Política de Privacidade

1. Quem somos e a quem se aplica

A Velaly é uma plataforma de gestão e atendimento para clínicas de estética e de saúde, desenvolvida e disponibilizada por FAVARETTO GRUPPO INOVA SIMPLES (I.S.), uma empresa brasileira de desenvolvimento de software, inscrita no CNPJ sob o nº 63.144.012/0001-00.

2. Papéis no tratamento

A clínica assinante atua como controladora dos dados de seus clientes quando decide por que e como utilizá-los no atendimento. A Velaly atua como operadora ao tratar esses dados segundo as instruções lícitas da clínica. A Velaly é controladora dos tratamentos necessários ao cadastro de assinantes e usuários, cobrança da assinatura, suporte e administração de sua relação contratual. Os papéis de provedores externos dependem do serviço e das decisões efetivamente tomadas por cada parte.

3. Dados que tratamos

Cadastro e contato: nome, telefone/WhatsApp, e-mail e informações necessárias à conta e à autenticação.

Gestão da clínica: agendamentos, comandas, pacotes e histórico operacional.

Atendimento: conteúdo de mensagens WhatsApp e mídias necessárias ao atendimento; áudio quando a transcrição estiver habilitada.

Emissão fiscal: CPF/CNPJ, endereço e demais dados necessários à NFS-e, quando configurada.

Anamnese: respostas, alertas e registros de aceite relacionados à saúde, quando o módulo estiver ativo; são dados pessoais sensíveis.

Dados técnicos: tokens de dispositivo para notificações, logs de segurança e registros de consentimento.

Agendamento não concluído: telefone e serviços escolhidos após a solicitação do código, por até seis horas, para retomada daquele agendamento.

4. Finalidades e hipóteses legais

Cadastro, assinatura e atendimento ao assinante: execução do contrato e procedimentos preliminares solicitados pelo titular.

Agendamento, confirmação, lembretes e atendimento ao cliente da clínica: conforme a finalidade e a hipótese legal definida pela clínica, inclusive procedimentos preliminares solicitados pelo titular quando cabíveis.

Emissão e conservação de documentos fiscais: cumprimento de obrigação legal, quando aplicável.

Segurança e prevenção a fraudes: hipótese legal adequada ao fluxo; legítimo interesse somente para dados não sensíveis, mediante avaliação de necessidade, expectativas e salvaguardas.

Anamnese e outras informações de saúde: hipótese legal aplicável do art. 11 da LGPD. Quando utilizado consentimento, ele deve ser específico, destacado e associado às finalidades informadas. Execução de contrato ou legítimo interesse não são, isoladamente, bases para esses dados.

Melhorias do serviço devem observar necessidade, minimização e a hipótese legal correspondente; esta finalidade não constitui autorização genérica para reutilizar dados de saúde.

5. Anamnese e registros de consentimento

Nos fluxos de consentimento, o aceite pode ocorrer na ficha do estabelecimento, com assinatura em tablet, ou em link enviado ao WhatsApp, com código de uso único e aceite do termo. O link de aceite não permite editar as respostas. O registro deve identificar titular, clínica, finalidade, versão do termo e evidências do aceite. A clínica deve informar consequências da recusa e da revogação. O aceite posterior não regulariza automaticamente coleta anterior: a clínica deve assegurar hipótese legal desde o início do tratamento. O acesso às informações é restrito a usuários autorizados.

6. WhatsApp, retomada e contatos promocionais

Se a clínica ativar a retomada de agendamento, um único WhatsApp pode ser enviado cerca de 30 minutos após a solicitação do código, com link para concluir o agendamento iniciado pelo próprio titular. Essa mensagem tem finalidade de continuidade do agendamento, sem oferta promocional; o horário não fica reservado. O conteúdo deve corresponder a essa finalidade. Contatos promocionais e ligações, quando realizados, precisam de hipótese legal e transparência próprias. Consentimentos correspondentes podem ser revogados a qualquer momento, impedindo novos contatos para a finalidade revogada sem invalidar tratamentos anteriores lícitos.

7. Inteligência artificial e áudio

A OpenAI poderá processar conteúdo necessário aos recursos de assistente de IA e, quando habilitada, transcrição de áudio. O uso deve se limitar aos dados necessários à funcionalidade ativada. Mensagens podem conter informações sensíveis mesmo fora da anamnese; seu envio exige análise da clínica sobre finalidade e hipótese legal. Decisões clínicas e outras situações relevantes requerem supervisão profissional. Configurações, condições de retenção e eventual uso pelo provedor devem ser verificadas e informadas conforme o serviço efetivamente contratado; esta Política não presume ausência de retenção ou treinamento sem confirmação contratual.

8. Provedores e compartilhamentos

Conforme os módulos e configurações utilizados, os dados podem ser tratados por:

Supabase: banco de dados, autenticação, armazenamento e funções.

Firebase: autenticação nos fluxos em que estiver configurado.

Z-API: envio e recebimento de WhatsApp.

Meta Platforms/WhatsApp Cloud API: conexão de contas empresariais, templates, mensagens e métricas do canal oficial, quando contratado.

OpenAI: assistente de IA e transcrição de áudio habilitada.

Asaas: processamento financeiro e de pagamentos, conforme contratação.

Focus NFe e prefeituras: emissão de NFS-e, quando configurada.

Apple APNs: notificações push no app iOS.

Provedor de e-mail transacional: comunicações necessárias ao serviço.

O acesso deve ser limitado à finalidade de cada serviço. Dados também podem ser compartilhados com a clínica responsável pelo atendimento e com autoridades quando houver fundamento legal. Não vendemos dados pessoais.

9. Transferências internacionais

Alguns provedores podem tratar dados fora do Brasil. Essas operações precisam de hipótese legal para o tratamento e de mecanismo válido de transferência internacional, conforme a LGPD e a regulamentação da ANPD. Quando forem utilizadas cláusulas-padrão contratuais, devem ser observados os requisitos aplicáveis. Países de destino, dados transferidos, finalidade e mecanismo utilizado precisam refletir os contratos e a configuração real dos serviços. Informações sobre os fluxos e salvaguardas podem ser solicitadas no canal de privacidade.

10. Retenção, encerramento e exclusão

Os dados são mantidos pelo tempo necessário às finalidades, às instruções lícitas da clínica e às obrigações legais. Mensagens e mídias podem permanecer durante a conta ativa, respeitada a necessidade e pedidos de eliminação ou anonimização aplicáveis. No agendamento não concluído, telefone e serviços escolhidos são mantidos por até seis horas para retomada. Registros necessários para segurança, exercício de direitos, comprovação de consentimento ou obrigações fiscais podem ter retenção distinta, com justificativa específica.

A exportação fica disponível até o fim do período pago. Depois disso, não há prazo adicional para pedi-la. A eliminação ou anonimização posterior deverá considerar os dados sujeitos a retenção exigida por lei ou pela LGPD. Cópias de segurança possuem ciclo de expiração próprio; os prazos de eliminação dos dados principais e de backups precisam ser definidos por categoria e comunicados, sem promessa de apagamento imediato de todas as cópias.

11. Direitos dos titulares

Nas hipóteses e condições da LGPD, você pode solicitar confirmação e acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou irregulares; portabilidade conforme regulamentação; eliminação de dados tratados com consentimento, ressalvadas retenções permitidas; informação sobre compartilhamentos; informação sobre recusa de consentimento e suas consequências; revogação e oposição quando cabível. Também pode solicitar revisão de decisões exclusivamente automatizadas que afetem seus interesses e apresentar petição à ANPD.

Solicitações podem ser enviadas a contato@velaly.com.br. Poderemos validar sua identidade de forma proporcional, sem coletar informações excessivas. Quando a clínica for controladora, cooperaremos com ela para encaminhar e atender o pedido. Confirmação ou acesso serão fornecidos de forma simplificada imediatamente ou por declaração completa em até 15 dias, observadas regras específicas aplicáveis. Os demais pedidos seguem os prazos legais pertinentes.

12. Integrações Meta e WhatsApp

O administrador pode desconectar a conta no painel do WhatsApp Oficial. A desconexão interrompe a integração conforme o fluxo aplicável, mas não significa exclusão automática de mensagens, registros fiscais, backups ou dados mantidos por outros provedores. A exclusão ou anonimização deve ser solicitada pelo canal de privacidade e observar identidade, instruções da clínica e retenções legais. O alcance da solicitação perante cada terceiro será informado no atendimento.

13. Segurança e incidentes

Adotamos medidas técnicas e organizacionais, incluindo controle de acesso, isolamento por empresa, criptografia em trânsito e armazenamento privado de mídias de chat. A criptografia em trânsito não equivale a uma promessa de criptografia ponta a ponta em todos os módulos. Nenhum sistema elimina integralmente os riscos.

Incidentes serão avaliados e tratados conforme sua natureza. Quando atuar como operadora, a Velaly informará a clínica controladora sem demora injustificada e fornecerá as informações necessárias. Quando atuar como controladora e houver comunicação obrigatória, observará os prazos e requisitos da ANPD, incluindo o prazo geral de três dias úteis, ressalvadas regras específicas aplicáveis.

14. Cookies e tecnologias

O site operacional, conforme a configuração informada, não utiliza pixels de marketing de terceiros como Meta Ads ou Google Analytics. Cookies essenciais de sessão e autenticação podem ser usados para o funcionamento. A introdução de cookies analíticos ou publicitários exigirá atualização das informações e mecanismos de escolha quando aplicáveis. Desabilitar cookies essenciais no navegador pode comprometer funções da plataforma.

15. Contato e alterações

O canal para privacidade e exercício de direitos é contato@velaly.com.br. A identificação e o contato do encarregado, quando exigível ou designado, devem ser divulgados publicamente. Alterações relevantes desta Política serão comunicadas por e-mail ou aviso na plataforma. Novas finalidades que dependam de consentimento exigirão novo aceite válido; o uso continuado não substitui esse consentimento. A versão dos termos aceitos permanecerá vinculada aos registros pertinentes. Consulte também os Termos de Uso e a página sobre LGPD da Velaly.