Política de Privacidade — Acalisys

Última atualização: 11 de agosto de 2026 · Vigente desde 11 de agosto de 2026

Esta política explica, em linguagem direta, quais dados pessoais a plataforma Acalisys trata, por quê, por quanto tempo, com quem são compartilhados e como você exerce os seus direitos.

Quem é quem nesta política

A Acalisys fornece um sistema de gestão usado por clínicas de estética, salões e consultórios, disponível em app.acalisys.com.br.

Sobre os dados da conta (a empresa contratante e as pessoas da equipe que acessam o sistema), a Acalisys é controladora.
Sobre os dados dos clientes e pacientes que a clínica registra no sistema, quem decide o que é coletado e para quê é a clínica — ela é a controladora, e a Acalisys atua como operadora, tratando esses dados apenas conforme as instruções dela e o contrato.

1. Quem responde pelos dados

Plataforma: Acalisys (app.acalisys.com.br)
Razão social: R.F Medeiros — Tecnologia
CNPJ: 21.125.080/0001-81
Endereço: Rua Itamonte — Vila Medeiros, São Paulo/SP, CEP 02220-001, Brasil
E-mail de contato: admin@rfmedeiros.com
Encarregado pelo tratamento de dados pessoais (DPO): Rodolfo Medeiros — contato pelo e-mail admin@rfmedeiros.com, com o assunto «Encarregado — LGPD».

Se os seus dados foram registrados por uma clínica que usa o sistema, a controladora é essa clínica. Você pode falar conosco pelo e-mail acima: encaminhamos o pedido a ela e acompanhamos até a resposta.

2. Quais dados são tratados

2.1. Recebidos pela WhatsApp Business Platform (Meta)

Quando a clínica conecta o número de WhatsApp dela ao sistema, recebemos e armazenamos:

número de telefone do contato (wa_id);
nome de perfil do WhatsApp, quando disponibilizado;
conteúdo das mensagens enviadas e recebidas — texto e mídias (imagens, áudios, documentos);
data e hora de cada mensagem;
status de entrega e de leitura;
identificador do número que recebeu a mensagem (phone_number_id) e da conta comercial (WABA) da clínica;
identificadores técnicos do evento, usados para não gravar a mesma mensagem duas vezes.

2.2. Fornecidos pela clínica e pela equipe dela

Cadastro da empresa: nome, CNPJ ou CPF, endereço, telefone e e-mail do responsável.
Usuários do sistema: nome, e-mail, perfil de acesso e senha (guardada apenas como hash criptográfico — nunca em texto legível).
Clientes e pacientes cadastrados pela clínica: nome, CPF (opcional), data de nascimento, telefone, e-mail, endereço, histórico de atendimentos, fichas e anamneses, fotos de evolução, contratos e documentos assinados, e os valores dos atendimentos.

Parte desse conteúdo — fichas de anamnese, evolução e fotos clínicas — é dado pessoal sensível (dado referente à saúde, art. 5º, II da LGPD) e recebe o tratamento reforçado descrito nas seções 3 e 7.

2.3. Coletados automaticamente

registros técnicos de acesso: endereço IP, identificação do navegador, data e hora de entrada e saída;
registros de auditoria de ações relevantes dentro do sistema (quem alterou o quê e quando);
controle de sessões simultâneas, para aplicar o limite de licenças contratado.

Não fazemos perfilamento comportamental, não usamos rastreadores de publicidade e não montamos perfis de consumo a partir desses registros.

3. Finalidades e bases legais

Para que usamos	Base legal (Lei 13.709/2018)
Operar a plataforma contratada pela clínica e dar suporte	Execução de contrato (art. 7º, V)
Registrar atendimentos, fichas, anamneses e fotos de evolução	Tutela da saúde por profissional de saúde ou serviço de saúde, e consentimento específico do titular colhido pela clínica (art. 11, II, «a» e «f»)
Enviar e receber mensagens de WhatsApp em nome da clínica — lembrete de consulta, confirmação, retorno e atendimento	Execução de contrato e legítimo interesse (art. 7º, V e IX)
Comunicação de relacionamento ou comercial a quem ainda não é cliente	Consentimento do titular, colhido pela clínica (art. 7º, I)
Emitir contratos, termos e documentos assinados	Execução de contrato (art. 7º, V)
Segurança, auditoria, prevenção a fraude e registros de acesso	Legítimo interesse e cumprimento de obrigação legal (art. 7º, IX e II)
Cobrança e obrigações fiscais da assinatura	Cumprimento de obrigação legal (art. 7º, II)

3.1. O que nós não fazemos

Não vendemos, alugamos nem cedemos dados pessoais a terceiros.
Não usamos o conteúdo das mensagens de WhatsApp para publicidade, nem o repassamos a anunciantes ou intermediários de dados.
Não treinamos modelos de inteligência artificial com os dados dos usuários, das clínicas ou dos pacientes.
Não tomamos decisões automatizadas que produzam efeito jurídico sobre você: o sistema sugere, quem decide é a equipe da clínica.

3.2. Uso de inteligência artificial

O sistema oferece recursos de apoio com IA — resumir uma ficha, redigir um rascunho de resposta, extrair dados de cadastro de uma conversa. Eles funcionam assim:

só são acionados por ação explícita de alguém da equipe da clínica, nunca de forma automática ou em massa;
quando acionados, o trecho necessário (por exemplo, o histórico daquela conversa ou os dados daquela ficha) é enviado à API do Google Gemini para gerar o texto de apoio;
o resultado volta para a tela e fica sob revisão da equipe — nada é enviado ao cliente sem que uma pessoa confirme;
a clínica pode desligar a assistente nas configurações, e nesse caso nenhum conteúdo é enviado.

4. Onde ficam e por quanto tempo

Infraestrutura no Brasil. A aplicação e o banco de dados rodam no Google Cloud, região southamerica-east1 (São Paulo). O banco PostgreSQL fica em rede privada, sem endereço público na internet.
Backups. Cópias automáticas do banco, com recuperação a um ponto no tempo dentro de uma janela de até 7 dias.
Arquivos. Fotos, documentos e contratos ficam no Google Drive, em pasta própria por paciente, sob conta de serviço dedicada — ou no Drive da própria clínica, quando ela conecta a conta dela.
Mensagens de WhatsApp. Ficam no histórico da conta da clínica enquanto a conta estiver ativa: é o histórico de atendimento que a equipe consulta para dar continuidade à conversa.
Prazo geral. Os dados são mantidos enquanto a clínica tiver conta ativa. Encerrada a conta, são eliminados em até 90 dias, prazo que cobre também o ciclo de rotação dos backups.
Exceções. Guardamos por mais tempo apenas o que a lei obriga — documentos fiscais da assinatura e registros exigidos pela regulamentação da atividade da clínica, como o prazo mínimo de guarda de prontuário, cuja definição cabe à clínica como controladora.
Antes do encerramento, a clínica pode exportar os próprios dados pela função de backup do sistema.

5. Com quem compartilhamos

Os dados são compartilhados apenas com os prestadores necessários para o serviço funcionar, cada um com o seu papel:

Quem	Para quê
Meta Platforms, Inc.	WhatsApp Business Platform — é por onde as mensagens trafegam. O tratamento pela Meta segue as políticas dela.
Google LLC / Google Cloud	Servidores da aplicação e banco de dados (região Brasil), guarda de segredos, armazenamento de arquivos no Google Drive e a API Gemini para os recursos de IA descritos em 3.2.
Resend	Envio de e-mails transacionais (recuperação de senha, convites, contratos para assinatura).
Vercel Inc.	Hospedagem apenas deste site institucional, formado por páginas estáticas. Não recebe dados de clínicas nem de pacientes.
Cloudflare, Inc.	Serviço de DNS dos domínios. Não recebe o conteúdo das páginas nem dados pessoais tratados na plataforma.
Autoridades públicas	Quando houver obrigação legal, ordem judicial ou requisição de autoridade competente.

Não há compartilhamento com anunciantes, redes de publicidade ou intermediários de dados.

6. Transferência internacional

A base de dados principal, os backups e os servidores da aplicação ficam no Brasil. Ainda assim, parte do tratamento por prestadores ocorre no exterior:

a Meta opera a infraestrutura do WhatsApp fora do Brasil;
o Google processa fora do Brasil as chamadas à API Gemini e parte da operação do Google Drive;
a Resend, a Vercel e a Cloudflare operam a partir do exterior.

Essas transferências ocorrem com base no art. 33 da LGPD e se apoiam nas garantias contratuais de proteção de dados dos respectivos termos — inclusive cláusulas contratuais padrão — assumidas por esses fornecedores.

7. Segurança

As medidas abaixo estão efetivamente implantadas:

todo o tráfego é cifrado em trânsito (HTTPS/TLS), com HSTS no domínio;
o banco de dados não tem endereço público: só é alcançável pela rede privada da aplicação;
senhas são guardadas com hash bcrypt (fator de custo 12), nunca em texto legível;
tokens de integração são cifrados com AES-256-GCM e os segredos ficam em cofre gerenciado (Secret Manager), fora do código;
as notificações recebidas do WhatsApp são autenticadas por assinatura criptográfica (HMAC-SHA256) — mensagem sem assinatura válida é descartada;
sessão por token JWT em cookie httpOnly e Secure, com expiração; autenticação em dois fatores disponível (TOTP ou código por e-mail);
isolamento entre clínicas aplicado em todas as consultas ao banco, com Row-Level Security ativado como camada adicional;
controle de acesso por perfil, com permissões granulares por funcionalidade, limite de sessões simultâneas e registro de auditoria;
proteção contra tentativas repetidas de login e validação de origem das requisições (CSRF).

Nenhum sistema é imune a incidentes. Se ocorrer um incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD nos termos do art. 48 da LGPD.

8. Seus direitos e como exercê-los

A LGPD (art. 18) garante a você:

confirmação da existência de tratamento;
acesso aos dados;
correção de dados incompletos, inexatos ou desatualizados;
anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
portabilidade a outro fornecedor;
eliminação dos dados tratados com base no consentimento;
informação sobre com quem os dados foram compartilhados;
informação sobre a possibilidade de não consentir e as consequências disso;
revogação do consentimento;
revisão de decisões automatizadas.

Canal: admin@rfmedeiros.com. Prazo: confirmamos o recebimento imediatamente e respondemos em até 15 dias (art. 19, II). Podemos pedir informações que confirmem a sua identidade — é uma proteção contra pedidos feitos por terceiros em seu nome.

Se o dado estiver sob a controladoria de uma clínica, encaminhamos o pedido a ela dentro do mesmo prazo e acompanhamos o atendimento.

9. Como pedir a exclusão dos dados

Esta seção é o caminho oficial de exclusão de dados da Acalisys.

Envie um e-mail para admin@rfmedeiros.com com o assunto «Exclusão de dados».
Informe o nome, o telefone ou e-mail usado no contato e, se souber, o nome da clínica com quem você se relacionou.
Confirmamos a sua identidade e localizamos os registros.
Concluímos a exclusão e confirmamos por e-mail em até 15 dias.

Outros caminhos possíveis:

Você é cliente ou paciente de uma clínica: pode pedir diretamente à clínica, que faz a exclusão pelo próprio sistema.
Você é usuário do sistema: o administrador da sua clínica pode remover o seu acesso e os seus dados.
A clínica quer encerrar a conta: ao encerrar, todos os dados são eliminados em até 90 dias, incluindo o ciclo de backups.
Quer só parar de receber mensagens no WhatsApp, sem apagar o histórico: veja a seção 13.

Ressalva: permanecem apenas os registros cuja guarda a lei exige — documentos fiscais e registros obrigatórios de prontuário —, mantidos isolados e sem uso para qualquer outra finalidade.

10. Menores de idade

A plataforma não se destina a menores de 18 anos: as contas são de empresas e das pessoas da equipe delas.

Um cliente ou paciente menor de idade pode ser cadastrado pela clínica no exercício da atividade dela. Nesse caso, o tratamento se dá no melhor interesse do menor e depende de consentimento específico e destacado de pelo menos um dos pais ou do responsável legal (art. 14 da LGPD), obtido pela clínica. Se identificarmos dados de menor tratados sem essa base, eliminamos os registros.

11. Cookies

Usamos apenas cookies estritamente necessários — os que mantêm você autenticado e identificam a clínica em que está navegando. Não há cookies de publicidade, de rastreamento entre sites, nem ferramentas de analítica ou pixels de rede social, nem na plataforma nem neste site institucional.

12. Alterações desta política

Podemos atualizar este documento. A data de vigência no topo é sempre a da versão em vigor, e a nova versão passa a valer na data em que é publicada aqui. Mudanças relevantes — nova finalidade, novo prestador com acesso a dados ou mudança de base legal — são comunicadas por e-mail à clínica e por aviso dentro do sistema, com antecedência razoável.

13. WhatsApp: como entra e como sai

A Acalisys utiliza a WhatsApp Business Platform, da Meta, para que a clínica converse com os clientes dela pelo próprio número comercial. O tratamento dos dados pela Meta é regido pelas políticas da Meta.

13.1. Como o seu número entra

Só entram números que chegaram até a clínica por iniciativa da própria pessoa ou com autorização dela:

você mandou mensagem para o número da clínica;
você forneceu o número ao marcar horário, presencialmente ou por telefone;
você preencheu um formulário da clínica autorizando o contato.

Não compramos listas de contatos, não importamos números de terceiros e não enviamos mensagens a quem nunca teve relação com a clínica. Cabe à clínica garantir que possui a autorização de cada contato.

13.2. Que mensagens você recebe

respostas do atendimento durante a conversa;
lembretes e confirmações de horário marcado;
avisos sobre o seu atendimento e convites de retorno;
comunicações de relacionamento ou promocionais da clínica, quando você autorizou recebê-las.

Fora da janela de 24 horas prevista pela Meta, o envio ocorre por modelos de mensagem previamente aprovados por ela.

13.3. Como sair

Peça na própria conversa — escreva que não quer mais receber mensagens. A equipe da clínica registra o pedido e interrompe os envios.
Escreva para admin@rfmedeiros.com com o assunto «Não quero receber mensagens» e o número usado. Encaminhamos à clínica e acompanhamos até a confirmação.
Bloqueie o número no seu WhatsApp — isso interrompe o recebimento imediatamente, de forma independente da clínica.

Sair da lista de mensagens não apaga o histórico já registrado. Para apagar, use a seção 9.

14. Contato e ANPD

E-mail: admin@rfmedeiros.com
Encarregado (DPO): mesmo e-mail, assunto «Encarregado — LGPD»
Site: www.acalisys.com.br

Se você entender que o seu pedido não foi bem atendido, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), em gov.br/anpd.