Política de Privacidade

1. Quem somos e o que esta política cobre

O Caapto é uma plataforma de agendamento para salões, barbearias, clínicas de estética, spas e profissionais autônomos. Esta Política de Privacidade explica como tratamos os dados pessoais no site caapto.com.br e no aplicativo Caapto (app.caapto.com.br).

O controlador dos dados é Cross Media Publicidade Ltda., inscrita no CNPJ sob nº 07.444.150/0001-33, com sede em Av. São Josemaria Escrivá, 560, bloco 9, apt. 1604, Itanhangá, Rio de Janeiro – RJ, CEP 22753-200. Ao usar o site ou o aplicativo, você concorda com as práticas descritas aqui.

Importante: quando você utiliza o Caapto como negócio, você é o controlador dos dados dos seus próprios clientes, e o Caapto atua como operador — tratando esses dados apenas para prestar o serviço a você e sob as suas instruções. Nos avisos que saem pelo número do próprio Caapto, em nome do seu negócio, somos nós que decidimos o número e o texto, e por isso respondemos por esse envio junto com você. O cadastro de identidade de uma pessoa, que é o mesmo em todos os negócios que ela frequenta, é de controle conjunto.

2. Quais dados coletamos

Coletamos apenas o necessário para o serviço funcionar:

• Dados que você fornece: nome, e-mail, telefone e informações do seu negócio quando você cria uma conta ou entra em contato conosco.
• Dados dos seus clientes: nome, telefone, e-mail e histórico de agendamentos que você e seus clientes registram para marcar horários. Esses dados pertencem ao seu negócio.
• Dados de conversas no WhatsApp: as mensagens trocadas com o assistente do Caapto, usadas para entender o pedido e concluir o agendamento.
• Dados de verificação: para confirmar que um telefone ou e-mail pertence mesmo a quem o informou, geramos um código de uso único e o enviamos por WhatsApp, SMS ou e-mail. Guardamos o registro do envio e da confirmação — nunca o código em si.
• Registro de aceite dos termos, em qualquer plano: quem aceitou, quando, a versão aceita e o endereço de IP de onde o aceite partiu. Guardamos esse registro desde a criação da conta — é o que torna o contrato verificável.
• Dados de cobrança e fiscais, apenas nos planos pagos: CPF ou CNPJ, razão social, e-mail de cobrança e histórico de faturas. Os dados do cartão são informados direto ao nosso processador de pagamento e não são gravados nos nossos sistemas.
• Dados de uso e do dispositivo: páginas visitadas, origem da visita, tipo de navegador e sistema, registrados sob um identificador aleatório — pseudonimizados, nunca ligados ao seu nome — e analisados de forma agregada para melhorar o site e o serviço.

3. Cookies e medição de audiência

Medimos a audiência deste site com o Google Analytics 4, ativado por padrão com base no nosso legítimo interesse de entender como o site é usado e melhorá-lo. Ele registra as páginas visitadas, de onde a visita veio e qual versão de um texto você viu, sob um identificador aleatório guardado no cookie _ga por 13 meses. Não ativamos o Google Signals nem cruzamos essa medição com a sua conta.

Cookies de anúncios do Google Ads, usados para medir o resultado de um anúncio e personalizar os anúncios do Caapto, só são ativados com o seu consentimento — pelo aviso de cookies ou pelas preferências.

Você pode desligar a medição e os anúncios a qualquer momento pelo controle "Cookies" no rodapé de todas as páginas. Desligar a medição apaga os cookies de medição deste site na hora e interrompe o envio de dados a partir da página seguinte. Para visitantes da União Europeia, do Reino Unido e da Suíça, nenhum cookie é gravado antes de uma escolha.

Além dos cookies, o site guarda no seu navegador a sua escolha sobre cookies (caapto_consent), os identificadores de campanha da sua visita, para completar o seu cadastro (caapto_attribution, apagado ao fechar a aba), e a versão de texto que foi sorteada para você (exp_*). Nenhum deles identifica você.

4. Como e por que usamos os dados

• Prestar o serviço: criar sua conta, exibir sua agenda, receber agendamentos e enviar confirmações e lembretes.
• Reduzir faltas: enviar lembretes e avisos automáticos sobre os agendamentos — por WhatsApp, SMS ou e-mail, nessa ordem, conforme o canal que alcança a pessoa.
• Confirmar contatos e proteger o acesso: verificar por código que um telefone ou e-mail pertence a quem o informou.
• Atender e dar suporte: responder às suas dúvidas e resolver problemas.
• Melhorar o produto: entender de forma agregada o que funciona e o que precisa melhorar.
• Medir o resultado dos nossos anúncios: quando você chega por um anúncio do Google, do Facebook ou do Instagram, guardamos o identificador do clique junto ao seu cadastro para informar à plataforma que aquele clique resultou em um cadastro. Ele é apagado após 90 dias (Google) ou 7 dias (Meta).
• Personalizar os anúncios do Caapto que você vê, só com o seu consentimento.
• Cobrar a assinatura: processar o pagamento do plano contratado, emitir nota fiscal e manter os registros contábeis exigidos por lei.
• Cumprir obrigações legais e prevenir fraudes e abusos.

5. Bases legais (Art. 7 da LGPD)

Cada tratamento se apoia em uma base legal:

• Execução de contrato: para prestar o serviço que você contratou.
• Consentimento: para os cookies de anúncios e comunicações de marketing, que você pode revogar quando quiser.
• Legítimo interesse: para medir a audiência do site e o resultado dos nossos anúncios, para segurança, prevenção a fraudes e melhoria do produto, sempre respeitando os seus direitos — com o direito de se opor pelo controle "Cookies" ou pelo encarregado.
• Cumprimento de obrigação legal ou regulatória, quando aplicável.

6. Com quem compartilhamos

Não vendemos seus dados. Compartilhamos apenas com prestadores que nos ajudam a operar o serviço (operadores), sob contrato e obrigação de confidencialidade:

• Anthropic (EUA): fornece o modelo de inteligência artificial que interpreta as mensagens e ajuda a concluir os agendamentos no WhatsApp.
• Google / Firebase (EUA): hospedagem do site e do aplicativo, a sessão da sua conta depois de confirmado o seu celular, medição de audiência com o Google Analytics 4, medição do resultado dos nossos anúncios no Google Ads e, com o seu consentimento, anúncios personalizados.
• Meta / WhatsApp (EUA): entrega das mensagens de agendamento, confirmação e lembrete pelo WhatsApp, e do código de verificação quando você entra pelo celular; medição do resultado dos nossos anúncios no Facebook e no Instagram.
• Zenvia (Brasil): envio de mensagens por SMS, quando esse é o canal usado para um aviso de agendamento ou um código de verificação.
• Postmark (EUA): envio dos e-mails do serviço — códigos e links de verificação, confirmações, lembretes e avisos sobre a sua conta.
• Sentry (EUA): recebe relatórios técnicos de erro do aplicativo e dos nossos servidores, usados apenas para encontrar e corrigir falhas. Cada relatório traz informações técnicas sobre a falha, como o ponto do código e a mensagem de erro, o navegador e o sistema em uso, as últimas ações do sistema antes do erro, o endereço acessado — sem os códigos de acesso que ele possa conter — e identificadores internos pseudonimizados.
• Asaas (Brasil): processa os pagamentos da assinatura. Para abrir a cobrança, enviamos o nome ou a razão social, o CPF ou CNPJ, o e-mail de cobrança, o valor e a descrição do plano — e, nas contratações por cartão, o endereço de IP de onde a contratação partiu. Não enviamos nada sobre os seus clientes nem sobre a sua agenda. Os dados do cartão vão do seu navegador direto ao Asaas, que nos devolve apenas uma referência.
• Autoridades públicas, quando exigido por lei ou ordem judicial.

7. Transferência internacional de dados

Alguns desses prestadores tratam dados fora do Brasil, principalmente nos Estados Unidos. Em especial, as mensagens trocadas com o assistente do Caapto são processadas pela Anthropic (EUA) para gerar as respostas, a hospedagem, a autenticação e a medição de audiência e de anúncios ocorrem em servidores do Google (EUA), os e-mails do serviço são enviados pela Postmark (EUA) e os relatórios técnicos de erro são recebidos pela Sentry (EUA). O envio de SMS é feito pela Zenvia e o processamento dos pagamentos pelo Asaas, ambos no Brasil — os seus dados de cobrança e fiscais não saem do país.

Essas transferências internacionais seguem o Art. 33 da LGPD, com salvaguardas contratuais adequadas de proteção de dados junto a cada fornecedor. Ao usar o assistente de agendamento por inteligência artificial, você está ciente de que a mensagem é processada no exterior para essa finalidade.

8. Por quanto tempo guardamos

Mantemos os dados enquanto durar a sua conta — em teste, paga ou pausada — e você pode baixar a sua base de clientes e o seu histórico a qualquer momento, pelo botão de exportar. Encerrada a conta, os dados operacionais — sua agenda, seus clientes e o histórico de agendamentos — ficam disponíveis para exportação por 12 meses e depois são excluídos ou anonimizados.

Os registros de cobrança e fiscais seguem regra diferente, e ela vale para toda conta que já teve um plano pago: dados do pagador, faturas, notas fiscais e o registro de aceite dos termos são mantidos por 5 anos, como a legislação fiscal e civil brasileira exige, mesmo depois do encerramento da conta. Enquanto durar essa guarda, esses registros ficam reservados a essa finalidade — não são usados para operar o serviço nem para marketing.

9. Segurança

Adotamos medidas técnicas e organizacionais para proteger os dados, como criptografia em trânsito, controle de acesso e isolamento entre negócios — cada negócio enxerga apenas os próprios dados. Nenhum sistema é 100% infalível, mas trabalhamos continuamente para reduzir riscos.

10. Seus direitos (Art. 18 da LGPD)

A qualquer momento, você pode:

• Confirmar a existência de tratamento e acessar os seus dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar a anonimização, o bloqueio ou a exclusão de dados desnecessários.
• Solicitar a portabilidade dos dados a outro fornecedor.
• Revogar o consentimento e se opor a tratamentos feitos com base nele.
• Ser informado sobre com quem compartilhamos os seus dados.

Para exercer qualquer um desses direitos, basta entrar em contato pelo canal abaixo; respondemos em até 15 dias, como a LGPD determina. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

11. Crianças e adolescentes

O Caapto é destinado a negócios e a pessoas maiores de 18 anos. Não coletamos intencionalmente dados de crianças. Se identificarmos esse tipo de dado, tomaremos medidas para excluí-lo.

12. Alterações nesta política

Podemos atualizar esta política para refletir mudanças no serviço ou na legislação. Quando isso acontecer, atualizamos a data no topo da página e, em mudanças relevantes, avisamos você.

13. Contato e encarregado (DPO)

Para dúvidas sobre privacidade ou para exercer os seus direitos, fale com o nosso encarregado pela proteção de dados: privacidade@caapto.com.br. Para suporte, cobrança, cancelamento ou encerramento da conta: contato@caapto.com.br. Confirmamos o recebimento imediatamente e respondemos em até 5 dias.