隐私
用简单的语言说明 Ruche 如何处理你和你客户的数据。
更新于 2026 年 10 月 3 日
企业客户共享
当店主开启“企业客户共享”时，只有同一 CNPJ 根号的分店才会共享联系方式、生日、预约时间和备注。每个门店的页面会显示参与共享的分店。健康档案、同意书以及前后对比照片仍留在提供服务的门店，并单独设置访问权限。关闭该选项或退出该企业，会停止共享，但不会删除本地档案。
本网站收集什么
当你提交联系表单时，我们会保存姓名、邮箱或电话、业务类型和留言内容，以便回复。访问量的统计不使用 Cookie，也不保存访问者的地址。我们不使用跟踪 Cookie，也不投放广告。
Ruche 为你的商家保存什么
商家和团队的数据、服务、预约和客户（包括联系方式、备注和历史），按商家分开保存。只有你和你授权的人可以查看。Ruche 团队看到的客户数据是经过遮盖的；为处理工单而查看完整数据，必须说明理由，并且会留下记录。
与商家预约的人
与商家预约的人会提供姓名、电话，以及（如愿意）邮箱。邮箱用于该预约的确认、提醒和通知、评价邀请，以及在商家使用且对方没有拒绝的情况下，用于商家的邮件营销活动（见下文）。在预约页面上开启浏览器通知的人，只会向我们提供该通知的技术地址，预约时间一过就会删除。这些数据属于提供服务的商家：访问或删除请求应提交给商家，Ruche 协助商家履行义务。
付款
当商家要求通过页面付款时，Ruche 只保存每笔付款的状态（金额、期限、已付、已退款或已转为余额），用于向商家和预约的人展示。款项由付款人通过银行或商家的 Asaas 账户直接支付给商家：Ruche 不会看到也不会保存付款人的银行卡或银行账户数据。当商家通过 Asaas 收款时，付款人的 CPF 或 CNPJ 会直接提交给 Asaas，由它要求提供以生成收费；Ruche 只保存其中的客户代码。商家访问 Asaas 的密钥经过加密，只用于创建、查询、取消和退还页面上的收费。
档案、健康问卷和已签同意书
当商家在 Ruche 中使用档案时，被服务的人通过链接填写，或在服务时与商家一起填写。答案和签名在我们的数据库中经过加密，只有该商家本身能看到；Ruche 团队只能看到数量，绝不会看到内容。健康方面的答案属于敏感数据（LGPD 第 11 条；GDPR 第 9 条），绝不会通过邮件发送。签署同意书时，我们会保存作为接受证据的日期和时间、版本、文本的代码（SHA-256）、输入的姓名、手写签名（如有）、浏览器以及完整的 IP 地址。该证据在同意书存在期间一直保留，并随同意书一同删除。填写者向商家申请访问或删除，商家可通过后台下载或删除；商家账号被删除时，这些内容全部删除。
评价
当商家请求评价时，被服务的人会在服务后数小时收到一封邀请邮件（也会在预约页面上看到邀请）。评价会公开显示在商家页面上，署名为名字加姓氏首字母，或不署名，由评价者选择；商家知道是谁评价的。我们保存评分、评论、服务和日期。评价者可以随时通过同一个链接删除自己的评价，评价会立即消失；也可以要求不再接收该商家的邀请（为此我们只保存邮箱的一个代码，而不保存邮箱本身）。Ruche 团队会阅读被过滤器拦下的评价，或被商家举报的评价，并且只隐藏违反规则的评价。商家账号被删除时，评价一并删除。
我们的用途
用于让 Ruche 正常运行：日程、预约页面、提醒和系统的其余部分。我们不出售数据，也不会将你的客户的数据用于其他目的，唯一的例外是与行业对比，该功能仅在商家开启时才生效，且只使用汇总数据（见下文）。订阅通过 Stripe 付款：Ruche 不会看到也不会保存银行卡号。
下载和删除你的数据
在后台的“设置”“你的数据”中，你可以随时下载全部数据的副本，包括表格和用于迁移到其他系统的完整文件，也可以申请删除账号。删除会等待 30 天，在此之前可以一键撤销。第 30 天账号关闭，并在 24 小时内彻底删除所有数据。只保留法律规定必须保存的收费记录。
闲置账号
账号如果连续 3 个月既没有使用也没有付费订阅（曾经订阅过的账号为 6 个月），在发出三次邮件提醒（分别在 1 个月、2 周和 3 天前）之后，将被关闭并按与申请删除相同的方式删除；登录后台即视为使用。这样，我们不会保存不再使用 Ruche 的人的数据，也不会保存该账号下客户的数据（LGPD 第 16 条；GDPR 第 5 条第 1 款 e 项）。为判断账号是否在使用，我们只保存最后一次使用的日期（登录后台、创建预约、一笔付款）以及每次提醒发出的时间。
你的权利
你可以随时申请访问、更正或删除你的数据。几乎所有事项都可以直接在后台处理；无法处理的，请通过联系表单。我们在巴西遵守 LGPD，在欧洲遵守 GDPR。
商家的标志和照片
商家上传到 Ruche 的标志和服务照片，会显示在其页面、预约邮件和收据中。每张照片都会在我们的服务器上重新生成：不含相机数据（如定位），并调整为适合页面的尺寸。
客户照片
前后对比照片经过加密，只为提供服务的商家保存，不含相机数据（包括定位）。只有当客户通过肖像使用同意书授权时，照片才会出现在商家页面上：可选择不露脸或露脸，且不显示被服务者的姓名。授权连同签名证据一并记录，授权者可以随时撤回：照片会立即从页面上撤下。医疗操作的照片属于敏感数据（LGPD 第 11 条；GDPR 第 9 条），并按此处理。商家下载数据时，照片一并下载；账号被删除时，照片一并删除。
邮件营销活动
商家可以通过 Ruche 向已接受其服务的人发送营销邮件：生日祝福、超过惯常间隔后邀请回来，以及通知（新消息、节假日营业时间、促销）。通过商家页面预约的人会看到这项提示，并可当场拒绝；预约的第一封邮件会重复这项提示，并附带退订链接。每封营销邮件都带有停止接收的链接，立即生效，也可通过邮件程序的取消订阅按钮使用。我们保存对方被告知的时间和要求退出的时间（使用邮箱的代码，而不是邮箱本身）、每次发送的日期、对方是否点击了预约按钮以及之后是否预约。我们不使用像素来判断谁打开了邮件。服务器退回的地址（已不存在）会从营销活动中移除，档案显示未满 18 岁的人不会收到。在巴西，依据是商家的正当利益（LGPD 第 7 条第 IX 项）；在欧洲，则是向已购买者发送同一商家类似服务的邮件，并提供拒绝的机会（ePrivacy 指令第 13 条）。商家账号被删除时，这些内容一并删除。
Ruche 的 WhatsApp
Ruche 有一个通过 Meta API 运行的官方 WhatsApp 号码，负责处理所有商家预约的确认和通知。每条消息都会注明来自哪个商家。通过商家页面预约的人可以选择通过它接收该预约的确认和通知：在巴西，该选项默认已勾选，旁边附有说明文字，可以取消勾选；在欧洲和其他国家，该选项默认不勾选。商家在确认对方已同意之后，也可以通过后台发送确认。我们保存每次同意的日期、来源和文本。当对方给这个号码发消息时，机器人会回复，并使用其号码在任何商家中查找其预约。回复“PARAR”“SAIR”或“STOP”会立即停止所有商家的通知，回复“VOLTAR”则恢复；对方自己发起的对话仍会得到回复。每条消息我们只保存发出时间、是否送达以及是否已读，保存 180 天。不通过 WhatsApp 投放广告。WhatsApp 的所有者 Meta 也会按其自身规则处理这些消息。
WhatsApp 对话
机器人无法回答的内容会转给商家，商家在后台的“对话”收件箱中回复。每个商家只能看到与自己的对话，团队中只有获得权限的人才能看到（专业人员只能看到自己预约的对话）；Ruche 团队不会阅读这些对话。消息文本（对方的、机器人的和商家的）在我们的数据库中加密保存 180 天，之后删除；照片、音频和文件不会被下载或保存。商家下载数据时，对话一并下载；账号被删除时，对话一并删除。
预约页面的聊天
持有预约链接的人，可以直接在该页面向商家提问，无需其他应用。链接就是凭证：我们不要求登录，连续多次输错代码会让该地址被暂时封锁。聊天有效期到预约结束后再加 24 小时；之后，页面不再显示这些消息。对话会出现在商家的“对话”收件箱中，规则与 WhatsApp 对话相同：每个商家只能看到自己的，Ruche 团队不会阅读，文本加密保存 180 天，商家下载数据时一并下载，账号被删除时一并删除。商家回复时，我们会通过浏览器通知（如果你开启了通知）和邮件（如果商家有你的邮箱）提醒你；这两种提醒都不包含回复的文本。
Ruche 的 Telegram
Ruche 有一个通过 Telegram 官方 API 运行的 Telegram 机器人，向提出要求的人发送预约的确认和提醒。对方在预约页面上点击“在 Telegram 上接收”（或把预约代码发给机器人），然后点击“开始”即可开启；我们保存开启的时间、对应的商家以及机器人显示的文本。我们从 Telegram 获取的是对话的 ID、对方显示的名字和 @用户名，以及应用语言；绝不获取电话号码。有了这个绑定，机器人就能找到对方在该商家的预约，并按商家的选择在前一天和临近时间发送提醒。发送 /parar（或 PARAR、STOP）会立即停止 Ruche 在那里发送的所有商家的消息，发送 /voltar 则恢复；屏蔽机器人同样会停止一切。对方写给商家的内容会进入“对话”收件箱，与 WhatsApp 一样，加密保存 180 天。每条消息我们只保存发出时间和是否送达，保存 180 天。与 Telegram 机器人的对话保存在 Telegram 的服务器上，没有私密聊天的端到端加密，Telegram 也会按其自身规则处理这些数据。不通过 Telegram 投放广告。
Ruche 的 Messenger 和 Instagram
Ruche 有一个 Facebook 主页和一个 Instagram 商业账号，接入 Meta 官方 API，向提出要求的人发送预约确认。对方在预约页面上点击“在 Messenger 上接收”或“在 Instagram 上接收”（或在对话中发送预约代码）即可开启；我们保存开启的时间、对应的商家、机器人显示的文本及其版本。我们从 Meta 获取的是对方在与 Ruche 的对话中的 ID（Messenger 一个、Instagram 一个，仅对 Ruche 有效）、名字，以及在 Instagram 上对方显示的 @用户名；绝不获取电话号码。Messenger 和 Instagram 只允许机器人在对方最后一条消息之后的 24 小时内发消息：在此期限内，提醒通过它们送达；超出期限，则通过邮件和浏览器通知。发送 PARAR、SAIR 或 STOP 会立即停止 Ruche 在那里发送的所有商家的消息，发送 VOLTAR 则恢复；屏蔽主页或账号同样会停止一切。对方写给商家的内容会进入“对话”收件箱，加密保存 180 天。每条消息我们只保存发出时间和是否送达，保存 180 天。美国的 Meta Platforms 和爱尔兰的 Meta Platforms Ireland 是 Messenger 和 Instagram 的所有者，也会按其自身规则处理这些消息：数据会离开巴西和欧盟。不通过 Messenger 或 Instagram 投放广告。
低调的消息
在医疗健康和心理健康领域，Ruche 发送的与预约有关的内容（WhatsApp、Telegram、Messenger 和 Instagram 上的确认和提醒、浏览器通知、预约邮件以及日历事件）都不带服务名称：只写商家名称、日期、时间和链接。任何商家都可以开启同样的选项。服务名称只显示在预约页面上，而该页面只能通过预约者的链接打开。
与行业对比
愿意的商家可以在后台开启与同类商家的对比功能（“设置”“与行业对比”）；该功能默认关闭，只有店主或合伙人可以开启。开启后，Ruche 会最长保存 24 个月的整个商家的月度摘要（爽约率、取消率和占用率、提前预约时间和回头率、行业、规模和城市），该摘要由日程计算得出，并与至少另外 9 家同行业、同规模、同地区的商家的摘要合并。只会显示该组的中位数和区间，而且只对同样参与的商家显示。绝不会包含商家或团队的名称、客户数据、服务名称、金额、档案、照片、对话或备注；在医疗健康和心理健康领域，只涉及日程结构。依据是商家的同意（LGPD 第 7 条第 I 项；GDPR 第 6 条第 1 款 a 项），而对于账号内客户的预约时间，依据是附带这些保障措施的正当利益（LGPD 第 7 条第 IX 项；GDPR 第 6 条第 1 款 f 项）。我们会保存每个开关何时开启和关闭、由谁操作以及对应的文本版本，作为同意的证据，在账号删除后最长保存 5 年。关闭立即生效：商家的摘要会被删除，并从下一次统计中移除；已发布的组数据是匿名的，会继续保留。Ruche 不出售数据。
