Política de Privacidade

O Aurora é um serviço de atendimento por WhatsApp usado por clínicas de estética. Quando você manda uma mensagem para o WhatsApp de uma clínica, é o Aurora que recebe essa mensagem, faz a triagem inicial e encaminha a conversa para a equipe da clínica.

Esta política explica, em linguagem direta, quais dados passam pelo Aurora, por que passam, com quem são compartilhados e o que você pode exigir. Ela segue a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018, a “LGPD”).

1. Quem somos

• Razão social: B Tech Tecnologia da Informação Ltda
• CNPJ: 52.731.063/0001-11
• Sede: São Paulo — SP, Brasil
• Encarregado pelo tratamento de dados (DPO): Bruno Roberto Cardoso Silva — privacidade@gestaoaurora.com.br

2. Nosso papel: a clínica é a controladora, o Aurora é operador

Esta é a parte mais importante de entender, porque ela define a quem você pede satisfação.

• A clínica é a controladora. É ela quem decide que o atendimento vai acontecer pelo WhatsApp, para que servem os dados coletados e por quanto tempo eles ficam guardados. A responsabilidade pelas decisões sobre os seus dados é dela.
• O Aurora é operador. Nós tratamos os dados em nome da clínica e apenas dentro das instruções que ela nos dá por contrato. Não usamos os seus dados para finalidade própria nenhuma.

Na prática, para você: se quiser acessar, corrigir ou apagar os seus dados, o caminho natural é falar com a clínica com quem você conversou. Se preferir falar conosco, também pode — mas nós vamos encaminhar o pedido à clínica e agir conforme a orientação dela, porque é ela quem tem autoridade sobre esses dados. O item 11 explica os dois caminhos.

3. Quais dados tratamos

Só tratamos o que chega pela conversa de WhatsApp. Não compramos listas, não cruzamos com bases externas e não coletamos nada por trás da conversa.

3.1 Dados pessoais comuns

• Seu número de telefone e o nome do seu perfil no WhatsApp.
• O conteúdo das mensagens de texto que você envia e das respostas que enviamos.
• Áudios (mensagens de voz) e fotos que você envia na conversa.
• Data e hora das mensagens, e registros técnicos do atendimento (por exemplo, se a conversa foi transferida para a equipe da clínica).

3.2 Dados pessoais sensíveis

Durante a triagem, você pode relatar informações sobre a sua saúde — queixas, histórico, uso de medicamentos, alergias, procedimentos anteriores, gravidez — e enviar fotos de regiões do corpo. Isso é dado pessoal sensível nos termos do art. 5º, II, e do art. 11 da LGPD, e recebe tratamento mais restrito: acesso limitado, finalidade estrita e a base legal descrita no item 4.

Você não é obrigada a enviar informação de saúde para conversar com a clínica. Envie apenas o que julgar necessário para ser bem atendida.

3.3 O que não coletamos

• Não pedimos CPF, RG, dados bancários ou dados de cartão.
• Não temos acesso às suas outras conversas no WhatsApp.
• Não usamos cookies de rastreamento para conectar você a esta conversa.

4. Base legal

4.1 Para os dados de saúde (dados sensíveis — art. 11)

A clínica, como controladora, trata os seus dados de saúde com fundamento na tutela da saúde (art. 11, II, “f”, da LGPD), que autoriza o tratamento em procedimento realizado por profissionais de saúde ou por serviços de saúde — que é exatamente o caso do atendimento que você está buscando.

Essa é a única base legal que usamos para dado de saúde. Não pedimos, nem tratamos como consentimento, as informações que você envia espontaneamente na conversa: elas entram no mesmo atendimento e sob a mesma tutela da saúde. Você não é obrigada a enviá-las, e pode pedir a eliminação delas pelos canais do item 11.

4.2 Para os dados comuns (art. 7)

• Art. 7º, V — execução de procedimentos preliminares a pedido do titular: você iniciou a conversa procurando um atendimento; responder você, entender o que você precisa e encaminhar à equipe é o cumprimento desse pedido.
• Art. 7º, I — consentimento: para o que exceder o atendimento que você pediu, como mensagens de retorno ou campanhas da clínica, quando a clínica as utilizar.

5. Para que usamos

Uma finalidade só, e ela é estreita:

• Triagem de primeiro atendimento — entender o que você procura, responder dúvidas comuns sobre a clínica e organizar as informações do seu contato.
• Encaminhamento à equipe da clínica — transferir a conversa para uma pessoa da clínica quando o assunto exigir, na mesma conversa de WhatsApp.

Nada além disso. O Aurora não faz diagnóstico, não prescreve tratamento e não substitui consulta. As respostas da triagem são informativas e não são orientação médica.

6. Como a conversa circula

Vale saber por onde a sua mensagem passa entre você e a equipe da clínica:

• Você envia a mensagem pelo WhatsApp. Ela chega à Meta, que opera a plataforma.
• A Meta entrega a mensagem ao sistema do Aurora, hospedado em servidor próprio na Alemanha.
• O conteúdo da mensagem (texto, áudio e imagem) é enviado ao modelo de inteligência artificial do Google (Gemini), que gera a resposta da triagem. Trata-se de processamento automatizado: nenhuma decisão sobre o seu tratamento de saúde é tomada aí — a conversa sempre pode ser assumida por uma pessoa da clínica.
• A conversa e os dados estruturados da triagem ficam registrados nas nossas bases para que a equipe da clínica possa te atender e dar continuidade.

As mensagens no WhatsApp trafegam criptografadas até a plataforma da Meta. Como o atendimento é feito por uma conta comercial via API oficial, a partir daí o conteúdo é acessível ao Aurora e à clínica — não há criptografia de ponta a ponta entre você e a clínica nesse modelo. Preferimos dizer isso com clareza a sugerir uma proteção que não existe.

7. Com quem compartilhamos

Não vendemos nem cedemos dados a ninguém. Compartilhamos apenas com os fornecedores abaixo, na medida necessária para o serviço funcionar, e sob contrato de tratamento de dados:

O painel de atendimento que a equipe da clínica usa (Chatwoot) roda na nossa própria infraestrutura, no servidor da Hetzner. Não é um serviço de terceiro e ninguém fora do Aurora e da clínica tem acesso a ele.

Também podemos compartilhar dados quando houver ordem judicial ou requisição de autoridade competente, nos limites da lei.

8. Transferência internacional

Como você viu no item 7, os seus dados saem do Brasil: são processados na Alemanha e nos Estados Unidos. Isso é inerente ao uso do WhatsApp e da infraestrutura de nuvem que sustenta o serviço.

Essas transferências se apoiam nas cláusulas contratuais de proteção de dados firmadas com cada fornecedor e na necessidade de execução do próprio atendimento que você solicitou, nos termos do art. 33 da LGPD.

9. Por quanto tempo guardamos

• Conversas e dados da triagem: enquanto durar o contrato com a clínica com quem você conversou. É ela, como controladora, quem define a finalidade e por quanto tempo os dados do atendimento ficam guardados.
• Quando a clínica encerra o contrato: devolvemos ou eliminamos os dados daquela clínica em até 30 dias, conforme a instrução dela, salvo obrigação legal de guarda.
• Cópias de segurança (backups): quando houver rotina de backup ativa, um dado apagado da base ativa ainda pode existir em cópia de segurança até que ela seja descartada no ciclo de rotação. Backups não são consultados na operação do dia a dia — só em recuperação de desastre.
• Registros de acesso e logs técnicos: 6 meses, que é o prazo de guarda de registros de acesso a aplicações previsto no art. 15 do Marco Civil da Internet.

10. O que nunca fazemos com os seus dados

Compromissos firmes, que também refletem os Termos da Plataforma da Meta a que estamos vinculados:

• Não vendemos dados pessoais, nem os cedemos ou licenciamos a terceiros para uso próprio deles.
• Não usamos para publicidade — nem para segmentar anúncios, nem para construir perfis publicitários, nem para alimentar plataformas de anúncios.
• Não treinamos modelos de inteligência artificial com o conteúdo das suas mensagens, áudios ou fotos. O conteúdo é enviado ao modelo apenas para gerar a resposta daquela conversa, e exigimos o mesmo compromisso dos nossos fornecedores.

11. Seus direitos e como exercê-los

A LGPD garante a você, entre outros, o direito de:

• confirmar se tratamos dados seus e acessar esses dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora da lei;
• pedir a portabilidade dos dados a outro fornecedor;
• pedir a eliminação dos dados tratados com base no consentimento, e revogar o consentimento;
• saber com quem compartilhamos os seus dados;
• ser informada sobre a possibilidade de não consentir e sobre as consequências disso;
• opor-se a um tratamento que considere irregular.

Como pedir

• Caminho principal — fale com a clínica. Como ela é a controladora, é quem responde por esses pedidos. Você pode pedir pela própria conversa de WhatsApp.
• Caminho alternativo — fale conosco. Escreva para privacidade@gestaoaurora.com.br com o número de telefone usado na conversa e o que você quer. Confirmamos o recebimento e encaminhamos o pedido à clínica em até 5 dias úteis, acompanhando até a conclusão.

Pedidos de confirmação de tratamento e de acesso são respondidos em formato simplificado de imediato e, na forma completa, em até 15 dias contados do pedido, conforme o art. 19, II, da LGPD. Podemos pedir informações adicionais para confirmar a sua identidade antes de atender — é uma proteção contra alguém pedir dados se passando por você.

Instruções específicas sobre exclusão de dados, incluindo o que é apagado e em quanto tempo, estão em Exclusão de dados.

Se a resposta não te satisfizer, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

12. Segurança

Medidas que efetivamente adotamos:

• Tráfego criptografado: todo o acesso ao painel de atendimento e às nossas interfaces usa TLS (HTTPS), com certificados renovados automaticamente.
• Acesso restrito: o componente de triagem não é exposto à internet — só é alcançável de dentro da nossa própria rede. O painel exige autenticação e cada clínica só enxerga as conversas dela.
• Segregação por cliente: os dados de uma clínica não são acessíveis a outra.

Nenhum sistema é infalível. Em caso de incidente de segurança com risco relevante aos seus dados, comunicamos a clínica controladora imediatamente, e a clínica comunica você e a ANPD nos termos do art. 48 da LGPD. Suspeitas de vulnerabilidade podem ser relatadas em contato@gestaoaurora.com.br.

13. Crianças e adolescentes

O atendimento é destinado a pessoas maiores de 18 anos. Procedimentos em menores de idade exigem a presença e o consentimento de um responsável legal, e essas conversas são encaminhadas diretamente à equipe da clínica. Se identificarmos que recebemos dados de uma criança ou adolescente sem o consentimento de um responsável, avisamos a clínica controladora para que o tratamento seja regularizado ou interrompido.

14. Alterações desta política

Podemos atualizar esta política quando o serviço, os fornecedores ou a legislação mudarem. A data da última atualização fica sempre no topo desta página, e a versão vigente é a publicada aqui.

Mudanças relevantes — nova finalidade, novo fornecedor com acesso a dados, mudança de prazo de retenção — são comunicadas às clínicas controladoras por e-mail com antecedência de 30 dias, para que elas informem as pacientes.

15. Fale conosco

• Privacidade e direitos do titular: privacidade@gestaoaurora.com.br
• Segurança: contato@gestaoaurora.com.br
• Assuntos gerais: contato@gestaoaurora.com.br