Última atualização: setembro de 2026 · Documento informativo com base no código e na infraestrutura atuais.

Política de Privacidade

A entidade prestadora e o canal único de privacidade / DPO estão identificados abaixo. Esta página descreve o tratamento efetivamente implementado no produto; onde algo ainda não é automatizado, isso está dito de forma explícita em vez de omitido.

Esta Política descreve como a plataforma InstantChat trata dados pessoais — tanto quando atua como operadora em nome de clientes (clínicas, equipes de vendas ou suporte) quanto quando trata dados de visitantes do site e usuários da conta da plataforma. Detalhes técnicos de retenção estão em Retenção de dados; obrigações contratuais de processamento em nome do cliente estão no DPA. Os Termos de uso regem o contrato de serviço.

Prestadora: AUGUSTO CLARO E CIA SERVIÇOS TECNOLÓGICOS LTDA, CNPJ 20.712.349/0001-63, sede em Avenida São João, 1277, República, São Paulo/SP, CEP 01035-100. Canal de privacidade / DPO: [email protected].

1. Papéis na LGPD

Controladora (cliente): a organização que configura o assistente e responde perante titulares finais (pacientes, leads, clientes). Define finalidades do tratamento via plataforma.
Operadora (InstantChat): processa dados de conversas, leads, agenda, KB e canais conforme instruções do cliente e documentação do produto.
InstantChat como controladora: cadastro de usuários da plataforma, autenticação, cobrança (referências de assinatura), analytics do site e atribuição de marketing first-touch quando presentes na URL de origem.

2. Dados que coletamos

Conforme modelos e fluxos implementados (alinhado a Retenção):

Conversas (web / widget): sessões e mensagens (chat_sessions, chat_messages) e metadados associados.
WhatsApp: mensagens e metadados na fila (whatsapp_inbox) — conteúdo, identificador remoto (JID), telefone do remetente quando disponível, payload bruto quando armazenado. Credenciais de conexão ficam cifradas em repouso (enc:v1:, AES-256-GCM).
Leads: nome, e-mail, telefone, notas e status (leads), quando o assistente captura ou o cliente registra.
Contatos e identidades de canal: telefone, e-mail e nomes para unificar conversas entre canais.
Agenda (se habilitada): agendamentos e recursos (agenda_bookings e tabelas relacionadas).
Base de conhecimento: documentos e índices de busca fornecidos ou crawlados pelo cliente.
Tickets (vertical Sol): nome, e-mail, telefone e mensagens do ticket.
Conta da plataforma: e-mail, autenticação, membros do tenant; tokens de redefinição de senha (uso único, validade de 2 horas).
Atribuição de marketing (first-touch): quando a URL de origem traz utm_* / ctwa_clid / fbclid, um cookie first-touch pode ser gravado no navegador e, no cadastro do tenant, parâmetros sanitizados podem ser persistidos em tenants.attribution. Visitas orgânicas sem esses parâmetros não gravam esse cookie.
Analytics e pixels (site): se configurados no ambiente de build — Meta Pixel (PageView no navegador; eventos de conversão também via CAPI no servidor com PII hashed SHA-256, sem Advanced Matching no browser) e Umami (eventos de funil como cliques em CTA, sem PII de formulário). Ambos são inertes quando as variáveis de ambiente não estão definidas. Em produção, em 2026-08-07, Meta Pixel / CAPI de publicidade não estão ativos (META_PIXEL_ID / META_CAPI_ACCESS_TOKEN ausentes); META_APP_ID é usado para mensageria WhatsApp/Instagram, não para analytics de anúncios.
Logs de LLM: métricas de uso e, quando habilitado, texto de prompt/resposta em llm_call_logs (pode reproduzir conteúdo de conversas).
Cobrança: Stripe processa pagamentos; a plataforma mantém referências de assinatura e uso.

3. Para que usamos

Prestar o serviço contratado: assistentes, canais, leads, agenda, KB, tickets.
Autenticar usuários da plataforma e operar a conta / tenant.
Enviar e-mails transacionais ao proprietário da conta (Resend) — alertas, recuperação de senha, e-mails de ticket Sol; a InstantChat não usa e-mail como canal padrão de nutrição de leads/pacientes finais.
Medir aquisição e funil (pixel/CAPI/Umami) quando habilitados.
Cumprir obrigações legais e de segurança.

4. Com quem compartilhamos (suboperadores)

Lista indicativa alinhada ao DPA e à arquitetura do produto. Alterações de suboperadores serão comunicadas com 30 dias de antecedência, por e-mail ([email protected]) e no aplicativo:

Provedores de LLM (ex.: OpenAI, Anthropic e Google — modelo Gemini — todos via OpenRouter) — prompts e respostas. O Google entra nessa lista porque o modelo que roda os analisadores, os resumos e a checagem de segurança é o Gemini; ele é alcançado pelo OpenRouter, não por uma conta Google da InstantChat.
Provedores WhatsApp / Instagram — mensageria via Meta (Cloud API / Instagram Graph, com META_APP_ID configurado em produção) e, conforme conexão escolhida pelo cliente, Evolution API ou Baileys (gateway não oficial embarcado no produto). Twilio SMS não está configurado em produção e não figura como suboperador ativo.
Resend — e-mails transacionais (SendGrid não é utilizado).
Stripe — pagamentos e assinatura.
Meta — mensageria WhatsApp/Instagram quando o cliente conecta esses canais. Pixel / CAPI de publicidade não estão ativos em produção na data desta atualização.
Umami — analytics de funil first-party quando configurado.
Cloudflare — DNS, proxy reverso / CDN e proteção Turnstile (bot) na demo pública, confirmados em uso em produção.
Hospedagem — Hostinger International Limited; servidor em Boston, Massachusetts, Estados Unidos (não no Brasil).
LangSmith — ativo em produção (LANGCHAIN_TRACING_V2) para rastreamento / observabilidade de cadeias LLM. Desde 23/09/2026 não recebe mais o conteúdo: prompt e resposta são mascarados nesta máquina antes do envio (LANGSMITH_HIDE_INPUTS e LANGSMITH_HIDE_OUTPUTS), de modo que só metadados do traço saem do processo. Veja a seção 4.2.
Google Calendar — ativo em produção. Quando o cliente conecta a própria conta Google, a InstantChat lê a disponibilidade da agenda e cria, altera e cancela os eventos correspondentes aos agendamentos feitos pelo assistente. Escopos solicitados: calendar.events (ler e escrever eventos) e calendar.freebusy (consultar apenas os horários livres/ocupados, sem ler o conteúdo dos eventos). A conexão é opcional, feita pelo próprio cliente na conta Google dele, e pode ser revogada a qualquer momento — no painel da InstantChat ou em myaccount.google.com/permissions. Veja a divulgação de Uso Limitado logo abaixo.
Have I Been Pwned (HIBP) — serviço norte-americano de verificação de senhas vazadas, consultado no cadastro e na redefinição de senha (PASSWORD_LEAK_CHECK_ENABLED, habilitado por padrão). A consulta usa k-anonimato: apenas os 5 primeiros caracteres hexadecimais do SHA-1 da senha são enviados a api.pwnedpasswords.com. A senha, seu hash completo, o e-mail e qualquer identificador do usuário não são transmitidos. Trata-se de requisição a terceiro vinculada a uma ação do usuário, por isso declarada aqui.
Sentry — serviço norte-americano de monitoramento de erros, ativo em produção (SENTRY_DSN_API, SENTRY_DSN_WORKERS, VITE_SENTRY_DSN). Recebe mensagens de erro e rastros de pilha, que podem conter fragmentos de dados de requisição. É acionado por exceção, não por mensagem: o corpo da requisição não é anexado, o envio de PII pela biblioteca está desligado (sendDefaultPii: false) e credenciais são removidas antes do envio. Conteúdo de conversa ou de agenda só alcança o Sentry se estiver dentro da própria mensagem de erro.
Slack — serviço norte-americano usado para alertas operacionais internos via webhook (OPS_ALERT_SLACK_WEBHOOK_URL), ativo em produção. Recebe alertas operacionais que podem citar identificadores de tenant, assistente ou conversa.

4.1. Uso Limitado dos dados do Google (Google API Services User Data Policy)

O uso e a transferência, pela InstantChat, de informações recebidas das APIs do Google obedecem à Google API Services User Data Policy, inclusive aos requisitos de Uso Limitado (Limited Use). Em termos concretos:

Os dados de agenda do Google são usados exclusivamente para oferecer os recursos visíveis ao usuário — conferir disponibilidade e criar, alterar e cancelar os eventos dos agendamentos feitos pelo assistente.
Os dados do usuário Google nunca são usados para desenvolver, aprimorar ou treinar modelos generalizados de IA ou de aprendizado de máquina, próprios ou de terceiros. O conteúdo de agenda não é enviado a nenhum provedor de LLM para treinamento.
Não vendemos, alugamos nem transferimos dados do Google para publicidade, corretagem de dados, crédito ou qualquer outra finalidade alheia ao recurso solicitado.
Só pessoas humanas leem esses dados com consentimento expresso do cliente, para suporte que ele mesmo abriu, por obrigação legal, ou de forma agregada e anonimizada para segurança e operação do serviço.
Ao desconectar a conta — no painel ou em myaccount.google.com/permissions — o token é revogado e a InstantChat deixa de acessar a agenda.

4.2. Com quem compartilhamos, transferimos ou divulgamos os dados obtidos das APIs do Google

A seção 4 lista os suboperadores da plataforma como um todo. Esta seção responde a mesma pergunta especificamente para os dados recebidos das APIs do Google, porque a maior parte daqueles suboperadores não os recebe.

Antes da lista, o que de fato recebemos do Google: instantes de tempo, não o conteúdo dos eventos. A consulta freeBusy devolve apenas os intervalos ocupados; a leitura de eventos de dia inteiro serve só para extrair as datas em que a empresa está fechada. Título, descrição, convidados e anexos dos eventos existentes não são armazenados — são descartados no próprio processo que os recebe.

Hostinger International Limited — hospedagem; servidor em Boston, Massachusetts, Estados Unidos. No banco de dados e no cache desse servidor ficam os tokens OAuth cifrados, o identificador do evento criado para cada agendamento, o cursor de sincronização devolvido pelo Google e as datas e horários dos agendamentos. É um operador de infraestrutura: não acessa nem utiliza esses dados para finalidade própria.
Cloudflare, Inc. — proxy reverso e CDN por onde passam as requisições HTTPS dirigidas aos nossos domínios, inclusive o retorno do consentimento OAuth, que carrega o código de autorização emitido pelo Google. É trânsito: a Cloudflare não recebe conteúdo de agenda nem armazena os tokens.
Google LLC — o próprio destino. Quando o assistente marca, remarca ou cancela um agendamento, escrevemos o evento correspondente na agenda do cliente. O título do evento é gerado pela InstantChat a partir do procedimento e do recurso do agendamento.
Provedores de LLM (OpenAI, Anthropic e Google/Gemini, todos via OpenRouter) e LangSmith — não recebem conteúdo de eventos. Título, descrição, convidados e anexos nunca entram no texto enviado a um modelo. O que pode entrar é data e horário, e só na medida do recurso que o cliente ativou: os intervalos ocupados são usados no servidor para calcular quais horários estão livres, e apenas os horários livres resultantes são oferecidos ao cliente final; e, quando o cliente move ou cancela um agendamento na própria agenda do Google, o agendamento na InstantChat acompanha a mudança, de modo que o novo horário passa a ser o horário sobre o qual o assistente conversa com o cliente final. Esses dados nunca são usados para treinar modelos — veja a seção 4.1. Duas configurações sustentam isso e não dependem só de contrato: toda requisição ao OpenRouter declara provider.data_collection: "deny", de modo que ela só pode ser servida por provedor que não armazena dado da requisição de forma não transitória nem treina sobre ele; e o LangSmith deixou de receber o texto — os traços saem com metadados e sem prompt nem resposta, mascarados nesta máquina antes do envio (LANGSMITH_HIDE_INPUTS e LANGSMITH_HIDE_OUTPUTS).
Sentry — apenas na hipótese estreita descrita na seção 4: o relator é acionado por exceção e envia a mensagem de erro e o rastro de pilha, sem o corpo da requisição. Um instante vindo da agenda só o alcança se estiver escrito dentro da própria mensagem de erro. Não recebe token, evento nem consulta de disponibilidade.
Ninguém mais. Não compartilhamos, vendemos, alugamos nem transferimos dados obtidos das APIs do Google para publicidade, corretagem de dados, análise de crédito, treinamento de modelos ou qualquer outra finalidade alheia ao recurso de agenda que o cliente ativou. Divulgação a terceiros ocorre apenas mediante ordem judicial ou obrigação legal, hipótese em que informamos o cliente quando a lei permitir.

5. Retenção

Prazos técnicos estão na página Retenção de dados. Destaques implementados: conversas (sessões, mensagens e filas de entrada) apagadas automaticamente 730 dias após a última mensagem; leads, contatos, agenda e tickets sem purge automático; rascunhos de moderação humana ~30 minutos; token de reset de senha 2 horas; caches Redis operacionais com TTLs curtos; tickets Sol “resolvidos” podem fechar após 7 dias de inatividade (status, não exclusão).

Retenção nos suboperadores: cada um define e publica o próprio prazo. Não reproduzimos esses números aqui, porque podem mudar sem aviso à InstantChat e uma cópia desatualizada seria pior que um link. Termos consultados em 12/08/2026: OpenAI, OpenRouter, Stripe, Resend, Cloudflare, Hostinger e LangChain / LangSmith. Para os demais suboperadores da Seção 4, valem as políticas por eles publicadas.

6. Direitos dos titulares (LGPD)

Titulares podem solicitar acesso, correção, exclusão, portabilidade ou oposição. Para dados tratados em nome do cliente, o canal primário é a controladora (organização que usa o InstantChat). A plataforma permite hoje exclusão/edição pontual de alguns registros (conforme permissões); não oferece exportação completa da conta, e a única exclusão automatizada é a janela de retenção de conversas (leads, agenda e tickets não são apagados automaticamente). Pedidos relativos à conta InstantChat ou ao site: canal [email protected]; resposta no prazo legal de 15 dias previsto no art. 19, § 1º, da LGPD (não se trata de SLA discricionário). Na prática isso significa que os pedidos do art. 18 são atendidos manualmente, por uma pessoa: a automação está prevista como requisito de produto e não tem data assumida.

7. Segurança

Credenciais de canal cifradas em repouso (AES-256-GCM).
Autenticação JWT e controle de sessão na plataforma.
Comunicação com APIs de terceiros via TLS.
Região de hospedagem: Hostinger International Limited, Boston, Massachusetts, Estados Unidos. Backups: existe procedimento documentado de dump semanal do PostgreSQL, com retenção das 4 cópias mais recentes por banco, gravadas no próprio servidor. Não há cópia off-site nem replicação; por isso não assumimos compromisso de RPO/RTO e a perda do servidor não é coberta pelos backups locais. Não detemos certificações de segurança de infraestrutura (por exemplo ISO 27001 ou SOC 2) e não as declaramos.

7.1. Mecanismos de proteção dos dados sensíveis

O escopo de agenda é classificado pelo próprio Google como escopo sensível. Estes são os mecanismos concretos que protegem esses dados e os demais dados sensíveis tratados pela plataforma:

Cifra em repouso dos tokens OAuth. Os tokens de acesso e de atualização (refresh token) da conta Google do cliente são gravados cifrados com AES-256-GCM — cifra autenticada, que além de ocultar o token detecta qualquer adulteração do texto cifrado. A chave é derivada de um segredo mantido apenas no ambiente do servidor: não está no código, não está em nenhum repositório e não é a mesma chave usada pelas outras credenciais de canal.
O token nunca sai do servidor. Não é enviado ao navegador, não aparece em nenhuma resposta da API e não é transmitido a provedor de LLM ou de observabilidade algum.
Cifra em trânsito. Toda comunicação com as APIs do Google usa TLS, assim como todo acesso à plataforma.
Escopos mínimos. Pedimos apenas calendar.events e calendar.freebusy. Não pedimos leitura integral da agenda (calendar.readonly) nem qualquer acesso a Gmail, Drive, Contatos ou outro serviço do Google Workspace.
Descarte na leitura. Do que o Google devolve, retemos apenas instantes e datas. O conteúdo dos eventos existentes é descartado no processo que o recebe, sem gravação em banco, em log ou em cache.
Isolamento por cliente. Cada token pertence à conexão de um único cliente (tenant); a autorização é verificada a cada requisição e nenhum cliente alcança a agenda de outro.
Revogação efetiva. Ao desconectar a agenda no painel, chamamos o endpoint de revogação do Google e apagamos o token do banco. O cliente também pode revogar diretamente em myaccount.google.com/permissions.
Credenciais de acesso à plataforma. Senhas são guardadas apenas como hash bcrypt, nunca em texto claro, e a sessão usa JWT com expiração.
Acesso humano. Pessoas só leem esses dados com consentimento expresso do cliente, para suporte que ele mesmo abriu, por obrigação legal, ou de forma agregada e anonimizada para segurança e operação do serviço.

8. Transferência internacional

Dados pessoais são transferidos internacionalmente: a hospedagem fica nos Estados Unidos (Hostinger, Boston, Massachusetts) e os principais suboperadores (OpenAI, OpenRouter, Stripe, Resend, Cloudflare, LangSmith, Meta) são sediados nos EUA.

Base jurídica da transferência. Não existe decisão de adequação da ANPD para os Estados Unidos, de modo que a transferência não se apoia no art. 33, I, da LGPD. A transferência apoia-se em garantias contratuais (art. 33, II), materializadas nos acordos de tratamento de dados (DPA) publicados por cada suboperador e aceitos na contratação do serviço — os DPAs de Cloudflare, Stripe e Resend, verificados em 11/08/2026, incorporam as Cláusulas Contratuais-Padrão da União Europeia (Decisão de Execução (UE) 2021/914) como salvaguarda para transferências a terceiros países. Para os dados de usuários da conta da plataforma, a transferência é ainda necessária à execução do contrato do qual o titular é parte (art. 33, IX, c/c art. 7º, V). Nenhuma transferência internacional se apoia em consentimento como base isolada.

9. Alterações

Esta página pode ser atualizada para refletir mudanças no produto. Data de “última atualização” no topo. Canal de aviso adicional: [email protected].

Versão em inglês: use o seletor de idioma no rodapé da página inicial, ou ?lang=en nesta URL. A versão em inglês é uma tradução integral desta página, não um resumo; em caso de divergência, o texto em português prevalece.

Last updated: September 2026 · Informational document based on the current code and infrastructure.

Privacy Policy

The provider entity and the single privacy / DPO channel are identified below. This page describes the processing as actually implemented in the product; where something is not yet automated, that is stated explicitly rather than omitted.

This Policy describes how the InstantChat platform processes personal data — both when it acts as a processor on behalf of customers (clinics, sales teams or support teams) and when it processes data of site visitors and platform account users. Technical retention details are in Data retention; contractual obligations for processing on the customer’s behalf are in the DPA. The Terms of use govern the service contract.

Provider: AUGUSTO CLARO E CIA SERVIÇOS TECNOLÓGICOS LTDA, CNPJ 20.712.349/0001-63, registered office at Avenida São João, 1277, República, São Paulo/SP, CEP 01035-100. Privacy / DPO channel: [email protected].

1. Roles under the LGPD

Controller (customer): the organization that configures the assistant and answers to end data subjects (patients, leads, customers). It defines the purposes of processing through the platform.
Processor (InstantChat): processes conversation, lead, calendar, KB and channel data according to the customer’s instructions and the product documentation.
InstantChat as controller: platform user registration, authentication, billing (subscription references), site analytics and first-touch marketing attribution when present in the originating URL.

2. Data we collect

In line with the models and flows implemented (aligned with Retention):

Conversations (web / widget): sessions and messages (chat_sessions, chat_messages) and associated metadata.
WhatsApp: messages and metadata in the queue (whatsapp_inbox) — content, remote identifier (JID), sender’s phone number when available, raw payload when stored. Connection credentials are kept encrypted at rest (enc:v1:, AES-256-GCM).
Leads: name, email, phone, notes and status (leads), when the assistant captures them or the customer records them.
Channel contacts and identities: phone, email and names used to unify conversations across channels.
Calendar (if enabled): bookings and resources (agenda_bookings and related tables).
Knowledge base: documents and search indexes provided or crawled by the customer.
Tickets (Sol vertical): name, email, phone and ticket messages.
Platform account: email, authentication, tenant members; password reset tokens (single use, valid for 2 hours).
Marketing attribution (first-touch): when the originating URL carries utm_* / ctwa_clid / fbclid, a first-touch cookie may be written in the browser and, at tenant sign-up, sanitized parameters may be persisted in tenants.attribution. Organic visits without those parameters do not write that cookie.
Analytics and pixels (site): if configured in the build environment — Meta Pixel (PageView in the browser; conversion events also via CAPI on the server with PII hashed SHA-256, without Advanced Matching in the browser) and Umami (funnel events such as CTA clicks, without form PII). Both are inert when the environment variables are not set. In production, as of 2026-08-07, the advertising Meta Pixel / CAPI are inactive (META_PIXEL_ID / META_CAPI_ACCESS_TOKEN absent); META_APP_ID is used for WhatsApp/Instagram messaging, not for advertising analytics.
LLM logs: usage metrics and, when enabled, prompt/response text in llm_call_logs (may reproduce conversation content).
Billing: Stripe processes payments; the platform keeps subscription and usage references.

3. What we use it for

To provide the contracted service: assistants, channels, leads, calendar, KB, tickets.
To authenticate platform users and operate the account / tenant.
To send transactional emails to the account owner (Resend) — alerts, password recovery, Sol ticket emails; InstantChat does not use email as a default nurturing channel for end leads/patients.
To measure acquisition and funnel (pixel/CAPI/Umami) when enabled.
To comply with legal and security obligations.

4. With whom we share data (subprocessors)

Indicative list aligned with the DPA and with the product architecture. Subprocessor changes will be announced with 30 days’ notice, by email ([email protected]) and in the application:

LLM providers (e.g. OpenAI, Anthropic and Google — Gemini model — all via OpenRouter) — prompts and responses. Google is on this list because the model that runs the analyzers, the summaries and the safety check is Gemini; it is reached through OpenRouter, not through an InstantChat Google account.
WhatsApp / Instagram providers — messaging via Meta (Cloud API / Instagram Graph, with META_APP_ID configured in production) and, depending on the connection the customer chooses, Evolution API or Baileys (unofficial gateway embedded in the product). Twilio SMS is not configured in production and is not listed as an active subprocessor.
Resend — transactional emails (SendGrid is not used).
Stripe — payments and subscription.
Meta — WhatsApp/Instagram messaging when the customer connects those channels. The advertising Pixel / CAPI are inactive in production as of the date of this update.
Umami — first-party funnel analytics when configured.
Cloudflare — DNS, reverse proxy / CDN and Turnstile (bot) protection on the public demo, confirmed in use in production.
Hosting — Hostinger International Limited; server in Boston, Massachusetts, United States (not in Brazil).
LangSmith — active in production (LANGCHAIN_TRACING_V2) for tracing / observability of LLM chains. Since 23 September 2026 it no longer receives the content: prompt and response are masked on our own machine before transmission (LANGSMITH_HIDE_INPUTS and LANGSMITH_HIDE_OUTPUTS), so only trace metadata leaves the process. See section 4.2.
Google Calendar — active in production. When the customer connects their own Google account, InstantChat reads the calendar’s availability and creates, changes and cancels the events corresponding to the bookings made by the assistant. Scopes requested: calendar.events (read and write events) and calendar.freebusy (query only free/busy times, without reading event content). The connection is optional, made by the customer themselves in their own Google account, and can be revoked at any time — in the InstantChat dashboard or at myaccount.google.com/permissions. See the Limited Use disclosure just below.
Have I Been Pwned (HIBP) — US service for checking leaked passwords, queried at sign-up and at password reset (PASSWORD_LEAK_CHECK_ENABLED, enabled by default). The query uses k-anonymity: only the first 5 hexadecimal characters of the password’s SHA-1 are sent to api.pwnedpasswords.com. The password, its full hash, the email address and any user identifier are not transmitted. It is a third-party request tied to a user action, which is why it is declared here.
Sentry — US error-monitoring service, active in production (SENTRY_DSN_API, SENTRY_DSN_WORKERS, VITE_SENTRY_DSN). It receives error messages and stack traces, which may contain fragments of request data. It is triggered by an exception, not by a message: the request body is not attached, PII sending by the library is switched off (sendDefaultPii: false) and credentials are stripped before sending. Conversation or calendar content only reaches Sentry if it is inside the error message itself.
Slack — US service used for internal operational alerts via a webhook (OPS_ALERT_SLACK_WEBHOOK_URL), active in production. It receives operational alerts that may cite tenant, assistant or conversation identifiers.

4.1. Limited Use of Google data (Google API Services User Data Policy)

InstantChat’s use and transfer of information received from the Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. In concrete terms:

Google calendar data is used exclusively to provide the user-facing features — checking availability and creating, changing and cancelling the events of the bookings made by the assistant.
Google user data is never used to develop, improve or train generalized AI or machine-learning models, whether our own or third parties’. Calendar content is not sent to any LLM provider for training.
We do not sell, rent or transfer Google data for advertising, data brokerage, credit or any other purpose unrelated to the requested feature.
Only humans read this data with the customer’s express consent, for support the customer themselves opened, under legal obligation, or in aggregated and anonymized form for the security and operation of the service.
On disconnecting the account — in the dashboard or at myaccount.google.com/permissions — the token is revoked and InstantChat stops accessing the calendar.

4.2. With whom we share, transfer or disclose the data obtained from the Google APIs

Section 4 lists the subprocessors of the platform as a whole. This section answers the same question specifically for the data received from the Google APIs, because most of those subprocessors do not receive it.

Before the list, what we in fact receive from Google: points in time, not the content of the events. The freeBusy query returns only the busy intervals; reading all-day events serves only to extract the dates on which the business is closed. The title, description, guests and attachments of existing events are not stored — they are discarded in the very process that receives them.

Hostinger International Limited — hosting; server in Boston, Massachusetts, United States. The database and the cache on that server hold the encrypted OAuth tokens, the identifier of the event created for each booking, the synchronization cursor returned by Google, and the dates and times of the bookings. It is an infrastructure processor: it does not access or use this data for purposes of its own.
Cloudflare, Inc. — reverse proxy and CDN through which the HTTPS requests addressed to our domains pass, including the OAuth consent callback, which carries the authorization code issued by Google. It is transit: Cloudflare receives no calendar content and does not store the tokens.
Google LLC — the destination itself. When the assistant books, reschedules or cancels a booking, we write the corresponding event in the customer’s calendar. The event title is generated by InstantChat from the booking’s procedure and resource.
LLM providers (OpenAI, Anthropic and Google/Gemini, all via OpenRouter) and LangSmith — do not receive event content. Title, description, guests and attachments never enter the text sent to a model. What may enter is the date and time, and only to the extent of the feature the customer has enabled: the busy intervals are used on the server to calculate which times are free, and only the resulting free times are offered to the end customer; and, when the customer moves or cancels a booking in their own Google calendar, the booking in InstantChat follows the change, so that the new time becomes the time the assistant talks about with the end customer. This data is never used to train models — see section 4.1. Two settings underpin this and do not rest on contract alone: every request to OpenRouter declares provider.data_collection: "deny", so that it can only be served by a provider that neither stores the request data non-transiently nor trains on it; and LangSmith no longer receives the text — traces leave with metadata and without prompt or response, masked on this machine before sending (LANGSMITH_HIDE_INPUTS and LANGSMITH_HIDE_OUTPUTS).
Sentry — only in the narrow case described in section 4: the reporter is triggered by an exception and sends the error message and the stack trace, without the request body. A point in time coming from the calendar only reaches it if it is written inside the error message itself. It receives no token, no event and no availability query.
No one else. We do not share, sell, rent or transfer data obtained from the Google APIs for advertising, data brokerage, credit analysis, model training or any other purpose unrelated to the calendar feature the customer has enabled. Disclosure to third parties occurs only pursuant to a court order or a legal obligation, in which case we inform the customer where the law permits.

5. Retention

Technical periods are on the Data retention page. Implemented highlights: conversations (sessions, messages and inbox queues) deleted automatically 730 days after the last message; leads, contacts, calendar and tickets with no automatic purge; human-moderation drafts ~30 minutes; password reset token 2 hours; operational Redis caches with short TTLs; Sol tickets marked “resolved” may close after 7 days of inactivity (status, not deletion).

Retention at the subprocessors: each one sets and publishes its own period. We do not reproduce those numbers here, because they can change without notice to InstantChat and an out-of-date copy would be worse than a link. Terms consulted on 12 August 2026: OpenAI, OpenRouter, Stripe, Resend, Cloudflare, Hostinger and LangChain / LangSmith. For the remaining subprocessors in Section 4, the policies they publish apply.

6. Data subject rights (LGPD)

Data subjects may request access, correction, deletion, portability or objection. For data processed on the customer’s behalf, the primary channel is the controller (the organization that uses InstantChat). The platform today allows one-off deletion/editing of some records (subject to permissions); it does not offer a full account export, and the only automated deletion is the conversation retention window (leads, calendar and tickets are not deleted automatically). Requests concerning the InstantChat account or the site: channel [email protected]; response within the statutory period of 15 days set by art. 19, § 1 of the LGPD (this is not a discretionary SLA). In practice this means art. 18 requests are served manually, by a person: the automation is on the product requirement list and has no committed date.

7. Security

Channel credentials encrypted at rest (AES-256-GCM).
JWT authentication and session control on the platform.
Communication with third-party APIs over TLS.
Hosting region: Hostinger International Limited, Boston, Massachusetts, United States. Backups: there is a documented procedure for a weekly PostgreSQL dump, retaining the 4 most recent copies per database, written to the server itself. There is no off-site copy and no replication; for that reason we make no RPO/RTO commitment and loss of the server is not covered by the local backups. We do not hold infrastructure security certifications (for example ISO 27001 or SOC 2) and do not claim any.

7.1. Protection mechanisms for sensitive data

The calendar scope is classified by Google itself as a sensitive scope. These are the concrete mechanisms that protect that data and the other sensitive data processed by the platform:

Encryption at rest of the OAuth tokens. The access and refresh tokens of the customer’s Google account are stored encrypted with AES-256-GCM — authenticated encryption, which besides concealing the token detects any tampering with the ciphertext. The key is derived from a secret kept only in the server environment: it is not in the code, it is not in any repository and it is not the same key used by the other channel credentials.
The token never leaves the server. It is not sent to the browser, it does not appear in any API response and it is not transmitted to any LLM or observability provider.
Encryption in transit. All communication with the Google APIs uses TLS, as does all access to the platform.
Minimum scopes. We request only calendar.events and calendar.freebusy. We do not request full calendar read access (calendar.readonly) or any access to Gmail, Drive, Contacts or any other Google Workspace service.
Discard on read. Of what Google returns, we retain only points in time and dates. The content of existing events is discarded in the process that receives it, with no writing to the database, to a log or to a cache.
Per-customer isolation. Each token belongs to the connection of a single customer (tenant); authorization is checked on every request and no customer can reach another customer’s calendar.
Effective revocation. When the calendar is disconnected in the dashboard, we call Google’s revocation endpoint and delete the token from the database. The customer can also revoke it directly at myaccount.google.com/permissions.
Platform access credentials. Passwords are stored only as a bcrypt hash, never in clear text, and the session uses a JWT with expiry.
Human access. People only read this data with the customer’s express consent, for support the customer themselves opened, under legal obligation, or in aggregated and anonymized form for the security and operation of the service.

8. International transfers

Personal data is transferred internationally: hosting is in the United States (Hostinger, Boston, Massachusetts) and the main subprocessors (OpenAI, OpenRouter, Stripe, Resend, Cloudflare, LangSmith, Meta) are US-based.

Lawful basis for the transfer. There is no ANPD adequacy decision for the United States, so the transfer does not rely on art. 33, I of the LGPD. The transfer relies on contractual guarantees (art. 33, II), embodied in the data processing agreements (DPAs) published by each subprocessor and accepted on service sign-up — the Cloudflare, Stripe and Resend DPAs, verified on 11 August 2026, incorporate the European Union Standard Contractual Clauses (Implementing Decision (EU) 2021/914) as the safeguard for transfers to third countries. For platform account user data, the transfer is additionally necessary for the performance of the contract to which the data subject is a party (art. 33, IX, with art. 7º, V). No international transfer relies on consent as a standalone basis.

9. Changes

This page may be updated to reflect changes in the product. The “last updated” date is at the top. Additional notice channel: [email protected].

Portuguese version: use the language selector in the footer of the home page with ?lang=pt on this URL. The Portuguese text is the reference version.