Política de Privacidade

O Avivar CRM é uma plataforma de gestão de relacionamento com clientes (CRM) desenvolvida e operada pela Avivar Treinamentos e Consultoria Ltda, inscrita no CNPJ sob o nº 56.226.308/0001-04, com sede na Av. Rui Barbosa, 1540, Aldeota, Fortaleza/CE, CEP 60.115-221.

A plataforma é oferecida como serviço (SaaS) para clínicas médicas e estéticas, permitindo que essas empresas gerenciem seus leads, automações de atendimento e canais de comunicação — incluindo WhatsApp, Instagram Direct e outras redes sociais — em um único ambiente.

Coletamos as seguintes categorias de dados no contexto da operação da plataforma:

• Dados de usuários da plataforma: nome, e-mail, cargo, senha (hash), histórico de ações no CRM.
• Dados de leads e pacientes: nome, telefone, e-mail, histórico de mensagens recebidas e enviadas, procedimentos de interesse, fotos enviadas para avaliação clínica.
• Dados de canais conectados: tokens de acesso de WhatsApp (Meta Cloud API / UZApi), tokens de acesso de contas do Instagram Business e Facebook Pages conectadas pelos clientes da plataforma.
• Dados de contas Google conectadas: e-mail da conta, token de acesso (criptografado), identificador e nome da agenda escolhida, eventos da agenda (identificador, início, fim e título) e os arquivos de planilha que o usuário escolher importar. Detalhes na seção Dados do Google.
• Dados de uso: logs de atividade, timestamps de mensagens, metadados de conversas (status, duração, atendente responsável).
• Dados de cobrança: dados de faturamento fornecidos pelos clientes empresariais (não armazenamos dados de cartão de crédito diretamente).

O Avivar CRM permite que empresas clientes conectem suas contas do Instagram Business e Facebook Pages à plataforma por meio do fluxo OAuth oficial da Meta. Após a autorização, a plataforma:

• Recebe mensagens diretas (DMs) do Instagram e mensagens do Facebook Messenger enviadas para a conta conectada, via Webhooks da Meta Plataforms Graph API.
• Armazena o conteúdo dessas mensagens em banco de dados seguro e isolado por tenant (empresa cliente), exclusivamente para fins de atendimento ao cliente.
• Permite que atendentes humanos da empresa cliente visualizem e respondam às mensagens diretamente na interface do CRM.
• Exibe um ícone identificador do canal de origem (Instagram, WhatsApp, Facebook) em cada conversa para diferenciação visual.

Os dados de mensagens coletados via API da Meta são utilizados exclusivamente para:

1. Exibir as mensagens para o atendente responsável na plataforma;
2. Possibilitar respostas enviadas de volta ao usuário via API da Meta;
3. Registrar o histórico de atendimento para uso interno da empresa cliente.

Não utilizamos dados de mensagens do Instagram ou Facebook para treinamento de modelos de inteligência artificial, publicidade, perfilamento ou qualquer finalidade além do atendimento direto ao cliente.

Os tokens de acesso (access tokens) fornecidos pela Meta são armazenados de forma criptografada e nunca são expostos a terceiros. O acesso é revogado imediatamente quando o cliente desconecta sua conta da plataforma.

Utilizamos os dados coletados para as seguintes finalidades, com base legal correspondente conforme a LGPD (Lei nº 13.709/2018):

• Prestação do serviço de CRM: operação e manutenção da plataforma, incluindo armazenamento e exibição de conversas. (Base: execução de contrato — Art. 7º, V)
• Automação de atendimento: processamento de mensagens por agentes de IA para qualificação de leads e agendamento de consultas. (Base: legítimo interesse — Art. 7º, IX)
• Análise de imagens clínicas: processamento de fotos enviadas por leads para classificação por IA, exclusivamente para fins de triagem clínica. (Base: consentimento — Art. 7º, I)
• Melhoria do serviço: análise agregada e anonimizada de métricas de uso para aprimoramento da plataforma. (Base: legítimo interesse — Art. 7º, IX)
• Cumprimento de obrigações legais: atendimento a requisições de autoridades competentes quando legalmente exigido. (Base: cumprimento de obrigação legal — Art. 7º, II)

Não vendemos dados pessoais. Compartilhamos dados apenas nas seguintes situações:

• Subprocessadores de infraestrutura: Supabase (banco de dados e armazenamento), Vercel (hospedagem frontend), Easypanel/Hostinger (hospedagem backend), Cloudflare (rede e proteção de tráfego) — todos operam sob contratos de processamento de dados adequados.
• APIs de comunicação: Meta Platforms (WhatsApp, Instagram, Facebook) para envio e recebimento de mensagens; UZApi como provedor alternativo de WhatsApp.
• APIs do Google: Google Calendar API (leitura e escrita de eventos na agenda escolhida pela empresa cliente, criação de links do Google Meet) e Google Drive/Sheets API (leitura das planilhas que o usuário escolher importar). Os dados trafegam entre a plataforma e o Google exclusivamente para executar essas funções.
• Provedores de inteligência artificial: Google (modelos Gemini) para processamento de mensagens; OpenAI para processamento de mensagens, análise de imagens e transcrição de áudios; Anthropic (modelos Claude) para análise de imagens — conforme os termos de uso de cada provedor.
• Autoridades legais: quando exigido por lei, ordem judicial ou requisição de autoridade competente.

Cada empresa cliente (tenant) acessa exclusivamente seus próprios dados. A arquitetura da plataforma garante isolamento total entre tenants — nenhuma empresa tem acesso aos dados de outra.

Mantemos os dados pelo tempo necessário para as finalidades descritas nesta política:

• Histórico de conversas: enquanto o contrato com a empresa cliente estiver ativo, mais 90 dias após o encerramento.
• Tokens de acesso (Meta API e Google): até a revogação pelo cliente ou encerramento do contrato. Ao desconectar uma conta Google, o token é revogado junto ao Google e os horários bloqueados importados da agenda são apagados do CRM.
• Logs de atividade: 12 meses.
• Dados de faturamento: 5 anos, conforme obrigação fiscal.
• Dados de leads: enquanto o contrato com a empresa cliente estiver ativo. O cliente pode solicitar exclusão a qualquer momento.

Adotamos medidas técnicas e organizacionais para proteger os dados:

• Comunicações via HTTPS/TLS em todos os endpoints.
• Tokens de acesso armazenados com criptografia em repouso.
• Row Level Security (RLS) no banco de dados, garantindo isolamento por tenant.
• Autenticação com tokens JWT de curta duração.
• Credenciais e segredos gerenciados exclusivamente via variáveis de ambiente — nunca hardcoded no código.
• Acesso interno aos dados de produção restrito e auditado.

Nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), você tem os seguintes direitos em relação aos seus dados pessoais:

• Confirmação e acesso: saber se tratamos seus dados e acessar uma cópia.
• Correção: solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Exclusão: solicitar a exclusão de dados desnecessários ou tratados em desconformidade com a lei.
• Portabilidade: receber seus dados em formato estruturado e interoperável.
• Revogação do consentimento: revogar consentimentos previamente concedidos a qualquer momento.
• Oposição: opor-se a tratamentos realizados com base em legítimo interesse.

Para exercer esses direitos, entre em contato pelo e-mail indicado na seção de Contato. Responderemos em até 15 dias úteis.

Se você é um lead ou paciente de uma clínica que usa o Avivar CRM, a empresa cliente é a controladora dos seus dados. Recomendamos entrar em contato diretamente com ela. Podemos auxiliar na mediação quando necessário.

O Avivar CRM é uma plataforma B2B destinada exclusivamente a empresas e profissionais adultos. Não coletamos intencionalmente dados pessoais de menores de 13 anos.

Os leads atendidos pelas clínicas clientes são, em sua maioria, adultos interessados em procedimentos estéticos e médicos. Caso identifiquemos coleta inadvertida de dados de menor de 13 anos, esses dados serão excluídos imediatamente.

O Avivar CRM permite que a empresa cliente conecte contas Google à plataforma por meio do fluxo OAuth oficial do Google. A autorização é concedida pela própria empresa, na página de login do Google; a Avivar nunca recebe nem armazena a senha da conta. A conexão pode ser desfeita a qualquer momento, pelo botão "Desconectar" no CRM ou pela página de permissões da Conta Google (myaccount.google.com/permissions).

Google Agenda — escopos calendar.events e calendar.calendarlist.readonly:

• Lista de agendas da conta: usada apenas para a empresa escolher em qual agenda a integração vai operar. Guardamos somente o identificador e o nome da agenda escolhida.
• Leitura de eventos da agenda escolhida: lidos periodicamente (próximos 30 dias) para marcar como ocupados, na agenda do CRM, os horários em que o profissional já tem compromisso — o que impede a equipe e o assistente automatizado de marcar consulta em cima. De cada evento guardamos apenas identificador, início, fim e título, exibidos exclusivamente aos usuários da empresa cliente como "horário bloqueado". Participantes, descrição, anexos e demais detalhes não são lidos nem armazenados.
• Criação, atualização e exclusão de eventos: os agendamentos feitos no CRM são espelhados como eventos na agenda escolhida (nome do paciente, horário, telefone, serviço e observações registrados pela clínica). Para consultas online, o evento é criado com um link do Google Meet, que fica guardado no agendamento para ser enviado ao paciente na confirmação e nos lembretes da consulta.

Google Planilhas / Google Drive — escopo drive.file:

• Acesso somente aos arquivos que o usuário escolher explicitamente pelo seletor de arquivos do Google, para importar contatos (leads) de uma planilha. Nenhum outro arquivo do Drive é listado ou lido.

Identificação da conta — escopos openid e email: usados apenas para exibir, no CRM, qual conta Google está conectada.

Os tokens de acesso fornecidos pelo Google são armazenados criptografados (AES-256-GCM), nunca são exibidos na interface nem compartilhados com terceiros, e são revogados junto ao Google quando a empresa desconecta a conta.

Os dados obtidos pelas APIs do Google:

• Não são vendidos nem usados para publicidade, perfilamento ou pontuação de crédito;
• Não são usados para desenvolver, aprimorar ou treinar modelos de inteligência artificial ou aprendizado de máquina generalizados;
• Não são transferidos a terceiros, exceto quando necessário para prestar ou melhorar as funções descritas acima (infraestrutura listada na seção Compartilhamento), por exigência legal, ou com consentimento explícito do usuário;
• Não são lidos por pessoas da Avivar, salvo com consentimento explícito do usuário para suporte, para fins de segurança (investigação de abuso), para cumprir obrigação legal, ou de forma agregada para operação interna.

Para dúvidas, solicitações de direitos ou reportar incidentes de privacidade, entre em contato:

Esta política pode ser atualizada periodicamente. Alterações significativas serão comunicadas aos clientes por e-mail com antecedência mínima de 15 dias. A versão mais recente estará sempre disponível nesta URL.