1. Quem somos e nosso papel
O Attely é uma plataforma de software como serviço (SaaS) para gestão de clínicas de estética: relacionamento com clientes (leads), pacientes, agenda, atendimento, documentos, contratos, financeiro e conversas de WhatsApp. É acessada em app.attely.com.br.
Esta política se aplica ao tratamento de dados pessoais na plataforma, na lei brasileira (Lei nº 13.709/2018 — LGPD). Nossos papéis são dois:
- Empresa/clínica cliente = controladora dos dados dos seus leads, pacientes, contatos e conversas. Ela decide a finalidade e a base legal desses tratamentos. O Attely atua como operadora: trata esses dados em nome da clínica, seguindo as instruções dela e do contrato.
- Attely = controlador dos dados da conta dos usuários do sistema (como e-mail e nome), de autenticação, segurança e uso da plataforma.
2. Quais dados tratamos
| Categoria | Exemplos | Origem |
|---|---|---|
| Usuários do sistema | Nome, e-mail, função (papel) e empresa; registros de acesso e de ações (auditoria) | A própria pessoa e o administrador da empresa |
| Leads e contatos | Nome, telefone, e-mail, origem do contato, campanha, histórico de atendimento e tarefas | Informados pela empresa, formulários, importações e mensagens recebidas |
| Pacientes | Cadastro, agendamentos, propostas, contratos e financeiro; e, quando a clínica usa os módulos clínicos, informações de saúde (anamnese, avaliações, procedimentos, evoluções, fotos e documentos assinados) | Informados pela clínica e pelos profissionais |
| Mensagens de WhatsApp | Texto, telefone do cliente, data e hora, estado de entrega, tipo e referência de anexos (imagem, documento, áudio, vídeo) | WhatsApp Business Platform (Meta) e usuários da empresa |
| Prospecção comercial (site) | Nome, e-mail, telefone, nome/cidade/UF da clínica, respostas do questionário de qualificação (porte, origem de leads, volume aproximado) e, quando disponíveis, origem/campanha (UTM) e referência de acesso | Preenchidos por quem se cadastra em attely.com.br/comecar, de forma progressiva — mesmo que o cadastro não seja concluído |
| Dados técnicos | Endereço IP e navegador nos registros de acesso e segurança | Coletados automaticamente |
Os dados de prospecção comercial ficam num domínio separado dos dados de clínicas já ativas (nunca misturados ao CRM de nenhuma empresa cliente) e são usados só para qualificar o interesse, dar seguimento ao cadastro e, quando a pessoa optar expressamente, enviar comunicação promocional — nunca para venda a terceiros.
Dados de saúde são dados pessoais sensíveis. O Attely não faz diagnóstico, não emite prognóstico e não substitui o profissional: só guarda o que a clínica e seus profissionais registram.
3. WhatsApp e Meta
A empresa pode conectar o número de WhatsApp dela ao Attely usando a WhatsApp Business Platform (Cloud API) da Meta, pelo fluxo oficial de cadastro incorporado (Embedded Signup). Nesse fluxo:
- a autorização é dada pela própria empresa, na janela da Meta; o Attely recebe uma credencial de acesso da conta do WhatsApp Business da empresa, que é guardada criptografada e usada só para aquele número — nunca é mostrada na tela e nunca é compartilhada com outra empresa;
- quando o número também continua no aplicativo WhatsApp Business do celular (coexistência), as mensagens enviadas pelo celular aparecem no histórico do Attely; o histórico anterior à conexão só é associado a contatos que já existem como leads na empresa; a agenda de contatos do celular não é copiada para o Attely;
- arquivos (imagens, documentos, áudios, vídeos) não são armazenados no Attely: guardamos apenas a referência e metadados, e o arquivo é baixado da Meta quando um usuário autorizado o abre;
- quando uma mensagem é apagada no aplicativo do celular, a conversa passa a mostrar “Mensagem apagada no aplicativo” e o conteúdo original deixa de ser exibido e é removido;
- o Attely lê e envia mensagens em nome da empresa, mas não usa esses dados para publicidade nem os vende.
A Meta trata os dados do WhatsApp segundo os próprios termos e política de privacidade, como controladora independente das suas atividades. Para desconectar, a empresa usa Configurações → WhatsApp → Desconectar (a credencial guardada é apagada); também é possível remover o Attely pelo próprio aplicativo WhatsApp Business.
4. Para que usamos os dados
- prestar o serviço contratado pela empresa (cadastro, agenda, atendimento, conversas, documentos, financeiro);
- autenticar usuários, controlar permissões e manter o isolamento entre empresas;
- garantir segurança, prevenir fraude e abuso, e manter registros de auditoria;
- enviar e-mails transacionais (convite, recuperação de senha, documentos que a clínica envia ao paciente);
- cumprir obrigações legais e regulatórias e exercer direitos em processos;
- melhorar a estabilidade e a qualidade da plataforma, sem usar conteúdo de mensagens ou dados clínicos para outra finalidade.
As bases legais dos dados de leads e pacientes (por exemplo, execução de contrato, consentimento, tutela da saúde, obrigação legal) são definidas pela clínica controladora. As bases legais dos dados de conta e segurança que tratamos como controlador são a execução de contrato, o cumprimento de obrigação legal e o legítimo interesse em segurança.
5. Com quem compartilhamos
Compartilhamos dados somente com fornecedores necessários para operar o serviço, sob obrigações de confidencialidade e segurança:
- Supabase — banco de dados, autenticação e armazenamento de arquivos (projeto na região de São Paulo);
- Provedor de servidores em nuvem (VPS) — onde rodam a aplicação e a automação de recebimento de mensagens;
- Meta Platforms — WhatsApp Business Platform (envio e recebimento de mensagens);
- Resend — envio de e-mails transacionais;
- autoridades públicas, quando houver obrigação legal ou ordem judicial.
Não vendemos dados pessoais. Não compartilhamos dados entre empresas clientes: cada empresa só acessa os próprios dados.
6. Onde ficam os dados
Os dados da plataforma ficam em banco de dados da Supabase (região de São Paulo, Brasil) e em servidores em nuvem. Alguns fornecedores, como a Meta, podem tratar dados fora do Brasil; nesses casos, a transferência internacional segue a LGPD e as garantias previstas por esses fornecedores.
7. Segurança
- conexões protegidas por HTTPS/TLS;
- isolamento entre empresas no próprio banco de dados (segurança em nível de linha) e controle de acesso por papéis e permissões;
- credenciais de integração (como a do WhatsApp) criptografadas em repouso, nunca exibidas e nunca registradas em logs;
- arquivos privados, acessados somente por usuários autorizados;
- recebimento de mensagens da Meta com verificação de assinatura; requisições sem assinatura válida são recusadas;
- registros de auditoria de ações sensíveis, sem conteúdo de mensagens ou dados clínicos;
- logs técnicos sem conteúdo de mensagens, telefones ou credenciais.
Nenhum sistema é totalmente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a empresa controladora e as autoridades competentes nos termos da LGPD.
8. Por quanto tempo guardamos
- Dados de clientes da clínica (leads, pacientes, conversas): enquanto a empresa mantiver o contrato e conforme as instruções dela; ao encerramento, são excluídos ou devolvidos a pedido, ressalvadas obrigações legais de guarda (por exemplo, registros de prontuário e documentos fiscais, que a clínica precisa preservar pelos prazos da lei que se aplica a ela).
- Conta de usuário: enquanto a conta existir; depois, apenas o necessário para cumprir obrigações legais e resguardar direitos.
- Conversas de WhatsApp: ficam na conversa do lead enquanto a empresa mantiver o registro. Anexos não são guardados. Conteúdo de mensagem apagada no aplicativo não é mantido.
- Auditoria e segurança: mantidos pelo tempo necessário para segurança e prestação de contas; não contêm conteúdo de mensagens nem dados clínicos.
- Credencial do WhatsApp: apagada quando a empresa desconecta o número.
- Execuções da automação de recebimento: removidas periodicamente por rotina de limpeza.
9. Exclusão de dados
Você pode pedir a exclusão dos seus dados. Explicamos como pedir, o que pode ser excluído, o que pode precisar ser preservado por lei e como você recebe a confirmação em app.attely.com.br/exclusao-de-dados.
10. Direitos dos titulares (LGPD)
Nos termos do art. 18 da LGPD, o titular pode solicitar: confirmação de que tratamos seus dados; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem os dados foram compartilhados; informação sobre a possibilidade de não consentir e suas consequências; e a revogação do consentimento. Também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD).
Quando o tratamento é da clínica (por exemplo, dados de paciente ou de lead), a clínica é a controladora e responde ao pedido; nós a ajudamos a atendê-lo. Se você nos procurar, encaminharemos o pedido à clínica responsável, quando for o caso.
11. Navegador e terceiros
O Attely guarda no navegador apenas o necessário para o funcionamento (sessão de login e preferência de tema). Não usamos cookies de publicidade nem rastreadores de terceiros para marketing. As fontes de texto são carregadas do Google Fonts e, na tela de conexão do WhatsApp, o script oficial da Meta é carregado; esses provedores podem receber dados técnicos da sua visita (como o endereço IP), segundo as próprias políticas.
12. Contato e identificação
Controlador dos dados de conta e uso do Attely: Attely (plataforma acessada em app.attely.com.br).
A identificação legal completa (razão social, CNPJ e endereço) e o canal de contato do encarregado pelo tratamento de dados pessoais (DPO) ainda estão em atualização e serão publicados nesta seção. Enquanto isso, titulares de dados de pacientes, leads e contatos devem falar com a clínica que os atende, que é a controladora desses dados.
13. Atualizações desta política
Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A versão vigente é sempre a publicada nesta página, com a data da última atualização no topo. Mudanças relevantes serão comunicadas às empresas clientes.