Política de Privacidade

1. Responsável e abrangência

Esta política descreve como a Pagatu, ou Pagatu Pro, na condição de responsável operacional pelo serviço, trata dados pessoais em seus domínios oficiais pagatu.io e app.pagatu.io, incluindo o aplicativo web, as páginas públicas de agendamento e de recebimento, orçamentos, agenda, pagamentos registrados manualmente, recibos e comunicações operacionais.

País principal de operação: Peru. Contato de privacidade e suporte: hola@pagatu.io.

2. Dados que tratamos

Conforme os recursos que você usar, a Pagatu pode tratar dados de conta como nome, e-mail, telefone, foto de perfil quando fornecida pela autenticação, preferências e dados do negócio. Também pode armazenar dados inseridos por você sobre clientes, orçamentos, compromissos, formas de recebimento, pagamentos registrados manualmente, recibos, logotipos, assinaturas e as informações necessárias para configurar o kit de marca.

Também são tratados dados técnicos necessários para operar o serviço: identificadores de sessão, cookies essenciais de autenticação, endereços IP, navegador, dispositivo, registros de segurança e os eventos necessários para prevenir abusos, corrigir erros e manter a disponibilidade.

A Pagatu usa esses dados para prestar o serviço, autenticar usuários, administrar orçamentos, organizar compromissos, sincronizar eventos autorizados, enviar comunicações operacionais, registrar pagamentos, prevenir fraude ou abuso, oferecer suporte e cumprir as obrigações aplicáveis.

3. Dados do Google e do Google Agenda

Conectar o Google Agenda é opcional. A conexão começa em Agenda > Integrações e exige que você aceite as permissões na tela de consentimento do Google.

A implementação atual solicita o e-mail da conta Google conectada e a permissão do Google Agenda necessária para criar, atualizar e cancelar eventos relacionados a compromissos gerenciados dentro da Pagatu. A Pagatu usa a agenda principal da conta conectada, identificada como primary.

Depois que a integração é autorizada, a Pagatu pode guardar o e-mail do Google conectado, o identificador da agenda utilizada, tokens de acesso e de atualização criptografados, a data de expiração do token, as permissões concedidas, o status da integração, os identificadores dos eventos criados no Google Agenda, os links do evento e os links do Google Meet quando gerados para um compromisso.

Os tokens do Google são guardados criptografados com criptografia autenticada AES-GCM, usando uma chave de servidor configurada como CALENDAR_TOKEN_ENCRYPTION_KEY. Não são guardados client secrets nem tokens no navegador.

A Pagatu não baixa a sua agenda completa para fins publicitários, não vende dados do Google Agenda, não os usa para perfis publicitários e não os compartilha com terceiros para publicidade. As informações do Google são mantidas enquanto a integração estiver ativa ou enquanto forem necessárias para manter os registros operacionais dos compromissos gerenciados na Pagatu.

4. Uso limitado das informações do Google

O uso e a transferência, pela Pagatu, das informações recebidas das APIs do Google limitam-se a prestar ou melhorar recursos visíveis para o usuário e cumprirão a Política de Dados do Usuário dos Serviços de API do Google, inclusive os requisitos de Uso Limitado.

A Pagatu não vende dados do Google, não os transfere para redes de publicidade, não os usa para publicidade personalizada e não os utiliza para avaliar crédito. O acesso humano a dados do Google fica restrito a casos justificados: solicitação expressa de suporte, investigação de segurança, cumprimento legal ou operações internas autorizadas e necessárias para prestar o serviço.

5. Segurança e retenção

A Pagatu usa HTTPS, autenticação com Clerk, controle de acesso por usuário, Convex como banco de dados, Cloudflare Workers para executar o aplicativo, segredos fora do código do cliente e criptografia dos tokens do Google em repouso. As funções do Convex filtram as informações pela identidade autenticada, para que um usuário não alcance os dados de outro.

Os dados são mantidos enquanto a conta ou a integração estiverem ativas, enquanto forem necessários para prestar o serviço ou durante o prazo razoável exigido por segurança, suporte, auditoria ou obrigações aplicáveis. Ao desconectar o Google Agenda, a Pagatu tenta revogar o token junto ao Google e exclui ou inutiliza os tokens armazenados.

6. Fornecedores e transferências

A Pagatu usa fornecedores técnicos para operar o serviço: Clerk para autenticação, Convex para banco de dados e funções de backend, Cloudflare para infraestrutura, R2, Workers e as métricas do site descritas abaixo, Google para a integração opcional com o Agenda, e os serviços de e-mail transacional configurados no projeto.

Esses fornecedores podem processar informações fora do país de residência do usuário. A Pagatu aplica os controles contratuais e técnicos disponíveis conforme o fornecedor e a finalidade do tratamento.

7. Métricas do site

O site público da Pagatu (pagatu.io) usa o Cloudflare Web Analytics para saber como as pessoas navegam e como as páginas se comportam. Ele coleta, de forma agregada, a página visitada, a página de origem, o país aproximado, o tipo de dispositivo e de navegador, e os tempos de carregamento.

Essa medição não utiliza cookies nem guarda informações no navegador. Não cria perfis, não identifica pessoas específicas, não acompanha a navegação em outros sites e não é usada para fins publicitários. Os dados também não são cruzados com a conta de quem tiver uma na Pagatu.

Dentro do aplicativo (app.pagatu.io) existem, sim, cookies necessários para manter a sessão iniciada, gerenciados pelo provedor de autenticação, e uma preferência de idioma guardada no navegador. Nenhum dos dois serve para publicidade nem para rastreamento entre sites.

8. Direitos, revogação e exclusão

Você pode solicitar acesso, correção, exclusão, oposição, portabilidade quando cabível e revogação de consentimentos escrevendo para hola@pagatu.io. A Pagatu avaliará o pedido e responderá pelo mesmo canal.

Você pode desconectar o Google Agenda em Agenda > Integrações. Também pode revogar o acesso na sua Conta do Google, na seção de aplicativos conectados. A exclusão total da conta em autosserviço ainda precisa ser confirmada pelo proprietário; até lá, os pedidos devem ser enviados por e-mail ao contato indicado.

A Pagatu não se destina a menores de idade. Se identificarmos uma conta usada por alguém que não atende à idade mínima aplicável, poderemos restringir ou remover o acesso conforme o caso.

Se atualizarmos esta política por mudanças relevantes no serviço ou no uso de dados do Google, publicaremos a nova versão nesta página e, quando cabível, avisaremos dentro do aplicativo ou por e-mail.