Privacidade
Como o Ruche trata os seus dados e os dos seus clientes, em linguagem simples.
Atualizado em 3 de outubro de 2026
Clientes da empresa
Quando a titular liga Clientes da empresa, apenas filiais do mesmo CNPJ raiz partilham contacto, aniversário, horários e notas. A página de cada unidade mostra as filiais participantes. Fichas de saúde, termos e fotos de antes e depois permanecem na unidade que atendeu, com acesso separado. Desligar a opção ou sair da empresa interrompe a partilha sem apagar as fichas locais.
O que recolhemos neste site
Quando envia o formulário de contacto, guardamos o nome, o e-mail ou o telefone, o tipo de negócio e a mensagem, para responder. As visitas são contadas sem cookie e sem guardar o endereço de quem visita. Não usamos cookies de rastreio nem anúncios.
O que o Ruche guarda para o seu negócio
Os dados do negócio e da equipa, os serviços, as marcações e os clientes, com contactos, notas e histórico, ficam separados por negócio. Só o próprio negócio e quem ele autorizar veem. A equipa do Ruche vê os dados dos seus clientes mascarados; abrir um dado inteiro, para resolver um pedido de suporte, exige um motivo, que fica registado.
Quem marca com um negócio
Quem marca um horário informa nome, telefone e, se quiser, e-mail. O e-mail serve para a confirmação, os lembretes, os avisos daquela marcação, o convite para avaliar o atendimento e, se o negócio usar e a pessoa não recusar, as campanhas por e-mail dele (veja abaixo). Quem liga o aviso do navegador na página do horário deixa connosco só o endereço técnico desse aviso, que é apagado quando o horário passa. Esses dados são do negócio que atende: pedidos de acesso ou exclusão vão para ele, e o Ruche ajuda o negócio a cumprir.
Pagamentos
Quando um negócio pede o pagamento pela página, o Ruche guarda só o estado de cada pagamento (valor, prazo, pago, devolvido ou convertido em crédito), para mostrar ao negócio e a quem marcou. O dinheiro vai direto de quem paga para o negócio, pelo banco ou pela conta Asaas dele: o Ruche não vê nem guarda dados de cartão ou de conta bancária de quem paga. Quando o negócio recebe pelo Asaas, o CPF ou o CNPJ de quem paga vai direto para o Asaas, que o pede para gerar a cobrança; o Ruche guarda só o código do cliente lá. A chave de acesso do negócio ao Asaas fica cifrada e só serve para criar, consultar, cancelar e devolver as cobranças da página.
Fichas, anamnese e termos assinados
Quando um negócio usa fichas no Ruche, quem é atendido responde pelo link ou junto com o negócio, no atendimento. As respostas e as assinaturas ficam cifradas na nossa base de dados e só o próprio negócio vê; a equipa do Ruche vê só números, nunca o conteúdo. Respostas de saúde são dados sensíveis (LGPD, art. 11; RGPD, art. 9) e nunca vão por e-mail. Ao assinar um termo, guardamos como prova do aceite a data e a hora, a versão, um código do texto (SHA-256), o nome escrito, a assinatura desenhada (se houver), o navegador e o endereço IP completo. Essa prova fica enquanto o termo existir e sai junto com ele. Quem respondeu pede acesso ou exclusão ao negócio, que descarrega ou apaga pelo painel; quando a conta do negócio é eliminada, tudo isso é apagado.
Avaliações
Quando um negócio pede avaliações, quem foi atendido recebe um convite por e-mail algumas horas depois do atendimento (e o vê também na página do horário). A avaliação fica pública na página do negócio, com o primeiro nome e a inicial do apelido ou sem nome, como a pessoa escolher; o negócio sabe quem avaliou. Guardamos a nota, o comentário, o serviço e a data. Quem avaliou apaga a sua avaliação a qualquer momento, pelo mesmo link, e ela sai na hora; também pode pedir para não receber mais convites daquele negócio (para isso guardamos só um código do e-mail, não o e-mail). A equipa do Ruche lê as avaliações que o filtro retém ou que o negócio denuncia e só esconde as que quebram as regras. Quando a conta do negócio é excluída, as avaliações saem junto.
Para que usamos
Para fazer o Ruche funcionar: agenda, página de marcação, lembretes e o restante do sistema. Não vendemos dados e não usamos os dados dos seus clientes para outra finalidade, a não ser a comparação com o setor, só se o negócio a ligar e só em números agregados (veja abaixo). A subscrição é paga pelo Stripe: o Ruche não vê nem guarda o número do cartão.
Descarregar e excluir os seus dados
No painel, em Ajustes, os seus dados, pode descarregar uma cópia de tudo quando quiser, em folhas de cálculo e num ficheiro completo para levar a outro sistema, e pede a exclusão da conta. A exclusão espera 30 dias, e até lá dá para desistir com um toque. No 30º dia a conta fecha e, em até 24 horas, tudo é apagado de vez. Fica só o registo das cobranças que a lei manda guardar.
Conta sem uso
A conta que fica sem uso e sem subscrição paga por 3 meses (6 meses para quem já subscreveu) é encerrada e apagada da mesma forma que a exclusão pedida, depois de três avisos por e-mail (1 mês, 2 semanas e 3 dias antes); entrar no painel já conta como uso. Assim, não guardamos os dados de quem não usa mais o Ruche, nem os dos clientes dessa conta (LGPD, art. 16; RGPD, art. 5.º, n.º 1, alínea e). Para saber se a conta está em uso, guardamos só a data do último uso (a entrada no painel, um horário marcado, um pagamento) e quando cada aviso saiu.
Os seus direitos
Pode pedir acesso, correção ou exclusão dos seus dados a qualquer momento. Quase tudo se resolve pelo próprio painel; o que não der, pelo formulário de contacto. Seguimos a LGPD no Brasil e o RGPD na Europa.
Logo e fotos do negócio
O logo e as fotos dos serviços que um negócio põe no Ruche aparecem na página dele, nos e-mails do horário e nos recibos. Toda foto é refeita no nosso servidor: sai sem os dados da câmara, como a localização, e com um tamanho próprio para a página.
Fotografias de clientes
Fotos de antes e depois ficam cifradas, guardadas só para o negócio que atendeu, sem os dados da câmara (nem a localização). Vão para a página do negócio só quando o cliente autoriza pelo termo de uso de imagem: sem o rosto ou com o rosto, e sem o nome de quem foi atendido. A autorização fica registada com a prova da assinatura, e quem autorizou pode retirar quando quiser: as fotos saem da página na hora. Foto de procedimento de saúde é dado sensível (LGPD, art. 11; RGPD, art. 9) e é tratada assim. As fotos vão junto quando o negócio descarrega os dados e saem junto quando a conta é excluída.
Campanhas por e-mail
Um negócio pode mandar, pelo Ruche, e-mails de campanha para quem já foi atendido por ele: uma mensagem de parabéns no aniversário, o convite para voltar quando passa do tempo de costume e avisos (novidades, horário de feriado, promoções). Quem marca pela página do negócio vê esse aviso e pode recusar na hora; o primeiro e-mail do horário repete o aviso, com o link para sair. Todo e-mail de campanha traz o link para parar de receber, que vale na hora, e funciona com o botão de cancelar a subscrição do programa de e-mail. Guardamos quando a pessoa foi avisada e quando pediu para sair (com um código do e-mail, não o e-mail), a data de cada envio, se tocou no botão de marcar e se marcou depois. Não usamos pixel para saber quem abriu. O endereço que o servidor devolve como inexistente sai das campanhas, e quem tem menos de 18 anos na ficha não recebe. No Brasil, a base é o legítimo interesse do negócio (LGPD, art. 7º, IX); na Europa, o e-mail de quem já comprou, para serviços parecidos do mesmo negócio, com a possibilidade de recusar (Diretiva ePrivacy, art. 13). Quando a conta do negócio é excluída, tudo isso sai junto.
WhatsApp do Ruche
O Ruche tem um número oficial de WhatsApp, pela API da Meta, que cuida da confirmação e dos avisos dos horários de todos os negócios. Cada mensagem diz de qual negócio é. Quem marca pela página de um negócio escolhe receber por lá a confirmação e os avisos daquele horário: no Brasil a caixa já vem marcada, com o texto ao lado, e pode ser desmarcada; na Europa e nos outros países ela vem desmarcada. O negócio também pode mandar a confirmação pelo painel, depois de confirmar que a pessoa concordou. Guardamos a data, a origem e o texto de cada aceite. Quando a pessoa escreve para o número, o robô responde e usa o número dela para encontrar os horários dela, em qualquer negócio. Responder PARAR, SAIR ou STOP encerra na hora os avisos de todos os negócios, e VOLTAR retoma; a conversa que a própria pessoa começa continua respondida. De cada mensagem guardamos só quando saiu, se chegou e se foi lida, por 180 dias. Nada de propaganda pelo WhatsApp. A Meta, dona do WhatsApp, também trata essas mensagens, pelas regras dela.
Conversas pelo WhatsApp
O que o robô não sabe responder vai para o negócio, que responde pelo painel, na caixa de entrada Conversas. Cada negócio vê só as conversas com ele, e na equipa só quem tem permissão (a profissional, só as dos horários dela); a equipa do Ruche não lê as conversas. O texto das mensagens (o da pessoa, o do robô e o do negócio) fica cifrado no nosso banco por 180 dias e depois é apagado; fotos, áudios e ficheiros não são descarregados nem guardados. As conversas vão junto quando o negócio descarrega os dados e saem junto quando a conta é excluída.
Chat da página do horário
Quem tem o link do horário pode mandar uma dúvida ao negócio pela própria página, sem outra aplicação. O link é a chave: não pedimos login, e errar o código muitas vezes seguidas bloqueia o endereço por um tempo. O chat vale até o fim do horário e mais 24 horas; depois, a página deixa de mostrar as mensagens. A conversa chega ao negócio na caixa Conversas, com as mesmas regras das conversas pelo WhatsApp: cada negócio vê só as dele, a equipa do Ruche não lê, o texto fica cifrado por 180 dias, vai junto quando o negócio descarrega os dados e sai quando a conta é excluída. Quando o negócio responde, avisamos pelo navegador (se ligou o aviso) e por e-mail (se ele tem o seu); nenhum dos dois leva o texto da resposta.
Telegram do Ruche
O Ruche tem um robô no Telegram, pela API oficial do Telegram, que manda a confirmação e os lembretes dos horários de quem pede. A pessoa liga tocando em "Receber no Telegram" na página do horário (ou mandando o código do horário ao robô) e depois em Começar; guardamos quando ligou, para qual negócio e o texto que o robô mostrou. Do Telegram recebemos o id da conversa, o nome e o @ que a pessoa mostra e o idioma da aplicação; o telefone, nunca. Com essa ligação, o robô acha os horários da pessoa com aquele negócio e manda os lembretes na véspera e perto da hora, como o negócio escolheu. Mandar /parar (ou PARAR, STOP) encerra na hora o que o Ruche manda por lá, de todos os negócios, e /voltar retoma; bloquear o robô também para tudo. O que a pessoa escreve para um negócio vai para a caixa de entrada Conversas, como no WhatsApp, cifrado por 180 dias. De cada mensagem guardamos só quando saiu e se chegou, por 180 dias. As conversas com robôs do Telegram ficam nos servidores do Telegram, sem a cifra de ponta a ponta dos chats secretos, e o Telegram também trata esses dados, pelas regras dele. Nada de propaganda pelo Telegram.
Messenger e Instagram do Ruche
O Ruche tem uma Página no Facebook e uma conta profissional no Instagram, ligadas à API oficial da Meta, que enviam a confirmação dos horários de quem pede. A pessoa liga tocando em "Receber no Messenger" ou "Receber no Instagram" na página do horário (ou enviando o código do horário na conversa); guardamos quando ligou, para qual negócio, o texto que o robô mostrou e a versão dele. Da Meta recebemos o id que a pessoa tem na conversa com o Ruche (um no Messenger e outro no Instagram, que só valem para o Ruche), o nome e, no Instagram, o @ que ela mostra; o telefone, nunca. O Messenger e o Instagram só deixam o robô escrever até 24 horas depois da última mensagem da pessoa: dentro desse prazo, os lembretes chegam por lá; fora dele, por e-mail e pelo aviso do navegador. Enviar PARAR, SAIR ou STOP encerra na hora o que o Ruche envia por lá, de todos os negócios, e VOLTAR retoma; bloquear a Página ou a conta também para tudo. O que a pessoa escreve para um negócio vai para a caixa de entrada Conversas, cifrado por 180 dias. De cada mensagem guardamos só quando saiu e se chegou, por 180 dias. A Meta Platforms, nos Estados Unidos, e a Meta Platforms Ireland, na Irlanda, donas do Messenger e do Instagram, também tratam essas mensagens, pelas regras delas: os dados saem do Brasil e da União Europeia. Nada de propaganda pelo Messenger nem pelo Instagram.
Mensagens discretas
Em saúde e saúde mental, o que o Ruche envia sobre um horário (a confirmação e os lembretes no WhatsApp, no Telegram, no Messenger e no Instagram, o aviso do navegador, os e-mails do horário e o evento do calendário) sai sem o nome do serviço: diz o negócio, o dia, a hora e o link. Qualquer negócio pode ligar a mesma opção. O serviço aparece na página do horário, que só abre com o link de quem marcou.
Comparar com o setor
O negócio que quiser pode ligar, no painel, a comparação com negócios parecidos (Ajustes, Comparar com o setor); vem desligada e só a titular ou um sócio liga. Ligada, o Ruche guarda por até 24 meses um resumo mensal do negócio inteiro (taxas de faltas, cancelamentos e ocupação, a antecedência e o retorno, o ramo, a dimensão e a cidade), calculado da agenda, e junta esse resumo com o de pelo menos outros 9 negócios do mesmo ramo, dimensão e região. Só a mediana e o intervalo do grupo aparecem, e só para quem também participa. Nunca entram nome do negócio ou da equipa, dados de clientes, nome de serviço, valores, fichas, fotos, conversas ou notas; em saúde e saúde mental, só a estrutura da agenda. A base é o consentimento do negócio (LGPD, art. 7º, I; RGPD, art. 6.º, n.º 1, alínea a) e, para os horários dos clientes dentro da conta, o legítimo interesse com essas salvaguardas (LGPD, art. 7º, IX; RGPD, art. 6.º, n.º 1, alínea f). Guardamos quando cada chave foi ligada e desligada, por quem e com qual versão do texto, como prova do consentimento, por até 5 anos depois da exclusão da conta. Desligar vale na hora: o resumo do negócio é apagado e ele sai da próxima apuração; o número do grupo já publicado é anónimo e continua. O Ruche não vende dados.
