Política de Privacidade e Proteção de Dados

1. Identificação e canal de privacidade

A plataforma é operada por 27.820.662 EROS RODRIGO MILANEZ DE FREITAS, inscrita no CNPJ sob o nº 27.820.662/0001-64, com sede na Rua Rangel Pestana, 672, Sala 2, Centro, Piracicaba/SP, CEP 13400-380. O canal de privacidade é [email protected]; suporte comercial e técnico: [email protected] e +55 19 99945-8184.

27.820.662 EROS RODRIGO MILANEZ DE FREITAS, na qualidade de agente de tratamento de pequeno porte, faz uso da dispensa de indicação formal de Encarregado pelo Tratamento de Dados Pessoais (DPO), nos termos do art. 11, caput, da Resolução CD/ANPD nº 2/2022 da Autoridade Nacional de Proteção de Dados.

Em cumprimento ao art. 11, § 1º, da referida Resolução, mantemos canal direto de comunicação com os titulares de dados para o atendimento aos direitos previstos no art. 18 da Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD): [email protected]. O recebimento é confirmado em até 2 (dois) dias úteis, e os prazos de resposta constam da seção "Direitos dos titulares".

A dispensa cessa por exclusão do regime facilitado, nos termos do art. 3º, I, da mesma Resolução, seja pela perda dos requisitos de agente de pequeno porte, seja pelo enquadramento em tratamento de alto risco. Nessa hipótese volta a incidir a regra geral do art. 41, caput, da LGPD, e a indicação do encarregado passa a ser obrigação legal, independentemente de determinação individual da ANPD, que conserva competência para determinar medidas corretivas (arts. 52 e 55-J, IV, da LGPD).

2. Papéis no tratamento

A Automanexia é controladora dos dados de visitantes, usuários da conta, faturamento, suporte e segurança. A empresa cliente é controladora dos dados de seus contatos, leads e clientes; nesse contexto, a Automanexia atua como operadora conforme o DPA.

3. Dados, finalidades e bases legais

• Cadastro, autenticação, empresa e cobrança: execução do contrato e procedimentos preliminares.
• Login social com Google: execução do contrato. Ao entrar com "Continuar com Google", a Automanexia recebe do Google apenas e-mail e nome do perfil (escopos padrão do login OpenID Connect), usados só para autenticar e identificar a conta. É fluxo distinto da integração com Google Calendar e Google Drive, descrita em seção própria adiante.
• IP, data, navegador e registros de acesso: segurança, prevenção a fraude e obrigações legais aplicáveis.
• Contato comercial: consentimento ou legítimo interesse avaliado no caso concreto, sempre com oposição simples.
• Conteúdo operacional do CRM: tratado sob instruções da empresa controladora para prestar as funcionalidades contratadas.
• Informação clínica registrada no módulo de acompanhamento contratado: dado pessoal sensível, sob as hipóteses do art. 11 da LGPD detalhadas na seção seguinte.

4. Dados de saúde no módulo de acompanhamento

As clínicas, consultórios e profissionais de saúde que contratam o módulo de acompanhamento registram nele informação clínica de seus pacientes. Esse conteúdo é dado pessoal sensível na definição do art. 5º, II, da LGPD, e recebe tratamento distinto do restante do CRM, descrito nesta seção e detalhado no Acordo de Processamento de Dados.

O tratamento é sustentado pelas hipóteses do art. 11 da LGPD: consentimento específico e destacado do titular (art. 11, I) ou tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde (art. 11, II, alínea f), conforme o contrato firmado com cada estabelecimento.

O contratante do módulo é o controlador desses dados, definindo finalidades e meios, além de responder pelo registro oficial do atendimento. A Automanexia atua como operadora: trata o conteúdo clínico somente sob instrução documentada do controlador e não tem finalidade própria sobre ele.

• Finalidade: apoiar o atendimento e a organização de informações clínicas em ambiente de CRM; permitir a exportação para o sistema oficial do contratante; e apoiar a redação de notas clínicas com inteligência artificial, sem substituir a decisão do profissional.
• Retenção: regime comum de CRM, com os prazos da seção de retenção desta política, não se aplicando o regime de guarda do prontuário oficial, que permanece com o estabelecimento em seu próprio sistema. Os dados podem ser anonimizados ou eliminados a pedido do titular ou do controlador.
• Compartilhamento: o conteúdo clínico é compartilhado apenas com o contratante do módulo. O suporte da plataforma não acessa conteúdo clínico, pois o módulo está fora do alcance das ferramentas internas de operação e suporte.
• Acesso interno ao contratante: a leitura é compartimentada por profissional e liberada pelo responsável paciente a paciente, e toda leitura de conteúdo clínico fica registrada em auditoria.
• Direitos do titular: acesso, correção, exclusão, anonimização e portabilidade, além do direito de revogar o consentimento a qualquer momento, com o mesmo esforço com que ele foi dado.

5. Triagem automática em contas de clínica

Nas contas que se identificam como clínica ou consultório no cadastro, e somente nelas, cada mensagem recebida por WhatsApp passa por uma triagem automática antes de ser respondida pelo atendimento automático, com finalidade única: detectar se a mensagem contém informação de saúde e, em caso positivo, interromper o atendimento automático e solicitar ao próprio titular a autorização específica exigida pelo art. 11 da LGPD.

A triagem examina a mensagem recebida e, quando houver, as que chegaram depois da última resposta automática (a exemplo do período em que a conversa esteve com a equipe), sem o restante do histórico da conversa. Não produz decisão sobre a pessoa, não alimenta perfil e não é usada para nenhuma outra finalidade. A base legal desse passo é o legítimo interesse restrito a essa finalidade protetiva, declarado também na Política de Uso Aceitável; para as demais contas, permanece integral a regra de não inserir dado sensível nos campos livres do CRM. O histórico importado do aplicativo WhatsApp Business não passa por essa triagem, porque não é lido pela inteligência artificial nem respondido automaticamente.

6. Cookies e medição de audiência

O site institucional em automanexia.com usa cookies e identificadores equivalentes em duas categorias, com tratamento jurídico distinto. Os cookies necessários (sessão, preferência e proteção contra abuso) sustentam funcionalidades que o próprio visitante pediu e não dependem de consentimento. Os cookies de medição de audiência não são necessários ao funcionamento do site e só são gravados após consentimento livre, informado e inequívoco, na forma do art. 7º, I, da LGPD.

A medição de audiência é feita pelo Google Analytics 4, carregado pelo Google Tag Manager, e pelo Microsoft Clarity, que registra mapas de calor e gravações de sessão para entender como o visitante interage com as páginas. Enquanto não houver consentimento, nenhuma tag de medição é executada e nenhum identificador de análise é gravado: o consentimento é condição de carregamento, não filtro aplicado depois da coleta.

O Clarity mascara por padrão o conteúdo de campos de formulário e áreas marcadas como sensíveis antes de gravar a sessão, mas isso é uma proteção da ferramenta, não uma garantia de que nenhum dado pessoal visível na tela seja capturado. Por esse motivo, a gravação de sessão só roda com o mesmo consentimento explícito exigido do Google Analytics, nunca por padrão.

A recusa é tão simples quanto o aceite, apresentada com o mesmo destaque, e não restringe nenhuma funcionalidade do site. A escolha fica registrada no navegador do visitante e pode ser revista a qualquer momento pelo mesmo painel, inclusive para revogar consentimento já dado, com efeito imediato sobre as duas ferramentas.

A aplicação em app.automanexia.com não recebe medição de audiência de terceiro. A decisão é deliberada e não uma omissão: é área autenticada que pode conter dado pessoal sensível, e a observabilidade ali se limita a métricas agregadas de desempenho, sem cookie e sem identificação do usuário.

Separadamente do Google Analytics, os dois endereços usam a medição agregada da Vercel, que hospeda a plataforma. Ela não grava cookie nem identificador persistente: para contar visitantes distintos sem armazenar nada no navegador, deriva um valor temporário a partir dos dados da própria requisição, descartado e reconstituído a cada dia. Por não depender de armazenamento no dispositivo do visitante nem permitir reconhecê-lo depois, opera sob legítimo interesse na medição de desempenho e disponibilidade, e não sob consentimento, razão pela qual não integra o painel de escolha.

O conteúdo público do site institucional e das páginas da Automanexia em redes sociais pode ser lido e copiado de forma automática por robôs de plataformas com as quais a Automanexia se relaciona, como a Meta, inclusive para o desenvolvimento e o treinamento dos sistemas dessas empresas, conforme os termos delas. Isso alcança apenas o que é público, sem login; a aplicação em app.automanexia.com, que exige acesso autenticado, não é alcançada.

• Dados coletados na medição: páginas visitadas, origem do acesso, tipo de dispositivo e navegador, e um identificador pseudonimizado do navegador. O Google Analytics 4 não armazena o endereço IP do visitante.
• Dados coletados na gravação de sessão: movimentos e cliques do mouse, rolagem e um identificador pseudonimizado do navegador, com máscara automática de campos de formulário e áreas sensíveis pelo Microsoft Clarity.
• Finalidade: conhecer volume, origem e comportamento de navegação das visitas para orientar comunicação e melhorias do site. Não há decisão automatizada sobre pessoas, criação de perfil para publicidade nem cruzamento com a base de clientes.
• Base legal: consentimento (art. 7º, I, da LGPD) para a medição; execução do contrato e legítimo interesse em segurança para os cookies necessários.
• Compartilhamento: os dados de medição são tratados pelo Google e pela Microsoft, que constam da lista pública de subprocessadores e operam fora do Brasil; incidem as mesmas ressalvas de transferência internacional descritas na seção seguinte.
• Retenção: dois meses no Google Analytics, o menor prazo oferecido pela ferramenta; um ano nas gravações de sessão do Clarity, prazo padrão da ferramenta.

7. Dados do WhatsApp e a Meta

Quando a empresa cliente usa o canal WhatsApp, as mensagens trafegam pela WhatsApp Business Platform, operada pela Meta, que trata os dados sob os termos e a política de privacidade dela. A Automanexia recebe da Meta o conteúdo das mensagens, o número e o nome de perfil de quem escreve e os registros de entrega (e, quando o número também está em uso no aplicativo WhatsApp Business do celular, as mensagens enviadas pelo aplicativo e o histórico descrito na seção seguinte), tratando esses dados na condição de operadora da empresa cliente, somente para prestar o serviço contratado.

A Automanexia não usa dados recebidos pelo WhatsApp para finalidade própria nem para publicidade, não monta perfis de pessoas usuárias do WhatsApp, não os vende nem os licencia, e não os usa para treinar, desenvolver ou melhorar modelos de inteligência artificial, próprios ou de terceiros.

Quando a inteligência artificial está ativada, trechos das conversas são enviados ao provedor de IA da forma escolhida pela empresa cliente (o provedor da chave própria dela ou, na IA Oficial, o Google Cloud contratado pela Automanexia), apenas na medida necessária para gerar a resposta. O histórico importado do aplicativo WhatsApp Business, descrito na seção seguinte, não é enviado ao provedor de IA.

8. Aplicativo WhatsApp Business no mesmo número

A empresa cliente pode conectar à plataforma um número que continua em uso no aplicativo WhatsApp Business do celular dela. Nesse caso, a Meta passa a enviar à Automanexia também as mensagens que a equipe da empresa cliente envia pelo aplicativo, e elas são gravadas na conversa correspondente, identificadas como enviadas pelo celular. Essas mensagens integram o conteúdo operacional do CRM e, quando a inteligência artificial volta a atender aquela conversa, fazem parte do contexto que ela consulta.

Na conexão do número, a Automanexia solicita à Meta o histórico das conversas individuais do aplicativo dos últimos seis meses; mensagens de grupo não são recebidas. A Meta só o entrega se a empresa cliente autorizar o compartilhamento no próprio aplicativo, e o pedido é feito uma vez a cada conexão do número. Se o compartilhamento for recusado, o histórico não é importado; se for desligado durante a entrega, a importação é interrompida, e o que já havia sido recebido permanece no CRM.

O histórico importado recebe tratamento restrito. As conversas criadas pelo histórico entram encerradas, as mensagens do histórico entram lidas e ficam identificadas como histórico, e uma conversa antiga reabre quando a pessoa volta a escrever pelo canal conectado. Como esse conteúdo foi trocado antes da conexão, sem a triagem e sem a autorização específica que o atendimento automatizado exige para informação de saúde, ele não é lido pela inteligência artificial da plataforma (nem no atendimento automático, nem nos recursos de apoio à equipe como sugestões de resposta, rascunhos e resumos), não passa pela triagem automática, não abre a janela de atendimento de 24 horas e não dispara automações, fluxos ou mensagens às pessoas que nele aparecem. A equipe da empresa cliente o consulta como as demais conversas.

Cada pessoa com quem houve conversa no histórico passa a constar dos contatos da empresa cliente, identificada pelo número ou pelo identificador do WhatsApp, sem que isso represente consentimento para receber comunicações. A agenda de contatos do celular não é importada: a sincronização realizada pela Meta na conexão a inclui, mas ela é descartada no recebimento, sem gravação em banco de dados, e apenas a quantidade de contatos recebidos fica em registro técnico.

Arquivos enviados ou recebidos pelo aplicativo (imagem, áudio, vídeo, documento e similares) não são baixados nem armazenados pela plataforma, tanto nas mensagens enviadas pelo celular quanto no histórico: a conversa registra apenas a indicação do tipo de arquivo.

Quando a Meta informa que desligou o número da plataforma (por exemplo, por inatividade do aplicativo no aparelho), a Automanexia registra no próprio número apenas o código do evento, o motivo e quem o iniciou, conforme informados pela Meta, e a data do aviso, para orientar a empresa cliente a reconectá-lo. Nenhum conteúdo de conversa compõe esse registro.

Os papéis não mudam nesse modo: a empresa cliente é controladora das conversas, inclusive das enviadas pelo aplicativo e das importadas do histórico; a Automanexia atua como operadora, na forma do Acordo de Processamento de Dados; e o aplicativo WhatsApp Business e a WhatsApp Business Platform são operados pela Meta, que trata os dados sob os termos e a política de privacidade dela. O histórico importado e as mensagens enviadas pelo aplicativo seguem a retenção do conteúdo operacional do CRM, e a empresa cliente pode pedir sua eliminação pelos canais oficiais. Cabe à empresa cliente informar seus clientes finais sobre esse tratamento em seu próprio aviso de privacidade.

9. Fornecedores e transferências

A plataforma utiliza fornecedores de infraestrutura, mensageria, inteligência artificial, pagamentos, e-mail, monitoramento e proteção de borda. A lista pública de subprocessadores informa função e localização conhecida.

Sobre o uso de inteligência artificial em especial, a empresa cliente escolhe entre duas formas. Na IA Oficial da Automanexia, a Automanexia contrata o Google Cloud (Vertex AI, modelo Gemini) como suboperador: o texto das conversas é enviado ao Google apenas para gerar a resposta, é tratado sob os termos de tratamento de dados do Google Cloud, que vedam o uso desse conteúdo para treinar modelos sem autorização, e o processamento ocorre em servidores do Google fora do Brasil, com transferência amparada pelas cláusulas-padrão contratuais do contrato do Google Cloud. Na chave própria, o provedor é o escolhido pela empresa cliente, com a chave própria dela (BYOK, OpenAI ou Gemini). A OpenAI declara em sua política de uso de dados por API que entradas e saídas processadas por essa via não são usadas para treinar modelos, diferentemente dos produtos de consumidor da mesma empresa. Quando a empresa cliente opta por processar com sua própria chave do Gemini, a mesma garantia depende do tipo de conta que ela mantém junto ao Google: contas com faturamento ativo têm a política equivalente de não uso para treinamento; contas gratuitas da API do Gemini podem ter política diferente. Por isso a Política de Uso Aceitável veda enviar conteúdo de conversas do WhatsApp por chave cujos termos permitam usar esse conteúdo para treinar modelos, e a escolha e a manutenção do tipo de conta são responsabilidade da empresa cliente que fornece a própria chave.

Transferências internacionais somente ocorrem com mecanismo válido do art. 33 da LGPD e da Resolução CD/ANPD nº 19/2024, confirmado por fornecedor.

10. Integração com Google Calendar e Google Drive

Quando a empresa cliente conecta o Google Calendar ou o Google Drive na tela de Integrações, a Automanexia acessa dados da conta Google conectada exclusivamente para prestar essas duas funcionalidades específicas, sem qualquer outra finalidade e apenas mediante conexão voluntária realizada pela empresa cliente.

• Google Calendar (o que é acessado): os horários livres e ocupados (freebusy) da agenda conectada, para não sugerir agendamento em cima de compromisso já existente; e a permissão para criar, na mesma agenda, um evento correspondente a cada compromisso marcado no CRM.
• Google Calendar (como é usado e o que é armazenado): ao criar um compromisso no CRM, um evento correspondente é escrito na agenda do Google conectada. A Automanexia armazena apenas o identificador desse evento, para saber qual atualizar depois. O conteúdo do compromisso (contato, horário, serviço) permanece no CRM, que é a fonte de verdade; nada do calendário do Google é copiado ou duplicado em nosso banco de dados além desse identificador.
• Google Drive (o que é acessado e como é usado): apenas arquivos que a própria empresa cliente cria ou abre explicitamente através da integração, no escopo restrito do Google (drive.file). A Automanexia não lista, varre nem lê arquivos do Drive fora dessa interação explícita e pontual.
• Compartilhamento: os dados acessados do Google Calendar e do Google Drive não são compartilhados com nenhum terceiro, não são vendidos, não são usados para publicidade e não são usados para treinar modelo de inteligência artificial.
• Retenção e desconexão: a credencial de acesso (token OAuth) fica cifrada e associada à conexão enquanto ela estiver ativa. A tela de Integrações oferece "Desconectar" a qualquer momento: a credencial é desativada imediatamente e o acesso da Automanexia aos dados do Google cessa a partir de então.
• Conformidade: o uso e a transferência, pela Automanexia, de informações recebidas das APIs do Google aderem à Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use Requirements).

11. Direitos dos titulares

Solicitações de confirmação, acesso, correção, informação, oposição, revisão, portabilidade, anonimização, bloqueio ou eliminação podem ser enviadas a [email protected]. O atendimento observará a identidade do solicitante, o papel da Automanexia no tratamento e as exceções legais.

O prazo depende do papel que exercemos sobre o dado solicitado, e a distinção não é formal: ela define quem pode atender o pedido.

Dados de quem tem ou teve conta na plataforma (usuário, faturamento, endereço de acesso e registros de uso): somos controladores e respondemos diretamente, em até 15 (quinze) dias corridos contados do recebimento, prazo do art. 19, § 2º, da LGPD adotado para todos os direitos do art. 18. A identidade é conferida pela própria conta; não solicitamos documento de identificação como praxe, para não coletar dado novo a pretexto de atender pedido de privacidade.

Dados que constam dentro do sistema de uma empresa cliente (contatos, conversas, agendamentos e registros de atendimento dela): nesses casos atuamos como operadores, e a controladora é a empresa cliente, a quem cabe decidir sobre o pedido. Encaminhamos a solicitação à controladora em até 5 (cinco) dias úteis, quando identificável, e informamos o titular no mesmo prazo. Por dever de segurança da informação, não confirmamos nem negamos a existência de registro na base de qualquer cliente, e não realizamos busca por titular nas bases dos clientes para localizar de quem seria o pedido.

Pedido que envolva as duas situações é atendido em cada parte pelo caminho correspondente.

12. Segurança e incidentes

São adotados controles de isolamento por organização, autorização, cifragem de segredos, auditoria e limitação de taxa. Nenhum controle elimina integralmente o risco. Incidentes confirmados são avaliados conforme a LGPD e as regras da ANPD, com comunicação à controladora cliente quando aplicável.

13. Retenção e encerramento

Os dados são mantidos pelo tempo necessário às finalidades informadas, ao contrato, à segurança e às obrigações legais, conforme os prazos abaixo. Ainda não há rotina automatizada de expurgo implementada: a eliminação segue as instruções da empresa cliente controladora ou do titular, atendidas pelos canais oficiais. Eliminação e exportação são procedimentos atendidos manualmente, e não rotinas automáticas.

• Dados fiscais e de faturamento: 5 anos, pela prescrição tributária e civil e pelo art. 27 do CDC.
• Payload bruto de mensageria (conteúdo íntegro recebido do WhatsApp): 14 dias corridos; depois disso, sanitizado para metadado técnico de auditoria, sem o texto nem o remetente. As mensagens enviadas pelo aplicativo do celular e o histórico importado não são guardados como payload bruto: entram diretamente na conversa.
• Logs de acesso à aplicação: 6 meses, mínimo do art. 15 do Marco Civil da Internet.
• Conteúdo operacional do CRM após o encerramento do contrato: eliminação definitiva em até 30 dias corridos do fim da janela de recuperação oferecida à empresa cliente.
• Cópias de segurança (backup): expurgo completo em até 60 dias pelo ciclo de rotação técnica.
• Créditos de consumo pré-pagos: validade mínima de 12 meses a partir de cada recarga.
• Notas do módulo de acompanhamento: mesmo regime do conteúdo operacional do CRM acima; não se aplica a elas o prazo de guarda do prontuário oficial previsto na Lei nº 13.787/2018, que obriga o estabelecimento de saúde em seu próprio sistema.