Política de Privacidade

1. Quem somos e a que esta política se aplica

CATALISA INTELIGENCIA E AUTOMACAO DE NEGOCIOS LTDA - EPP (“Catalisa”), CNPJ 65.367.050/0001-57, com sede em Avenida Nossa Senhora de Fátima, 1880, Salas 101/102, Fátima, Teresina (PI), CEP 64049-526. A Catalisa desenvolve e opera o Catalisa Flow, um sistema de gestão usado por empresas de internet (provedores), clínicas veterinárias e odontológicas, laboratórios, lojas e prestadoras de serviço. Também mantém o portal do cliente, onde as pessoas atendidas por essas empresas acessam faturas, documentos, conversas e pedidos.

Pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD), a Catalisa atua em dois papéis:

• Controladora, quando decide por que e como tratar o dado: quem usa o sistema pelo lado da empresa (nome, e-mail, cargo, acessos), contatos comerciais, quem escreve para a Catalisa, quem visita estas páginas e os dados de cobrança e contrato com nossos clientes.
• Operadora, quando trata dados em nome de uma empresa cliente: os cadastros, conversas, cobranças, prontuários, fichas e registros de ponto que a empresa coloca no sistema. Nesse caso a empresa é a controladora e decide as finalidades; a Catalisa segue as instruções dela e do contrato, e a política de privacidade da própria empresa também vale para você.

Se você é cliente, paciente, tutor ou funcionário de uma empresa que usa a Catalisa, a empresa é a primeira a quem você deve pedir informações sobre os seus dados. Mesmo assim, você pode falar direto com a gente (seção 14): encaminhamos o pedido à empresa e acompanhamos a resposta.

2. Quais dados tratamos

Tratamos só o que o serviço precisa. Por categoria:

• Conta e acesso da equipe: nome, e-mail, cargo e papel no sistema, senha (guardada só como resumo irreversível), sessões abertas e registros de acesso (endereço IP, aparelho e horário).
• Entrada no portal do cliente: CPF ou CNPJ, e o código de uso único enviado ao WhatsApp ou e-mail já cadastrados na empresa. O portal não usa senha. A sessão dura até 30 dias e se encerra após 7 dias sem uso.
• Cadastro dos clientes das empresas: nome, CPF ou CNPJ, telefone, e-mail, endereço, contratos e planos, consentimentos, e as informações que a empresa lê do seu próprio sistema de gestão (por exemplo, o SGP dos provedores): faturas, situação financeira, chamados, ocorrências e dados técnicos da conexão, como sinal do equipamento.
• Conversas e atendimento: mensagens de WhatsApp (texto, áudio, imagem e documentos), conversas importadas de outros canais de atendimento, protocolos, tarefas e as transcrições de áudio feitas a pedido da empresa.
• Financeiro e fiscal: cobranças, Pix, boletos, pagamentos, extratos, notas fiscais e comprovantes. Dados de cartão vão direto ao processador de pagamento; a Catalisa não guarda o número do cartão.
• Saúde (dado pessoal sensível, LGPD art. 11): nas clínicas, o prontuário, as consultas, receitas, atestados, exames, fotos clínicas, odontograma e documentos clínicos assinados. O acesso é restrito à equipe clínica da empresa. Em clínicas veterinárias, o paciente é o animal, mas os dados do tutor são dados pessoais.
• Pessoas e ponto: para os funcionários das empresas, os registros de ponto (com a localização do aparelho no momento da marcação, quando a empresa ativa), escalas, atestados (dado de saúde), documentos e holerites. O reconhecimento facial é sempre opcional: guardamos apenas um modelo numérico, cifrado, sem foto para reconhecimento, com consentimento específico, e o PIN continua como alternativa.
• Dados técnicos: endereço IP, navegador, registros de segurança e de erro, e, na página de teste de conexão que o provedor envia ao cliente, o IP público e a medida de velocidade feita direto entre o aparelho e a rede da Cloudflare.
• Quem fala com a Catalisa: o que você escrever em formulários e e-mails, como o pedido de exclusão de dados.

Não coletamos dados de crédito para venda, não fazemos perfilamento para publicidade e não compramos bases de dados.

3. Para que usamos os dados

Cada uso tem uma base legal (LGPD, arts. 7º e 11):

Usamos os dados apenas para essas finalidades. Se uma finalidade nova aparecer, avisamos antes e, quando a lei exigir, pedimos o seu consentimento.

4. Inteligência artificial

O sistema tem agentes de inteligência artificial que ajudam a equipe das empresas: respondem mensagens, resumem conversas, organizam tarefas, sugerem textos de documentos e transcrevem áudios de consulta. Eles usam modelos de linguagem de fornecedores listados na seção 5.

• Nos documentos clínicos, o nome, o CPF, o telefone e o endereço do paciente ou tutor são trocados por marcadores antes de o texto sair do servidor, e voltam depois.
• O agente propõe; a pessoa decide. Documentos clínicos só valem depois de revisados e assinados pelo profissional responsável, e o agente nunca assina nem calcula dose.
• A transcrição de áudio roda por padrão no próprio servidor da Catalisa. O áudio de consulta não é guardado depois de transcrito.
• Só usamos dados de uso anonimizados para aprimorar o serviço. O conteúdo identificável das empresas (conversas, prontuários, cadastros) não é usado para treinar modelos.
• Você pode pedir a revisão por uma pessoa de qualquer decisão tomada só por tratamento automatizado que afete os seus interesses (LGPD art. 20).

5. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas com:

• A empresa cliente que é a controladora dos dados que você forneceu a ela.
• Suboperadores: empresas que a Catalisa contrata para partes do serviço, listadas abaixo. Cada uma recebe só o necessário para a sua função e está sujeita a contrato com obrigações de confidencialidade e segurança.
• Autoridades, quando a lei ou uma ordem judicial exigir.
• Sistemas da própria empresa cliente com os quais ela mandou integrar o Catalisa, como o sistema de gestão do provedor (SGP, IXC), o monitoramento (Zabbix) ou o ACS dos equipamentos de internet. Eles não são suboperadores da Catalisa: são sistemas do cliente.

Algumas funções só entram em uso quando a empresa as liga. A lista é atualizada quando mudamos de fornecedor; a data desta versão está no alto da página.

6. Transferência para fora do Brasil

Alguns dos fornecedores acima tratam dados fora do Brasil (LGPD, art. 33). São eles:

• Cloudflare — rede global, com sede nos Estados Unidos. Para: endereços (DNS), monitoramento de disponibilidade, sites institucionais e, quando a empresa escolhe, armazenamento de arquivos (R2). O teste de velocidade da conexão do cliente usa a rede da Cloudflare direto do aparelho dele.
• Meta Platforms (WhatsApp Business Platform e Login do Facebook) — Estados Unidos e Irlanda. Para: envio e recebimento de mensagens de WhatsApp e o botão de conexão do número da empresa.
• Google (Perfil da Empresa e login com a conta Google) — Estados Unidos e outros países onde o Google opera. Para: ler e responder avaliações e atualizar as informações do Perfil da Empresa no Google, com a autorização do dono da conta.
• DeepSeek — China. Para: modelo de linguagem dos agentes de inteligência artificial (atendimento, resumo de conversas, sugestão de textos de documentos) e da leitura de imagens.
• Groq (ou outro serviço compatível com a API de transcrição da OpenAI) — Estados Unidos. Para: transcrição de áudio em texto (consultas e mensagens de voz), só se a empresa escolhe um serviço em vez da transcrição no próprio servidor.
• TypeSafe (System One) — a confirmar com o fornecedor. Para: classificação do assunto de uma mensagem, para encaminhá-la ao fluxo certo.
• Postmark — Estados Unidos. Para: envio de e-mails do sistema: códigos de entrada, avisos, cobranças e documentos.
• Telegram — fora do Brasil (servidores distribuídos). Para: avisos internos para a equipe da empresa e da Catalisa, e conversa da equipe com os agentes.

Fazemos essas transferências apenas quando necessárias para o serviço e com uma das garantias que a LGPD prevê: cláusulas contratuais padrão aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD, Resolução CD/ANPD nº 19/2024) ou outro mecanismo do art. 33, e, quando for o caso, o seu consentimento específico e destacado. Reduzimos o que sai do Brasil: a transcrição de áudio roda no nosso servidor por padrão, os documentos clínicos seguem para a inteligência artificial sem identificação e a empresa escolhe quais integrações liga.

Você pode pedir informações sobre o país e a garantia usada por cada fornecedor pelo e-mail da seção 14.

7. Por quanto tempo guardamos

Quando um prazo legal obriga a manter o dado, ele fica guardado só para esse fim, com acesso restrito, e é eliminado ao fim do prazo.

8. Os seus direitos

A LGPD (art. 18) garante a você, a qualquer momento e sem custo:

• confirmar que tratamos dados seus e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• pedir a portabilidade dos dados a outro fornecedor;
• pedir a eliminação dos dados tratados com o seu consentimento;
• saber com quem compartilhamos os seus dados;
• saber que pode não dar o consentimento e quais as consequências;
• retirar o consentimento;
• se opor a um tratamento feito sem consentimento, quando houver descumprimento da lei;
• pedir a revisão de decisões tomadas só por tratamento automatizado.

Como pedir: pelo formulário em Exclusão de dados, por e-mail ao encarregado (seção 14) ou, se você usa o portal de uma empresa, em “Meus dados”, onde pode pedir correção, cópia e eliminação e receber um protocolo. Respondemos em até 15 dias. Para proteger você, confirmamos a sua identidade antes de entregar ou apagar qualquer dado; nunca pedimos senha.

Se a empresa cliente é a controladora do dado, encaminhamos o pedido a ela e informamos você. Se a resposta não resolver, você pode reclamar à ANPD (gov.br/anpd).

9. Como protegemos os dados

• Toda comunicação com o sistema usa HTTPS (TLS).
• Senhas ficam só como resumo irreversível. Credenciais de integrações, certificados digitais, o modelo facial e as notas clínicas ficam cifrados no banco.
• Cada empresa só vê os dados dela. Dentro da empresa, o acesso segue o papel de cada pessoa: o prontuário só abre para a equipe clínica, os atestados só para o RH, e as aberturas ficam registradas.
• Limites de tentativas, proteção contra falsificação de pedidos (CSRF) e política de segurança de conteúdo nas páginas.
• Cópias de segurança cifradas, guardadas fora do servidor principal.
• Registro de auditoria das ações sensíveis.

Se houver um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas, e a empresa controladora, em prazo razoável (LGPD, art. 48).

10. Cookies

Usamos cookies para manter você conectado, para lembrar preferências da interface e para a segurança contra fraude. Não usamos cookies de publicidade. Você pode gerenciar os cookies nas configurações do navegador; desativar os necessários impede o login.

11. Crianças e adolescentes

O Catalisa é um serviço para empresas e seus clientes adultos. Quando uma clínica ou outra empresa registra dados de uma criança ou adolescente (por exemplo, um paciente), ela é responsável por obter o consentimento de ao menos um dos pais ou do responsável legal e por tratar os dados no melhor interesse do menor (LGPD, art. 14). A Catalisa não se dirige a menores nem coleta dados deles por conta própria.

12. WhatsApp (Meta) e Google

WhatsApp e Login do Facebook

Quando uma empresa conecta o número de WhatsApp pelo botão “Conectar WhatsApp”, usamos o Login do Facebook, da Meta, só para que ela autorize a nossa conexão com a conta do WhatsApp Business dela. Recebemos a identificação da conta comercial e do número, e um token de acesso, que guardamos cifrado. Não lemos o perfil pessoal nem a lista de amigos de quem faz a conexão. As mensagens trocadas passam pela API oficial do WhatsApp (Cloud API) para chegar ao sistema da empresa. Os dados recebidos da Meta são usados só para operar o atendimento da empresa, não são vendidos e não são usados para publicidade.

Para remover os dados ligados ao aplicativo da Catalisa na Meta, veja as instruções em Exclusão de dados.

Google (Perfil da Empresa)

Quando uma empresa conecta o Perfil da Empresa no Google, pedimos apenas o acesso business.manage do Google, para ler e responder avaliações e atualizar as informações do perfil dela. Guardamos o token de acesso cifrado, e a empresa pode revogar o acesso a qualquer momento na conta Google dela ou no sistema.

O uso e a transferência, a qualquer outro aplicativo, das informações recebidas das APIs do Google respeitarão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. The Catalisa’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Não usamos esses dados para publicidade, não os vendemos e só os mostramos a pessoas da própria empresa autorizadas a ver o perfil.

13. Mudanças nesta política

Quando mudarmos esta política de forma relevante, publicamos a nova versão aqui, com a data e o número da versão, e avisamos as empresas clientes pelo sistema. As versões antigas ficam à disposição por pedido.

14. Fale com o encarregado (DPO)

Encarregado(a) pelo tratamento de dados pessoais, CATALISA INTELIGENCIA E AUTOMACAO DE NEGOCIOS LTDA - EPP: privacidade@catalisaia.com.br ou dpo@catalisaia.com.br.

CATALISA INTELIGENCIA E AUTOMACAO DE NEGOCIOS LTDA - EPP, CNPJ 65.367.050/0001-57, Avenida Nossa Senhora de Fátima, 1880, Salas 101/102, Fátima, Teresina (PI), CEP 64049-526.

Se preferir, use o formulário de exclusão de dados, que abre uma tarefa para a nossa equipe.