou a cópia.
• Avaliações: as notas ficam sem prazo de expurgo automático, como registro estatístico do estabelecimento. O comentário e a ligação com você saem a seu pedido (seção 12). Do pedido que você não respondeu fica o registro de que ele foi feito (o atendimento e a data), também sem prazo de expurgo automático, porque é ele que limita os pedidos a um a cada 60 dias; a ligação com você sai a seu pedido. O telefone ou o e-mail para onde o pedido foi enviado fica no registro de envio, com o prazo do item “Mensagens de WhatsApp e avisos por e-mail”, acima. Tudo é apagado, notas incluídas, quando o estabelecimento exclui o negócio ou a conta — e a conta só sai depois dos negócios dela.
• Conta de dono, gestor ou profissional: enquanto a conta existir. Pedido de exclusão é tratado conforme a seção 12.
• Conta que nunca confirmou o e-mail: se você cria uma conta com e-mail e senha e não confirma o e-mail em até 7 dias, com o código que enviamos, apagamos a conta. Saem o e-mail, a senha (que nunca guardamos em texto puro) e os códigos pendentes, e o endereço fica livre para um novo cadastro. Não avisamos antes de apagar, porque o endereço digitado pode ser de outra pessoa. A conta que já tem um negócio, faz parte de uma equipe ou tem outro vínculo fica fora desta regra e segue o prazo da conta de dono, gestor ou profissional, acima.
• Vínculo com o Google: enquanto o vínculo existir. Sai quando você o desfaz em Minha conta, quando redefine a senha pelo link enviado por e-mail e quando a sua conta é excluída.
• Assinatura e cobrança (o valor, o ciclo, o estado, os avisos enviados e as mensagens do provedor): sem prazo de expurgo automático. Não existe faxina que apague essas linhas, e dizemos isso porque é o que o sistema faz — não um prazo que gostaríamos de ter. O registro da assinatura e o dos avisos são apagados junto com o negócio; a mensagem do provedor fica, sem o vínculo com o negócio, porque é o comprovante contábil de um dinheiro que entrou. Pedido de remoção é tratado conforme a seção 12.
• Identificador de estatísticas: some do seu navegador ao fechar a aba; os eventos agregados são apagados automaticamente 365 dias depois.
• Dado técnico de limite de tentativas (endereço IP, e-mail ou resumo do código do aparelho): algumas horas, apagado em rotina automática.
• Registro de acesso administrativo (seção 11): 5 anos. É mais longo que os demais de propósito — um incidente descoberto tarde precisa de rastro que ainda exista para ser investigado (LGPD art. 16, I).

9. Dado sensível — atenção especial

O campo de observações do agendamento é de texto livre. Como o tenhora.com também atende negócios de saúde e bem-estar, é possível que alguém escreva ali, por conta própria, uma informação sensível (ex.: uma condição de saúde). Nesse campo, a plataforma não pede nem exige esse tipo de dado, e recomendamos fortemente que você não o inclua ali — informe só o que for necessário para o atendimento. Se um negócio precisa coletar dado sensível de forma estruturada, essa é uma decisão e uma responsabilidade dele, com base legal própria (LGPD art. 11).

O estabelecimento pode criar um formulário próprio por serviço, com as perguntas que ele escolher. Nós fornecemos a ferramenta; as perguntas, a finalidade e a base legal são dele — inclusive o consentimento específico e destacado que o art. 11 da LGPD exige quando a pergunta envolve saúde. Ele pode marcar uma pergunta como obrigatória, e nesse caso o agendamento pela página pública não é concluído sem a resposta. Se você não quiser responder, ou se a pergunta não fizer sentido para o atendimento, fale com o estabelecimento: é ele quem decide o que perguntar, e é ele quem pode marcar o seu horário sem o formulário. As respostas ficam na sua ficha naquele estabelecimento, com uma cópia junto do agendamento, e são apagadas quando ele exerce o apagamento a seu pedido.

O estabelecimento também pode exigir que você aceite um termo — autorização, consentimento informado, regulamento — antes de agendar. Cada documento é aceito separadamente, nunca num "aceito tudo": é assim que o consentimento fica específico e destacado, como o art. 11 pede. O que guardamos desse aceite está na seção 3, e por quanto tempo, na seção 8.

Quem atende você pode escrever um registro de atendimento na sua ficha naquele estabelecimento: o que foi feito naquele dia, em texto livre. Escreve quem atendeu — o dono ou o profissional —, e o registro guarda o nome de quem escreveu. Em negócio de saúde, esse texto é dado de saúde. Como no formulário acima, nós fornecemos a ferramenta; o que é escrito, a finalidade e a base legal são dele (seção 1). É uma anotação de trabalho do estabelecimento e não substitui prontuário — veja os Termos de uso, seção 2.

Quem lê esse texto dentro do painel do estabelecimento:

• quem escreveu, sempre;
• o dono do negócio, se a leitura dele estiver ligada. Ela vem ligada, e ele pode desligá-la; desligada, ele continua vendo que o registro existe, sem o texto;
• o resto da equipe, só se o dono ligar o compartilhamento — que vem desligado — e só sobre as pessoas que aquele profissional atendeu.
• quem gerencia o negócio vê que o registro existe, sem o texto; se também atende, lê como os demais profissionais da equipe.

Ligar qualquer uma das duas não abre o que já foi escrito: cada registro guarda como as permissões estavam no momento em que foi fechado, e é esse retrato que decide quem o lê depois. Enquanto o registro é rascunho, só quem o escreve o vê.

O texto vai inteiro na cópia dos seus dados. Quando você pede ao estabelecimento a cópia do que ele guarda sobre você (LGPD art. 18, II), os registros fechados vão dentro, com o texto completo — inclusive os que o dono não lê no painel, porque o direito de receber é seu, não dele. É o dono quem gera essa cópia: você não tem conta aqui, e ele é o canal. Toda geração fica registrada, com a data; e quando a cópia leva o texto de um registro que o dono não lia, quem escreveu aquele registro é avisado no painel.

No apagamento, o registro vai junto. Quando o estabelecimento apaga seus dados a seu pedido (seção 12), a sua ficha sai e os registros escritos sobre você saem com ela, texto incluído. Excluir o negócio leva os registros dele junto. Já excluir a conta de quem escreveu não apaga o texto: o registro é do negócio, passa a não apontar para conta nenhuma e continua dizendo quem escreveu pelo nome e, quando houver, pelo registro no conselho guardados nele.

Gravar ou ditar o registro exige a sua autorização. Com a transcrição por voz, quem atende pode gravar o atendimento ou ditar o registro depois, e o áudio vira texto e um rascunho para ele revisar. Isso só acontece se você assinar o termo de gravação daquele atendimento — na hora, no estabelecimento, ou antes, pelo link do seu agendamento, quando o estabelecimento o envia. O termo diz que o áudio é transcrito pela Deepgram, na União Europeia, e que o texto transcrito vai à Anthropic, nos Estados Unidos, para montar o rascunho. Autorizar é opcional: se você não autorizar, seu agendamento e seu atendimento seguem iguais, e quem atende escreve à mão. Sem agendamento não há termo, e sem termo não há gravação.

Você retira a autorização quando quiser, pelo link do seu agendamento ou avisando o estabelecimento, que registra o pedido no painel. A partir daí não há nova gravação daquele atendimento, e a transcrição e o rascunho dele são apagados. Fica o texto que quem atendeu escreveu, porque é o registro do atendimento que você recebeu, e ficam a duração do áudio e o nome do serviço que transcreveu, que não dizem nada do que foi falado.

No painel, só quem gravou lê a transcrição e o rascunho — o dono do negócio não os lê, nem com a leitura dos registros ligada. Nenhuma impressão de voz é guardada: as falas são separadas por número, sem identificar ninguém pela voz. A transcrição e o rascunho vão na cópia dos seus dados junto com o registro fechado, e saem com ele no apagamento.

10. Como protegemos os dados

• Senhas nunca são armazenadas em texto puro — usamos hash Argon2id, recomendado pela OWASP;
• Conexão criptografada (HTTPS) em produção;
• Controle de acesso por conta: cada negócio só acessa seus próprios dados;
• Limite de tentativas contra força bruta e criação de conta em massa;
• Verificação anti-robô nos formulários públicos;
• Arquivo enviado (ex.: logo) é validado pelo conteúdo real, não pela extensão informada, e renomeado aleatoriamente.

Nenhum sistema é infalível — se identificarmos incidente que afete dado pessoal, notificaremos conforme a LGPD exigir.

11. Acesso administrativo da plataforma

A equipe que opera o tenhora.com tem um painel administrativo próprio, separado do painel que você usa. Ele existe para manter o serviço no ar, dar suporte e investigar abuso — e como ele é a única parte do sistema que enxerga mais de um negócio, achamos que você tem o direito de saber exatamente como ele funciona.

Em quais situações acessamos

• quando você pede suporte e o problema exige olhar a sua configuração;
• para investigar incidente de segurança, fraude ou uso que viole os Termos de uso;
• para cumprir obrigação legal ou ordem de autoridade competente.

Fora dessas situações, não acessamos. Não usamos dado de um negócio para fins comerciais próprios, não montamos lista de contatos a partir dele e não o vendemos — isso já está na seção 6 e vale igualmente aqui.

Como esse acesso é controlado

• Conta separada e com dois fatores obrigatórios. O acesso administrativo não usa a mesma conta nem a mesma senha de nenhum painel de negócio, e exige um aplicativo autenticador — senha sozinha não entra.
• Dado pessoal aparece coberto por padrão. Nome, e-mail e telefone aparecem parcialmente ocultos nas telas. Ver o valor completo é uma ação separada, que exige justificativa escrita e fica registrada.
• O campo de observações do agendamento não é lido pelo painel administrativo. Como ele é texto livre e pode conter dado sensível (seção 9), ele simplesmente não é carregado por essas telas.
• Tudo fica registrado — inclusive a simples consulta. Cada tela aberta, cada busca e cada ação gera uma linha num registro que a própria aplicação não consegue apagar nem alterar, e que guarda o que foi consultado, nunca o conteúdo consultado.
• Ações sobre uma conta exigem justificativa e nova confirmação em dois fatores, e a lista do que pode ser feito é fechada — não existe edição livre dos dados do seu negócio pelo painel administrativo.
• Não existe “entrar como você”. A plataforma não tem função de assumir a sua sessão: o que fosse feito ali apareceria como se fosse você, e nós não achamos isso aceitável.

Congelamento de conta

Em caso de fraude, violação dos Termos ou suspeita de conta invadida, podemos congelar o acesso. Congelar bloqueia o login, tira a página pública do ar e interrompe o envio automático de mensagens, sempre com motivo registrado. Não apagamos nada, e descongelar devolve tudo ao estado anterior. Seus agendamentos já existentes continuam válidos.

Base legal

Para dado da sua conta (dono, gestor ou profissional), somos controladoras e o acesso se apoia na execução do contrato (art. 7º, V) e no legítimo interesse em segurança e prevenção a fraude (art. 7º, IX). Para dado do cliente final, somos operadoras: não temos base legal própria e agimos apenas sob a instrução do negócio contratante, nas hipóteses acima — o que está escrito na cláusula correspondente dos Termos de uso.

12. Seus direitos

Conforme o Art. 18 da LGPD, você pode solicitar:

• confirmação de que tratamos seu dado, e acesso a ele;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade;
• portabilidade a outro fornecedor — o pacote sai em formatos abertos, legíveis fora daqui;
• informação sobre com quem compartilhamos seu dado;
• revogação do consentimento (ex.: desligar cookies de estatísticas a qualquer momento);
• eliminação do dado tratado com base no consentimento, quando você o revogar.

Se você é cliente de um negócio que usa a plataforma, o pedido é atendido primeiro por aquele negócio (é ele quem decide sobre esse dado, seção 1) — a plataforma dá a ele as ferramentas para atender, incluindo gerar a cópia do que ele guarda sobre você, com o texto dos registros de atendimento (seção 9), apagar o rastro das mensagens de WhatsApp e dos e-mails enviados a você e anonimizar os termos que você aceitou (seção 8). Se preferir, também pode escrever para nós.

Para levar seus dados, não precisa pedir. Em Configurações, seção Seus dados, quem administra o negócio baixa a cópia do que o negócio guarda. Em Minha conta, seção Seus dados, Baixar meus dados monta a cópia do seu cadastro. As duas ficam prontas sem depender de ninguém atender.

Para excluir, também não precisa pedir. Em Minha conta, seção Excluir minha conta, você encerra a sua conta. Em Configurações, seção Excluir este negócio, quem é dono exclui um negócio — e os negócios saem antes da conta.

Nos dois casos a exclusão acontece 30 dias depois do pedido, e nesse período dá para desistir. No negócio, a página pública sai do ar na hora, e a última semana já não volta atrás: sete dias antes do fim cancelamos os agendamentos futuros e avisamos os clientes, então quem desiste depois disso recebe o negócio de volta sem a agenda. Baixe a cópia dos seus dados antes — depois do prazo, não há como recuperar.

Da exclusão sobra um registro de que ela aconteceu: a data, o desfecho e um código derivado do identificador do que foi excluído. Sem nome, sem e-mail e sem o endereço da página — é o que nos permite provar que atendemos ao pedido sem guardar quem o fez.

Para o que não estiver nessas telas, e para quem não tem conta, escreva para privacidade@tenhora.com. Respondemos em até 15 dias, o prazo que a LGPD nos dá.

Como pequena empresa, atendemos esses pedidos por este canal de comunicação em vez de um encarregado formalmente nomeado — tratamento diferenciado previsto na Resolução CD/ANPD nº 2/2022 para agentes de tratamento de pequeno porte.

13. Cookies e tecnologias semelhantes

Cookie essencial não pede consentimento — sem ele o site não funciona ou fica inseguro. Cookie não-essencial só é usado se você consentir, e você pode mudar de ideia a qualquer momento.

Você pode revisar e mudar sua escolha a qualquer momento:

14. Crianças e adolescentes

A plataforma é destinada a maiores de 18 anos para criação de conta de dono, gestor ou profissional. Um agendamento pode ser feito em nome de um dependente (ex.: um filho) por um responsável — nesse caso, o responsável é quem fornece e autoriza o dado.

Quando o agendamento é para uma criança ou um adolescente, o consentimento para tratar os dados dela é o do responsável (LGPD, art. 14, § 1º): quem agenda o faz como responsável. Os dados do dependente ficam na ficha de quem agendou, naquele estabelecimento, e as mensagens continuam indo para o responsável. Não guardamos telefone nem e-mail do dependente. Para pedir que os dados do dependente sejam apagados, fale com o estabelecimento: ele apaga o cadastro, a ficha e os registros sobre o dependente, e o nome dele sai dos agendamentos. O que foi escrito numa conversa de WhatsApp com o atendimento automático fica no histórico dessa conversa, que é do telefone de quem agendou, e sai quando quem agendou pede o apagamento dos próprios dados.

15. Alterações nesta política

Podemos atualizar esta política para refletir mudança no serviço, em prestadores ou na lei. A data no topo desta página sempre mostra a versão vigente; mudanças relevantes serão comunicadas com antecedência razoável.

16. Contato e encarregado

Dúvidas, solicitações ou reclamações sobre tratamento de dado pessoal: privacidade@tenhora.com.

Essa mensagem chega a nós por encaminhamento: quem a transporta e quem a guarda estão na seção 6.