Privacidade
Como o Ruche trata os seus dados e os dos seus clientes, em linguagem simples.
Atualizado em 3 de outubro de 2026
Clientes da empresa
Quando a titular liga Clientes da empresa, apenas filiais do mesmo CNPJ raiz compartilham contato, aniversário, horários e notas. A página de cada unidade mostra as filiais participantes. Fichas de saúde, termos e fotos de antes e depois permanecem na unidade que atendeu, com acesso separado. Desligar a opção ou sair da empresa interrompe o compartilhamento sem apagar as fichas locais.
O que coletamos neste site
Quando você envia o formulário de contato, guardamos o nome, o e-mail ou telefone, o tipo de negócio e a mensagem, para responder. As visitas são contadas sem cookie e sem guardar o endereço de quem visita. Não usamos cookies de rastreamento nem anúncios.
O que o Ruche guarda para o seu negócio
Os dados do negócio e da equipe, os serviços, os agendamentos e os clientes, com contatos, notas e histórico, ficam separados por negócio. Só você e quem você autorizar veem. A equipe do Ruche vê os dados dos seus clientes mascarados; abrir um dado inteiro, para resolver um chamado, exige um motivo, que fica registrado.
Quem agenda com um negócio
Quem marca um horário informa nome, telefone e, se quiser, e-mail. O e-mail serve para a confirmação, os lembretes, os avisos daquele horário, o convite para avaliar o atendimento e, se o negócio usar e a pessoa não recusar, as campanhas por e-mail dele (veja abaixo). Quem liga o aviso do navegador na página do horário deixa com a gente só o endereço técnico desse aviso, que é apagado quando o horário passa. Esses dados são do negócio que atende: pedidos de acesso ou exclusão vão para ele, e o Ruche ajuda o negócio a cumprir.
Pagamentos
Quando um negócio pede o pagamento pela página, o Ruche guarda só o estado de cada pagamento (valor, prazo, pago, devolvido ou virou crédito), para mostrar ao negócio e a quem agendou. O dinheiro vai direto de quem paga para o negócio, pelo banco ou pela conta Asaas dele: o Ruche não vê nem guarda dados de cartão ou de conta bancária de quem paga. Quando o negócio recebe pelo Asaas, o CPF ou o CNPJ de quem paga vai direto para o Asaas, que o pede para gerar a cobrança; o Ruche guarda só o código do cliente lá. A chave de acesso do negócio ao Asaas fica cifrada e só serve para criar, consultar, cancelar e devolver as cobranças da página.
Fichas, anamnese e termos assinados
Quando um negócio usa fichas no Ruche, quem é atendido responde pelo link ou junto com o negócio, no atendimento. As respostas e as assinaturas ficam cifradas no nosso banco e só o próprio negócio vê; a equipe do Ruche vê só números, nunca o conteúdo. Respostas de saúde são dados sensíveis (LGPD, art. 11; RGPD, art. 9) e nunca vão por e-mail. Ao assinar um termo, guardamos como prova do aceite a data e a hora, a versão, um código do texto (SHA-256), o nome digitado, a assinatura desenhada (se houver), o navegador e o endereço IP completo. Essa prova fica enquanto o termo existir e sai junto com ele. Quem respondeu pede acesso ou exclusão ao negócio, que baixa ou apaga pelo painel; quando a conta do negócio é excluída, tudo isso é apagado.
Avaliações
Quando um negócio pede avaliações, quem foi atendido recebe um convite por e-mail algumas horas depois do atendimento (e o vê também na página do horário). A avaliação fica pública na página do negócio, com o primeiro nome e a inicial do sobrenome ou sem nome, como a pessoa escolher; o negócio sabe quem avaliou. Guardamos a nota, o comentário, o serviço e a data. Quem avaliou apaga a própria avaliação a qualquer momento, pelo mesmo link, e ela sai na hora; também pode pedir para não receber mais convites daquele negócio (para isso guardamos só um código do e-mail, não o e-mail). A equipe do Ruche lê as avaliações que o filtro segura ou que o negócio denuncia e só esconde as que quebram as regras. Quando a conta do negócio é excluída, as avaliações saem junto.
Para que usamos
Para fazer o Ruche funcionar: agenda, página de agendamento, lembretes e o restante do sistema. Não vendemos dados e não usamos os dados dos seus clientes para outra finalidade, a não ser a comparação com o setor, só se o negócio ligar e só em números agregados (veja abaixo). A assinatura é paga pelo Stripe: o Ruche não vê nem guarda o número do cartão.
Baixar e excluir os seus dados
No painel, em Ajustes, Seus dados, você baixa uma cópia de tudo quando quiser, em planilhas e num arquivo completo para levar a outro sistema, e pede a exclusão da conta. A exclusão espera 30 dias, e até lá dá para desistir com um toque. No 30º dia a conta fecha e, em até 24 horas, tudo é apagado de vez. Fica só o registro das cobranças que a lei manda guardar.
Conta sem uso
A conta que fica sem uso e sem assinatura paga por 3 meses (6 meses para quem já assinou) é encerrada e apagada da mesma forma que a exclusão pedida, depois de três avisos por e-mail (1 mês, 2 semanas e 3 dias antes); entrar no painel já conta como uso. Assim, não guardamos os dados de quem não usa mais o Ruche, nem os dos clientes dessa conta (LGPD, art. 16; RGPD, art. 5.º, n.º 1, alínea e). Para saber se a conta está em uso, guardamos só a data do último uso (a entrada no painel, um horário marcado, um pagamento) e quando cada aviso saiu.
Seus direitos
Você pode pedir acesso, correção ou exclusão dos seus dados a qualquer momento. Quase tudo se resolve pelo próprio painel; o que não der, pelo formulário de contato. Seguimos a LGPD no Brasil e o RGPD na Europa.
Logo e fotos do negócio
O logo e as fotos dos serviços que um negócio põe no Ruche aparecem na página dele, nos e-mails do horário e nos recibos. Toda foto é refeita no nosso servidor: sai sem os dados da câmera, como a localização, e com um tamanho próprio para a página.
Fotos de clientes
Fotos de antes e depois ficam cifradas, guardadas só para o negócio que atendeu, sem os dados da câmera (nem a localização). Vão para a página do negócio só quando o cliente autoriza pelo termo de uso de imagem: sem o rosto ou com o rosto, e sem o nome de quem foi atendido. A autorização fica registrada com a prova da assinatura, e quem autorizou pode retirar quando quiser: as fotos saem da página na hora. Foto de procedimento de saúde é dado sensível (LGPD, art. 11; RGPD, art. 9) e é tratada assim. As fotos vão junto quando o negócio baixa os dados e saem junto quando a conta é excluída.
Campanhas por e-mail
Um negócio pode mandar, pelo Ruche, e-mails de campanha para quem já foi atendido por ele: um carinho no aniversário, o convite para voltar quando passa do tempo de costume e avisos (novidades, horário de feriado, promoções). Quem marca pela página do negócio vê esse aviso e pode recusar na hora; o primeiro e-mail do horário repete o aviso, com o link para sair. Todo e-mail de campanha traz o link para parar de receber, que vale na hora, e funciona com o botão de cancelar inscrição do programa de e-mail. Guardamos quando a pessoa foi avisada e quando pediu para sair (com um código do e-mail, não o e-mail), a data de cada envio, se tocou no botão de marcar e se marcou depois. Não usamos pixel para saber quem abriu. Endereço que o servidor devolve (não existe mais) sai das campanhas, e ninguém com menos de 18 anos pela ficha recebe. No Brasil, a base é o legítimo interesse do negócio (LGPD, art. 7º, IX); na Europa, o e-mail de quem já comprou, para serviços parecidos do mesmo negócio, com a chance de recusar (Diretiva ePrivacy, art. 13). Quando a conta do negócio é excluída, tudo isso sai junto.
WhatsApp do Ruche
O Ruche tem um número oficial de WhatsApp, pela API da Meta, que cuida da confirmação e dos avisos dos horários de todos os negócios. Cada mensagem diz de qual negócio é. Quem marca pela página de um negócio escolhe receber por lá a confirmação e os avisos daquele horário: no Brasil a caixa já vem marcada, com o texto ao lado, e dá para desmarcar; na Europa e nos outros países ela vem desmarcada. O negócio também pode mandar a confirmação pelo painel, depois de confirmar que a pessoa concordou. Guardamos a data, a origem e o texto de cada aceite. Quando a pessoa escreve para o número, o robô responde e usa o número dela para achar os horários dela, em qualquer negócio. Responder PARAR, SAIR ou STOP encerra na hora os avisos de todos os negócios, e VOLTAR retoma; a conversa que a própria pessoa começa continua respondida. De cada mensagem guardamos só quando saiu, se chegou e se foi lida, por 180 dias. Nada de propaganda pelo WhatsApp. A Meta, dona do WhatsApp, também trata essas mensagens, pelas regras dela.
Conversas pelo WhatsApp
O que o robô não sabe responder vai para o negócio, que responde pelo painel, na caixa de entrada Conversas. Cada negócio vê só as conversas com ele, e na equipe só quem tem permissão (a profissional, só as dos horários dela); a equipe do Ruche não lê as conversas. O texto das mensagens (o da pessoa, o do robô e o do negócio) fica cifrado no nosso banco por 180 dias e depois é apagado; fotos, áudios e arquivos não são baixados nem guardados. As conversas vão junto quando o negócio baixa os dados e saem junto quando a conta é excluída.
Chat da página do horário
Quem tem o link do horário pode mandar uma dúvida ao negócio pela própria página, sem outro aplicativo. O link é a chave: não pedimos login, e errar o código muitas vezes seguidas bloqueia o endereço por um tempo. O chat vale até o fim do horário e mais 24 horas; depois, a página deixa de mostrar as mensagens. A conversa chega ao negócio na caixa Conversas, com as mesmas regras das conversas pelo WhatsApp: cada negócio vê só as dele, a equipe do Ruche não lê, o texto fica cifrado por 180 dias, vai junto quando o negócio baixa os dados e sai quando a conta é excluída. Quando o negócio responde, avisamos pelo navegador (se você ligou o aviso) e por e-mail (se ele tem o seu); nenhum dos dois leva o texto da resposta.
Telegram do Ruche
O Ruche tem um robô no Telegram, pela API oficial do Telegram, que manda a confirmação e os lembretes dos horários de quem pede. A pessoa liga tocando em "Receber no Telegram" na página do horário (ou mandando o código do horário ao robô) e depois em Começar; guardamos quando ligou, para qual negócio e o texto que o robô mostrou. Do Telegram recebemos o id da conversa, o nome e o @ que a pessoa mostra e o idioma do aplicativo; o telefone, nunca. Com essa ligação, o robô acha os horários da pessoa com aquele negócio e manda os lembretes na véspera e perto da hora, como o negócio escolheu. Mandar /parar (ou PARAR, STOP) encerra na hora o que o Ruche manda por lá, de todos os negócios, e /voltar retoma; bloquear o robô também para tudo. O que a pessoa escreve para um negócio vai para a caixa de entrada Conversas, como no WhatsApp, cifrado por 180 dias. De cada mensagem guardamos só quando saiu e se chegou, por 180 dias. As conversas com robôs do Telegram ficam nos servidores do Telegram, sem a cifra de ponta a ponta dos chats secretos, e o Telegram também trata esses dados, pelas regras dele. Nada de propaganda pelo Telegram.
Messenger e Instagram do Ruche
O Ruche tem uma Página no Facebook e uma conta profissional no Instagram, ligadas à API oficial da Meta, que mandam a confirmação dos horários de quem pede. A pessoa liga tocando em "Receber no Messenger" ou "Receber no Instagram" na página do horário (ou mandando o código do horário na conversa); guardamos quando ligou, para qual negócio, o texto que o robô mostrou e a versão dele. Da Meta recebemos o id que a pessoa tem na conversa com o Ruche (um no Messenger e outro no Instagram, que só valem para o Ruche), o nome e, no Instagram, o @ que ela mostra; o telefone, nunca. O Messenger e o Instagram só deixam o robô escrever até 24 horas depois da última mensagem da pessoa: dentro desse prazo, os lembretes chegam por lá; fora dele, por e-mail e pelo aviso do navegador. Mandar PARAR, SAIR ou STOP encerra na hora o que o Ruche manda por lá, de todos os negócios, e VOLTAR retoma; bloquear a Página ou a conta também para tudo. O que a pessoa escreve para um negócio vai para a caixa de entrada Conversas, cifrado por 180 dias. De cada mensagem guardamos só quando saiu e se chegou, por 180 dias. A Meta Platforms, nos Estados Unidos, e a Meta Platforms Ireland, na Irlanda, donas do Messenger e do Instagram, também tratam essas mensagens, pelas regras delas: os dados saem do Brasil e da União Europeia. Nada de propaganda pelo Messenger nem pelo Instagram.
Mensagens discretas
Em saúde e saúde mental, o que o Ruche manda sobre um horário (a confirmação e os lembretes no WhatsApp, no Telegram, no Messenger e no Instagram, o aviso do navegador, os e-mails do horário e o evento do calendário) sai sem o nome do serviço: diz o negócio, o dia, a hora e o link. Qualquer negócio pode ligar a mesma opção. O serviço aparece na página do horário, que só abre com o link de quem marcou.
Comparar com o setor
O negócio que quiser pode ligar, no painel, a comparação com negócios parecidos (Ajustes, Comparar com o setor); vem desligada e só a titular ou um sócio liga. Ligada, o Ruche guarda por até 24 meses um resumo mensal do negócio inteiro (taxas de faltas, cancelamentos e ocupação, a antecedência e o retorno, o ramo, o porte e a cidade), calculado da agenda, e junta esse resumo com o de pelo menos outros 9 negócios do mesmo ramo, porte e região. Só a mediana e a faixa do grupo aparecem, e só para quem também participa. Nunca entram nome do negócio ou da equipe, dados de clientes, nome de serviço, valores, fichas, fotos, conversas ou notas; em saúde e saúde mental, só a estrutura da agenda. A base é o consentimento do negócio (LGPD, art. 7º, I; RGPD, art. 6.º, n.º 1, alínea a) e, para os horários dos clientes dentro da conta, o legítimo interesse com essas salvaguardas (LGPD, art. 7º, IX; RGPD, art. 6.º, n.º 1, alínea f). Guardamos quando cada chave foi ligada e desligada, por quem e com qual versão do texto, como prova do consentimento, por até 5 anos depois da exclusão da conta. Desligar vale na hora: o resumo do negócio é apagado e ele sai da próxima apuração; o número do grupo já publicado é anônimo e continua. O Ruche não vende dados.
