Política de Privacidad

1. Quién es el responsable y quién es el encargado#

La LGPD (Lei nº 13.709/2018, la ley brasileña de protección de datos) separa dos roles, y la diferencia cambia quién responde por qué.

• Sobre los datos de TUS clientes (las conversaciones de WhatsApp, las citas, los archivos que envían): tu empresa es la responsable y atendIA es la encargada. Quien decide para qué se usan esos datos eres tú. Nosotros solo ejecutamos.
• Sobre los datos de quien usa el panel (nombre, correo electrónico, teléfono, CPF o CNPJ de registro, registro de acceso): atendIA es la responsable.

Delegado de protección de datos (DPO) y canal del titular: [email protected]. La identificación completa de la empresa está en el pie de esta página.

2. Qué datos se tratan#

Dato sensible de salud

Parte de nuestros clientes son clínicas. La conversación de un paciente y el archivo adjunto de un examen son dato personal sensible según el art. 5º II de la LGPD, y reciben el mismo tratamiento técnico que el resto: aislamiento por empresa, acceso por permiso y registro de quién los abrió. La base legal para ese tratamiento es la tutela de la salud (art. 11 II f) cuando se aplica, y en el resto el cumplimiento del contrato entre tú y tu paciente. La elección de qué dato entra en la conversación es de la clínica, que es la responsable.

3. Con qué base legal#

• Ejecución de contrato (art. 7º V): casi todo. Guardar conversaciones, agendar citas, mostrar informes.
• Cumplimiento de obligación legal (art. 7º II): datos fiscales de la suscripción y registro de acceso.
• Interés legítimo (art. 7º IX): seguridad de la plataforma, prevención de fraude, mejora del producto a partir de datos agregados, sin identificar personas, y medición de nuestros anuncios con el Pixel de Meta y la etiqueta de Google Ads en este sitio, que puedes desactivar cuando quieras (sección 10).
• Consentimiento (art. 7º I): solo donde es realmente libre y específico, como conectar tu cuenta de Google. Te desconectas cuando quieras.

4. Inteligencia artificial: lo que sale de aquí y lo que no#

Cuando la IA está activada, el contenido de la conversación se envía al proveedor de modelo elegido en la configuración de tu empresa para generar la respuesta. El audio recibido se envía para transcripción. Eso es el funcionamiento normal del producto y está descrito aquí para que sepas exactamente qué cruza la frontera.

• No entrenamos modelos con tu conversación, y contratamos a los proveedores en una modalidad que no usa el contenido enviado por API para entrenar sus modelos.
• El retorno de las herramientas de la IA no lleva identidad. Cuando consulta tu agenda o tus servicios, lo que vuelve al modelo es horario, servicio y duración. El nombre y el teléfono del contacto quedan fuera por decisión de diseño, y existe una prueba automatizada que rompe nuestro build si alguien coloca identidad ahí.
• Puedes desactivar la IA en cualquier momento en el panel. Con ella desactivada, ningún contenido de conversaciones se envía a un proveedor de modelo.

5. Con quién compartimos (subencargados)#

La lista de abajo es la real y es la que el área jurídica de tu cliente va a pedir. No compartimos datos con nadie más, y no vendemos datos a nadie, en ninguna hipótesis.

La misma lista, con cuándo recibe datos cada uno, está en Subencargados. Las obligaciones de atendIA como encargada de los datos de tus clientes están en el Acuerdo de Tratamiento de Datos.

Transferencia internacional

Los proveedores de modelos de IA, Meta, Google, Cloudflare y Stripe procesan datos fuera de Brasil. La transferencia se hace con base en el art. 33 de la LGPD, para la ejecución del contrato entre tú y atendIA y mediante cláusulas contractuales de los respectivos proveedores. Si tu operación no puede transferir datos fuera del país, habla con nosotros antes de suscribirte: la IA puede quedar desactivada, y en ese caso el producto funciona como bandeja de entrada y agenda.

6. Por cuánto tiempo guardamos#

• Cuenta activa: las conversaciones, los contactos y la agenda se guardan mientras tu empresa sea cliente. Es el historial que usas todos los días.
• Registro de actividad: la ventana de retención puede variar según el plan y está declarada en el panel.
• Después de la cancelación: mantenemos los datos por 30 días por si te arrepientes o exportas con retraso. Pasado ese plazo, los datos de la empresa se eliminan. Los datos que la ley manda guardar (fiscales, por ejemplo) siguen el plazo legal.
• Eliminación a pedido: en cualquier momento, por el camino descrito en Eliminación de datos.

7. Datos de Google#

Esta sección existe porque Google exige que exista, y habla del alcance que atendIA realmente pide: Gmail. atendIA no accede a tu Google Calendar.

Qué pedimos y por qué

• gmail.readonly: leer los correos de la bandeja que conectes, para que aparezcan como conversaciones en el panel junto con WhatsApp.
• gmail.send: enviar tu respuesta desde la misma bandeja, para que el cliente la reciba desde la dirección de siempre.
• userinfo.email: saber qué cuenta se conectó, para mostrarla en pantalla y evitar conectar la bandeja equivocada.

Pedimos el alcance más estrecho con el que la función sigue operando. Te conectas por iniciativa propia, ves una pantalla que explica lo que va a ocurrir antes del consentimiento, y te desconectas en cualquier momento en el panel o en myaccount.google.com/permissions.

Uso limitado (Limited Use)

El uso y la transferencia, por parte de atendIA, de la información recibida de las APIs de Google siguen la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado. En términos prácticos, y sin rodeos:

• Usamos los datos de Google únicamente para entregar las funciones que activaste en el panel.
• No usamos datos de Google para entrenar modelos de inteligencia artificial, ni los nuestros ni los de terceros.
• No transferimos datos de Google a terceros, salvo para operar la función a tu pedido, por exigencia legal, o con tu consentimiento explícito.
• No vendemos datos de Google y no los usamos para publicidad.
• Ninguna persona lee tus correos, salvo con tu autorización expresa para soporte, por exigencia legal, o sobre datos agregados y anonimizados.

8. Tus derechos y cómo ejercerlos#

Los arts. 17 a 22 de la LGPD garantizan: confirmación de que existe tratamiento, acceso a los datos, corrección, anonimización o eliminación de datos innecesarios, portabilidad, información sobre el uso compartido, revocación del consentimiento y revisión de decisiones automatizadas.

Para ejercer cualquiera de ellos, escribe a [email protected]. Respondemos en hasta 15 días. Pedimos confirmación de identidad antes de entregar datos, porque entregar datos a la persona equivocada sería la propia filtración.

Si la solicitud es sobre la conversación que tuviste con una empresa que USA atendIA, quien responde es esa empresa, que es la responsable. Le reenviamos la solicitud y te avisamos.

9. Incidente de seguridad#

Si ocurre un incidente que pueda generar un riesgo relevante, comunicamos a las empresas afectadas y a la ANPD (la autoridad brasileña de protección de datos) en los plazos de la LGPD, con lo que se sabe, lo que se hizo y lo que se sigue haciendo. La descripción de las medidas técnicas está en Seguridad y datos.

10. Cookies y medición de anuncios#

Este sitio usa dos tipos de cookie:

• Necesarias: las que hacen funcionar el sitio y el registro de tu elección en Preferencias de cookies, guardado en tu propio navegador (y, si lo desactivas, en la cookie atendia-rastreio, leída también por la página de registro del panel).
• Medición de anuncios (Pixel de Meta): se activa cuando abres el sitio, a menos que lo hayas desactivado. Con él activado, Meta Platforms (dueña de Facebook e Instagram) recibe: la dirección de la página visitada y la de la página anterior; si la sección de planes apareció en pantalla; los clics en los botones de prueba gratis (con el plan, el precio y la parte del sitio en que estaba el botón) y en los de contacto (WhatsApp, correo electrónico y teléfono); datos técnicos del navegador (dirección IP, navegador, tamaño de pantalla y zona horaria); y sus cookies, _fbp y, si llegaste haciendo clic en un anuncio de Meta, _fbc. Sirve para saber qué anuncios traen clientes y para mostrar anuncios de atendIA a quien ya visitó el sitio.
• Medición de anuncios (etiqueta de Google Ads): se activa y se desactiva junto con el Pixel. Con ella activada, Google recibe: la dirección de la página visitada y la de la página anterior; datos técnicos del navegador (dirección IP, navegador, idioma y tamaño de pantalla); y sus cookies, _gcl_au y, si llegaste haciendo clic en un anuncio de Google, _gcl_aw, que guarda el identificador de ese clic. Los clics en los botones del sitio no van a Google. Sirve para saber qué anuncios de Google traen clientes y para mostrar anuncios de atendIA a quien ya visitó el sitio.

La base legal es el interés legítimo (art. 7º IX de la LGPD): medir el resultado de nuestros anuncios, solo con los datos listados arriba y con tu derecho de oposición garantizado en un clic (abajo). Tratamos esos datos conforme a la LGPD y no los publicamos ni los vendemos. Meta los trata fuera de Brasil y también para fines propios, como responsable, conforme a la Política de Privacidad de Meta. Google hace lo mismo, conforme a la Política de Privacidad de Google y a la página Cómo usa Google los datos de los sitios que usan sus servicios.

Si el Pixel estaba activado y creas una cuenta en el panel, el panel avisa a Meta que el registro ocurrió. Van sin transformación: el plan elegido y que empieza en la prueba gratis, la hora, la dirección de la página de registro, la dirección IP y el navegador usados, y las cookies _fbp y _fbc (esta solo si existe). Van con hash SHA-256: tu correo electrónico, el teléfono, el país y el identificador de la cuenta creada, que también forma el código del aviso. El hash no es anonimización: Meta calcula el mismo hash de los datos de sus cuentas para encontrar a la persona correspondiente. Es lo que dice qué anuncio trajo a un cliente. Si desactivaste el Pixel antes del registro, el panel no envía nada.

Si el Pixel estaba activado en el registro y después pagas la suscripción, el panel avisa a Meta del primer pago, una sola vez: las mensualidades siguientes no se avisan. Van sin transformación: el valor pagado y la moneda, la hora, y los mismos datos del aviso del registro (la dirección de la página de registro, el navegador usado en él y las cookies _fbp y _fbc, esta solo si existe). Van con hash SHA-256: el identificador del cobro, que forma el código del aviso, y, como en el registro, tu correo electrónico, el teléfono, el país y el identificador de la cuenta. La dirección IP no va en este aviso. Para eso el panel guarda esos datos desde el registro y los borra al enviar, o a los 90 días si no hay pago. Desactivar el Pixel después, en Preferencias de cookies, no alcanza lo que el registro ya guardó: para cancelar este aviso, usa el canal de la sección 8 y lo borramos.

El mismo Pixel también se activa en la página de registro del panel (painel.atendiatec.com.br/signup), donde Meta recibe solo la visita a la página: su dirección, los datos técnicos del navegador y las cookies _fbp y _fbc. Allí también existe el enlace Desactivar, y desactivar en uno de los dos lugares vale para los dos.

La etiqueta de Google Ads también se activa en la página de registro del panel. Recibe la visita a la página y, si creas la cuenta, un aviso de que ocurrió un registro. En los dos casos van la dirección de la página, los datos técnicos del navegador y las cookies _gcl_au y _gcl_aw (esta solo si existe). Ningún dato del formulario va a Google: ni nombre, ni correo electrónico, ni teléfono, ni documento. Es lo que dice qué anuncio de Google trajo un registro. Si desactivaste la medición antes, no se envía nada de esto.

Para oponerte en cualquier momento, usa Preferencias de cookies, en el pie de cualquier página: Desactivar ahí el Pixel y la etiqueta de Google, incluso en las otras pestañas del sitio que estén abiertas, borra sus cookies y queda guardado en tu navegador. Los bloqueadores de anuncios también impiden que los dos se carguen.

11. Cambios en esta política#

Cuando cambiemos algo relevante, la fecha de arriba cambia y avisamos por correo electrónico a las empresas clientes. La versión anterior está disponible a pedido por el canal del delegado de protección de datos.

12. Quién responde por esta política#

ATENDIA TECNOLOGIA LTDA, CNPJ 69.450.061/0001-57. R Visconde do Rio Branco, 1488, Conj 909, Andar 09, Cond Universe Life Square, Bloco Com., Centro, Curitiba / PR, CEP 80.420-210. Contacto general: [email protected]. Delegado de protección de datos: [email protected].