Política de privacidade

Data de vigência: 1 de novembro de 2026

A versão curta

Ninguém lê políticas de privacidade. Então aqui vai tudo em dez linhas, com a versão completa logo abaixo.

• Os dados são seus. Para agendamentos feitos pela sua conta Cal.com, você é o controlador e nós somos o operador, conforme o Contrato de Tratamento de Dados em cal.com/dpa, que faz parte dos nossos Termos de Serviço para todas as contas, gratuitas ou pagas. Tratamos esses dados em seu nome e não os vendemos para ninguém, nunca.
• Coletamos o mínimo. Nomes, emails, números de telefone e tudo o que suas perguntas de agendamento pedirem. Além das partes técnicas chatas que todo site coleta: endereço IP, navegador, páginas visualizadas.
• Os dados pessoais ficam no banco de dados. Não nos nossos logs, não nas nossas análises, não em uma planilha. Nossas próprias regras de engenharia proíbem dados pessoais em logs, relatórios de erro e eventos de analytics. Enviamos IDs, não pessoas.
• Usamos suboperadores e nomeamos todos eles. Hospedagem, email, SMS, vídeo, pagamentos, IA, analytics, monitoramento, suporte e nossas próprias ferramentas internas que podem ver seus dados. A tabela completa e a finalidade de cada um estão na nossa Central de Confiança; antes de um novo começar, damos aos proprietários da conta aviso prévio por escrito por email, notificação no produto ou outro método eletrônico documentado, com antecedência suficiente para você revisar a mudança e se opor.
• Os recursos de IA são opcionais e específicos. As notas de reunião com IA enviam o texto da transcrição (sem títulos, sem lista de participantes, sem links). Agentes telefônicos de IA enviam o número de telefone e os detalhes do convidado necessários para fazer a chamada. Nada é usado para treinar modelos de ninguém.
• Seus apps são escolha sua. Quando você conecta Google Calendar, Zoom, Salesforce ou um webhook, os dados fluem para lá porque você mandou. Essas são suas integrações, seguindo suas instruções.
• Não há cookies de terceiros no produto. Nosso site de marketing usa analytics e medição de anúncios. Veja a seção de cookies.
• Você pode exportar seus dados ou excluí-los. A qualquer momento, por conta própria ou por email. Excluir significa excluir, inclusive nos nossos suboperadores.
• Dúvidas: [email protected]. Pessoas de verdade, não um formulário.

Quem é quem: controlador vs. operador

Isso confunde muita gente, então vem primeiro.

Cal.com: seus próprios prestadores de serviço. Para operar nosso próprio negócio, usamos prestadores de serviço que veem os dados de contato dos nossos clientes, por exemplo Documenso e Fusial para assinatura eletrônica de contratos e DPAs (Estados Unidos). Eles agem seguindo nossas instruções e não são suboperadores dos seus dados.

O que isso significa: se você é um participante que agendou uma reunião e quer excluir seus dados, o caminho mais rápido é falar com a pessoa com quem você agendou. Vamos ajudar de qualquer forma e encaminhar a solicitação.

O que coletamos

Dados que você e quem agenda com você nos fornecem

• Dados da conta: nome, email, nome de usuário, hash da senha ou identidade SSO, fuso horário, foto de perfil e sua disponibilidade. No cadastro, podemos buscar uma foto de perfil para seu endereço de email por meio da AvatarAPI; você pode substituí-la ou removê-la.
• Dados de agendamento: nomes e emails dos participantes, números de telefone quando lembretes por SMS ou chamadas telefônicas são usados, títulos e locais das reuniões, respostas às suas perguntas de agendamento, notas, listas de convidados, motivos de cancelamento e reagendamento.
• Dados de cobrança: nome da empresa, endereço de cobrança e dados do cartão de pagamento. O cartão vai direto para a Stripe, e nós nunca o vemos nem armazenamos.
• Dados de suporte: tudo o que você escreve para nós, além do contexto da conta vinculado à conversa.

Dados que coletamos automaticamente

• Endereço IP, navegador e dispositivo, URL de referência, páginas visualizadas e carimbos de data e hora.
• Eventos de uso do produto (quais recursos você usou, com que frequência) vinculados a um ID opaco, não ao seu email.
• Diagnósticos de erro e desempenho quando algo quebra.

O que fazemos de propósito para não fazer

• Não coletamos dados sensíveis de propósito. Mas suas perguntas de agendamento podem coletar. Se você pergunta sobre saúde, isso é dado de saúde na sua conta Cal.com, e é sua responsabilidade pedir isso de forma legal. Veja “Informações de saúde”.
• Não coletamos intencionalmente dados de menores de 18 anos.
• Não criamos perfis de publicidade a partir de dados de agendamento e não vendemos nem alugamos dados pessoais.

O que isso significa: guardamos o necessário para colocar uma reunião em dois calendários, cobrar você e dar suporte. Os dados pessoais mais interessantes, as respostas de quem agenda com você, guardamos para você, não para nós.

Por que temos permissão para isso (bases legais, Art. 6 do GDPR)

Suboperadores: quem mais toca em dados pessoais

Usamos outras empresas para operar Cal.com. Todo suboperador tem um contrato de processamento de dados conosco, recebe apenas o que precisa e só processa dados conforme nossas instruções. O que eles fazem e onde processam os dados estão listados na nossa Central de Confiança.

Como você fica sabendo das mudanças. Antes que um suboperador novo ou substituto comece a processar Dados Pessoais do Cliente, enviamos um aviso prévio por escrito por e-mail ao administrador da sua conta ou ao contato de privacidade/jurídico, por notificação no produto ou por outro método eletrônico documentado. Fazemos esforços comercialmente razoáveis para avisar com antecedência suficiente para você analisar a mudança e se opor (DPA §6.3-6.4). Atualizar apenas a lista de suboperadores não é nossa única forma de aviso.

Se você se opuser por motivos razoáveis e comprovados de proteção de dados, pode fazer isso conforme descrito no DPA. Se tiver dúvidas sobre um suboperador, escreva para [email protected].

Publicidade e identificação de leads (site de marketing e ferramentas de marketing, não o produto)

Eles são gerenciados pela nossa equipe de marketing, em vez de serem integrados ao código do produto, e só veem dados do site de marketing e de listas de marketing, nunca dados de agendamento, respostas de participantes ou qualquer coisa da sua conta Cal.com.

Os fornecedores nesta categoria (Google Analytics e Tag Manager, X Ads, atribuição de site da Dub, tags de anúncios do LinkedIn e da Meta) rodam apenas no site de marketing, com seu consentimento, e estão listados no banner de cookies; eles não são suboperadores de dados de agendamento.

O que isso significa: se você estiver no EEE ou no Reino Unido, os fornecedores de correspondência de público e identificação de visitantes não são ativados para você. Em qualquer outro lugar, você pode desativá-los recusando cookies de marketing ou usando o Global Privacy Control.

Apps e integrações que você conecta

Quando você conecta um app, está nos dizendo para enviar dados a ele. Fazemos exatamente isso e nada mais.

• Calendários: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: títulos, descrições, horários, locais, nomes e e-mails do organizador e dos participantes, além de dados de livre/ocupado.
• Vídeo: Zoom, Google Meet, Microsoft Teams e outros: detalhes da reunião necessários para criar o link.
• CRM e automação: Salesforce, HubSpot, Pipedrive e similares: nome e e-mail do participante, detalhes da reunião e suas respostas às perguntas de agendamento.
• Automação e links: Zapier, Dub, Close e integrações similares da loja de apps que você conecta rodam na sua própria conta com esse provedor.
• Webhooks e seu próprio servidor SMTP: você fornece o endpoint ou servidor de e-mail; ele recebe tudo o que os eventos que você assinou contêm.

O que isso significa: estes são seus operadores, não os nossos. As políticas de privacidade deles se aplicam, e desconectar o app interrompe o fluxo. Não podemos excluir o que já está no seu CRM.

Informações de saúde (PHI)

Cal.com não é um produto de saúde, mas reservas podem conter informações de saúde: uma pergunta de triagem, um título de reunião, notas. Se você usa Cal.com para qualquer finalidade regulada pela HIPAA, esses dados são protegidos apenas na medida do contrato por trás deles: peça-nos um Acordo de Associado Comercial (disponível nos planos Teams e superiores; envie e-mail para [email protected] ou fale com suporte ou vendas) e faça com que ele seja assinado antes de coletar esses dados, a menos que seu Formulário de Pedido ou outro contrato assinado conosco permita isso expressamente, e mantenha-os fora de campos de agendamento que são copiados para apps de terceiros.

Por quanto tempo mantemos

Para onde seus dados vão

Somos uma empresa dos EUA, e os dados são processados nos Estados Unidos; alguns suboperadores os processam em outros lugares (veja a tabela). Para transferências do EEE e do Reino Unido, Cal.com, Inc. participa e certificou sua conformidade com o EU-U.S. Data Privacy Framework e sua UK Extension. Quando o Data Privacy Framework não cobre uma transferência, e para a Suíça, usamos as Cláusulas Contratuais Padrão da UE de 2021, o Aditivo do Reino Unido e as emendas suíças, todos preenchidos no nosso Anexo SCC em cal.com/dpa-scc, que faz parte do DPA, conforme descrito na seção Data Privacy Framework abaixo. Você pode verificar nossa certificação na DPF List em https://www.dataprivacyframework.gov/list. O Swiss-U.S. Data Privacy Framework não se aplica no momento. Se você precisar de residência de dados na UE, entre em contato conosco em [email protected].

EU-U.S. Data Privacy Framework e UK Extension

Cal.com, Inc. está em conformidade com o EU-U.S. Data Privacy Framework (EU-U.S. DPF) e a UK Extension do EU-U.S. DPF, conforme estabelecido pelo Departamento de Comércio dos EUA. Cal.com, Inc. certificou ao Departamento que adere aos Princípios do EU-U.S. DPF para dados pessoais não relacionados a RH recebidos da União Europeia e do Espaço Econômico Europeu com base no EU-U.S. DPF, e do Reino Unido e de Gibraltar com base na UK Extension. Esse compromisso não cobre dados de RH de funcionários transferidos para uso em uma relação de trabalho. Se esta política entrar em conflito com os Princípios do DPF, os Princípios prevalecem. Saiba mais sobre o programa e veja Cal.com na Lista do Data Privacy Framework em https://www.dataprivacyframework.gov/list.

Os dados abrangidos podem incluir nomes, endereços de email, números de telefone, detalhes de conta e perfil, disponibilidade, detalhes de reservas e reuniões, respostas a perguntas de agendamento, informações de cobrança e suporte, além de informações do site, do dispositivo, de uso e de segurança. Os clientes podem configurar perguntas de agendamento que coletam dados sensíveis. Usamos os dados abrangidos para fornecer agendamento e serviços relacionados, gerenciar contas, reservas e pagamentos, nos comunicar com usuários e participantes, oferecer suporte, proteger e melhorar o serviço e realizar marketing quando permitido. Outras seções desta política descrevem esses dados e finalidades com mais detalhes.

Divulgamos dados abrangidos relevantes a prestadores de serviços e suboperadores para hospedagem, armazenamento, email e SMS, vídeo, pagamentos, suporte, análises, segurança e recursos opcionais, e a integrações selecionadas pelos clientes. Nossa Central de Confiança lista os suboperadores e suas finalidades. Também podemos divulgar dados pessoais quando exigido por lei. Segundo o Princípio de Responsabilidade por Transferência Posterior do DPF, Cal.com continua responsável se um agente processar dados abrangidos de forma incompatível com os Princípios, a menos que Cal.com comprove que não foi responsável pelo evento que deu origem ao dano.

As pessoas podem solicitar acesso aos dados abrangidos e nos pedir para corrigir, alterar ou excluir dados imprecisos ou processados em violação aos Princípios. Quando o Princípio de Escolha do DPF exigir, as pessoas podem optar por não participar antes que os dados abrangidos sejam divulgados a terceiros ou usados para uma finalidade materialmente diferente. Quando esse Princípio exigir consentimento afirmativo para informações sensíveis, vamos obtê-lo antes do uso ou divulgação relevante. Envie solicitações para [email protected]. Para dados de reservas que processamos seguindo instruções de um cliente, vamos coordenar com esse cliente para atender à solicitação.

Pessoas da UE e do Reino Unido devem primeiro enviar consultas ou reclamações sobre o DPF para Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos; [email protected]; +1 415 212 6667. Felix Kolodziej, Líder de Compliance, também pode ser contatado em [email protected]. Responderemos a reclamações sobre o DPF em até 45 dias. Para reclamações não resolvidas sobre dados abrangidos, nos comprometemos a cooperar com o painel estabelecido pelas autoridades de proteção de dados da UE para dados da UE, e a cumprir suas orientações, bem como com o Information Commissioner’s Office do Reino Unido e a Gibraltar Regulatory Authority para dados do Reino Unido e de Gibraltar. Esses mecanismos independentes de recurso estão disponíveis gratuitamente para as pessoas.

Cal.com, Inc. está sujeita aos poderes de investigação e execução da U.S. Federal Trade Commission quanto à sua conformidade com o DPF UE-EUA e a Extensão do Reino Unido. Sob certas condições, as pessoas podem recorrer à arbitragem vinculante para reivindicações residuais sobre conformidade com o DPF. Podemos ser obrigados a divulgar dados abrangidos em resposta a solicitações legais de autoridades públicas, inclusive para atender a requisitos de segurança nacional ou aplicação da lei.

Cookies

• No app: cookies para fazer seu login, lembrar preferências e manter a segurança. Sem cookies de publicidade de terceiros.
• No site de marketing: os cookies de análise e medição de anúncios listados acima. Você pode recusá-los.
• Respeitamos sinais de Global Privacy Control e Do Not Track.

Seus direitos

Onde quer que você more, você pode nos pedir para: acessar seus dados, corrigir esses dados, excluir esses dados, exportar esses dados, restringir ou se opor ao processamento, ou retirar o consentimento. Se você está na Califórnia, some a isso: saber o que coletamos, excluir, corrigir e optar por não permitir venda ou compartilhamento. Não vendemos nem compartilhamos seus dados, então não há do que optar por sair. Se você está no EEE ou no Reino Unido, também pode reclamar à sua autoridade de proteção de dados.

A maior parte disso é por autoatendimento nas suas configurações. Caso contrário, envie um email para [email protected] e responderemos dentro dos prazos exigidos pela lei aplicável. Primeiro vamos pedir que você confirme quem é, e não vamos te tratar pior por fazer a solicitação.

Segurança

Criptografia em trânsito e em repouso, acesso com privilégio mínimo, SSO e 2FA, infraestrutura auditada e um programa de recompensa por bugs. Detalhes e nossos relatórios atuais: cal.com/security. Nenhum sistema é perfeitamente seguro; se algo der errado, avisaremos os clientes afetados sem demora indevida depois de tomarmos conhecimento de uma violação de dados pessoais, conforme exige nosso DPA.

Alterações nesta política

Publicaremos a nova versão aqui e atualizaremos a data de vigência. Para qualquer alteração material, como uma nova categoria de suboperador ou um novo uso de dados, vamos notificar você antes que ela entre em vigor por email, notificação no produto ou outro método eletrônico documentado.

Contato

Contato de privacidade: [email protected]

Representante da UE (art. 27 do GDPR): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Alemanha, [email protected]

Avisos formais: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos, com cópia para [email protected]

Todo o resto: [email protected]

Arquivo da política de privacidade