Política de Privacidade

1. Quem somos e qual é nosso papel

Para fins da LGPD (Lei nº 13.709/2018), os papéis são distribuídos assim:

Quando um paciente fala com o bot do Jaleko pelo WhatsApp, é a clínica que determina o propósito do atendimento. O Jaleko fornece a infraestrutura para que isso aconteça de forma segura. Esta Política também se aplica às clínicas enquanto usuárias do sistema — nesse caso, a NOVARI atua como controladora dos dados cadastrais da clínica.

2. Quais dados coletamos

Da clínica (usuária da plataforma)

• Nome do responsável e da clínica, CNPJ ou CPF, endereço, telefone e e-mail;
• E-mail e senha de acesso (a senha é armazenada em hash — nunca em texto puro);
• Registros de login (data, hora, IP) para fins de segurança;
• Histórico de pagamentos e faturas (dados completos de cartão ficam só no gateway de pagamento);
• Dados de uso da plataforma (funcionalidades acessadas, volume de agendamentos).

Dos pacientes (via WhatsApp, em nome da clínica)

• Nome completo e número de telefone (WhatsApp);
• Data e hora dos agendamentos e tipo de procedimento solicitado;
• Histórico de atendimentos na clínica;
• Data de nascimento e observações clínicas (conforme configuração da clínica);
• Informações de saúde relevantes, quando fornecidas voluntariamente pelo paciente.

O Jaleko não coleta dados de saúde de forma autônoma. Dados clínicos presentes no sistema foram inseridos pela clínica ou fornecidos pelo próprio paciente no contexto do atendimento.

Do site (jaleko.app.br)

Apenas cookies de sessão necessários ao funcionamento do painel e logs de acesso (IP, data, hora) para segurança. Não usamos rastreamento de terceiros.

3. Por que coletamos e qual é a base legal

Dados das clínicas

Dados dos pacientes (em nome da clínica)

4. Com quem compartilhamos

Compartilhamos dados com terceiros apenas quando necessário para o funcionamento do serviço:

Todos os fornecedores operam com contratos de confidencialidade e proteção de dados. Não vendemos, alugamos nem comercializamos dados pessoais a terceiros para nenhum fim.

A NOVARI pode compartilhar dados com autoridades públicas quando exigido por lei, ordem judicial ou regulação aplicável — sempre limitado ao mínimo necessário.

5. Dados enviados para fora do Brasil

O uso da Anthropic (EUA) e do Resend (EUA) envolve transferência internacional de dados. Para garantir proteção equivalente à da LGPD, adotamos as seguintes salvaguardas:

• Contratos de processamento de dados (DPA) assinados com Anthropic e Resend, com cláusulas de proteção compatíveis com a LGPD (Art. 33, II);
• Enviamos à Anthropic apenas o contexto mínimo da conversa — sem identificadores permanentes que permitam reidentificação;
• A Anthropic não usa os dados enviados via API para treinar modelos, conforme contrato empresarial vigente.

6. Por quanto tempo guardamos

7. Quais são seus direitos

Você tem os seguintes direitos garantidos pelo Art. 18 da LGPD. Para exercê-los, envie e-mail para jaleko@novari.ia.br com o assunto [PRIVACIDADE] — respondemos em até 15 dias úteis.

• Acesso: saber quais dados seus estão armazenados;
• Correção: corrigir dados incorretos ou desatualizados;
• Exclusão: pedir a exclusão dos dados tratados com base em consentimento;
• Portabilidade: receber seus dados em formato estruturado (CSV ou JSON);
• Revogação do consentimento: retirar o consentimento a qualquer momento;
• Oposição: opor-se a tratamento sem base legal adequada;
• Informação: saber com quem seus dados foram compartilhados.

Pacientes da clínica: devem exercer seus direitos preferencialmente junto à própria clínica (controladora dos dados). Se a clínica não atender, podem contatar o Jaleko diretamente pelo e-mail acima.

Se não ficar satisfeito com nossa resposta, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

8. Dados de pacientes e dados sensíveis de saúde

Procedimentos clínicos, histórico de tratamentos e informações médicas são dados sensíveis de saúde, sujeitos a proteção especial pelo Art. 11 da LGPD.

O Jaleko trata esses dados exclusivamente como operador, em nome da clínica contratante. A base legal aplicável é o Art. 11, II, alínea "f" da LGPD: tutela da saúde, em procedimentos realizados por profissionais sujeitos a obrigação de sigilo (médicos, enfermeiros, esteticistas com registro profissional).

Para esses dados, adotamos controles técnicos adicionais: criptografia em repouso nos campos sensíveis, acesso restrito ao mínimo necessário e logs de auditoria de qualquer acesso à informação clínica.

A clínica (controladora) é responsável por garantir a base legal adequada para coletar dados de saúde dos seus pacientes e por obter consentimento específico quando necessário.

9. Atendimento via WhatsApp e uso dos dados

Quando uma paciente envia mensagem ao WhatsApp da clínica, ela inicia voluntariamente o contato. O tratamento dos dados para fins de agendamento e atendimento é fundamentado no Art. 7º, V (execução de contrato) e no Art. 7º, IX (legítimo interesse) da LGPD — não exigindo consentimento explícito para mensagens operacionais de agendamento.

Na primeira interação, o bot apresenta uma mensagem informativa com link para esta Política de Privacidade, sem bloquear o atendimento. Exemplo:

O Jaleko registra a data da primeira interação de cada número para fins de auditoria. Para encerrar o atendimento, a paciente pode responder PARAR — o sistema suspende o envio de mensagens daquele número imediatamente.

10. Menores de idade

O Jaleko não se destina a coletar dados de crianças (até 12 anos) ou adolescentes (13–17 anos) diretamente. Nos termos do Art. 14 da LGPD, o tratamento de dados de menores exige consentimento dos pais ou responsável legal.

Se a sua clínica atende pacientes menores de 18 anos, você é responsável por:

• Identificar esses pacientes no cadastro;
• Obter o consentimento do responsável legal antes de coletar qualquer dado;
• Não usar o bot do WhatsApp como canal de coleta de dados de menores — direcione para atendimento humano.

11. Segurança das informações

Adotamos as seguintes medidas para proteger seus dados:

• Senhas armazenadas apenas em hash bcrypt — nunca em texto puro;
• Autenticação via tokens JWT com prazo de expiração;
• Arquitetura multi-tenant com isolamento lógico por clínica;
• Comunicações criptografadas via TLS 1.2+ em todas as conexões;
• Backups automáticos diários com retenção de 7 dias;
• Logs de acesso e monitoramento de atividades suspeitas;
• Acesso admin registrado com usuário, data e motivo.

Nenhum sistema é 100% invulnerável. Em caso de incidente de segurança que afete dados pessoais, notificamos os clientes afetados e a ANPD dentro do prazo legal (72 horas).

12. Cookies

Usamos o mínimo necessário:

Não usamos cookies de rastreamento de terceiros (Google Analytics, Meta Pixel etc.) nem publicidade comportamental.

13. Alterações desta Política

Esta Política pode ser atualizada periodicamente. Mudanças relevantes serão comunicadas por e-mail e notificação no painel com 15 dias de antecedência. A versão mais recente estará sempre em jaleko.app.br/privacidade.

Continuar usando a plataforma após a data de vigência equivale a aceitar as alterações. Se discordar, você pode cancelar sem ônus antes da data de vigência.

14. Fale com a gente

Em cumprimento ao Art. 41 da LGPD, indicamos como encarregado de proteção de dados: