Política de Privacidade

1. Quem somos e a quem esta política se aplica

A Riacho Tech (68.400.420 ANDRE VINICIUS GUEDES MARTINS, CNPJ 68.400.420/0001-07, Microempreendedor Individual), com sede em Brasília/DF, opera a Sofia, uma assistente de agendamento com inteligência artificial para WhatsApp, oferecida como serviço (SaaS) para negócios como clínicas, salões, barbearias e petshops.

Esta política se aplica a dois grupos de pessoas diferentes, e é importante saber qual se aplica a você:

• Se você é dono(a) de um negócio que contrata a Sofia — a Riacho Tech trata seus dados como controladora, para prestar o serviço contratado.
• Se você é cliente de um negócio que usa a Sofia (isto é, você manda mensagem pro WhatsApp de uma clínica, salão ou petshop que usa a Sofia) — a Riacho Tech trata seus dados como operadora, em nome e sob instrução do negócio que você contatou. Para dúvidas sobre seus dados nesse caso, o primeiro contato é o próprio negócio (ex: sua clínica), que é quem decide o que fazer com seus dados de agendamento.

2. Dados do seu negócio (cliente contratante)

Para configurar a Sofia no WhatsApp do seu negócio, coletamos:

• Nome do negócio, tipo de negócio (clínica, salão, petshop ou outro) e horários de atendimento;
• Número de WhatsApp que vai atender;
• Catálogo de produtos/serviços com preços e, opcionalmente, fotos;
• Preferências de tom de voz e regras específicas do seu atendimento (ex: exige sinal antecipado, atende convênio);
• Acesso à sua agenda do Google Calendar, via autorização OAuth — você autoriza diretamente com o Google, a Riacho Tech nunca vê ou armazena sua senha;
• Se o seu plano incluir cobrança automática, o token de acesso da sua conta do Mercado Pago (o dinheiro cai direto na sua conta, não passa pela Riacho Tech);
• Dados de contato para suporte (nome, telefone, e-mail).

3. Dados de quem conversa com a Sofia

Quando um cliente final manda mensagem pro WhatsApp de um negócio que usa a Sofia, coletamos, em nome desse negócio:

• Número de telefone (identificador da conversa no WhatsApp);
• Conteúdo das mensagens trocadas, na medida necessária pra Sofia entender o pedido e responder;
• Dados de agendamento (data, horário, serviço escolhido, profissional, e — quando aplicável ao tipo de negócio — se é atendimento particular ou por convênio);
• Dados de pagamento quando o cliente gera uma cobrança Pix pela conversa (valor e status do pagamento; os dados bancários ficam com o Mercado Pago e o negócio contratante, não com a Riacho Tech).

4. Como usamos esses dados

Usamos os dados exclusivamente para operar o serviço contratado: entender a mensagem do cliente final, consultar disponibilidade real na agenda do negócio, confirmar ou cancelar agendamentos, responder dúvidas de catálogo e preço, gerar cobrança quando solicitado, e enviar lembretes automáticos antes do horário marcado. Não usamos o conteúdo das conversas para treinar modelos de IA, nem vendemos ou alugamos dados a terceiros para fins de marketing.

5. Com quem compartilhamos

Pra operar a Sofia, dados passam pelos seguintes prestadores, cada um só recebendo o que precisa pra sua parte do serviço:

• Meta (WhatsApp Business Platform) — recebe e entrega as mensagens do WhatsApp, e mantém a conta do WhatsApp Business do negócio;
• Google (Google Calendar API) — consulta e grava eventos na agenda do negócio, mediante autorização do próprio negócio;
• Provedor de IA, via OpenRouter, com roteamento restrito a provedores com política de retenção zero (ZDR) — processa o texto da conversa apenas para gerar a resposta, sem reter o conteúdo depois;
• Mercado Pago (empresa do grupo Mercado Livre) — processa cobranças Pix, quando o plano do negócio inclui essa função; o valor recebido vai direto para a conta do negócio;
• Hostinger — hospeda o servidor onde os dados ficam armazenados (VPS no Brasil).

Google e o provedor de IA acessado via OpenRouter processam dados em servidores nos Estados Unidos; os demais prestadores processam dados no Brasil. Essa transferência internacional é necessária para a execução do serviço contratado e está sujeita às garantias contratuais oferecidas por cada prestador. O roteamento de IA é restrito a provedores com política de retenção zero, de modo que o conteúdo das conversas não é armazenado fora do servidor da Riacho Tech.

Nos negócios que usam a conexão por coexistência, a conta do WhatsApp Business (WABA) é do próprio negócio, em nome dele — a Riacho Tech atua como provedora de tecnologia sobre essa conta, com a autorização que o negócio concede ao conectar o número. Nesse modelo o dono continua usando o aplicativo do WhatsApp Business no celular dele normalmente, e o histórico das conversas fica sincronizado entre o aplicativo e a API: uma mensagem enviada pelo aplicativo aparece para a Sofia, e vice-versa.

Não compartilhamos dados com nenhum outro terceiro fora dessa lista, exceto se exigido por lei ou ordem judicial.

6. Uso limitado dos dados do Google

O uso e a transferência, pela Riacho Tech, de informações recebidas das APIs do Google seguem a Google API Services User Data Policy, incluindo os requisitos de Uso Limitado (Limited Use).

Na prática, sobre os dados que acessamos no Google Calendar do negócio contratante, com a autorização dele:

• usamos esses dados exclusivamente para operar as funções visíveis ao próprio usuário: consultar disponibilidade, criar, remarcar e cancelar eventos na agenda do negócio, e enviar lembretes dos horários marcados;
• não usamos, não transferimos e não vendemos esses dados — nem em forma bruta, nem agregada, nem derivada — para desenvolver, treinar ou melhorar modelos de inteligência artificial generalizados ou fundacionais;
• quando o texto de uma conversa precisa passar por um modelo de linguagem para que a resposta seja gerada, o roteamento é restrito a provedores com política de retenção zero, que não armazenam o conteúdo nem o utilizam para treinamento;
• não usamos esses dados para publicidade, e não os compartilhamos com corretores de dados;
• não há acesso humano de rotina a esses dados. Uma pessoa só os acessa com o consentimento expresso do negócio contratante, quando necessário para resolver um problema que ele relatou, por exigência legal, ou para fins de segurança — como apurar um abuso.

Riacho Tech's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

7. Segurança

Medidas técnicas já em vigor:

• O conteúdo das mensagens não fica registrado em texto puro nos logs do servidor;
• Credenciais e tokens (WhatsApp, Google, Mercado Pago) nunca circulam por mensagem, patch de código ou repositório — ficam só no banco de dados do servidor. A tela administrativa que os configura nunca reexibe o valor salvo (mostra só se está preenchido ou não). Criptografia desses dados também dentro do banco está no roadmap de segurança;
• O servidor roda com usuário sem privilégios administrativos (não-root) para a aplicação, reduzindo o impacto de uma eventual falha de segurança;
• Autenticação com o Google é feita via OAuth hospedado — o cliente final autoriza direto no navegador, sem precisar informar senha a ninguém da Riacho Tech;
• Limite de tentativas (rate limit) na tela de login do painel administrativo;
• Backup diário automático do banco de dados.

8. Retenção e exclusão

Mantemos o histórico de conversas pelo tempo necessário para prestar o serviço — 90 dias após a última mensagem, por padrão (esse prazo pode ser configurado por negócio contratante) — após o qual o conteúdo é apagado automaticamente por rotina diária. Dados de agendamento (data, horário, serviço) ficam registrados na própria agenda do Google Calendar do negócio contratante, sujeitos à política de retenção da conta Google dele.

Um negócio contratante pode pedir a exclusão antecipada dos dados dos seus clientes finais, e uma pessoa que conversou com a Sofia pode pedir a exclusão dos seus próprios dados diretamente ao negócio que ela contatou, ou à Riacho Tech pelo contato abaixo.

9. Como pedir a exclusão dos seus dados

Qualquer pessoa pode pedir a exclusão dos dados que a Riacho Tech guarda sobre ela, sem precisar justificar o motivo.

Como pedir

1. Envie um e-mail para contato@riachotech.com.br com o assunto "Exclusão de dados".
2. Informe o número de WhatsApp que você usou na conversa — é ele que identifica seus dados no nosso sistema.
3. Informe com qual negócio você conversou (o nome da clínica, salão, petshop ou profissional). Como atendemos vários negócios, sem isso não conseguimos localizar a conversa certa.

Não é preciso ter conta, cadastro ou senha em nada da Riacho Tech para fazer esse pedido.

O que acontece depois

Respondemos em até 15 dias corridos, prazo da Lei Geral de Proteção de Dados. Na resposta, dizemos o que foi apagado e o que porventura não pôde ser, com o motivo.

O que apagamos por conta própria, e o que precisa passar pelo negócio

Esta é a parte que depende de quem controla cada dado:

• Histórico da conversa com a Sofia — está no nosso banco de dados, e nós apagamos diretamente, a pedido seu. (Ele já é apagado sozinho 90 dias após a última mensagem, conforme a seção anterior.)
• Dados de agendamento (data, horário, serviço, profissional) — ficam na agenda do Google Calendar do negócio que você contatou, não numa base nossa. Nesses dados a Riacho Tech é apenas operadora: tratamos em nome do negócio e sob instrução dele, então não podemos apagá-los por decisão própria. Encaminhamos seu pedido ao negócio, que é o controlador, e avisamos você de que isso foi feito.
• O negócio pode ter obrigação legal de manter parte desses registros — uma clínica, por exemplo, tem deveres de guarda de prontuário e de histórico de atendimento. Nesse caso o pedido pode ser recusado por lei, e quem responde é o negócio, não a Riacho Tech.

Se você preferir, pode falar diretamente com o negócio que você contatou — é o caminho mais rápido para os dados de agendamento. Os dois caminhos funcionam.

Pedidos de negócios contratantes (exclusão da própria conta e de todos os dados vinculados a ela) usam o mesmo e-mail e o mesmo prazo.

10. Seus direitos (LGPD)

Nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018), você pode solicitar, a qualquer momento: confirmação de que tratamos seus dados, acesso aos dados tratados, correção de dados incompletos ou desatualizados, anonimização ou exclusão de dados desnecessários, portabilidade a outro fornecedor, e informação sobre com quem compartilhamos seus dados. Para exercer esses direitos, use o contato abaixo.

11. Contato

Dúvidas sobre esta política ou sobre seus dados: contato@riachotech.com.br ou pelo WhatsApp +55 61 99964-3707.

Esta política pode ser atualizada conforme o serviço evolui. Mudanças relevantes serão comunicadas aos negócios contratantes.