Quem é responsável pelos seus dados
O Controlador dos dados pessoais tratados nesta plataforma é a AgendyZap, operadora do sistema disponível em agendyzap.com.br.
Os Estabelecimentos que usam a AgendyZap para coletar dados de seus clientes finais atuam como Operadores independentes e são individualmente responsáveis pela base legal que autoriza esse tratamento.
Quais dados coletamos
Coletamos apenas o necessário para fazer o serviço funcionar:
Dados de Cadastro (Estabelecimentos)
- Nome completo
- Endereço de e-mail
- Número de telefone (opcional)
- Nome do negócio e subdomínio escolhido
- Senha (armazenada em hash — nunca em texto puro)
Dados de Uso
- Agendamentos criados, serviços e horários configurados
- Logs de acesso e atividade na conta
- Preferências e configurações do usuário
Dados dos Clientes Finais
- Nome, e-mail e telefone fornecidos ao agendar
- Histórico de agendamentos com o Estabelecimento
Esses dados são inseridos pelo cliente final ou pelo Estabelecimento. O tratamento é compartilhado com o Estabelecimento, que atua como Operador independente.
Dados de Pagamento
Dados de cartão não são armazenados pela AgendyZap. O processamento é feito pelo Stripe (PCI DSS nível 1). Recebemos apenas o status da transação e os últimos 4 dígitos para exibição.
🌐 Dados Técnicos de Acesso
- Endereço IP (para segurança e prevenção a fraudes)
- Tipo de navegador e sistema operacional
- Páginas acessadas e duração da sessão (dados agregados)
Para que usamos seus dados
| Finalidade | Dados Utilizados |
|---|---|
| Criar e gerenciar sua conta | Cadastro, e-mail, senha |
| Operar agendamentos e dashboard | Dados de uso, agendamentos, clientes finais |
| Enviar notificações via e-mail e WhatsApp | E-mail, telefone, nome, horário |
| Processar pagamentos e cobranças | E-mail, dados de cobrança (via Stripe) |
| Segurança e prevenção a fraudes | IP, logs de acesso |
| Melhorias da plataforma | Dados agregados e anonimizados da própria plataforma — dados obtidos via Google Workspace APIs (Google Calendar) são expressamente excluídos desta finalidade |
| Cumprimento de obrigações legais | Dados de pagamento, cadastro |
Base Legal (LGPD)
Todo tratamento tem base legal conforme o Art. 7º da LGPD:
Execução de contrato
Necessário para operar a plataforma, gerenciar sua conta e processar pagamentos.
Obrigação legal
Retenção de registros fiscais e contábeis conforme legislação tributária brasileira.
Legítimo interesse
Segurança da plataforma, prevenção a fraudes e melhorias com dados anonimizados.
Consentimento
Para comunicações de marketing, quando solicitadas. Revogável a qualquer momento.
Com quem compartilhamos
A AgendyZap não vende nem comercializa dados pessoais. Compartilhamos apenas com parceiros essenciais à operação:
| Parceiro | Finalidade | País |
|---|---|---|
| Back4App | Banco de dados e armazenamento | EUA |
| Stripe | Processamento de pagamentos | EUA |
| Z-API | Notificações via WhatsApp | Brasil |
| Resend / Gmail | E-mails transacionais | EUA |
| Vercel | Hospedagem da aplicação | EUA |
| Google Calendar API | Integração opcional de agenda — quando ativada pelo titular da conta, eventos de agendamento são criados/excluídos na agenda Google do estabelecimento; links do Google Meet são gerados para serviços online. O acesso é concedido explicitamente pelo usuário via OAuth 2.0 e pode ser revogado a qualquer momento em Configurações → Integrações. | EUA |
Todos os parceiros adotam políticas de privacidade compatíveis com padrões internacionais. Dados podem ser divulgados por ordem judicial ou autoridade competente.
Transferência Internacional
Parte dos dados é processada em servidores nos Estados Unidos pelos parceiros listados. A AgendyZap adota salvaguardas contratuais adequadas para garantir nível de proteção equivalente ao exigido pela LGPD, conforme Art. 33 da Lei nº 13.709/2018.
Como protegemos seus dados
- Comunicações protegidas por TLS/SSL (HTTPS)
- Senhas armazenadas em hash criptográfico — nunca em texto puro
- Isolamento de dados por tenant — cada negócio acessa apenas os seus dados
- Autenticação segura via NextAuth com tokens de sessão
- Logs de acesso retidos por 90 dias para auditoria interna
- Dados de pagamento processados pelo Stripe (PCI DSS Nível 1)
- Variáveis sensíveis (tokens, chaves de API) nunca expostas ao cliente
Em caso de incidente de segurança, notificaremos os titulares afetados e a ANPD dentro dos prazos previstos na LGPD.
Seus direitos como titular
Conforme Art. 18 da LGPD:
Confirmação
Saber se tratamos seus dados.
Acesso
Receber cópia dos dados que possuímos sobre você.
Correção
Atualizar dados incorretos ou desatualizados.
Eliminação
Solicitar exclusão de dados tratados com consentimento.
Portabilidade
Receber seus dados em formato legível por máquina.
Oposição
Opor-se ao tratamento por legítimo interesse.
Revogação
Retirar consentimento a qualquer momento.
Informação
Saber com quem compartilhamos seus dados.
Como exercer seus direitos
Envie para agendyzap@gmail.com com o assunto "Direitos LGPD". Respondemos em até 15 dias úteis. Podemos solicitar verificação de identidade para proteger sua conta.
Por quanto tempo guardamos
| Tipo de Dado | Período de Retenção |
|---|---|
| Dados de conta ativa | Durante a vigência do plano |
| Dados após cancelamento | 30 dias (disponíveis para exportação) |
| Registros de pagamento e notas fiscais | 5 anos (obrigação legal — CTN) |
| Logs de acesso e segurança | 90 dias |
| Backups de banco de dados | 30 dias |
Após os prazos, os dados são excluídos permanentemente ou anonimizados, salvo obrigação legal específica.
Dados de Menores
A Plataforma não é direcionada a menores de 18 anos como titulares de conta. Caso clientes finais de um Estabelecimento sejam menores, o Estabelecimento deve obter consentimento dos responsáveis legais conforme Art. 14 da LGPD. Dados de crianças coletados sem autorização serão excluídos imediatamente ao nosso conhecimento.
APIs Google Workspace — Uso Limitado
O AgendyZap integra com as APIs do Google (Google Calendar) para criar e gerenciar eventos de agendamento em nome dos profissionais cadastrados na plataforma. O acesso a essas APIs é concedido pelo próprio usuário titular da conta Google, por meio de fluxo OAuth 2.0 explícito.
Declaração de Conformidade — Uso Limitado (Google)
O uso de dados brutos ou derivados recebidos das APIs do Google Workspace pelo AgendyZap está em total conformidade com a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use).
- • Os dados obtidos via Google Calendar API são usados exclusivamente para criar, atualizar e excluir eventos de agendamento do próprio usuário titular da conta Google — finalidade diretamente visível e solicitada pelo usuário.
- • Esses dados não são usados para melhorias da plataforma, análises internas, publicidade, pesquisa ou qualquer finalidade além da criação e gestão dos eventos do próprio usuário.
- • Esses dados não são compartilhados com serviços de inteligência artificial ou machine learning de terceiros para fins de treinamento.
- • O AgendyZap utiliza a API da Anthropic (Claude) para funcionalidades internas como geração de descrições de serviços. Nenhum dado proveniente das APIs do Google é enviado para a Anthropic ou qualquer outro provedor de IA.
- • Os dados do Google Calendar não são vendidos, transferidos ou utilizados para fins além da funcionalidade direta descrita nesta seção.
- • O acesso pode ser revogado a qualquer momento em Configurações → Google Calendar → Desconectar.
Atualizações desta Política
Podemos atualizar esta Política para refletir mudanças na legislação ou em nossas práticas. Alterações relevantes serão comunicadas por e-mail com ao menos 15 dias corridos de antecedência. A data de última atualização no topo indica a versão vigente.
Contato e Canal de Privacidade
Encarregado de Proteção de Dados (DPO)
E-mail: agendyzap@gmail.com
Prazo de resposta: até 15 dias úteis
Se não ficar satisfeito com nossa resposta, você pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.
Versão vigente desde 19 de setembro de 2026. Versões anteriores disponíveis mediante solicitação ao DPO.