Política de privacidade

1. Nosso papel: quando somos controladora e quando somos operadora

Isto muda quem responde por cada dado, então vem primeiro.

• Somos controladora do dado de quem cria conta na plataforma (dono de negócio e profissional) e do dado técnico de segurança (ex.: limite de tentativas por IP). Decidimos nós como e por que esses dados são tratados.
• Somos operadora do dado do cliente final — quem agenda um horário pela página pública de um negócio. Esse dado (nome, telefone, e-mail, observações) é inserido pelo próprio cliente, na página de um negócio específico, e quem decide o que fazer com ele é quem administra aquele negócio, não a plataforma. Nós processamos seguindo as instruções dele, dentro das finalidades descritas aqui (agendar, confirmar, lembrar, gerir o atendimento).

Na prática: se você é cliente de um salão que usa o tenhora.com e quer saber, corrigir ou apagar seu dado, o primeiro contato é o próprio salão — é ele quem decide sobre esse dado. Continuamos disponíveis para dúvidas técnicas sobre como o dado é processado na plataforma.

2. Quem somos

tenhora.com, CNPJ 66.762.018/0001-39, operadora da plataforma de agendamentos disponível em tenhora.com. Contato: privacidade@tenhora.com.

3. Quais dados coletamos

De quem administra um negócio (dono e profissional)

• E-mail, senha (armazenada com hash de senha, nunca em texto puro), nome, telefone;
• Dados do negócio: nome, endereço, telefone, redes sociais, logo;
• CPF ou CNPJ do negócio, quando informado. Serve para emitir a cobrança da assinatura e a nota fiscal. O CNPJ aparece na página pública do estabelecimento, como o de qualquer loja; o CPF não aparece em lugar nenhum fora do painel de quem administra o negócio. Se você assinar o plano completo, ele é enviado ao provedor de pagamento — seção 6;
• Se o negócio assinar o plano completo: o valor, o ciclo, o estado da assinatura e até quando o período pago vale, mais os identificadores que o provedor de pagamento nos devolve. Guardamos também o registro de cada aviso de cobrança que enviamos e o endereço para onde ele saiu, e o corpo de cada mensagem que o provedor nos manda sobre essa assinatura — é o que responde “o que foi cobrado, e quando” no dia de uma divergência. Número de cartão não está aí: ele nunca chega até nós (seção 6);
• E-mail de quem é convidado para atuar como profissional, antes mesmo de ele criar conta.

De quem agenda um horário (cliente, geralmente sem conta)

O formulário de agendamento também pode ser exibido dentro do site do estabelecimento, em vez de na página dele aqui. É o mesmo formulário, e os dados continuam sendo tratados por nós, nas mesmas condições descritas nesta política — o site que o exibe não tem acesso ao que você digita.

• Nome, telefone e, se informado, e-mail;
• Observações que você escrever livremente no agendamento (opcional);
• Respostas às perguntas que o estabelecimento criar no formulário dele (por exemplo, alergias antes de um procedimento ou a placa do carro). As perguntas são escolhidas por ele, não por nós. As respostas ficam guardadas na sua ficha naquele estabelecimento, e uma cópia de cada resposta fica junto do agendamento em que você respondeu — é o registro do que era verdade naquele atendimento. As duas são apagadas quando ele apaga seus dados a seu pedido.
• Se o negócio envia confirmação automática por WhatsApp: o telefone usado para o envio e o status da mensagem (enviada, falhou etc.). E se ele usa o atendimento automático — quando o número responde sozinho às mensagens do cliente —, guardamos também as mensagens trocadas naquela conversa, porque o atendimento precisa do que já foi dito para continuar. Esse registro é apagado a seu pedido (seção 12).
• Se o serviço exigir um termo — autorização, consentimento, regulamento —, guardamos a prova de que você aceitou: o nome que você digitou ao aceitar, a data e a hora, o endereço de rede e o navegador usados, e um código que identifica a versão exata do texto que estava na tela. Se o estabelecimento usa WhatsApp, guardamos também o instante em que o código de seis dígitos enviado ao seu telefone foi conferido. O texto do termo é escrito por ele, não por nós. É um registro de aceite, não uma assinatura com certificado digital.
• Se o estabelecimento lhe mandar um orçamento: o nome, o telefone e, se ele informar, o e-mail que ele usou para endereçar o documento, mais a sua resposta — aprovado ou recusado, quando, e o motivo que você escrever (opcional). Isso vale mesmo que você recuse: o orçamento fica como registro de um valor que foi oferecido, com o mesmo prazo dos agendamentos. A seu pedido ele é anonimizado: saem nome, telefone, e-mail e o motivo da recusa, e ficam os valores e as datas, que são o registro comercial do estabelecimento.
• Se quem atende você gravar o atendimento ou ditar o registro dele em voz — o que só acontece com a sua autorização, dada para aquele atendimento (seção 9): a transcrição do que foi dito, com as falas numeradas (Falante 1, Falante 2); o rascunho que a inteligência artificial monta a partir dela, até quem gravou revisá-lo ou descartá-lo; a duração do áudio e o nome do serviço que fez a transcrição. O áudio não é guardado — nem por nós, nem pelo estabelecimento. Da autorização guardamos a prova, como a de qualquer termo aceito, e, se você a retirar, a data em que retirou.
• Se quem atende você escrever um registro de atendimento: o texto que essa pessoa digitar sobre o que foi feito, a data do atendimento, o nome de quem escreveu e o agendamento a que ele se refere. É texto livre, escrito pelo estabelecimento — não por você e não por nós. Depois que quem escreveu fecha o registro, esse texto vai inteiro na cópia dos seus dados (seção 12). A seção 9 explica quem o lê no painel do estabelecimento.
• Se o estabelecimento lhe pedir uma avaliação depois do atendimento: as notas que você der, de 1 a 5, para o estabelecimento, o serviço e, quando houver, o profissional, e o comentário que escrever (opcional). O estabelecimento vê as notas e o comentário; a página pública dele mostra só a média e a quantidade de avaliações. O pedido chega uma vez por atendimento, pelo WhatsApp ou e-mail do agendamento; para não recebê-lo, toque no link do próprio pedido ou responda PARE. A seu pedido ela é anonimizada: saem o comentário e a ligação com você, e ficam as notas, que são o registro estatístico do estabelecimento.

De quem visita a página pública, sem agendar

• Um identificador aleatório de visita, criado no seu navegador e apagado ao fechar a aba — nunca ligado a nome, IP ou dispositivo. Só existe se você consentir com cookies de estatísticas (seção 13).

Não guardamos número de cartão — nem o seu, nem o do seu cliente. São dois pagamentos diferentes, e nenhum dos dois passa por aqui. O que o cliente paga ao estabelecimento pelo atendimento é acertado entre os dois, fora da plataforma. A assinatura do plano completo, quando o negócio contrata uma, é cobrada por um provedor de pagamento: o cartão é digitado na tela dele, e o que enviamos está na seção 6. Veja também os Termos de uso, seção 8.

4. Base legal para cada tratamento

Usamos principalmente duas bases do Art. 7º da LGPD:

• Execução de contrato ou de procedimento preliminar (inciso V): para criar sua conta, para o cliente agendar um horário, para enviar a confirmação daquele agendamento.
• Legítimo interesse (inciso IX), com finalidade limitada à segurança e ao pedido de avaliação: para limitar tentativas de login e de criação de conta em massa, para a verificação anti-robô (Turnstile) nos formulários públicos, e para o estabelecimento pedir, uma vez por atendimento, a sua avaliação. Você se opõe ao pedido pelo link que vem nele, ou respondendo PARE na conversa.
• Consentimento (inciso I): para o identificador de estatísticas da página pública (seção 13) e para o convite de retorno por WhatsApp, que só vai para quem marca a caixinha no agendamento. Você retira esse consentimento pelo link de descadastro do próprio convite, ou respondendo PARE na conversa. Não pedimos consentimento para o que é necessário ao agendamento em si.
• Consentimento específico e em destaque (art. 11, I, e art. 33, VIII): para gravar o seu atendimento ou ditar o registro dele, e para transformar esse áudio em texto fora do Brasil. É pedido a cada atendimento, num termo próprio que diz quem recebe o áudio e o texto e em que país. É opcional — recusar não muda o seu agendamento — e você o retira quando quiser (seção 9).
• Cumprimento de obrigação legal ou regulatória (inciso II): para manter o registro do agendamento como comprovante de uma transação comercial, mesmo depois de pedido de exclusão de outros dados relacionados.

5. Para que usamos os dados

• Viabilizar login, criação e gestão de conta;
• Processar e exibir agendamentos, calcular preço e duração, evitar sobreposição de horário;
• Transformar em texto a gravação ou o ditado de um atendimento e montar o rascunho do registro, só com o consentimento de quem é atendido;
• Enviar confirmação, lembrete e cancelamento (por link e, opcionalmente, por WhatsApp);
• Pedir a avaliação de um atendimento, uma vez, depois que ele acontece;
• Prevenir abuso e fraude (limite de tentativas, verificação anti-robô);
• Gerar estatísticas de uso da página pública para quem administra o negócio, só com consentimento;
• Cumprir obrigação legal, quando aplicável.

Não usamos os dados para publicidade, não vendemos e não alugamos dado pessoal a terceiro.

6. Com quem compartilhamos

Compartilhamos o mínimo necessário, com estes prestadores:

• Cloudflare (Turnstile) — verificação anti-robô nos formulários públicos (cadastro, login, recuperação de senha, agendamento). Recebe o token do desafio e, opcionalmente, o IP de quem está enviando o formulário. Regida pela política de privacidade da Cloudflare.
• Asaas (provedor de pagamento) — cobra a assinatura do plano completo, quando o negócio contrata uma. Recebe o nome, o e-mail, o telefone e o CPF ou CNPJ de quem administra o negócio, e o endereço de cobrança (logradouro, número, bairro e CEP), para abrir o cadastro de pagador e criar a cobrança que se repete a cada ciclo. Sem assinatura, nada é enviado: quem usa o plano gratuito não tem dado nenhum lá. O cartão é digitado na tela do Asaas, nunca na nossa — não vemos nem guardamos número de cartão. Regido pela política de privacidade do Asaas.
• WhatsApp (Meta) — quando o dono do negócio conecta a própria conta de WhatsApp, o telefone do cliente e o texto de cada mensagem (confirmação, lembrete, convite de retorno, pedido de avaliação e o que for trocado no atendimento automático) passam pelo WhatsApp, que é quem transporta e entrega — como em qualquer conversa de WhatsApp. O programa que dispara o envio é nosso e roda na nossa própria infraestrutura, mas a entrega é da Meta, empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Sem uma conta de WhatsApp conectada, nada é enviado. Do nosso lado guardamos o status de cada envio e, quando o negócio usa o atendimento automático, o transcrito daquela conversa — as mensagens trocadas —, que é apagado a seu pedido (seção 12) e sai na sua exportação. Regido pela política de privacidade do WhatsApp.
• Anthropic (inteligência artificial) — recebe texto em dois recursos opcionais, que fazem parte do mesmo adicional pago. No atendente com IA do WhatsApp, que também exige aceitar os termos de risco da integração de WhatsApp: cada mensagem que o cliente escreve naquela conversa, para a IA entender o pedido em texto livre e agendar. Recebe o texto da conversa — as mensagens dos dois lados, como foram escritas —, mais a lista de serviços do negócio e as informações que o dono escreveu para a IA responder. O telefone e o nome do cliente não vão junto: ficam no nosso servidor. Na transcrição por voz do registro de atendimento: o texto transcrito da gravação ou do ditado — nunca o áudio —, para montar o rascunho que quem atendeu revisa. Esse texto pode conter o que foi dito sobre a saúde de quem foi atendido, e só é enviado se o termo que essa pessoa assinou naquele atendimento nomeia a Anthropic (seção 9). Sem nenhum dos dois recursos em uso, nada é enviado: o bot padrão, de menu, e o registro escrito à mão não mandam nada para lá. É empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade da Anthropic.
• Deepgram (transcrição de voz) — transforma em texto a gravação de um atendimento ou o ditado de um registro, quando o estabelecimento usa a transcrição por voz, recurso opcional e pago. Só acontece se quem é atendido autorizar, num termo daquele atendimento (seção 9); sem essa autorização, nada é enviado. Recebe só o áudio, com a voz de quem atende e de quem é atendido — nenhum nome, telefone ou outro dado do cadastro. O áudio vai de dois jeitos: enquanto a gravação acontece, direto do navegador de quem grava, para o texto aparecer na tela — e por isso a Deepgram vê o endereço de rede (IP) desse aparelho —; e, no fim, a gravação inteira, enviada pelo nosso servidor. O processamento é em servidores na União Europeia. Em cada envio, pedimos que ela não guarde o áudio nem o texto e não os use para treinar os modelos dela. Com esse pedido, pelo que a Deepgram publica sobre os dados que recebe, ela não guarda o áudio nem o texto depois de devolver a transcrição, e mantém só o registro de uso de cada envio, sem o áudio e sem o texto. É empresa dos Estados Unidos, e esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade da Deepgram.
• Resend (envio de e-mail) — entrega os e-mails da plataforma: recuperação de senha, confirmação de e-mail, convite de profissional e boas-vindas; avisos de segurança (senha alterada, verificação em duas etapas ligada ou desligada, tentativas erradas com o código); avisos de agendamento ao cliente e o convite de retorno, que só saem quando o negócio não tem WhatsApp conectado; o aviso de que seu arquivo de dados ficou pronto; e os avisos de cobrança. Recebe o endereço de e-mail e o nome de quem vai receber, mais o texto da mensagem — que, no caso da exportação, contém o link do pacote, e no dos avisos de cobrança, o valor e a data. É empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade da Resend.
• ImprovMX (encaminhamento de e-mail) — privacidade@tenhora.com e suporte@tenhora.com (seção 16) não são caixas de e-mail: são apelidos que o ImprovMX encaminha para a nossa caixa, e o mesmo vale para qualquer outro endereço terminado em @tenhora.com. Toda mensagem escrita para um deles passa por ele antes de chegar a nós — o seu endereço, o assunto e o texto inteiro, inclusive o de um pedido sobre os seus dados (seção 12). Ele é passagem, não caixa final: pela política dele, a mensagem fica só até ser entregue e é apagada em seguida, e o conteúdo não entra no registro de entrega. A caixa onde ela fica depois é a do Gmail, no item abaixo. É empresa dos Estados Unidos e o correio dela roda na França e nos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regido pela política de privacidade do ImprovMX.
• Google (entrar com Google, e a nossa caixa de e-mail) — quando você usa o botão de entrar ou criar conta com o Google, o navegador vai até o Google para você se identificar lá. Nessa ida o Google recebe o seu endereço de IP e o navegador que você usa, e sabe que você está entrando no tenhora.com. Pedimos o mínimo — identificar a conta e ver o e-mail dela —, não pedimos seu nome nem sua foto, e guardamos só o identificador da conta Google e o e-mail: nenhuma senha, nenhuma credencial que nos deixe agir no Google por você. Quem entra por e-mail e senha não passa pelo Google. Isso alcança quem tem conta aqui, dono ou profissional — quem agenda um horário não cria conta e não passa por aqui. O Google também é a caixa onde o nosso e-mail fica: depois que o ImprovMX encaminha, a mensagem que você escreveu para privacidade@tenhora.com ou suporte@tenhora.com chega a uma caixa do Gmail, e é de lá que a lemos e respondemos. É empresa dos Estados Unidos, então esse dado sai do Brasil: a seção 7 diz o que isso significa. Regida pela política de privacidade do Google.
• Google Agenda (atendimento online) — quando o negócio conecta uma conta Google para gerar a sala de vídeo de cada atendimento online, criamos o evento na agenda daquela conta. O evento leva o nome do serviço, o horário e o fuso, e nada do cliente: nem nome, nem telefone, nem e-mail, e o cliente não é convidado do evento. O link da sala é enviado a ele por e-mail ou WhatsApp, e quando ele entra na sala é o navegador dele que fala com o Google, como ao abrir qualquer link. Sem uma conta conectada, nada é enviado: conectar é opcional e é o negócio quem decide. Regido pela mesma política de privacidade do Google, acima.

Não vendemos dado pessoal e não enviamos dado a ninguém para publicidade: nenhum dos envios acima existe para anunciar, montar público de anúncio ou medir campanha.

7. Transferência internacional

Nossos servidores de produção ficam no Brasil — é neles que estão a sua agenda, os seus clientes e os seus agendamentos.

Estes prestadores da seção 6 operam infraestrutura própria fora do país e processam, por conta própria e sob a política deles:

• Cloudflare — o dado estritamente necessário à verificação anti-robô.
• Resend — o endereço de e-mail, o nome de quem recebe e o texto da mensagem, para entregar os e-mails da plataforma. Isso alcança quem tem conta e também quem só agendou: os avisos de agendamento vão para o cliente, e todo e-mail que vai para um cliente traz o link de descadastro.
• ImprovMX — o seu endereço, o assunto e o texto da mensagem que você escreve para qualquer endereço terminado em @tenhora.com, para encaminhá-la até a nossa caixa. É empresa dos Estados Unidos, e o correio dela roda na França e nos Estados Unidos.
• Anthropic — no atendente com IA do WhatsApp, o texto da conversa, a lista de serviços do negócio e as informações que o dono escreveu para a IA responder; na transcrição por voz, o texto transcrito do atendimento, para montar o rascunho do registro. Só alcança quem usa um desses recursos; sem eles, nada sai daqui.
• Deepgram — o áudio da gravação ou do ditado de um atendimento, para transformá-lo em texto, e o endereço de rede do aparelho que grava. É empresa dos Estados Unidos, e o processamento é em servidores na União Europeia. Só alcança o atendimento em que quem é atendido autorizou a gravação.
• WhatsApp (Meta) — o telefone do cliente e o texto de cada mensagem, para entregar a conversa no aparelho dele. Só alcança quem tem WhatsApp conectado no negócio.
• Google — o IP e o navegador de quem clica em entrar com Google, e o fato de que aquela pessoa está entrando no tenhora.com; e, quando o negócio conecta uma conta para o atendimento online, o nome do serviço e o horário de cada sala. Nada do cliente vai para a agenda. E, no Gmail, a mensagem que você escreve para os nossos endereços, depois de encaminhada.

Na transcrição por voz, a transferência depende da autorização de quem é atendido. O áudio só vai à Deepgram, e o texto transcrito só vai à Anthropic, se a pessoa aceitar um termo próprio daquele atendimento, que diz em destaque, antes de ela decidir, quem recebe cada um e em que país (LGPD, art. 33, VIII). Autorizar é opcional, e a autorização pode ser retirada a qualquer momento: a seção 9 diz como, e o que acontece depois.

O Asaas, que cobra a assinatura do plano completo, é empresa brasileira; o que enviamos a ele está na seção 6.

8. Por quanto tempo guardamos

• Agendamentos: mantidos como registro da transação comercial, sem prazo de expurgo automático — é o comprovante do que foi vendido e atendido.
• Mensagens de WhatsApp (status de envio): apagadas automaticamente 180 dias após a data do atendimento.
• Transcrito da conversa de WhatsApp (as mensagens trocadas com o atendimento automático): guardado quando o estabelecimento usa esse atendimento, sem prazo de expurgo automático — a faxina encerra o ciclo da conversa, mas não apaga as mensagens. É apagado a seu pedido (seção 12). Não prometemos que ele fique anônimo: o corpo é o texto livre que você escreveu.
• Gravação e transcrição do atendimento: o áudio não é guardado — ele fica na memória do aparelho de quem grava e do nosso servidor só enquanto é enviado para a transcrição, e nunca é gravado em disco. A transcriçãofica no registro de atendimento, sem prazo de expurgo automático, como o próprio registro (item “Registros de atendimento”, abaixo), com uma exceção: se o registro continuar sem nenhum texto escrito por quem atendeu, a transcrição é apagada 30 dias depois da última gravação ou alteração nele. O rascunho da inteligência artificial sai quando quem gravou o revisa ou o descarta e, se ninguém fizer isso, 30 dias depois da última gravação no registro. Retirar a autorização apaga a transcrição e o rascunho daquele atendimento; o apagamento dos seus dados a seu pedido e a exclusão do negócio levam os dois junto.
• Fila de espera (nome e telefone de quem pediu encaixe): apagada automaticamente 90 dias depois da data para a qual a pessoa pediu encaixe. Pode ser apagada antes disso mediante pedido (seção 12).
• Arquivo de exportação (o pacote .zip que você pede em Configurações): sai do disco 7 dias depois de ficar pronto, e o link para de funcionar junto. É o prazo mais curto do documento de propósito — o pacote reúne, num arquivo só, o que o resto da plataforma mantém separado.
• Termos que você aceitou: sem prazo de expurgo automático, e isso é escolha nossa — prova com prazo deixa de ser prova. O registro é o que demonstra que o consentimento foi dado, para aquele texto, naquele momento (LGPD art. 16, I). A seu pedido ele é anonimizado: saem o nome de quem aceitou, o endereço de rede e o navegador; ficam a data, o texto e o código da versão. Sobra que alguém aceitou aquele documento naquele instante, sem sobrar quem.
• Registros de atendimento: sem prazo de expurgo automático — ficam enquanto o estabelecimento guardar a sua ficha. São apagados, com o texto, quando ele apaga seus dados a seu pedido (seção 12) e quando ele exclui o negócio. Da cópia de dados que ele gerar sobre você fica uma linha com a data, e ela sobrevive ao apagamento, sem apontar para você: é a prova de que o pedido foi atendido, e apagá-la junto destruiria o registro de quem entregou a cópia.
• Avaliações: as notas ficam sem prazo de expurgo automático, como registro estatístico do estabelecimento. O comentário e a ligação com você saem a seu pedido (seção 12). Tudo é apagado, notas incluídas, quando o estabelecimento exclui o negócio ou a conta — e a conta só sai depois dos negócios dela.
• Conta de dono/profissional: enquanto a conta existir. Pedido de exclusão é tratado conforme a seção 12.
• Assinatura e cobrança (o valor, o ciclo, o estado, os avisos enviados e as mensagens do provedor): sem prazo de expurgo automático. Não existe faxina que apague essas linhas, e dizemos isso porque é o que o sistema faz — não um prazo que gostaríamos de ter. O registro da assinatura e o dos avisos são apagados junto com o negócio; a mensagem do provedor fica, sem o vínculo com o negócio, porque é o comprovante contábil de um dinheiro que entrou. Pedido de remoção é tratado conforme a seção 12.
• Identificador de estatísticas: some do seu navegador ao fechar a aba; os eventos agregados são apagados automaticamente 365 dias depois.
• Dado técnico de limite de tentativas (IP): algumas horas, apagado em rotina automática.
• Registro de acesso administrativo (seção 11): 5 anos. É mais longo que os demais de propósito — um incidente descoberto tarde precisa de rastro que ainda exista para ser investigado (LGPD art. 16, I).

9. Dado sensível — atenção especial

O campo de observações do agendamento é de texto livre. Como o tenhora.com também atende negócios de saúde e bem-estar, é possível que alguém escreva ali, por conta própria, uma informação sensível (ex.: uma condição de saúde). Nesse campo, a plataforma não pede nem exige esse tipo de dado, e recomendamos fortemente que você não o inclua ali — informe só o que for necessário para o atendimento. Se um negócio precisa coletar dado sensível de forma estruturada, essa é uma decisão e uma responsabilidade dele, com base legal própria (LGPD art. 11).

O estabelecimento pode criar um formulário próprio por serviço, com as perguntas que ele escolher. Nós fornecemos a ferramenta; as perguntas, a finalidade e a base legal são dele — inclusive o consentimento específico e destacado que o art. 11 da LGPD exige quando a pergunta envolve saúde. Ele pode marcar uma pergunta como obrigatória, e nesse caso o agendamento pela página pública não é concluído sem a resposta. Se você não quiser responder, ou se a pergunta não fizer sentido para o atendimento, fale com o estabelecimento: é ele quem decide o que perguntar, e é ele quem pode marcar o seu horário sem o formulário. As respostas ficam na sua ficha naquele estabelecimento, com uma cópia junto do agendamento, e são apagadas quando ele exerce o apagamento a seu pedido.

O estabelecimento também pode exigir que você aceite um termo — autorização, consentimento informado, regulamento — antes de agendar. Cada documento é aceito separadamente, nunca num "aceito tudo": é assim que o consentimento fica específico e destacado, como o art. 11 pede. O que guardamos desse aceite está na seção 3, e por quanto tempo, na seção 8.

Quem atende você pode escrever um registro de atendimento na sua ficha naquele estabelecimento: o que foi feito naquele dia, em texto livre. Escreve quem atendeu — o dono ou o profissional —, e o registro guarda o nome de quem escreveu. Em negócio de saúde, esse texto é dado de saúde. Como no formulário acima, nós fornecemos a ferramenta; o que é escrito, a finalidade e a base legal são dele (seção 1). É uma anotação de trabalho do estabelecimento e não substitui prontuário — veja os Termos de uso, seção 2.

Quem lê esse texto dentro do painel do estabelecimento:

• quem escreveu, sempre;
• o dono do negócio, se a leitura dele estiver ligada. Ela vem ligada, e ele pode desligá-la; desligada, ele continua vendo que o registro existe, sem o texto;
• o resto da equipe, só se o dono ligar o compartilhamento — que vem desligado — e só sobre as pessoas que aquele profissional atendeu.

Ligar qualquer uma das duas não abre o que já foi escrito: cada registro guarda como as permissões estavam no momento em que foi fechado, e é esse retrato que decide quem o lê depois. Enquanto o registro é rascunho, só quem o escreve o vê.

O texto vai inteiro na cópia dos seus dados. Quando você pede ao estabelecimento a cópia do que ele guarda sobre você (LGPD art. 18, II), os registros fechados vão dentro, com o texto completo — inclusive os que o dono não lê no painel, porque o direito de receber é seu, não dele. É o dono quem gera essa cópia: você não tem conta aqui, e ele é o canal. Toda geração fica registrada, com a data; e quando a cópia leva o texto de um registro que o dono não lia, quem escreveu aquele registro é avisado no painel.

No apagamento, o registro vai junto. Quando o estabelecimento apaga seus dados a seu pedido (seção 12), a sua ficha sai e os registros escritos sobre você saem com ela, texto incluído. Excluir o negócio leva os registros dele junto. Já excluir a conta de quem escreveu não apaga o texto: o registro é do negócio, passa a não apontar para conta nenhuma e continua dizendo quem escreveu pelo nome guardado nele.

Gravar ou ditar o registro exige a sua autorização. Com a transcrição por voz, quem atende pode gravar o atendimento ou ditar o registro depois, e o áudio vira texto e um rascunho para ele revisar. Isso só acontece se você assinar o termo de gravação daquele atendimento — na hora, no estabelecimento, ou antes, pelo link do seu agendamento, quando o estabelecimento o envia. O termo diz que o áudio é transcrito pela Deepgram, na União Europeia, e que o texto transcrito vai à Anthropic, nos Estados Unidos, para montar o rascunho. Autorizar é opcional: se você não autorizar, seu agendamento e seu atendimento seguem iguais, e quem atende escreve à mão. Sem agendamento não há termo, e sem termo não há gravação.

Você retira a autorização quando quiser, pelo link do seu agendamento ou avisando o estabelecimento, que registra o pedido no painel. A partir daí não há nova gravação daquele atendimento, e a transcrição e o rascunho dele são apagados. Fica o texto que quem atendeu escreveu, porque é o registro do atendimento que você recebeu, e ficam a duração do áudio e o nome do serviço que transcreveu, que não dizem nada do que foi falado.

No painel, só quem gravou lê a transcrição e o rascunho — o dono do negócio não os lê, nem com a leitura dos registros ligada. Nenhuma impressão de voz é guardada: as falas são separadas por número, sem identificar ninguém pela voz. A transcrição e o rascunho vão na cópia dos seus dados junto com o registro fechado, e saem com ele no apagamento.

10. Como protegemos os dados

• Senhas nunca são armazenadas em texto puro — usamos hash Argon2id, recomendado pela OWASP;
• Conexão criptografada (HTTPS) em produção;
• Controle de acesso por conta: cada negócio só acessa seus próprios dados;
• Limite de tentativas contra força bruta e criação de conta em massa;
• Verificação anti-robô nos formulários públicos;
• Arquivo enviado (ex.: logo) é validado pelo conteúdo real, não pela extensão informada, e renomeado aleatoriamente.

Nenhum sistema é infalível — se identificarmos incidente que afete dado pessoal, notificaremos conforme a LGPD exigir.

11. Acesso administrativo da plataforma

A equipe que opera o tenhora.com tem um painel administrativo próprio, separado do painel que você usa. Ele existe para manter o serviço no ar, dar suporte e investigar abuso — e como ele é a única parte do sistema que enxerga mais de um negócio, achamos que você tem o direito de saber exatamente como ele funciona.

Em quais situações acessamos

• quando você pede suporte e o problema exige olhar a sua configuração;
• para investigar incidente de segurança, fraude ou uso que viole os Termos de uso;
• para cumprir obrigação legal ou ordem de autoridade competente.

Fora dessas situações, não acessamos. Não usamos dado de um negócio para fins comerciais próprios, não montamos lista de contatos a partir dele e não o vendemos — isso já está na seção 6 e vale igualmente aqui.

Como esse acesso é controlado

• Conta separada e com dois fatores obrigatórios. O acesso administrativo não usa a mesma conta nem a mesma senha de nenhum painel de negócio, e exige um aplicativo autenticador — senha sozinha não entra.
• Dado pessoal aparece coberto por padrão. Nome, e-mail e telefone aparecem parcialmente ocultos nas telas. Ver o valor completo é uma ação separada, que exige justificativa escrita e fica registrada.
• O campo de observações do agendamento não é lido pelo painel administrativo. Como ele é texto livre e pode conter dado sensível (seção 9), ele simplesmente não é carregado por essas telas.
• Tudo fica registrado — inclusive a simples consulta. Cada tela aberta, cada busca e cada ação gera uma linha num registro que a própria aplicação não consegue apagar nem alterar, e que guarda o que foi consultado, nunca o conteúdo consultado.
• Ações sobre uma conta exigem justificativa e nova confirmação em dois fatores, e a lista do que pode ser feito é fechada — não existe edição livre dos dados do seu negócio pelo painel administrativo.
• Não existe “entrar como você”. A plataforma não tem função de assumir a sua sessão: o que fosse feito ali apareceria como se fosse você, e nós não achamos isso aceitável.

Congelamento de conta

Em caso de fraude, violação dos Termos ou suspeita de conta invadida, podemos congelar o acesso. Congelar bloqueia o login, tira a página pública do ar e interrompe o envio automático de mensagens, sempre com motivo registrado. Não apagamos nada, e descongelar devolve tudo ao estado anterior. Seus agendamentos já existentes continuam válidos.

Base legal

Para dado da sua conta (dono ou profissional), somos controladoras e o acesso se apoia na execução do contrato (art. 7º, V) e no legítimo interesse em segurança e prevenção a fraude (art. 7º, IX). Para dado do cliente final, somos operadoras: não temos base legal própria e agimos apenas sob a instrução do negócio contratante, nas hipóteses acima — o que está escrito na cláusula correspondente dos Termos de uso.

12. Seus direitos

Conforme o Art. 18 da LGPD, você pode solicitar:

• confirmação de que tratamos seu dado, e acesso a ele;
• correção de dado incompleto, inexato ou desatualizado;
• anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade;
• portabilidade a outro fornecedor — o pacote sai em formatos abertos, legíveis fora daqui;
• informação sobre com quem compartilhamos seu dado;
• revogação do consentimento (ex.: desligar cookies de estatísticas a qualquer momento);
• eliminação do dado tratado com base no consentimento, quando você o revogar.

Se você é cliente de um negócio que usa a plataforma, o pedido é atendido primeiro por aquele negócio (é ele quem decide sobre esse dado, seção 1) — a plataforma dá a ele as ferramentas para atender, incluindo gerar a cópia do que ele guarda sobre você, com o texto dos registros de atendimento (seção 9), apagar o rastro de mensagens de WhatsApp enviadas a você e anonimizar os termos que você aceitou (seção 8). Se preferir, também pode escrever para nós.

Para levar seus dados, não precisa pedir. Em Configurações, seção Seus dados, quem administra o negócio baixa a cópia do que o negócio guarda. Em Minha conta, seção Seus dados, Baixar meus dados monta a cópia do seu cadastro. As duas ficam prontas sem depender de ninguém atender.

Para excluir, também não precisa pedir. Em Minha conta, seção Excluir minha conta, você encerra a sua conta. Em Configurações, seção Excluir este negócio, quem é dono exclui um negócio — e os negócios saem antes da conta.

Nos dois casos a exclusão acontece 30 dias depois do pedido, e nesse período dá para desistir. No negócio, a página pública sai do ar na hora, e a última semana já não volta atrás: sete dias antes do fim cancelamos os agendamentos futuros e avisamos os clientes, então quem desiste depois disso recebe o negócio de volta sem a agenda. Baixe a cópia dos seus dados antes — depois do prazo, não há como recuperar.

Da exclusão sobra um registro de que ela aconteceu: a data, o desfecho e um código derivado do identificador do que foi excluído. Sem nome, sem e-mail e sem o endereço da página — é o que nos permite provar que atendemos ao pedido sem guardar quem o fez.

Para o que não estiver nessas telas, e para quem não tem conta, escreva para privacidade@tenhora.com. Respondemos em até 15 dias, o prazo que a LGPD nos dá.

Como pequena empresa, atendemos esses pedidos por este canal de comunicação em vez de um encarregado formalmente nomeado — tratamento diferenciado previsto na Resolução CD/ANPD nº 2/2022 para agentes de tratamento de pequeno porte.

13. Cookies e tecnologias semelhantes

Cookie essencial não pede consentimento — sem ele o site não funciona ou fica inseguro. Cookie não-essencial só é usado se você consentir, e você pode mudar de ideia a qualquer momento.

Você pode revisar e mudar sua escolha a qualquer momento:

14. Crianças e adolescentes

A plataforma é destinada a maiores de 18 anos para criação de conta de dono ou profissional. Um agendamento pode ser feito em nome de um dependente (ex.: um filho) por um responsável — nesse caso, o responsável é quem fornece e autoriza o dado.

15. Alterações nesta política

Podemos atualizar esta política para refletir mudança no serviço, em prestadores ou na lei. A data no topo desta página sempre mostra a versão vigente; mudanças relevantes serão comunicadas com antecedência razoável.

16. Contato e encarregado

Dúvidas, solicitações ou reclamações sobre tratamento de dado pessoal: privacidade@tenhora.com.

Essa mensagem chega a nós por encaminhamento: quem a transporta e quem a guarda estão na seção 6.