Política de Privacidade

Última atualização: 22 de outubro de 2026

Esta política explica, em linguagem simples, quais dados pessoais o meagenda trata, por que, com quem compartilha e como você pode exercer seus direitos previstos na Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”).

1. Quem somos e a quem esta política se aplica

O meagenda (meagenda.online) é uma agenda online para profissionais e pequenos negócios de beleza, estética, saúde e bem-estar. O meagenda é um produto de LC TECHNOLOGY, inscrita no CNPJ sob o nº 42.418.435/0001-09(“meagenda”, “nós”).

Esta política se aplica a:

  • Clientes do meagenda: donos de negócio, profissionais e membros de equipe que criam conta no painel;
  • Clientes finais: pessoas que marcam horário pela página pública de um negócio ou que o negócio cadastra na própria agenda;
  • visitantes do site.

2. Controlador e operador

A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata em nome de outro (operador):

  • O meagenda é controlador dos dados das contas (nome, e-mail, login, assinatura, pagamentos do plano, registros de acesso e de segurança) e dos dados de visitantes do site.
  • O meagenda é operador dos dados dos clientes finais que cada negócio cadastra ou recebe pela sua página (nome, telefone, e-mail, aniversário, anamnese, histórico de atendimentos, pagamentos, anotações). Quem decide por que e como esses dados são usados é o negócio, que é o controlador. Nós só os tratamos para prestar o serviço ao negócio, conforme as instruções dele e os Termos de Uso.

Se você é cliente final e quer acessar, corrigir ou apagar seus dados, o caminho principal é falar com o negócio onde você é atendido. Se nos procurar, encaminharemos o pedido a ele e ajudaremos no que for necessário.

3. Quais dados tratamos

Conta e negócio

  • Nome, e-mail, senha (guardada apenas como hash pelo provedor de autenticação), foto de perfil opcional;
  • Se você entrar com o Google: nome, e-mail, foto de perfil e identificador da conta Google (veja a seção Dados do Google);
  • Dados do negócio: nome, endereço público (slug), logo, fotos, endereço físico, horários, serviços, preços, chave Pix, metas, despesas e comissões;
  • Membros da equipe, convites e permissões;
  • Fatores de verificação em duas etapas (MFA), quando ativados.

Clientes finais (cadastrados pelo negócio ou pela página pública)

  • Nome, telefone (WhatsApp), e-mail opcional, data de aniversário, observações;
  • Consentimento para receber mensagens automáticas pelo WhatsApp e a data desse consentimento;
  • Respostas de anamnese definidas pelo negócio;
  • Agendamentos, serviços, status (confirmado, remarcado, faltou etc.), pagamentos e sinais, cartão fidelidade;
  • Mensagens enviadas e respostas recebidas pelo WhatsApp relacionadas ao agendamento;
  • Para psicólogos e outros profissionais de saúde: anotações privadas de sessão, visíveis apenas para quem as escreveu (veja Dados sensíveis).

Assinatura e pagamento

Plano, status da assinatura, faturas e identificadores do Stripe. Não recebemos nem guardamos o número completo do seu cartão: ele é digitado diretamente no Stripe.

Uso, segurança e registros técnicos

  • Registro de auditoria de ações importantes (quem fez, o quê, quando), com endereço IP e navegador (user agent);
  • Data do último acesso e dias em que a conta foi usada, para métricas internas e suporte;
  • Contadores de tentativas para bloquear abuso (por exemplo, excesso de tentativas de senha);
  • Logs técnicos do servidor (erros, tempo de resposta), sem conteúdo de formulários sensíveis;
  • Verificação do Google reCAPTCHA no cadastro e na recuperação de senha.

Blog

O blog público pode ter rascunhos gerados com ajuda de inteligência artificial (Anthropic Claude), usados apenas pela administração do meagenda. Esses rascunhos são feitos a partir de temas e instruções da equipe; não enviamos dados de clientes, agendas ou anotações para gerar conteúdo do blog.

4. Para que usamos e com qual base legal

  • Prestar o serviço (agenda, página pública, lembretes, equipe, caixa, exportação) — execução de contrato (art. 7º, V).
  • Cobrar a assinatura e emitir faturas — execução de contrato (art. 7º, V) e cumprimento de obrigação legal (art. 7º, II).
  • Segurança, prevenção a fraude e auditoria (reCAPTCHA, limites de tentativa, registro de ações, IP) — legítimo interesse (art. 7º, IX) e, quando aplicável, cumprimento de obrigação legal, incluindo a guarda de registros de acesso a aplicações prevista no Marco Civil da Internet (Lei nº 12.965/2014, art. 15).
  • Suporte ao negócio, inclusive acesso temporário e registrado da nossa equipe à conta, quando você pede ajuda — execução de contrato e legítimo interesse.
  • Métricas internas de uso (último acesso, dias de uso) para melhorar o produto e entender a adoção — legítimo interesse (art. 7º, IX).
  • Comunicações de conta (confirmação de e-mail, recuperação de senha, avisos de segurança) — execução de contrato.
  • Mensagens automáticas ao cliente final pelo WhatsApp — tratamento feito pelo negócio, como controlador, com o consentimento que ele coleta do cliente (art. 7º, I) ou outra base que o negócio indicar.
  • Exercício regular de direitos em processos judiciais, administrativos ou arbitrais (art. 7º, VI).

Não vendemos dados pessoais e não usamos dados de clientes finais para publicidade.

5. Dados sensíveis (saúde)

Respostas de anamnese e anotações de sessão podem conter dados referentes à saúde, que a LGPD considera dados sensíveis. Esses dados são tratados pelo negócio, como controlador, com base no art. 11 da LGPD — por exemplo, consentimento específico e destacado do titular (art. 11, I) ou tutela da saúde em procedimento realizado por profissionais de saúde (art. 11, II, “f”). Cabe ao negócio escolher a base adequada, coletar o consentimento quando necessário e cumprir as regras do seu conselho profissional.

O que o meagenda faz para proteger esses dados:

  • Anotações privadas de sessão ficam visíveis somente para o profissional que as escreveu — nem a dona do negócio, nem outros membros da equipe, nem o suporte do meagenda têm acesso pelo aplicativo;
  • Acesso controlado por regras no próprio banco de dados (RLS), não apenas na tela;
  • Não usamos esses dados para nenhuma finalidade própria, nem para treinar modelos de inteligência artificial.

6. Dados do Google

O uso e a transferência, pelo meagenda, de informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Login com o Google

Se você escolher “Entrar com o Google”, pedimos apenas os escopos openid, email e profile. Recebemos seu nome, e-mail, foto de perfil e o identificador da sua conta Google, usados exclusivamente para criar sua conta e autenticar você no meagenda.

Integração com o Google Agenda (opcional, por profissional)

Cada profissional pode conectar a própria Google Agenda. Ao conectar, pedimos:

  • calendar.events.owned — para criar, alterar e remover eventos nas agendas que você possui: os eventos dos agendamentos feitos no meagenda. Só mexemos nos eventos que o próprio meagenda criou.
  • calendar.freebusy — para ler apenas os períodos ocupados (início e fim) da sua agenda e bloquear esses horários na sua página de agendamento. Não lemos títulos, descrições, participantes nem locais dos seus outros compromissos.

O que fazemos e não fazemos com esses dados

  • Usamos os dados do Google somente para oferecer as funções acima, visíveis para você no aplicativo;
  • Não vendemos dados do Google e não os transferimos a terceiros, exceto quando necessário para prestar essas funções, para cumprir a lei ou em caso de fusão/aquisição com aviso prévio;
  • Não usamos dados do Google para publicidade, inclusive anúncios personalizados ou redirecionados;
  • Não usamos dados do Google para desenvolver, melhorar ou treinar modelos de inteligência artificial ou de aprendizado de máquina;
  • Nenhuma pessoa da nossa equipe lê esses dados, salvo com sua autorização expressa para suporte, quando necessário por segurança (por exemplo, investigar abuso) ou para cumprir a lei;
  • Os tokens de acesso da Google Agenda são guardados criptografados no nosso banco de dados.

Como revogar

Você pode desconectar a Google Agenda a qualquer momento no seu perfil, dentro do painel; nesse momento apagamos os tokens guardados. Também é possível revogar o acesso do meagenda em myaccount.google.com/permissions. Eventos já criados na sua agenda continuam lá até que você os apague.

7. Com quem compartilhamos

Compartilhamos dados apenas com fornecedores (suboperadores) necessários para o serviço funcionar, sob contrato e somente para essas finalidades:

  • Supabase — banco de dados, autenticação, armazenamento de arquivos e envio de e-mails de conta. Região: São Paulo (sa-east-1).
  • Fly.io — hospedagem do aplicativo e do serviço de WhatsApp. Região: São Paulo (GRU).
  • Stripe — cobrança da assinatura e dados de pagamento do plano.
  • Google — reCAPTCHA (proteção contra robôs), login com o Google e integração com o Google Agenda, quando você usa essas funções.
  • Evolution API / WhatsApp — envio de lembretes e confirmações pelo número de WhatsApp do próprio negócio. As mensagens trafegam pela infraestrutura do WhatsApp (Meta).
  • Anthropic — geração de rascunhos do blog, sem dados de clientes ou agendas.

Também podemos compartilhar dados quando exigido por lei ou ordem de autoridade competente, ou para defender direitos do meagenda. O negócio controla os dados dos seus clientes e pode exportá-los; o que ele faz com a exportação é responsabilidade dele.

8. Transferência internacional

Os dados principais ficam hospedados no Brasil (São Paulo). Alguns fornecedores — como Stripe, Google, Anthropic, Meta/WhatsApp e, para suporte e operação, Supabase e Fly.io — são empresas estrangeiras e podem tratar dados fora do Brasil. Nesses casos, a transferência se apoia no art. 33 da LGPD, em especial em cláusulas contratuais de proteção de dados oferecidas por esses fornecedores e, quando aplicável, nas regras da ANPD sobre transferência internacional.

9. Por quanto tempo guardamos

  • Dados da conta e do negócio: enquanto a conta estiver ativa. Após o cancelamento, os dados ficam disponíveis para exportação por 90 (noventa) dias e depois são excluídos, salvo o que precisarmos guardar por lei.
  • Registros de acesso a aplicações (IP, data e hora): no mínimo 6 meses, como exige o Marco Civil da Internet.
  • Registro de auditoria: pode ser mantido após a exclusão da conta, pelo prazo necessário para segurança, prevenção a fraude e defesa em processos.
  • Dados fiscais e de cobrança: pelo prazo exigido pela legislação tributária.
  • Backups: cópias de segurança do provedor são sobrescritas em ciclos automáticos; dados excluídos podem permanecer nelas por um período curto até serem substituídos.

10. Como protegemos

  • Cada negócio é isolado dos outros no próprio banco de dados, por regras de segurança por linha (RLS);
  • Permissões por papel: membros da equipe veem só a própria agenda; preços e caixa ficam com a dona do negócio;
  • Conexão criptografada (HTTPS/TLS) e dados hospedados em São Paulo;
  • Verificação em duas etapas (MFA) opcional; exigida para a administração da plataforma;
  • Tokens de integrações (como a Google Agenda) guardados criptografados;
  • Proteção contra tentativas repetidas de senha e cadastros automatizados (limites de tentativa e reCAPTCHA);
  • Registro de auditoria que não pode ser alterado; o acesso de suporte à conta de um negócio é temporário, justificado e registrado.

Nenhum sistema é 100% seguro. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos os afetados e a ANPD, conforme o art. 48 da LGPD.

11. Cookies

Usamos apenas cookies necessários para o funcionamento e a segurança do serviço. Não usamos cookies de publicidade.

  • Sessão (Supabase Auth) — mantém você conectado. Dura até 30 dias e é renovado no uso; se você desmarcar “Confiar neste dispositivo”, some ao fechar o navegador.
  • ag-trust — guarda sua escolha de “Confiar neste dispositivo” no login.
  • ag-seen — evita registrar o mesmo acesso várias vezes; dura 15 minutos.
  • ag-invite — leva você de volta ao convite de equipe depois de criar a conta; dura até 7 dias.
  • Google reCAPTCHA — nas telas de cadastro e recuperação de senha, o Google pode definir cookies próprios para diferenciar pessoas de robôs, conforme a Política de Privacidade do Google.

Também guardamos no próprio navegador (armazenamento local, não enviado ao servidor) se você dispensou o aviso de instalar o app.

12. Seus direitos

Pelo art. 18 da LGPD, você pode pedir:

  • confirmação de que tratamos seus dados e acesso a eles;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
  • portabilidade;
  • eliminação de dados tratados com base no consentimento;
  • informação sobre com quem compartilhamos;
  • informação sobre a possibilidade de não consentir e suas consequências;
  • revogação do consentimento;
  • revisão de decisões tomadas unicamente com base em tratamento automatizado.

Como pedir: boa parte você faz sozinho no painel (editar perfil, exportar dados, desconectar integrações). Para o restante, escreva para contato@meagenda.online a partir do e-mail da conta. Podemos pedir informações para confirmar sua identidade. Respondemos em até 15 dias. Se você é cliente final de um negócio, fale primeiro com ele (veja a seção Controlador e operador).

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.

13. Encarregado (DPO) e contato

Encarregado pelo tratamento de dados pessoais: Lucas Costa — contato@meagenda.online.
LC TECHNOLOGY · CNPJ 42.418.435/0001-09

14. Crianças e adolescentes

O painel do meagenda é destinado a maiores de 18 anos. Negócios podem atender e cadastrar clientes menores de idade; nesse caso, cabe ao negócio, como controlador, tratar os dados no melhor interesse da criança ou do adolescente e obter o consentimento de um dos pais ou responsável quando exigido (art. 14 da LGPD).

15. Mudanças nesta política

Podemos atualizar esta política. A data no topo mostra a última versão. Se a mudança for relevante, avisaremos por e-mail ou no painel antes de ela valer. Veja também os Termos de Uso.