1. Quem somos e quem é controlador
A ArcaHub (CNPJ 00.000.000/0000-00) é a empresa que opera o serviço Giul.ia. Para fins da Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD):
- Sobre dados das CLÍNICAS contratantes (cadastro, faturamento, contato comercial): nós somos controladora.
- Sobre dados de PACIENTES processados pelo atendimento via WhatsApp: nós somos operadora; a clínica contratante é a controladora.
2. Quais dados tratamos
Dados da clínica e gestor (controladoria nossa)
- CNPJ, razão social, nome fantasia, regime tributário, endereço;
- Nome, e-mail e telefone do gestor responsável;
- Dados de pagamento (processados pelo Mercado Pago — nós não armazenamos cartão);
- Logs de acesso ao painel (IP, navegador, horário, ação executada);
- Configurações de personalidade, ERP, horários e equipe.
Dados de pacientes (operadoria por conta da clínica)
- Telefone WhatsApp do paciente;
- Conteúdo das conversas (mensagens, áudios, anexos enviados);
- Identificação do paciente (nome, CPF, e-mail) quando retornados pelo ERP da clínica;
- Histórico de agendamentos, cancelamentos e intermediações.
3. Finalidades do tratamento
- Prestar o serviço contratado (atendimento, agendamento, intermediação);
- Faturar a clínica e emitir nota fiscal;
- Comunicação operacional (avisos do sistema, alertas de pagamento);
- Comunicação comercial (apenas com consentimento opt-in da clínica);
- Cumprimento de obrigações legais e regulatórias;
- Melhoria contínua do serviço (uso agregado e anonimizado).
4. Bases legais
| Dado | Base legal (LGPD) |
|---|---|
| Cadastro da clínica e cobrança | Execução de contrato (art. 7º, V) |
| Dados fiscais (CNPJ, razão social) | Obrigação legal (art. 7º, II) |
| Logs de acesso ao painel | Legítimo interesse (art. 7º, IX) |
| Dados de pacientes (operadoria) | Conforme base da CONTROLADORA (clínica) |
| Marketing/comercial | Consentimento (art. 7º, I) — sempre opt-in |
5. Compartilhamento com terceiros
Compartilhamos dados estritamente com operadores essenciais ao serviço:
- Mercado Pago — gateway de pagamento (PCI-DSS compliant);
- Evolution API / Meta WhatsApp — entrega de mensagens;
- Resend — envio de e-mails transacionais;
- OpenAI / Anthropic — geração de respostas via IA (dados processados não treinam modelos públicos);
- ElevenLabs — síntese de voz quando habilitada;
- SERPRO — validação de CNPJ na Receita Federal;
- Sentry — monitoramento de erros técnicos para manter o serviço estável. Registra apenas o relatório de uma falha quando ela ocorre (mensagem de erro e contexto técnico), sem dados pessoais, sem cookies de rastreamento e sem perfis de navegação. Base legal: legítimo interesse em segurança e estabilidade.
Não vendemos dados. Não compartilhamos para fins de marketing de terceiros.
6. Armazenamento e segurança
- Servidores no Brasil (VPS dedicado);
- Criptografia em trânsito (TLS 1.2+);
- Criptografia em repouso (Fernet/AES) para mensagens, mídias e segredos;
- Senhas armazenadas com bcrypt (irreversível);
- Acesso restrito por papel (RBAC) com 2FA obrigatório para super-administradores;
- Backups regulares e logs de auditoria.
7. Retenção e descarte
- Dados cadastrais da clínica: retidos enquanto durar a relação contratual + prazo legal de guarda fiscal (5 anos para faturas);
- Conversas de pacientes: retidas conforme o plano contratado (90 a 365 dias para mídias; transcrições permanecem); a clínica pode configurar a retenção;
- Dados podem ser excluídos sob solicitação do titular (direito ao esquecimento), respeitadas obrigações legais.
8. Direitos dos titulares
Conforme LGPD art. 18, todo titular tem direito a:
- Confirmar existência de tratamento de seus dados;
- Acessar os dados;
- Corrigir dados incompletos, inexatos ou desatualizados;
- Solicitar anonimização, bloqueio ou eliminação de dados desnecessários;
- Portabilidade dos dados a outro fornecedor;
- Eliminação dos dados tratados com consentimento;
- Informação sobre compartilhamento;
- Revogar consentimento.
Pacientes que desejarem exercer qualquer desses direitos devem entrar em contato primeiro com a clínica (controladora dos seus dados). A ArcaHub, como operadora, executará a solicitação por instrução da clínica.
9. Encarregado (DPO) e contato
Para questões sobre privacidade e LGPD: privacidade@arcahub.ia.br (data-golive: criar inbox). Você também pode reportar incidentes ou exercer direitos pelo nosso canal de contato.
10. Cookies e analytics
Este site usa 2 camadas de medição, com critérios distintos:
- Analytics sem cookies (sempre ativo) — Plausible. Mede visitas agregadas (página, país, fonte de tráfego), sem cookies, sem rastreamento individual e sem compartilhamento com terceiros. Privacy-friendly, LGPD-compliant, dispensa consentimento expresso.
- Meta Pixel (opcional, requer seu aceite) — Facebook/Meta. Mede conversões de campanhas pagas que rodamos no Instagram/Facebook. Carrega APENAS se você clicar "Aceitar todos" no banner de consentimento exibido na primeira visita. Se você escolher "Apenas essencial", o Pixel não é carregado — nenhum request vai pro Meta a partir do seu navegador.
O que o Meta Pixel coleta (se você aceitar): páginas visitadas neste site, eventos de conversão (cadastro, pagamento), e identificadores do navegador. Esses dados são enviados pro Meta pra otimizar nossos anúncios. Não usamos Google Analytics.
Revogar o aceite: limpe os cookies/localStorage do site no seu navegador e recarregue a página — o banner aparece novamente e você pode escolher de novo.
11. Alterações nesta política
Esta Política pode ser revisada periodicamente. Mudanças materiais serão notificadas por e-mail aos contratantes ativos com no mínimo 30 dias de antecedência.
Dúvidas? Fale com a gente em /contato.