Política de Privacidade
1. Quem somos e a quem esta política se aplica
Caju é um produto Sementhe, nome comercial de Sementhe Tecnologia Ltda., inscrita no CNPJ sob o nº 69.620.267/0001-88, com sede em Av. Senador Ramos Caiado, 381, Qd. 23 Lt. 20, Apto 1103, Bairro Maracanã, Anápolis/GO, CEP 75040-320.
Esta política explica como a Caju trata dados pessoais no site e na Plataforma Caju, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD) e o Marco Civil da Internet (Lei nº 12.965/2014).
2. Controladora e operadora
A Caju é controladora dos dados das pessoas que usam a Plataforma e visitam o site: cadastro, login, cobrança, uso e contato.
A Caju é operadora dos dados que cada empresa cliente insere na Plataforma sobre os seus próprios clientes, pacientes, alunos e contatos. Para esses dados, a controladora é a empresa, que decide o que coletar e para quê. A seção 6 trata deles.
3. Dados que tratamos como controladora
- Cadastro e conta: nome, e-mail, telefone opcional, foto de perfil, idioma, empresa e função.
- Login com Google: nome, e-mail e foto de perfil da sua conta Google (seção 4).
- Cobrança: dados da empresa pagadora, plano, faturas e situação de pagamento. O cartão é tokenizado pelo intermediador de pagamento; a Caju não recebe nem guarda o número.
- Uso e segurança: endereço IP, data e hora de acesso, navegador, dispositivo e registros de atividade necessários para operar e proteger o serviço.
- Contato: o que você envia pelo formulário de contato ou por e-mail.
- Aceite destes documentos: versão aceita, data, hora, IP e navegador.
4. Login com Google e conexão com Facebook e Instagram
Se você escolher entrar com o Google, recebemos do Google apenas o seu nome, o seu endereço de e-mail e a sua foto de perfil (escopos openid, email e profile). Não acessamos Gmail, Agenda, Drive, contatos nem qualquer outro dado da sua conta Google.
Esses dados são usados somente para criar a sua conta, identificar você no login e mostrar o seu nome e foto na Plataforma. Ficam armazenados no nosso banco de dados (Supabase) enquanto a conta existir. Não são vendidos, não são usados para publicidade nem compartilhados com terceiros, exceto com os provedores de infraestrutura listados na seção 9, para operar o serviço.
O uso das informações recebidas das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Você pode revogar o acesso a qualquer momento em myaccount.google.com/permissions; para excluir também os dados já recebidos, peça a exclusão da conta (seção 13).
Se a sua empresa conectar Páginas do Facebook e contas do Instagram, quem faz a conexão entra com o Facebook e escolhe, na janela da Meta, as Páginas e as permissões. A Caju guarda o identificador da pessoa no aplicativo, os tokens de acesso das Páginas e o token de acesso da pessoa (este só para ler o gasto com anúncios, por cerca de 60 dias), todos cifrados.
Com essa conexão, a Plataforma recebe da Meta, em nome da empresa, as mensagens do Messenger e do Instagram Direct, os comentários nas publicações, as respostas a stories, os formulários de anúncio (Lead Ads) e o gasto das campanhas, e envia as respostas que a empresa escreve. Esses dados são da empresa (seção 6). Quando a empresa ativa a API de Conversões, a Plataforma informa à Meta as etapas dos negócios que vieram de formulários de anúncio, identificados apenas pelo código do lead que a própria Meta gerou.
Para excluir o que a Caju guarda sobre você por ter conectado o Facebook, remova o aplicativo nas configurações do Facebook (Configurações, Apps e sites) e peça a exclusão por lá: a Meta nos avisa, apagamos o seu identificador e o seu token, e você recebe um código para acompanhar o pedido. Também pode pedir pelo canal da seção 15. As mensagens, comentários e formulários enviados a uma empresa continuam sendo dessa empresa, e o pedido sobre eles é feito a ela.
5. Finalidades e bases legais
- Prestar o serviço contratado, criar e manter a conta e dar suporte: execução de contrato (art. 7º, V).
- Cobrar, emitir documentos fiscais e cumprir obrigações legais e regulatórias: cumprimento de obrigação legal (art. 7º, II) e execução de contrato.
- Guardar registros de acesso por 6 meses: obrigação legal (Marco Civil, art. 15).
- Prevenir fraude e abuso e proteger a segurança da Plataforma: legítimo interesse (art. 7º, IX).
- Enviar avisos essenciais sobre a conta, faturas e mudanças nos documentos: execução de contrato.
- Enviar novidades e conteúdos sobre a Caju: consentimento (art. 7º, I), que pode ser retirado a qualquer momento pelo link de descadastro.
6. Dados que as empresas clientes inserem
As empresas que usam a Caju registram dados dos seus próprios clientes, como contatos, negócios, contratos, conversas e, em clínicas e estúdios, dados de saúde (anamnese, odontograma, medidas corporais, evolução). Dados de saúde são dados sensíveis (LGPD, art. 11), e cabe à empresa ter a base legal para tratá-los.
A Caju trata esses dados apenas para prestar o serviço à empresa e segundo as instruções dela. Não os vende, não os usa para publicidade e não os compartilha para obter vantagem econômica (art. 11, § 4º). Cada empresa só vê os próprios dados.
Se você é cliente, paciente ou aluno de uma empresa que usa a Caju, dirija os seus pedidos (acesso, correção, exclusão) a essa empresa. Se o pedido chegar a nós, encaminhamos à empresa responsável.
7. Cashew, o assistente da Plataforma
Quando a empresa usa o Cashew, os trechos de dados necessários para cada tarefa (por exemplo, o histórico de uma conversa ou o resumo do dia) são enviados à API Gemini, do Google, que gera a resposta. O Cashew não recebe observações clínicas.
A API é contratada em modalidade paga, na qual o Google não usa esses dados para treinar os seus modelos e os retém apenas pelo período necessário para prestar o serviço e prevenir abuso, conforme os termos do provedor.
8. WhatsApp Business (Meta)
A empresa cliente pode conectar o seu número do WhatsApp Business à Plataforma pelo cadastro incorporado da Meta (Embedded Signup), na API de Nuvem do WhatsApp. Quem conecta é a própria empresa, que continua titular do número e da sua conta comercial na Meta.
Na conexão, recebemos da Meta e guardamos o identificador da conta comercial do WhatsApp e do número, o número exibido, o nome verificado e o token de acesso concedido à Plataforma, que fica guardado criptografado. Depois, pelas APIs oficiais da Meta, tratamos as conversas da empresa com os clientes dela:
- o número de telefone e o nome de perfil do WhatsApp de quem conversa com a empresa;
- o texto das mensagens e das respostas a botões e a transcrição das mensagens de voz (o áudio é usado só para transcrever e não é guardado);
- dos documentos fotografados, apenas os campos lidos pelo Cashew, quando a empresa usa essa função;
- a situação de cada mensagem enviada: entregue, lida ou com falha;
- o registro do consentimento de quem pediu para receber mensagens da empresa.
Esses dados são usados somente para mostrar as conversas à equipe da empresa, registrar o contato e o negócio no CRM dela e, quando a empresa ativa o Cashew, responder em nome da empresa, sobre o negócio dela (seção 7). A qualquer momento uma pessoa da equipe pode assumir a conversa, e o Cashew deixa de responder nela; o cliente também pode pedir para falar com um atendente.
Dados recebidos da Meta não são vendidos, não são usados para publicidade nem para criar perfis, não treinam modelos de inteligência artificial e não são compartilhados com terceiros além dos provedores da seção 9. O uso segue os Termos da Plataforma da Meta e a Política Comercial do WhatsApp.
Para desconectar o número, a empresa remove o acesso da Caju nas configurações da conta do WhatsApp no gerenciador de negócios da Meta, e a Plataforma para de enviar mensagens assim que a Meta avisa. As conversas já recebidas continuam na conta da empresa até que ela peça a exclusão. Como pedir a exclusão de dados: https://cajucrm.com.br/exclusao-de-dados.
9. Compartilhamento e suboperadores
Não vendemos dados pessoais. Compartilhamos dados apenas com os prestadores necessários para operar o serviço, sob contrato e dever de confidencialidade:
- Vercel Inc. (Estados Unidos): hospedagem da aplicação.
- Supabase Inc., sobre Amazon Web Services (Estados Unidos): banco de dados, autenticação e armazenamento de arquivos.
- Resend (Estados Unidos): envio de e-mails transacionais.
- Google LLC (Estados Unidos): login com Google e API Gemini, usada pelo Cashew.
- Meta Platforms (Estados Unidos): envio e recebimento de mensagens do WhatsApp, do Messenger e do Instagram Direct, comentários, formulários de anúncio, gasto com anúncios e a API de Conversões, quando a empresa conecta o seu número ou as suas Páginas (seções 4 e 8).
- Upstash Inc. (Estados Unidos): controle de limite de requisições, sem dados de clientes finais.
- Intermediador de pagamento: processamento das cobranças dos planos pagos.
Também podemos compartilhar dados quando exigido por lei ou por ordem de autoridade competente. Mudanças nesta lista são publicadas nesta página.
10. Transferência internacional
Como os prestadores acima operam nos Estados Unidos, dados pessoais são transferidos para fora do Brasil. Essas transferências se apoiam nas hipóteses do art. 33 da LGPD, em especial nas cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), e os prestadores mantêm proteção compatível com a lei brasileira.
11. Por quanto tempo guardamos
- Dados da conta e Dados das empresas: enquanto a conta estiver ativa. Depois do pedido de exclusão, em até 30 dias, com as cópias de segurança sobrescritas no ciclo normal de rotação.
- Registros de acesso: 6 meses (Marco Civil, art. 15).
- Dados de cobrança e fiscais: pelo prazo da legislação tributária, em regra 5 anos.
- Registros de aceite destes documentos: enquanto puderem servir de prova em processo, pelo prazo prescricional aplicável.
12. Segurança e incidentes
Usamos conexão criptografada (HTTPS), criptografia das credenciais de integração guardadas em nome das empresas, isolamento dos dados de cada empresa, controle de acesso por perfil e limite de tentativas de login.
Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados nos prazos da Resolução CD/ANPD nº 15/2024 e avisaremos as empresas clientes envolvidas, como prevê a seção 8 dos Termos de Uso.
13. Seus direitos
Como titular, você pode pedir, nos termos do art. 18 da LGPD:
- confirmação de que tratamos os seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
- portabilidade, nos termos da regulamentação da ANPD;
- eliminação dos dados tratados com o seu consentimento e informação sobre a possibilidade de não consentir;
- informação sobre com quem compartilhamos os seus dados;
- revogação do consentimento e revisão de decisões tomadas unicamente com base em tratamento automatizado.
Para exercer esses direitos, escreva para contato@cajucrm.com.br. Respondemos em até 15 dias. Você também pode apresentar reclamação à ANPD.
15. Crianças e adolescentes
A Plataforma não se destina a menores de 18 anos e não coleta conscientemente dados deles como usuários. Dados de crianças e adolescentes registrados por uma empresa cliente (por exemplo, pacientes ou alunos) são de responsabilidade dessa empresa, que deve tratá-los no melhor interesse do titular (LGPD, art. 14).
16. Encarregado e contato
Até a nomeação formal do encarregado pelo tratamento de dados pessoais, que será publicada aqui, as solicitações de titulares e da Autoridade Nacional de Proteção de Dados (ANPD) são atendidas pelo e-mail contato@sementhe.com.br.
Contato geral: contato@cajucrm.com.br.
17. Alterações desta política
Esta política pode ser atualizada. A data e a versão no topo indicam a vigente, e mudanças relevantes são comunicadas na Plataforma e por e-mail.