Política de Privacidade

Última atualização: 28 de outubro de 2026

A Schedia (“nós”, “nosso” ou “Plataforma”) valoriza a privacidade dos seus usuários e está comprometida em proteger os dados pessoais que nos são confiados. Esta Política de Privacidade descreve como coletamos, utilizamos, armazenamos, compartilhamos e protegemos informações pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) e demais legislações aplicáveis.

1. Quem é o Controlador dos Dados

O Schedia é usado por empresas (salões, clínicas, restaurantes, lojas e outros negócios) para atender os próprios clientes. Por isso, existem dois papéis diferentes:

• Schedia como controladora: dos dados das pessoas que usam o painel e os aplicativos de celular (donos, administradores e equipe das empresas), da contratação dos planos do Schedia, do suporte e dos cookies do nosso site.
• Empresa como controladora e Schedia como operadora: dos dados dos clientes finais de cada empresa — quem agenda, reserva uma mesa, faz um pedido, assina um plano ou conversa pelo WhatsApp com a empresa. Nesse caso, tratamos os dados apenas para prestar o serviço à empresa e conforme as instruções dela (art. 39 da LGPD). Pedidos sobre esses dados devem ser feitos à empresa (ver seção 9).

Dados da Schedia:

• Razão social: BRV - DESENVOLVIMENTO DE SISTEMAS LTDA, que desenvolve e opera o Schedia
• CNPJ: 38.466.182/0001-63
• Endereço: Rua Estanislau Wojcik, 717, Apto 202 – Tindiquera, Araucária/PR, CEP 83708-120
• E-mail de contato: privacidade@schedia.com.br

2. Encarregado de Proteção de Dados (DPO)

Em conformidade com o art. 41 da LGPD, nosso Encarregado de Proteção de Dados pode ser contatado pelo e-mail: dpo@schedia.com.br.

3. Dados Pessoais que Tratamos

3.1. Usuários do painel

• Nome, e-mail e telefone
• Senha (guardada apenas como hash, nunca em texto) ou identificador da conta Google, quando o login é feito pelo Google
• Foto de perfil (opcional)
• Empresas às quais o usuário está vinculado e suas permissões
• Conversas com o suporte do Schedia

3.2. Dados da empresa e recebimentos

• Nome, razão social, CNPJ/CPF, endereço, logotipo e contatos
• Para receber pagamentos pela Plataforma: dados cadastrais e documentos do responsável legal e dados bancários, enviados ao Asaas, instituição de pagamento parceira que abre e opera a conta, para abertura e verificação (“conheça seu cliente”)
• Plano contratado, faturas e histórico de pagamentos

3.3. Clientes das empresas (Schedia como operadora)

• Nome, e-mail e telefone/WhatsApp
• Agendamentos, reservas e pedidos: data, horário, serviços ou produtos, profissional, unidade, valores e observações
• Endereço, quando o atendimento é a domicílio ou há entrega
• CPF/CNPJ, quando o cliente assina um plano da empresa, paga pelo link de pagamento ou informa o documento para sair na nota fiscal
• Mensagens trocadas com a empresa pelo WhatsApp, inclusive as respondidas pelo assistente de IA
• Informações de relacionamento registradas pela empresa: data de nascimento, como conheceu a empresa, etiquetas, anotações da equipe, oportunidades de venda e tarefas de acompanhamento
• Autorização para receber mensagens promocionais (data, origem e eventual cancelamento) e o histórico dessas mensagens
• Aceite da política de cancelamento e dos termos da empresa ao agendar ou reservar: o texto aceito, a data e hora, o endereço IP e o navegador, guardados como prova do aceite
• Fichas do atendimento que a empresa pede (anamnese, termo de responsabilidade, ficha de avaliação), que podem conter dados de saúde: as respostas, fotos e anexos, o nome de quem assinou, o texto aceito com a data e hora, o endereço IP e o navegador. Esses dados ficam cifrados, só a equipe autorizada pela empresa e o profissional do atendimento podem ver, cada abertura fica registrada, a equipe do Schedia não tem acesso ao conteúdo e eles nunca são usados por assistente de IA
• Dados de pagamento — o cartão é digitado diretamente no ambiente do processador de pagamento; não armazenamos número de cartão nem código de segurança. Se o cliente autoriza salvar o cartão para pagar com um toque nas próximas vezes, guardamos só a referência criada pelo processador, a bandeira e os 4 últimos dígitos; ele pode remover o cartão a qualquer momento

3.4. Dados técnicos

• Endereço IP, navegador e sistema operacional
• Registros de acesso e de ações administrativas
• Cookies e armazenamento local (ver seção 10)

3.5. Integração com o Google

• Entrar com o Google: recebemos o nome, o e-mail e a foto da conta Google, só para criar a conta no Schedia e identificar quem entra.
• Google Calendar (opcional): conectado pelo administrador da empresa em Configurações → Integrações. O Schedia pede só a permissão de eventos da agenda e a usa para criar, atualizar e excluir, na agenda principal da conta conectada, o evento de cada agendamento da empresa, com o link do Google Meet: criado quando o agendamento é feito, atualizado quando é remarcado e excluído quando é cancelado. O evento leva o serviço, a data, o horário e o nome do cliente, e o e-mail do cliente entra como convidado para que ele receba o convite. Não lemos outros eventos, outras agendas, e-mails, contatos nem arquivos da conta.
• Os tokens de acesso ficam guardados criptografados. Ao desconectar em Configurações → Integrações, os tokens são apagados e o acesso é revogado no Google; ele também pode ser revogado a qualquer momento em myaccount.google.com/permissions.
• Os dados recebidos do Google não são vendidos, não são usados para publicidade, não são usados para treinar modelos de inteligência artificial e não são compartilhados com terceiros, a não ser os fornecedores necessários para prestar o serviço (seção 6) ou por exigência legal.

O uso e a transferência para qualquer outro app de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

3.6. Aplicativos de celular

Os aplicativos Schedia (para a empresa) e Schedia Profissional (para os profissionais da equipe), para Android e iPhone, usam a mesma conta do painel e mostram os mesmos dados, com as mesmas permissões. Além disso, tratam:

• Um identificador do aparelho gerado pelo próprio app na instalação, o nome e o sistema do aparelho e a versão do app, para manter o login em cada aparelho e permitir encerrá-lo
• O endereço de notificações do aparelho (token de push), guardado criptografado, para avisar sobre agendamentos, mensagens e pedidos. As notificações podem ser desligadas nas configurações do celular
• Microfone, só quando você toca para gravar uma mensagem de voz numa conversa com um cliente
• Câmera e fotos, só quando você escolhe tirar ou enviar uma foto (por exemplo, documentos para a conta de recebimentos ou provas numa contestação)
• Biometria (Face ID ou digital), quando você ativa o desbloqueio do app: a verificação é feita pelo próprio celular e não recebemos nenhum dado biométrico

Os aplicativos não coletam localização, não mostram anúncios e não usam ferramentas de rastreamento ou publicidade de terceiros.

4. Finalidades e Bases Legais

Nunca usamos os dados dos clientes das empresas para finalidades próprias, como marketing do Schedia. A tag de anúncios do Google não é carregada nas páginas de agendamento, loja e assinatura das empresas.

5. Assistente de IA

Quando a empresa ativa o assistente de IA, as mensagens que o cliente envia pelo WhatsApp e as informações do cadastro da empresa (serviços, horários, produtos) são processadas pela OpenAI para gerar as respostas e realizar agendamentos ou pedidos. Pelos termos da API da OpenAI, esses dados não são usados para treinar modelos. As mensagens passam por um filtro de conteúdo antes do envio.

O assistente não toma decisões com efeitos jurídicos sobre o cliente. A qualquer momento o cliente pode pedir para falar com uma pessoa da empresa, e o atendimento automático é pausado (art. 20 da LGPD).

6. Compartilhamento de Dados

Compartilhamos dados pessoais apenas no necessário para as finalidades acima, com:

• A empresa com a qual o cliente se relaciona: os dados do agendamento, pedido ou assinatura ficam disponíveis para ela no painel.
• Processadores de pagamento: Asaas (planos do Schedia e contas de recebimento das empresas), Mercado Pago e PagBank (quando a empresa usa conta própria num desses gateways).
• Comunicação: Meta Platforms (WhatsApp Business Cloud API) e Resend (e-mails transacionais).
• Inteligência artificial: OpenAI (assistente de IA, quando ativado pela empresa).
• Emissão de notas fiscais: Conttrole (plataforma fiscal da BRV), quando a empresa conecta a emissão — nome, CPF/CNPJ, contato e os itens e valores do atendimento ou pedido vão para a NFS-e/NFC-e emitida pela conta da empresa; também emite a nota das mensalidades do Schedia.
• Consulta de CPF/CNPJ: CPF.CNPJ (cpfcnpj.com.br), no cadastro da empresa: o CPF ou CNPJ informado é consultado na Receita Federal para preencher os dados da empresa e conferir a situação cadastral. Do CPF guardamos por até 30 dias o nome (criptografado) e a situação, sem o número nem a data de nascimento.
• Infraestrutura: Vercel (hospedagem e estatísticas de acesso sem cookies), Amazon Web Services (armazenamento de arquivos), Upstash (mensagens em tempo real do chat de suporte), Trigger.dev (tarefas agendadas) e o provedor do banco de dados.
• Notificações dos aplicativos: Expo (envio das notificações), Google Firebase Cloud Messaging (Android) e Apple Push Notification service (iPhone), que recebem o token de push e o texto do aviso.
• Google: Calendar e Meet (quando conectados) e Google Ads (apenas com consentimento, no site do Schedia).
• Autoridades públicas: quando exigido por lei, regulação ou ordem judicial.

Não vendemos, alugamos ou comercializamos dados pessoais.

7. Transferência Internacional de Dados

Alguns fornecedores (Vercel, Amazon Web Services, Google, Meta, OpenAI, Upstash, Resend, Trigger.dev, Expo, Apple) podem processar dados em servidores fora do Brasil, principalmente nos Estados Unidos. Essas transferências são feitas com base em:

• Cláusulas contratuais de proteção de dados com os fornecedores (art. 33, II, “b”);
• Necessidade para a execução do contrato com o titular (art. 33, IX c/c art. 7º, V);
• Medidas técnicas e organizacionais de segurança adequadas.

8. Retenção de Dados

• Conta do painel: enquanto estiver ativa. Ao excluir a conta, os dados pessoais são apagados; se houver registros financeiros vinculados (como saques), o cadastro é anonimizado.
• Clientes das empresas: enquanto a empresa usar a Plataforma. São anonimizados quando a empresa atende um pedido de eliminação do titular ou quando o proprietário exclui a conta — a empresa é encerrada junto e os dados de clientes, equipe e conversas são eliminados.
• Login nos aplicativos: até você sair do app, encerrar o aparelho ou ficar 60 dias sem usar; a exclusão da conta apaga todos os aparelhos e tokens de push.
• Dados financeiros e fiscais (pagamentos, CPF/CNPJ de assinaturas e notas fiscais emitidas): 5 anos, conforme a legislação tributária, mesmo após pedido de eliminação (art. 16, I).
• Registros de acesso: no mínimo 6 meses (Marco Civil da Internet, art. 15).
• Cookies de publicidade: até a revogação do consentimento.

9. Seus Direitos como Titular

A LGPD garante a você (art. 18):

1. Confirmação da existência de tratamento;
2. Acesso aos dados pessoais;
3. Correção de dados incompletos, inexatos ou desatualizados;
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
5. Portabilidade dos dados a outro fornecedor;
6. Eliminação dos dados tratados com base no consentimento;
7. Informação sobre com quem seus dados foram compartilhados;
8. Informação sobre a possibilidade de não fornecer o consentimento e suas consequências;
9. Revogação do consentimento;
10. Revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20).

Como exercer

• Usuários do painel e dos aplicativos: em Perfil → Privacidade e Dados você pode exportar seus dados ou excluir sua conta (nos aplicativos, em Mais → Excluir minha conta; veja como excluir sua conta). Também pode escrever para privacidade@schedia.com.br.
• Clientes das empresas: fale com a empresa onde você agendou ou comprou — ela pode exportar ou anonimizar seus dados pelo painel. Para deixar de receber mensagens promocionais, responda SAIR no WhatsApp ou use o link de descadastro do e-mail. Se não conseguir contato, escreva para privacidade@schedia.com.br e encaminharemos o pedido à empresa.

Respondemos em até 15 dias (art. 19, II).

Como excluir sua conta

Vale para a conta do painel e dos aplicativos Schedia e Schedia Profissional, que é a mesma. Escolha um dos caminhos:

1. No aplicativo: toque em Mais → Excluir minha conta, digite sua senha e confirme.
2. No painel (app.schedia.com.br): entre na sua conta e vá em Perfil → Privacidade e Dados → Excluir conta.
3. Por e-mail: escreva do e-mail da conta para privacidade@schedia.com.br pedindo a exclusão. Confirmamos que o pedido é seu e concluímos em até 15 dias.

O que acontece:

• São apagados seus dados de cadastro (nome, e-mail, telefone, foto, senha, chaves de acesso e autenticação), os logins nos aparelhos, os tokens de notificação e as conversas com o suporte.
• Se você é o único dono e o único membro de uma empresa, a empresa é encerrada junto: o plano é cancelado e os dados dos clientes, da equipe e das conversas são eliminados ou anonimizados. Se a empresa tem outros membros, transfira antes a propriedade para outra pessoa.
• Ficam guardados, pelo prazo da lei (até 5 anos), só os registros financeiros e fiscais (pagamentos, saques e notas fiscais) e os registros de acesso exigidos pelo Marco Civil da Internet (6 meses); se houver saques, o cadastro é anonimizado em vez de apagado.

A exclusão não pode ser desfeita.

10. Cookies e Armazenamento Local

Também usamos o Vercel Analytics, que conta visitas de forma agregada sem cookies e sem identificar o visitante.

Cookies essenciais e funcionais são necessários para o serviço. Os de publicidade são opcionais e só são ativados se você clicar em “Aceitar todos”. Você pode mudar sua escolha a qualquer momento: Preferências de cookies.

11. Segurança dos Dados

• Criptografia em trânsito (TLS/HTTPS) e em repouso;
• Senhas com hash Argon2id e segredo adicional (pepper), nunca em texto;
• Tokens de acesso do WhatsApp e das contas de recebimento criptografados no banco;
• Autenticação de dois fatores (MFA) disponível para todas as contas;
• Cookies de sessão httpOnly e Secure, com expiração;
• Controle de acesso por papéis e permissões, com isolamento dos dados de cada empresa;
• Registros de auditoria para ações sensíveis.

12. Incidentes de Segurança

Se ocorrer um incidente de segurança que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em prazo razoável, conforme o art. 48 da LGPD e a regulamentação da ANPD. Quando os dados forem de clientes de uma empresa, avisaremos também a empresa controladora.

13. Menores de Idade

O painel do Schedia não é direcionado a menores de 18 anos. Dados de crianças e adolescentes que cheguem à Plataforma como clientes de uma empresa (por exemplo, um agendamento feito pelo responsável) são tratados pela empresa controladora no melhor interesse do menor (art. 14 da LGPD).

14. Alterações nesta Política

Esta Política pode ser atualizada periodicamente. Avisaremos sobre alterações relevantes por e-mail ou aviso na Plataforma. A versão mais atual estará sempre disponível nesta página.

15. Legislação e Foro

Esta Política é regida pelas leis da República Federativa do Brasil. Fica eleito o foro da comarca de Araucária/PR, com exclusão de qualquer outro, ressalvado o direito do titular consumidor de demandar no foro do seu domicílio.

16. Contato

• E-mail: privacidade@schedia.com.br
• Encarregado (DPO): dpo@schedia.com.br

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) — www.gov.br/anpd.