Política de Privacidade do Ecossistema Fácil

1 Quem somos e a quais serviços esta Política se aplica

A BR GROUP LTDA, inscrita no CNPJ sob o nº 41.940.087/0001-64, com endereço na Rodovia José Carlos Daux, nº 5500, Lagoa A, Florianópolis/SC, Brasil, utiliza a marca Fácil.vc. Nesta Política, as expressões “Fácil”, “nós” e “nossos” se referem a essa pessoa jurídica. Nosso contato para assuntos de privacidade é contato@facil.vc.

Esta Política explica o tratamento de dados pessoais relacionado aos serviços que oferecemos: os aplicativos Fácil Empresas e Fácil Clientes, suas versões web e móveis, o site institucional, o blog, páginas de divulgação e captação, formulários, suporte, comunicações e funcionalidades integradas. Abrange os ambientes em facil.vc, app.facil.vc e clientes.facil.vc, seus subdomínios vinculados aos serviços e páginas de estabelecimentos que utilizam nossa tecnologia, inclusive agendas e formulários incorporados em sites de terceiros.

As disposições se aplicam a visitantes, interessados em nossos produtos, contratantes, administradores, colaboradores autorizados, profissionais, consumidores, pacientes, alunos, participantes de eventos, hóspedes e responsáveis legais, conforme a relação efetivamente mantida. Para facilitar a leitura, chamamos de estabelecimento a empresa, profissional ou organização que utiliza a Fácil para administrar suas atividades e atender seus próprios clientes.

O tratamento varia conforme o canal, o módulo utilizado e a operação realizada. A referência a uma categoria de dados ou funcionalidade nesta Política não significa que coletamos todos esses dados de todas as pessoas. Recursos não disponíveis ou não utilizados não geram, por sua simples descrição, autorização para coleta ou compartilhamento.

Avisos apresentados durante o cadastro, agendamento, compra ou uso de uma funcionalidade complementam esta Política com informações específicas. Os Termos de Uso regulam a contratação e a utilização dos serviços. O aceite contratual, a ciência desta Política e os consentimentos específicos são manifestações distintas. O uso de nossos serviços não constitui consentimento geral para qualquer tratamento de dados.

2 Nosso papel e o papel dos estabelecimentos

Controlador é quem decide as finalidades e os elementos essenciais do tratamento de dados pessoais. Operador é quem trata dados em nome do controlador, segundo instruções lícitas. A Fácil pode exercer papéis diferentes, inclusive em etapas distintas de uma mesma jornada.

Atuamos como controladora dos tratamentos que decidimos para manter a identidade e o acesso aos nossos serviços, administrar nossa contratação e cobrança, atender solicitações dirigidas à Fácil, proteger nossas aplicações, exercer direitos e realizar comunicações próprias nos limites desta Política.

Quando um estabelecimento cadastra seus clientes, administra atendimentos, configura uma agenda, mantém registros de serviços ou determina o envio de comunicações, ele decide as finalidades correspondentes. Nesses tratamentos, a Fácil atua como operadora para fornecer a tecnologia contratada e cumprir suas instruções, observadas a legislação e as condições aplicáveis.

Por exemplo, ao agendar uma aula na página de um professor, você fornece informações para que esse profissional organize o atendimento. O professor é responsável pelas decisões sobre a prestação da aula e o uso dos dados para essa finalidade. A Fácil processa o agendamento por meio de sua ferramenta. Se você também utiliza uma conta Fácil Clientes, o tratamento necessário à identidade central possui finalidade própria, distinta do cadastro administrado pelo professor.

Estabelecimentos, instituições de pagamento e outros parceiros podem atuar como controladores independentes quanto a suas decisões e obrigações. Seus avisos de privacidade explicam esses tratamentos. A presença da marca Fácil em uma página não atribui à plataforma todas as decisões do prestador nem afasta as responsabilidades próprias da Fácil.

A divisão de papéis acompanha a operação real. Se determinarmos uma finalidade própria adicional, ela estará sujeita às obrigações de controlador, à base legal pertinente e à informação adequada. O anexo de tratamento de dados dos Termos organiza nossas instruções e compromissos com os estabelecimentos, sem restringir direitos assegurados aos titulares.

3 Quais dados são tratados e de onde vêm

Tratamos os dados necessários às finalidades descritas nesta Política. As categorias abaixo permitem identificar o que pode estar presente na relação que você mantém conosco ou com um estabelecimento:

Os dados podem ser fornecidos diretamente por você, inseridos por um estabelecimento, recebidos de um responsável ou usuário autorizado, importados de uma base utilizada pelo contratante ou gerados durante o uso da aplicação. Integrações habilitadas também podem transmitir informações necessárias à função solicitada, como situação de pagamento, autenticação ou confirmação de entrega de uma mensagem.

Dados de uma pessoa jurídica podem conter informações pessoais de sócios, representantes e colaboradores. Essas informações recebem a proteção aplicável às pessoas naturais. O estabelecimento deve informar a origem e a legitimidade dos dados que insere, inclusive quando a pessoa ainda não possui uma conta na Fácil.

Campos obrigatórios são vinculados à operação solicitada. O fornecimento de informação indispensável pode ser necessário para concluir essa operação; as consequências são informadas no contexto da coleta. Evite incluir em campos livres dados excessivos, senhas, códigos de autenticação ou informações de terceiros sem relação com o atendimento.

Permissões do dispositivo são tratadas de acordo com o recurso acionado e a informação apresentada no aplicativo. A simples instalação de um aplicativo não autoriza o acesso indiscriminado a contatos, localização, câmera, microfone ou arquivos.

4 Conta central e relacionamento com cada estabelecimento

A identidade central permite reconhecer seu acesso à Fácil. Os vínculos com estabelecimentos representam relações específicas, como ser administrador de uma empresa, integrante de uma equipe ou consumidor de um serviço. Esses vínculos não tornam todos os seus registros acessíveis a todas as empresas do ecossistema.

O estabelecimento acessa os dados vinculados à sua atividade e às permissões concedidas no respectivo ambiente. A existência de um mesmo e-mail, telefone ou identificador em empresas diferentes não autoriza, por si só, revelar históricos, prontuários, contatos ou transações entre elas. A vinculação de uma identidade a um cadastro deve respeitar os mecanismos de verificação e a legitimidade do acesso.

Administradores empresariais definem as permissões dos usuários de suas equipes e devem mantê-las atualizadas. Informações sobre sua atuação profissional podem ser visualizadas pelos responsáveis autorizados da empresa, na extensão necessária à administração do serviço. A saída de um colaborador exige o ajuste de suas permissões; registros necessários de autoria e de operações concluídas podem ser conservados para as finalidades informadas.

Quando você solicita alteração de dados, desvinculação ou exclusão, distinguimos a identidade mantida pela Fácil dos registros sob decisão de cada estabelecimento. Corrigir seu contato na conta central não altera necessariamente um documento fiscal, contrato ou prontuário já emitido. Esses registros podem exigir procedimentos próprios, preservação de autoria ou complemento do histórico.

O uso de infraestrutura comum não autoriza campanhas de uma empresa para os clientes de outra. O tratamento para a divulgação da própria Fácil também precisa de finalidade e fundamento próprios. Suas relações com estabelecimentos não representam uma autorização coletiva para publicidade.

5 Para que usamos os dados e quais são os fundamentos

O tratamento observa finalidade, adequação, necessidade, transparência, segurança e os demais princípios da Lei Geral de Proteção de Dados Pessoais — LGPD. A base legal é definida para a finalidade concreta, considerando os dados e a posição de cada participante. A tabela apresenta as principais situações:

A contratação feita por uma empresa não justifica automaticamente todo uso dos dados de seu representante. Também não usamos a expressão “execução do contrato” para incluir, indiscriminadamente, publicidade, compartilhamentos adicionais ou finalidades sem relação necessária com a prestação solicitada.

Quando utilizamos legítimo interesse, avaliamos a legitimidade da finalidade, a necessidade dos dados, suas expectativas e o impacto sobre seus direitos, estabelecendo salvaguardas apropriadas. Quando o fundamento é consentimento, a solicitação identifica a finalidade e permite manifestação livre, informada e inequívoca. Autorizações genéricas não são utilizadas como fundamento para usos indeterminados.

Estatística, análise e melhoria do produto são finalidades, não bases legais autônomas. Dados pessoais utilizados nessas atividades precisam de hipótese legal própria. A anonimização é realizada a partir de tratamento lícito; retirar um nome ou substituir um identificador não torna um conjunto automaticamente anônimo. Informações que ainda permitem identificação por meios razoáveis continuam submetidas às regras de proteção de dados.

6 Site formulários cookies e ferramentas de medição

Nos sites e páginas da Fácil, os formulários servem à finalidade informada junto à coleta, como responder uma dúvida, apresentar uma solução, disponibilizar material solicitado ou conduzir uma contratação. Os campos e as mensagens enviados nos formulários do site não são encaminhados ao serviço de Analytics do site.

Cookies e tecnologias semelhantes podem manter uma sessão, proteger a navegação, lembrar escolhas ou produzir métricas. Recursos estritamente necessários à função solicitada são tratados conforme sua finalidade própria. As métricas opcionais do site dependem da escolha apresentada a você e podem ser recusadas sem impedir o acesso ao conteúdo principal.

O mecanismo de preferências disponível no site permite registrar ou modificar as escolhas oferecidas naquele ambiente. As configurações do navegador também podem controlar cookies; o bloqueio de recursos necessários pode afetar funcionalidades como autenticação e manutenção de sessão. A revogação de uma escolha produz efeitos sobre os usos futuros sujeitos a ela.

O catálogo integrante desta Política identifica as ferramentas efetivamente utilizadas, sua finalidade, dados envolvidos e duração. Cookies, identificadores de aplicativos, pixels e eventos enviados por servidor recebem análise de finalidade e fundamento; mudar a tecnologia de coleta não afasta suas escolhas nem as regras de proteção de dados.

Campanhas de divulgação do SaaS Fácil e campanhas de um estabelecimento possuem finalidades distintas. O agendamento de uma consulta ou a compra de um serviço não autoriza o envio indiscriminado de seu conteúdo a ferramentas de publicidade. Dados sensíveis e informações de menores observam as restrições das seções 9 e 10. Aplicar hash a um e-mail ou telefone não dispensa base legal, transparência e controles.

Links e conteúdos incorporados podem conduzir a serviços externos. O tratamento realizado diretamente por esses serviços é explicado em seus próprios avisos. Isso não elimina nosso dever de informar e fundamentar os compartilhamentos que nós próprios realizamos.

7 Comunicações de serviço suporte e marketing

As comunicações distinguem quem envia e por que envia. A Fácil pode entrar em contato para tratar de sua conta, contratação, suporte, segurança, alterações relevantes ou outra solicitação relacionada aos serviços. Estabelecimentos utilizam recursos de comunicação para suas próprias reservas, pedidos, cobranças e atendimentos, conforme suas instruções e responsabilidades.

Mensagens por WhatsApp, e-mail, notificações do aplicativo ou outros canais dependem da finalidade, dos dados disponíveis, das escolhas aplicáveis e das regras do respectivo serviço. A autorização exigida pelo canal e a base legal do tratamento devem ser observadas conjuntamente. A aprovação técnica de um modelo de mensagem não substitui esses requisitos.

Você pode solicitar a interrupção de comunicações promocionais pelos meios indicados na mensagem ou por nosso canal de privacidade. As escolhas são relacionadas ao remetente e à finalidade pertinente. A oposição à publicidade não impede, por si só, comunicações necessárias à conta, à segurança ou à prestação solicitada, realizadas com fundamento próprio e respeitando as regras do canal.

Podemos conservar uma informação mínima de supressão para respeitar sua escolha e evitar a reinclusão indevida em comunicações promocionais. Esse registro não autoriza continuar a campanha recusada. O estabelecimento é responsável pelas decisões de marketing de sua base; oferecemos a cooperação cabível quando utilizam nossa tecnologia.

Em contatos automatizados, a natureza do atendimento deve ser identificável e o canal de encaminhamento da solicitação deve estar disponível. Dúvidas sobre dados tratados pela Fácil podem ser enviadas a contato@facil.vc. Evite incluir detalhes clínicos ou outros dados sensíveis em notificações ou mensagens que possam aparecer em dispositivos compartilhados.

8 Inteligência artificial e operações automatizadas

Recursos de inteligência artificial podem integrar funcionalidades de atendimento, organização de informações, resumo, transcrição, geração de conteúdo ou execução de tarefas. O tratamento corresponde ao recurso efetivamente oferecido e utilizado, à informação apresentada naquele contexto e às permissões pertinentes. Esta Política não autoriza o envio de qualquer conteúdo a qualquer fornecedor de IA.

O contexto tratado pode incluir a mensagem enviada, instruções, trechos de documentos e informações estritamente necessárias à tarefa. Quando a ação pertence à operação de um estabelecimento, seu acesso deve permanecer limitado ao ambiente e aos poderes concedidos. Uma solicitação de relatório, por exemplo, não autoriza acesso aos dados de outras empresas nem habilita automaticamente cobrança, exclusão ou cancelamento.

Autorizações para executar ações e consentimentos para tratar dados são controles diferentes. A execução de tarefas deve respeitar a identidade do solicitante, suas permissões, o alcance do comando e as confirmações exigidas pela operação. A interação pode gerar registros de instruções, ferramentas acionadas e resultados necessários à prestação, à segurança e à apuração de erros.

Os fornecedores efetivamente envolvidos, as categorias de dados, a finalidade, as condições de retenção e as informações sobre treinamento constam do catálogo integrante e dos avisos específicos do recurso. A retenção, a eliminação e o uso para treinamento seguem as condições informadas para cada integração, com as permissões e os fundamentos exigidos. O uso de dados para treinamento ou finalidade própria adicional depende de avaliação e informação específicas; não decorre automaticamente do uso de um assistente.

Quando uma regra de loja ou parceiro exigir permissão específica para compartilhar dados com IA de terceiro, essa manifestação deverá preceder o compartilhamento. Informações de saúde e de menores seguem as restrições adicionais desta Política.

Você pode solicitar correção de dados e revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses, nos termos do art. 20 da LGPD. Fornecemos informações sobre os critérios e procedimentos aplicáveis, resguardados os segredos comerciais e industriais nos limites legais. O pedido pode ser encaminhado pelo canal da seção 15, inclusive quando for necessário identificar o estabelecimento responsável pela decisão.

9 Saúde dados sensíveis e registros profissionais

Dados sensíveis incluem informações sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, vínculo sindical ou com organização religiosa, filosófica ou política, vida sexual e dados genéticos ou biométricos vinculados a uma pessoa natural. Um dado aparentemente comum também exige análise específica quando seu tratamento revela informação sensível e pode causar dano.

Nos módulos pertinentes, profissionais e estabelecimentos de saúde podem inserir motivos de consulta, anamnese, exames, imagens, prontuários e registros de atendimento. O profissional ou a clínica decide as finalidades assistenciais e responde pelas obrigações de sua atividade. A Fácil fornece o tratamento tecnológico contratado, observando instruções lícitas, confidencialidade e os limites de acesso.

A base legal corresponde ao ato concreto: consentimento específico e destacado para finalidade específica ou hipótese de indispensabilidade admitida no art. 11 da LGPD, como obrigação legal, exercício regular de direitos, proteção da vida ou tutela da saúde nos limites dos agentes e procedimentos previstos em lei. A atuação tecnológica da Fácil não lhe concede autorização geral para explorar prontuários em finalidade própria.

Não vendemos dados pessoais de saúde. A comunicação ou o uso compartilhado entre controladores de dados sensíveis de saúde para vantagem econômica observa a vedação e as exceções do art. 11, § 4º, da LGPD. O fornecimento de consentimento, por si só, não libera uma operação legalmente proibida.

Informações clínicas não integram livremente campanhas, públicos publicitários ou treinamento de modelos. Essas operações não são autorizadas pelo simples uso do módulo. A automação de um procedimento administrativo também não altera, por si, a finalidade assistencial ou permite empregar o conteúdo clínico em atividades incompatíveis.

Consentimentos clínicos, deveres profissionais e registros de atendimento possuem requisitos próprios. Revogar uma autorização de marketing, excluir a conta Fácil Clientes ou encerrar uma assinatura não determina automaticamente a eliminação de um prontuário que deva ser conservado. A custódia e a continuidade desses registros seguem a seção 14 e as obrigações do responsável assistencial.

10 Crianças adolescentes e responsáveis

O tratamento de dados de crianças e adolescentes observa seu melhor interesse, sua condição de desenvolvimento, a LGPD e a legislação de proteção de menores no ambiente digital. A proteção abrange dados inseridos por um adulto, como o responsável que agenda uma consulta ou aula, e dados relacionados ao uso direto de um recurso pelo menor.

A base legal é definida conforme a finalidade e o tipo de dado, entre as hipóteses legalmente admitidas. Quando utilizamos consentimento para tratar dados de criança, ele deve ser específico e destacado, fornecido por ao menos um dos pais ou responsável legal, com esforços razoáveis para verificar a legitimidade dessa manifestação. A participação de um responsável em uma operação não representa autorização ilimitada para usos posteriores.

As informações e escolhas pertinentes devem ser apresentadas de modo claro, acessível e adequado ao contexto de compreensão do menor e de seu responsável. O fornecimento de dados deve se limitar ao necessário à atividade. Estabelecimentos que atendem menores precisam observar as obrigações de representação, informação e proteção vinculadas ao seu serviço.

Recursos direcionados a crianças e adolescentes ou de acesso provável por eles observam as salvaguardas aplicáveis à sua finalidade e ao seu risco, inclusive quanto à privacidade, supervisão pertinente e interação automatizada. Verificações de idade ou representação, quando necessárias, devem ser proporcionais. Os dados coletados exclusivamente para aferição de idade não são reutilizados em publicidade ou em finalidade incompatível.

Não utilizamos técnicas de perfilamento para direcionar publicidade comercial a crianças e adolescentes. O aceite de documentos ou consentimento para outra finalidade não afasta essa restrição. Tampouco a indicação contratual de idade mínima elimina o dever de tratar adequadamente dados de menores efetivamente envolvidos na operação.

O responsável pode procurar nosso canal para informar acesso indevido, questionar tratamento ou exercer direitos em nome do menor, comprovando a representação de forma proporcional. A análise respeita os direitos próprios do menor e eventuais limites legais de acesso a informações protegidas, especialmente em contexto de saúde.

11 Com quem os dados são compartilhados

Compartilhamos dados na extensão necessária às finalidades informadas e com participantes legitimados para a operação. As principais situações são:

A contratação de um fornecedor não permite uso irrestrito dos dados recebidos. As condições de tratamento, segurança, confidencialidade, subcontratação, assistência e eliminação devem ser compatíveis com seu papel e com a legislação. O catálogo integrante identifica os participantes efetivos das operações descritas.

Integrações ativadas pelo estabelecimento podem transmitir dados a prestadores por ele escolhidos. O estabelecimento deve informar a finalidade e observar as condições do destinatário. A Fácil continua responsável pelas ações e decisões que lhe competem na integração; a participação de terceiro não elimina automaticamente essas obrigações.

Pedidos de preservação e pedidos de disponibilização de dados são tratados separadamente. Preservar registros para apuração não autoriza, por si só, entregar registros de acesso ou conteúdo de comunicações privadas. A disponibilização observa os requisitos de ordem judicial e as demais hipóteses legais aplicáveis à categoria, inclusive regras próprias de dados cadastrais.

Em reorganização societária, aquisição ou transferência de atividade, dados estritamente pertinentes podem integrar a operação, com proteção de confidencialidade, continuidade das obrigações e transparência quando exigida. Essa situação não autoriza transferir indiscriminadamente toda a base nem utilizar os dados em novas finalidades sem fundamento.

Informações inseridas em áreas efetivamente públicas, como uma página profissional, podem ser acessadas pelo público conforme a configuração e a finalidade da publicação. Registros operacionais privados não se tornam públicos pela simples utilização da plataforma.

12 Tratamento e transferências internacionais

Infraestrutura, suporte e integrações podem envolver tratamento fora do Brasil, inclusive armazenamento, processamento ou acesso remoto por participantes localizados no exterior. O catálogo integrante identifica as transferências efetivamente utilizadas, os países, destinatários, finalidades, categorias de dados e mecanismos jurídicos correspondentes.

Uma transferência internacional precisa de hipótese válida para o tratamento e de mecanismo admitido pelo art. 33 da LGPD. Entre os mecanismos legais estão decisão de adequação reconhecida pela ANPD, cláusulas-padrão brasileiras e outras hipóteses ou garantias cabíveis. O mecanismo adotado para cada operação deve corresponder às suas partes e condições efetivas.

A indicação de marca global, a existência de infraestrutura no Brasil ou o uso de contrato estrangeiro não substituem a identificação do fluxo internacional. O acesso realizado por suporte ou por fornecedor subsequente também deve ser considerado. Transferências posteriores permanecem sujeitas às garantias pertinentes.

Quando forem utilizadas cláusulas contratuais abrangidas pelo regulamento de transferências da ANPD, você poderá solicitar sua íntegra por nosso canal, observadas as proteções legais dos segredos comerciais e industriais. O atendimento observa o prazo regulamentar de 15 dias, ressalvado prazo distinto validamente aplicável.

Se uma operação depender de seu consentimento específico para transferência, a informação será apresentada de modo destacado, distinguindo essa finalidade das demais. A ciência desta Política não funciona como consentimento genérico para transferência a qualquer país. Mudanças relevantes de destinatário, finalidade ou garantia devem receber a avaliação e a informação pertinentes antes de sua aplicação à operação.

13 Segurança e resposta a incidentes

A Fácil deve manter medidas técnicas e administrativas compatíveis com a natureza dos dados, as finalidades e os riscos do tratamento, destinadas a proteger contra acesso indevido, perda, alteração, divulgação e outras formas de uso inadequado. As obrigações de proteção abrangem a organização de acessos, a confidencialidade, a atuação de pessoas autorizadas e a relação com fornecedores.

O acesso a dados para suporte ou solução de problemas deve se limitar à necessidade da tarefa e às permissões pertinentes. Informações de segurança que possam facilitar abuso não são divulgadas publicamente, sem prejuízo da transparência exigida em lei e do atendimento às autoridades competentes.

Você deve proteger suas credenciais e os dispositivos utilizados, evitar o compartilhamento de contas e informar suspeitas de acesso indevido. Administradores devem revisar permissões e desligamentos de suas equipes. Esses deveres colaboram para a segurança e não afastam as obrigações próprias da Fácil.

Incidentes são avaliados quanto à natureza dos dados, ao alcance, aos riscos e às medidas necessárias. Quando atuamos como controladora e o incidente é comunicável, o prazo geral de comunicação à ANPD e aos titulares é de três dias úteis, contado do conhecimento de que dados pessoais foram afetados. Prazos específicos ou diferenciados somente se aplicam quando atendidos seus requisitos legais.

Conforme o regulamento da ANPD, a comunicação considera a possibilidade de afetar significativamente interesses e direitos fundamentais e, cumulativamente, o envolvimento de ao menos um critério relevante, como dados sensíveis, financeiros, de autenticação, protegidos por sigilo, de crianças, adolescentes ou idosos, ou dados em larga escala.

Quando atuamos como operadora, comunicamos o controlador pertinente sem demora injustificada e prestamos a cooperação cabível. As informações podem ser complementadas à medida que a apuração avance, nos limites regulamentares. Mantemos registro dos incidentes, inclusive dos não comunicados, pelo prazo mínimo legal de cinco anos a partir do registro, ou por prazo superior justificadamente exigível.

14 Conservação exclusão backups e encerramento

Os dados são conservados pelo tempo necessário à finalidade que justifica seu tratamento, observadas obrigações legais, regulatórias, profissionais e necessidades legítimas de exercício de direitos. O fim de uma finalidade exige avaliar eliminação, anonimização ou conservação especificamente fundamentada. Não utilizamos prazo único e indefinido para toda a base.

Excluir sua conta Fácil Clientes, encerrar uma assinatura empresarial, remover um colaborador e eliminar dados pessoais são operações diferentes. A exclusão da identidade não elimina automaticamente registros que outro controlador deva conservar; a existência desses registros tampouco justifica manter integralmente sua conta pessoal.

As solicitações de exclusão podem ser encaminhadas pelo canal de privacidade. Os caminhos de exclusão dos aplicativos e o recurso web externo são: Fácil.vc Empresas — Configurações pessoais → Excluir minha conta, com instruções externas em app.facil.vc/excluir-conta/; Fácil.vc Clientes — Minha conta → Dados pessoais → Excluir minha conta, com instruções externas em clientes.facil.vc/excluir-conta/. O pedido também pode ser apresentado fora do aplicativo, sem exigir sua reinstalação ou uma assinatura paga. Exclusão da conta e cancelamento de assinatura possuem efeitos próprios, apresentados conforme o canal de contratação e os Termos de Uso.

Nos prontuários, o profissional ou estabelecimento responsável deve assegurar a custódia e a continuidade dos registros, inclusive na mudança de prestador tecnológico. O prazo legal de conservação não representa obrigação de hospedagem gratuita pela Fácil após o término da contratação. Exportação, devolução e migração devem ser organizadas de modo compatível com os direitos do paciente e com as obrigações do controlador.

Dados eliminados dos ambientes de uso corrente podem permanecer temporariamente em cópias de segurança, de acordo com os ciclos identificados no catálogo e as necessidades justificadas de recuperação. Essas cópias não autorizam uso ordinário de dados já eliminados. Eventual restauração exige reaplicar as restrições e solicitações pertinentes. Não prometemos eliminação instantânea de todas as cópias técnicas.

Conservações adicionais por investigação, ordem de autoridade ou exercício de direitos devem ter escopo, acesso e duração limitados à justificativa. O encerramento de uma conta não autoriza a conservação de dados excessivos nem sua reutilização em nova finalidade.

15 Seus direitos e como exercê los

Você pode exercer gratuitamente os direitos assegurados pela LGPD em relação aos seus dados, diretamente ou por representante legitimado. Conforme a situação, esses direitos incluem:

1. Confirmação de que existe tratamento e acesso aos dados.

2. Correção de informações incompletas, inexatas ou desatualizadas.

3. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.

4. Portabilidade, nos termos da regulamentação aplicável, resguardados os segredos comerciais e industriais e os direitos de terceiros.

5. Eliminação dos dados tratados com consentimento, observadas as hipóteses legais de conservação.

6. Informação sobre entidades públicas e privadas com as quais houve compartilhamento.

7. Informação sobre a possibilidade de não consentir e as consequências dessa escolha.

8. Revogação do consentimento por procedimento gratuito e facilitado.

9. Oposição a tratamento realizado com dispensa de consentimento quando houver descumprimento da LGPD.

10. Revisão de decisão exclusivamente automatizada que afete seus interesses e informações pertinentes, conforme a seção 8 e o art. 20 da LGPD.

Canal de privacidade: contato@facil.vc. Identifique a solicitação como assunto de privacidade e informe o necessário para localizar a relação, como aplicativo utilizado e estabelecimento envolvido. O canal de privacidade da Fácil é contato@facil.vc.

Podemos solicitar elementos proporcionais para verificar identidade ou representação e evitar a entrega de informações a pessoa indevida. A verificação deve considerar o risco do pedido e minimizar documentos e dados adicionais. Não envie senhas, códigos temporários ou dados completos de cartão. Você não precisa ter uma assinatura paga para apresentar solicitação sobre seus dados.

A confirmação e o acesso são atendidos em formato simplificado, imediatamente, ou por declaração clara e completa em até 15 dias, nos termos do art. 19 da LGPD. Outros pedidos seguem os prazos e procedimentos que lhes forem aplicáveis; esse prazo não é uma regra universal de conclusão de toda demanda.

Quando a Fácil for controladora, analisamos o pedido e adotamos as providências de nossa responsabilidade. Quando a decisão couber ao estabelecimento, orientamos o encaminhamento e prestamos a assistência pertinente, respeitando suas instruções lícitas e nossas obrigações. Pedidos que envolvam ambos podem demandar providências separadas, sem compartilhamento indevido de informações entre empresas.

Se uma providência não puder ser atendida, informaremos os motivos jurídicos ou operacionais pertinentes e, quando cabível, o responsável pelo tratamento. O exercício de um direito não exige eliminar documentos cuja conservação seja legalmente necessária, nem autoriza revelar dados de terceiros. Restrições devem ser justificadas, não presumidas de forma geral.

A revogação não invalida automaticamente tratamentos anteriores realizados licitamente nem impede tratamento que tenha fundamento autônomo aplicável. Você também pode apresentar petição à ANPD e recorrer aos demais órgãos competentes. Nenhuma disposição desta Política exige renúncia a esses direitos.

16 Atualizações contato e catálogo integrante

Esta Política pode ser atualizada para refletir alterações efetivas de serviços, tratamentos ou requisitos legais. A data no início identifica a versão publicada. Mudanças relevantes devem ser comunicadas por meio adequado à relação, e novas finalidades que dependam de consentimento exigem manifestação própria. A simples substituição do texto não transforma um uso anteriormente não autorizado em autorizado.

Os direitos e obrigações relativos a tratamentos anteriores são avaliados conforme as normas, informações e manifestações aplicáveis à época. O histórico pertinente deve permitir identificar as condições apresentadas. Para esclarecimentos sobre versões, operações e direitos, utilize contato@facil.vc.

Catálogo de operações e transparência

Este catálogo integra a Política de Privacidade e descreve a configuração do ecossistema na data desta edição. A aplicação depende do recurso utilizado. Não autoriza ativação de integrações, publicidade ou compartilhamento adicional.

A Fornecedores e integrações

Google Cloud e Firebase — Google Cloud Brasil Computação e Serviços de Dados Ltda., Google LLC e empresas prestadoras identificadas nos termos do serviço. Fornecem hospedagem, banco de dados, armazenamento de arquivos, autenticação, proteção contra abuso, filas, notificações e diagnóstico. Podem processar cadastros, identificadores, registros operacionais, conteúdo armazenado, tokens de dispositivos e dados técnicos, conforme o módulo. Atuam como operadores ou suboperadores no processamento contratado; dados próprios de conta, segurança e faturamento do fornecedor seguem seus avisos. Consulte o adendo de tratamento do Google Cloud e as informações de privacidade do Firebase.

Google Analytics — Google LLC e afiliadas. Produz métricas de uso dos aplicativos e dos sites. No institucional e nos sites de estabelecimentos, métricas opcionais só são enviadas após a escolha de permitir. Os eventos desses sites não incluem o conteúdo de formulários, dados clínicos, contatos pessoais nem URLs privadas. O institucional e os sites de estabelecimentos usam propriedades separadas. Consulte os termos de processamento e a política do Google.

WhatsApp — WhatsApp LLC e prestadores do grupo Meta identificados nas condições comerciais. Processa telefone, mensagens, mídias, modelos e estados de entrega para autenticação, suporte e comunicações habilitadas. O processamento em nome da Fácil ou do estabelecimento e as finalidades próprias de segurança do fornecedor seguem os papéis definidos nos termos comerciais, no adendo de tratamento e na política de privacidade. A presença da integração não autoriza compartilhar a base de um estabelecimento com outro.

Amazon Web Services — entidade AWS contratada e Amazon Web Services, Inc. O Amazon Simple Email Service entrega códigos, recuperação de acesso e comunicações transacionais. Recebe endereço de e-mail, conteúdo necessário à mensagem e metadados de entrega, como operador ou suboperador do serviço solicitado. Consulte os termos dos serviços e adendo de tratamento e o aviso de privacidade da AWS.

Apple Inc. e Google. A entrega de notificações utiliza serviços das plataformas, como Apple Push Notification service e Firebase Cloud Messaging. São tratados tokens de instalação, dados técnicos e o conteúdo necessário à notificação autorizada. Permissões podem ser alteradas no sistema do dispositivo. As lojas administram suas próprias contas, downloads e eventuais compras, conforme os avisos da Apple e do Google.

ViaCEP e IBGE. Consultas de CEP e localidades auxiliam o preenchimento de endereços. O servidor consulta o CEP ou código de localidade; não envia a esses diretórios o nome, telefone ou prontuário da pessoa. Veja os serviços ViaCEP e IBGE.

Integrações condicionadas à habilitação. O projeto possui adaptadores para OpenAI, Asaas e PlugNotas/TecnoSpeed. A existência do adaptador não significa uso em todas as contas. Recursos de IA e pagamentos sujeitos a pausa ou desativação não são ativados por esta Política. Quando um recurso de IA for disponibilizado, seu aviso deverá identificar fornecedor, dados enviados, finalidade, retenção, eliminação e condições de treinamento antes do compartilhamento. A configuração de não armazenar uma resposta na API não equivale à ausência de registros de segurança do fornecedor. Pagamentos e documentos fiscais seguem a operação habilitada, os destinatários apresentados ao contratante e o Anexo B dos Termos.

B Localização e transferências internacionais

A BR GROUP LTDA é a exportadora quando encaminha dados sob sua responsabilidade a um destinatário no exterior; pode atuar em nome do estabelecimento controlador. O banco operacional e os serviços regionais principais do Core estão em São Paulo, Brasil. Serviços globais, redes de entrega, autenticação, suporte e notificações podem envolver os Estados Unidos e outros países das redes dos fornecedores. Há cópias históricas de segurança do banco nos Estados Unidos; os novos backups operacionais foram direcionados a São Paulo. Isso não constitui promessa de armazenamento exclusivamente nacional.

Google Cloud/Firebase e Analytics: a proteção contratual utiliza os adendos aplicáveis ao produto, que preveem cláusulas-padrão brasileiras para as transferências abrangidas. Os destinatários e locais de subprocessamento são informados nas listas do fornecedor, incluindo suboperadores do Google Cloud. As cláusulas distinguem a posição de controlador ou operador da Fácil e as transferências posteriores. A duração acompanha a prestação e a eliminação prevista no serviço; não é um prazo único para todos os produtos Google.

WhatsApp: o envio a WhatsApp LLC envolve processamento nos Estados Unidos e pela rede de prestadores indicada pelo fornecedor. O adendo global de transferências do WhatsApp Business incorpora cláusulas-padrão brasileiras para os dados sujeitos à LGPD, com regras para transferências posteriores. O fluxo abrange as mensagens e os dados de comunicação descritos acima, durante a entrega e a conservação aplicável ao serviço.

E-mail transacional: o Amazon SES utilizado pelo Core opera na região Norte da Virgínia, Estados Unidos. O envio contém somente os elementos necessários à autenticação, recuperação ou comunicação transacional solicitada. Para essa execução necessária da relação com o titular, aplica-se a hipótese do art. 33, IX, combinada com o art. 7º, V, da LGPD, além das obrigações de proteção do contrato AWS. Essa hipótese não cobre publicidade desvinculada da solicitação nem autoriza incluir dados sensíveis desnecessários. Notificações de serviço pelas plataformas móveis observam a mesma limitação de necessidade da operação solicitada.

Os termos e listas públicos identificam as condições gerais dos fornecedores; não representam certificação de que qualquer configuração ou novo uso é permitido. Fluxos adicionais, mudanças de finalidade e dados sensíveis exigem análise própria. Informações sobre a operação concreta, os destinatários e a íntegra das garantias aplicáveis podem ser solicitadas a contato@facil.vc, nos termos da seção 12.

C Cookies armazenamento local e métricas

No site institucional, a preferência de métricas e os cookies próprios do Analytics usam duração de até 180 dias. Os sites de estabelecimentos adotam preferência e cookies separados, também por até 180 dias. A escolha pode ser revista em Preferências de privacidade no institucional ou no controle de privacidade do site utilizado. A retirada interrompe novos eventos opcionais e remove os cookies de Analytics controlados por aquele site; não exclui automaticamente eventos enviados anteriormente. Os ambientes de desenvolvimento não coletam essas métricas.

O formulário institucional utiliza Firebase App Check e reCAPTCHA Enterprise ao interagir com o formulário, para proteção contra abuso. Um identificador de atendimento pode permanecer durante a sessão do navegador para recuperar tentativas; o texto digitado não é guardado nesse identificador. Tokens, preferências e caches dos aplicativos têm finalidade de autenticação, configuração ou continuidade da operação. Limpar dados locais antes de sincronizar pode eliminar informações ainda não transmitidas.

D Conservação operacional e cópias de segurança

Suporte e contatos comerciais: mensagens, anexos, protocolos e dados fornecidos são conservados durante o atendimento e enquanto necessários à continuidade da relação, à apuração de uma solicitação ou à prova de obrigações. Encerrar um chamado não elimina automaticamente seu histórico. Após o fim dessas finalidades, o conjunto deve ser eliminado ou reduzido aos elementos cuja conservação tenha fundamento próprio. Pedidos de eliminação são analisados por conjunto de dados, inclusive quando não existe rotina automática de descarte.

Entregas de integrações: eventos recebidos são conservados para processamento, recuperação de falhas, conciliação e rastreabilidade. A fila de transporte tem retenção configurada de até 31 dias; isso não é prazo de eliminação do evento persistido. Os registros brutos persistidos ainda não têm exclusão automática por tempo. Sua conservação deve permanecer limitada às finalidades e justificativas aplicáveis, com análise individual de pedidos e de restrições legais; essa condição não autoriza guarda irrestrita nem reutilização para marketing.

Métricas e objetos de IA: a duração de 180 dias dos cookies não representa a duração de todos os eventos mantidos pelo fornecedor de métricas. A conservação desses eventos depende da configuração da propriedade, da finalidade e dos controles do fornecedor. Fontes, transcrições e resultados de IA, quando utilizados, seguem a finalidade do registro de origem, as configurações do recurso e o aviso do fornecedor. Expirar a utilização de uma fonte não significa apagar automaticamente seu histórico. Solicitações podem abranger identificação do prazo aplicável, restrição e eliminação cabível, sem promessa de descarte automático inexistente.

Banco de produção: a configuração operacional prevê sete backups automáticos retidos e recuperação pontual de até sete dias. Sete backups não equivalem necessariamente a sete dias para todas as cópias. Backups manuais, cópias históricas, arquivos e versões de objetos não herdam automaticamente esse prazo; permanecem conforme necessidade de recuperação, preservação de evidência ou obrigação aplicável, e devem ser revisados ao terminar sua justificativa. O acesso é restrito. Restauração não autoriza reutilizar dados eliminados e exige reaplicar as restrições pertinentes. Não há promessa de eliminação instantânea de todas as cópias.

Os prazos legais específicos e os direitos da seção 14 continuam aplicáveis. A ausência de descarte automático não transforma conservação excessiva em tratamento permitido. A Fácil recebe e avalia pedidos pelo canal de privacidade, inclusive para dados de fornecedores e cópias técnicas.