1. Quem é quem: a Clínica controla, nós operamos
Esta é a parte mais importante desta política, e ela define todo o resto.
- A Clínica é a CONTROLADORA dos dados dos pacientes dela. É ela que tem a relação com o paciente, que decide o que coletar e por quê, e que responde por esses dados.
- O GlowIA é OPERADOR (art. 5º, VII da LGPD): tratamos os dados de paciente em nome da Clínica e somente conforme as instruções dela. Não decidimos finalidade, não usamos esses dados para propósito próprio e não os tratamos fora do que o serviço faz para aquela Clínica.
- Quando a Clínica assina conosco, ela é titular dos próprios dados cadastrais (email, telefone, dados financeiros da clínica) — para esses, somos controladores.
Identificação da operadora: Sensitivity Estética Avançada, CNPJ 30.166.039/0001-44, Av. Hilário Pereira de Souza, 406 — Osasco/SP, CEP 06010-170.
2. Dados que tratamos
Da Clínica (somos controladores):
- Email e senha (hash criptográfico).
- Nome do responsável e telefone com DDD — informados no cadastro.
- Dados da Clínica: nome, custos fixos, equipe, parâmetros.
Dos pacientes da Clínica (somos operadores): importados por planilha exportada do sistema de gestão da própria Clínica (CnN ou similar), ou recebidos quando o paciente responde a uma mensagem enviada pela Clínica pelo WhatsApp:
- Nome e telefone.
- Procedimentos realizados ou orçados, datas, valores e forma de pagamento.
- Histórico de contato: quando a Clínica falou com a pessoa e qual foi o desfecho.
Conteúdo de mensagem de WhatsApp nunca é armazenado. Do inbound guardamos apenas metadado de roteamento (telefone, número que recebeu, data/hora) — o necessário para registrar que houve resposta.
3. Dado de saúde é dado sensível
Procedimento estético realizado é, para a LGPD, dado pessoal sensível referente à saúde (art. 5º, II). Tratamos esse dado apenas sob a hipótese do art. 11, II, “a” e “f” — cumprimento de obrigação e execução regular de contrato pela controladora, com o operador agindo por conta dela.
Consequências práticas, que valem como compromisso: não usamos dado de paciente para treinar modelo, não cruzamos base de uma Clínica com a de outra e não fazemos perfilamento para fim próprio.
4. Finalidade — restrita à operação do serviço
Calcular margem real, lucratividade por procedimento, break-even e demais indicadores financeiros da Clínica; e organizar a fila de contato da Clínica com os próprios pacientes (lembretes de retorno, orçamentos em aberto, pós-procedimento).
Fora disso, nada. O nome do responsável e o telefone da Clínica são usados para comunicação sobre o trial, suporte e atendimento — inclusive por WhatsApp.
5. Base legal (LGPD)
- Dados da Clínica: execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) para suporte e melhoria do produto.
- Dados de paciente: tratados como operador, sob a base legal da Clínica controladora (art. 11 para dado de saúde). Não invocamos base legal própria sobre esses dados.
6. Não compartilhamos com terceiros
Não vendemos, não alugamos, não cedemos e não compartilhamos dados de paciente com terceiros — nem para publicidade, nem para parceiros, nem para enriquecimento de base.
Há apenas suboperadores de infraestrutura, sem os quais o serviço não roda, todos com contrato de tratamento de dados:
- Supabase (banco de dados — EUA)
- Vercel (hospedagem — EUA)
- Meta / WhatsApp Business API (envio e recebimento das mensagens da Clínica para os pacientes dela)
- Asaas (processamento de pagamento — Brasil; não recebe dado de paciente, só da Clínica)
Transferência internacional (EUA) ocorre para banco e hospedagem, com salvaguardas contratuais dos respectivos fornecedores.
7. Direitos do titular
Se você é paciente de uma clínica que usa o GlowIA: seus direitos se exercem com a clínica, que é a controladora dos seus dados. Procure a clínica; nós atendemos o pedido dela e executamos correção ou exclusão em até 30 dias.
Se você é a Clínica cliente, pode a qualquer momento:
- Acessar seus dados
- Corrigir informações incorretas
- Solicitar exclusão (exceto dados que precisamos manter por obrigação legal, como notas fiscais)
- Portar para outro serviço (exportação)
- Descadastrar das mensagens de WhatsApp — responda PARAR em qualquer mensagem, ou peça pelo email abaixo.
Para exercer: envie email para contato@glowia.com.br.
8. Retenção
- Dado de paciente: mantido enquanto durar o contrato com a Clínica. Encerrado o contrato, ou a pedido da Clínica a qualquer momento, excluímos ou devolvemos — a escolha é dela — em até 30 dias contados do pedido.
- Dados cadastrais da Clínica: mantidos enquanto a conta existir, e excluídos pelo mesmo pedido e no mesmo prazo.
- Cópias de segurança: feitas para proteção contra falha e sobrescritas pelo ciclo normal de rotação. Não mantemos arquivo histórico separado depois da exclusão.
- Arquivos de importação que falham: quando um relatório enviado pela Clínica não é reconhecido pelo nosso sistema, guardamos por 30 dias uma amostra da estrutura dele — nomes das colunas, quantidade de colunas e as primeiras linhas com todos os valores mascarados (um telefone vira (99) 99999-9999, um nome vira Aaaaa Aaaaa). Serve só para corrigir a leitura do arquivo. O arquivo original nunca é armazenado, e a amostra é apagada automaticamente ao fim dos 30 dias.
9. Segurança
- Conexão HTTPS em todo o serviço.
- Senhas com hash bcrypt.
- Multi-tenancy via Row Level Security no banco.
- Acesso aos dados restrito ao titular da Clínica.
10. Cookies e mensuração de anúncios
Usamos cookies essenciais para autenticação — sem eles você não consegue entrar na sua conta.
Além deles, usamos o Meta Pixel (Meta Platforms, Inc.) nas páginas públicas do site. Ele registra visitas e envio do formulário de contato para uma única finalidade: medir o resultado dos nossos anúncios — saber quantas pessoas que clicaram num anúncio chegaram até aqui e preencheram o formulário. Não usamos esses dados para perfilar você, nem os vendemos ou compartilhamos com terceiros além da própria Meta, que os processa como operadora dessa mensuração.
Como recusar. Você pode bloquear o Meta Pixel sem perder nenhuma função do site: use o bloqueio de rastreadores do seu navegador (Firefox e Brave trazem por padrão; Chrome e Edge via extensão como uBlock Origin ou Privacy Badger), ative a opção “Não rastrear”, ou ajuste suas preferências de anúncios diretamente na Meta em accountscenter.facebook.com/ads. Nada do que o site faz depende dele.
Se preferir, escreva para contato@glowia.com.br pedindo exclusão dos dados de navegação associados a você — é o mesmo canal do titular descrito na seção 12.
11. Quando é você quem fala com a gente
As seções acima tratam do dado de paciente — ali a Clínica controla e nós operamos. Esta seção é sobre outra coisa: os dados que você nos entrega ao preencher o formulário do piloto. Aqui não há intermediário: nós somos os controladores.
O que coletamos: nome, e-mail, WhatsApp, nome da clínica, sistema de agenda e faixa de atendimentos por mês — o que você digitou —, mais a origem da visita (de qual anúncio ou link você veio) e o endereço da página de chegada.
Para quê, exatamente: (a) responder você sobre o piloto, por WhatsApp ou e-mail; (b) enviar conteúdo relacionado ao piloto e ao produto enquanto a conversa estiver aberta; e (c) saber qual anúncio trouxe cada inscrição, para não gastar em anúncio que não funciona. Nada além disso. Não vendemos, não cedemos e não alimentamos lista de terceiros.
Base legal: o contato sobre o piloto que você mesmo pediu é execução de diligências pré-contratuais (art. 7º, V da LGPD). O envio de conteúdo relacionado se apoia no legítimo interesse (art. 7º, IX) — e o consentimento que você marca ao enviar o formulário é a transparência sobre isso, não a única perna que sustenta o contato.
Como sair, a qualquer momento: responda “sai” em qualquer mensagem de WhatsApp, use o link de descadastro no rodapé de qualquer e-mail, ou escreva para contato@glowia.com.br. Saímos do seu pé no mesmo dia útil, e apagamos o registro se você pedir — sem precisar justificar.
Por quanto tempo guardamos: até 24 meses após o último contato seu, ou até você pedir exclusão — o que vier primeiro. Inscrição que virou cliente passa a seguir a retenção da seção 8.
12. Encarregado de Dados (DPO)
Cezar Bastos dos Santos
Email: contato@glowia.com.br
13. Atualizações
Mudanças relevantes nesta política serão comunicadas por email com 30 dias de antecedência.