POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS — SARA AI

Versão vigente a partir de 7 de julho de 2026

A presente Política de Privacidade e Proteção de Dados Pessoais (“Política”) tem por finalidade demonstrar o compromisso da VFC TECNOLOGIA LTDA, sociedade empresária limitada, inscrita no CNPJ sob o nº 60.237.016/0001-44, com sede na Av. Paulista, nº 1106, Sala 01, Andar 16, Bela Vista, São Paulo/SP, CEP 01310-914 (“SARA AI” ou “VFC”), com a privacidade e a proteção dos dados pessoais tratados no âmbito do serviço Sara AI, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — “LGPD”), com a Lei nº 12.965/2014 (Marco Civil da Internet) e com as demais normas aplicáveis.

Esta Política alcança duas categorias de titulares de dados: (i) o Usuário — a pessoa ou empresa que contrata o serviço Sara AI para seu negócio, bem como as pessoas de sua equipe que acessam a plataforma; e (ii) o Cliente Final — o cliente ou paciente do Usuário que interage com a assistente virtual pelo WhatsApp ou pelas páginas de agendamento.

Esta Política é parte integrante dos Termos e Condições Gerais de Uso da Sara AI. Ao utilizar o serviço, o Usuário declara ter lido e compreendido as disposições aqui contidas.

1. DEFINIÇÕES

1.1. Para os fins desta Política, aplicam-se as definições constantes do art. 5º da LGPD, destacando-se:

“Dado Pessoal”: informação relacionada a pessoa natural identificada ou identificável;
“Tratamento”: toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência, difusão ou extração;
“Controlador”: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais;
“Operador”: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador;
“Encarregado” (DPO): pessoa indicada para atuar como canal de comunicação entre o Controlador, os Titulares e a Autoridade Nacional de Proteção de Dados (ANPD);
“Usuário”: a pessoa física ou jurídica que contrata o serviço Sara AI para utilização em seu negócio, bem como as pessoas naturais de sua equipe que acessam a plataforma;
“Cliente Final”: a pessoa natural que interage com o serviço na qualidade de cliente ou paciente do Usuário, para fins de agendamento, atendimento e comunicação com o negócio do Usuário.

2. DOS PAPÉIS NO TRATAMENTO (CONTROLADOR E OPERADOR)

2.1. Dados do Usuário. Em relação aos dados pessoais do Usuário e de sua equipe — cadastro, conta de acesso, dados de cobrança e registros de uso da plataforma —, a VFC atua como Controladora, competindo-lhe as decisões sobre o respectivo tratamento.

2.2. Dados de Clientes Finais. Em relação aos dados pessoais dos Clientes Finais tratados na operação da assistente virtual — conversas, cadastro de contatos, agendamentos e comunicações —, o Usuário atua como Controlador e a VFC como Operadora, realizando o tratamento por conta e ordem do Usuário, conforme suas instruções e configurações, nos limites do contrato e desta Política.

2.3. A VFC somente tratará dados de Clientes Finais em finalidade própria, na condição de controladora, quando estritamente necessário à segurança da plataforma, à prevenção a fraudes e abusos ou ao cumprimento de obrigação legal ou regulatória.

2.4. Incumbe ao Usuário, na condição de Controlador dos dados de seus Clientes Finais, observar as obrigações que a LGPD lhe atribui, incluindo a definição de base legal adequada para as comunicações que instruir (em especial mensagens ativas e campanhas) e o atendimento aos direitos de seus titulares, com o apoio técnico da VFC na forma da seção 9.

3. DOS DADOS PESSOAIS COLETADOS

3.1. No âmbito da prestação do serviço, são tratadas as seguintes categorias de dados pessoais:

Titular	Categoria	Dados	Origem
Usuário	Identificação e cadastro	Nome, e-mail, telefone, dados do negócio (nome, CPF/CNPJ, endereço, serviços, horários)	Fornecidos pelo Usuário
Usuário	Pagamento	Informações necessárias à cobrança da assinatura, processadas pela Stripe; a VFC não armazena dados completos de cartão	Fornecidos pelo Usuário ao processador de pagamento
Usuário	Registros técnicos	Registros de acesso e uso da plataforma, endereço IP, data e hora, identificadores de dispositivo/navegador	Gerados automaticamente
Cliente Final	Identificação	Número de telefone vinculado ao WhatsApp; nome informado na conversa ou constante do perfil	Fornecidos pelo Cliente Final ou cadastrados pelo Usuário
Cliente Final	Conteúdo e agendamento	Mensagens trocadas com a assistente virtual; dados de agendamento (serviço, profissional, data, horário, status); status de pagamento de sinal, quando habilitado	Fornecidos pelo Cliente Final ou gerados na operação
Cliente Final	Registros técnicos	Data e hora das mensagens, status de entrega, registros de aplicação e metadados operacionais	Gerados automaticamente

3.2. Dados sensíveis. O serviço não exige nem solicita dados pessoais sensíveis, assim definidos pelo art. 5º, II, da LGPD. Considerando que o serviço é utilizado por negócios da área da saúde, informações relacionadas à saúde podem ser espontaneamente fornecidas pelo Cliente Final no contexto de um agendamento (por exemplo, o motivo de uma consulta). Nesses casos, tais informações são tratadas apenas na medida necessária ao atendimento e ao agendamento, com salvaguardas adicionais, podendo o tratamento fundamentar-se no consentimento do titular ou, quando cabível, na tutela da saúde (art. 11, II, “f”, da LGPD), sob a responsabilidade do Usuário na condição de Controlador.

3.3. Adota-se o princípio da minimização, coletando-se apenas os dados estritamente necessários às finalidades descritas nesta Política.

4. DAS FINALIDADES E BASES LEGAIS DO TRATAMENTO

4.1. Dados do Usuário (VFC como Controladora):

Finalidade	Base legal (LGPD)
Cadastro, autenticação e disponibilização da plataforma	Execução de contrato (art. 7º, V)
Cobrança e gestão da assinatura	Execução de contrato (art. 7º, V)
Segurança da informação, prevenção a fraudes e abusos e melhoria do serviço	Legítimo interesse (art. 7º, IX)
Guarda de registros de aplicação e cumprimento de obrigações fiscais, regulatórias e legais	Cumprimento de obrigação legal ou regulatória (art. 7º, II)
Atendimento ao Usuário e resposta a solicitações	Execução de contrato (art. 7º, V)

4.2. Dados de Clientes Finais (VFC como Operadora, por conta e ordem do Usuário):

Finalidade	Fundamento
Atendimento conversacional e resposta a solicitações do Cliente Final	Instrução do Usuário-Controlador, no contexto da relação entre o Cliente Final e o negócio do Usuário
Criação, alteração e cancelamento de agendamentos; envio de lembretes e confirmações	Instrução do Usuário-Controlador
Cobrança de sinal/depósito de agendamento, quando habilitada pelo Usuário	Instrução do Usuário-Controlador
Histórico de conversas e de atendimentos disponibilizado ao Usuário (CRM)	Instrução do Usuário-Controlador
Mensagens ativas e campanhas instruídas pelo Usuário	Instrução do Usuário-Controlador, a quem incumbe a base legal e, quando exigível, o consentimento/opt-in dos destinatários

4.3. Os dados pessoais e o conteúdo das conversas não são utilizados para fins publicitários da VFC, não são comercializados a terceiros a qualquer título e não são utilizados pela VFC para treinar modelos de inteligência artificial.

5. DO COMPARTILHAMENTO DE DADOS PESSOAIS

5.1. Os dados pessoais são compartilhados exclusivamente com os fornecedores e suboperadores estritamente necessários à operação do serviço, a saber:

Twilio Inc. ou Meta Platforms, Inc. (WhatsApp Business Platform — API oficial): provedoras da infraestrutura de envio e recebimento de mensagens pelo WhatsApp;
OpenAI: provedora dos modelos de inteligência artificial responsáveis pelo processamento das mensagens e pela geração das respostas da assistente virtual;
Stripe: instituição responsável pelo processamento das cobranças da assinatura e, quando habilitada, da cobrança de sinal dos Clientes Finais;
Amazon Web Services (AWS): provedora de infraestrutura de armazenamento e computação em nuvem.

5.2. Os dados pessoais poderão, ainda, ser compartilhados com autoridades públicas, judiciais, policiais ou administrativas, quando houver obrigação legal ou regulatória, ordem judicial ou requisição de autoridade competente.

5.3. A VFC exige de seus fornecedores e suboperadores compromissos de confidencialidade e de conformidade com a legislação de proteção de dados aplicável.

6. DA TRANSFERÊNCIA INTERNACIONAL DE DADOS

6.1. Tendo em vista que parte dos fornecedores indicados na cláusula 5.1 encontra-se sediada no exterior, notadamente nos Estados Unidos da América, a prestação do serviço envolve transferência internacional de dados pessoais.

6.2. Referidas transferências são realizadas em observância ao Capítulo V da LGPD e à regulamentação da ANPD, com fundamento, conforme o caso, na necessidade de execução do contrato do qual o Titular é parte (art. 33, IX, da LGPD) e nas salvaguardas contratuais e certificações mantidas pelos próprios fornecedores.

7. DO PRAZO DE RETENÇÃO E DA ELIMINAÇÃO

7.1. Os dados pessoais são conservados pelos seguintes prazos:

Conversas, agendamentos e dados da conta: enquanto a conta do Usuário permanecer ativa; após o cancelamento da assinatura, os dados serão mantidos por até 90 (noventa) dias — período em que o Usuário poderá solicitar a exportação dos dados de seu negócio e de seus Clientes Finais — e, em seguida, eliminados ou anonimizados;
Registros de aplicação: pelo prazo mínimo de 6 (seis) meses, nos termos do art. 15 do Marco Civil da Internet;
Documentos fiscais e registros de cobrança: pelo prazo de 5 (cinco) anos, nos termos da legislação tributária.

7.2. Findo os prazos de retenção, mediante solicitação de eliminação formulada pelo Titular ou mediante instrução de eliminação formulada pelo Usuário-Controlador em relação aos dados de seus Clientes Finais (ressalvadas, em todos os casos, as hipóteses de conservação autorizadas pelo art. 16 da LGPD), os dados serão eliminados de forma segura ou anonimizados.

8. DA SEGURANÇA DA INFORMAÇÃO

8.1. São adotadas medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, compatíveis com a natureza dos dados tratados e com o porte das operações, incluindo, exemplificativamente: criptografia dos dados em trânsito, controle restrito de acessos, segregação lógica dos dados por cliente (tenant), segregação de ambientes e contratação de fornecedores com práticas reconhecidas de segurança da informação.

8.2. As mensagens trocadas pelo WhatsApp contam com a criptografia aplicada pela própria plataforma até a infraestrutura de atendimento do serviço.

8.3. Não obstante as medidas adotadas, nenhum sistema é absolutamente imune a incidentes. Na hipótese de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares, a VFC realizará as comunicações previstas no art. 48 da LGPD à ANPD e aos Titulares afetados e, em relação aos dados de Clientes Finais, comunicará também o Usuário-Controlador para as providências que lhe couberem.

9. DOS DIREITOS DO TITULAR

9.1. Nos termos do art. 18 da LGPD, o Titular poderá, a qualquer momento e mediante requisição, obter do Controlador:

a) confirmação da existência de tratamento;

b) acesso aos dados;

c) correção de dados incompletos, inexatos ou desatualizados;

d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;

e) portabilidade dos dados a outro fornecedor de serviço, observados os segredos comercial e industrial;

f) eliminação dos dados pessoais tratados com o consentimento do Titular, ressalvadas as hipóteses do art. 16 da LGPD;

g) informação das entidades públicas e privadas com as quais o Controlador realizou uso compartilhado de dados;

h) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

i) revogação do consentimento, quando aplicável;

j) revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses.

9.2. O Usuário poderá formular suas requisições gratuitamente por meio do endereço eletrônico suporte@sara-ai.com.br ou do Encarregado indicado na seção 11, e serão respondidas nos prazos e na forma previstos na legislação aplicável.

9.3. O Cliente Final poderá dirigir suas requisições diretamente ao negócio que o atende (o Usuário, Controlador de seus dados) ou aos canais indicados na seção 13. As requisições de Clientes Finais recebidas pela VFC e que digam respeito a dados tratados sob controle do Usuário serão encaminhadas ao Usuário-Controlador, a quem incumbe o atendimento, prestando a VFC o apoio técnico necessário (acesso, correção, exportação e eliminação nos sistemas do serviço).

9.4. O Titular tem, ainda, o direito de peticionar em relação aos seus dados perante a Autoridade Nacional de Proteção de Dados (ANPD).

9.5. Exclusão de dados (Meta e LGPD). O Titular que desejar excluir dados pessoais obtidos por meio do WhatsApp, do Facebook ou do Instagram, ou por meio da assistente virtual, poderá acessar https://sara-ai.com.br/data-deletion ou escrever para suporte@sara-ai.com.br (com cópia para victor@sara-ai.com.br), observado, quanto aos dados de Clientes Finais, o encaminhamento previsto na cláusula 9.3.

10. DE CRIANÇAS E ADOLESCENTES

10.1. A contratação do serviço é destinada exclusivamente a pessoas maiores de 18 (dezoito) anos. A VFC não coleta intencionalmente dados pessoais de crianças e adolescentes para fins próprios.

10.2. Dados pessoais de crianças e adolescentes poderão constar de agendamentos e conversas quando o atendimento junto ao negócio do Usuário for solicitado por seus pais ou responsáveis legais (por exemplo, a marcação de consulta para um filho). Nesses casos, o tratamento observa o melhor interesse da criança ou do adolescente (art. 14 da LGPD) e ocorre sob a responsabilidade do Usuário, na condição de Controlador, limitando-se a VFC ao tratamento necessário à operação do serviço.

11. DO ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS (DPO)

11.1. Nos termos do art. 41 da LGPD, a VFC indica como Encarregado pelo tratamento de dados pessoais:

Victor Figueira Cardoso E-mail: victor@sara-ai.com.br

11.2. O Encarregado é o canal de comunicação entre a VFC, os Titulares e a ANPD para quaisquer questões relativas ao tratamento de dados pessoais.

12. DAS ATUALIZAÇÕES DESTA POLÍTICA

12.1. Esta Política poderá ser atualizada a qualquer tempo, a fim de refletir alterações no serviço, na legislação ou nas práticas de tratamento de dados.

12.2. Alterações substanciais serão comunicadas aos Usuários pelo endereço de e-mail cadastrado, por aviso na plataforma ou por outro meio de contato disponível, com indicação da data de vigência da nova versão no cabeçalho deste documento.

13. DO CONTATO

13.1. Quaisquer dúvidas, solicitações ou reclamações relacionadas a esta Política ou ao tratamento de dados pessoais poderão ser dirigidas a:

E-mail de suporte: suporte@sara-ai.com.br
Endereço: Av. Paulista, 1106, Sala 01, Andar 16, Bela Vista, São Paulo/SP, CEP 01310-914