Política de privacidade - Arquivada V1

Você está vendo uma versão arquivada da nossa Política de Privacidade. Acesse a versão mais recente para obter informações atualizadas.

Ver política de privacidade mais recente

Data de vigência: 1 de outubro de 2026 - 31 de outubro de 2026

A versão curta

Ninguém lê políticas de privacidade. Então aqui está tudo em dez linhas, com a versão completa logo abaixo.

• Os dados são seus. Para agendamentos feitos pela sua conta Cal.com, você é o controlador e nós somos o operador. Tratamos esses dados em seu nome e não os vendemos para ninguém, nunca.
• Coletamos o mínimo. Nomes, e-mails, números de telefone e o que quer que suas perguntas de agendamento peçam. Além das partes técnicas chatas que todo site coleta: endereço IP, navegador, páginas visualizadas.
• O banco de dados é onde os dados pessoais ficam. Não nos nossos logs, não nas nossas análises, não em uma planilha. Nossas próprias regras de engenharia proíbem dados pessoais em logs, relatórios de erro e eventos de análise. Enviamos IDs, não pessoas.
• Usamos suboperadores e nomeamos todos eles. E-mail, SMS, vídeo, pagamentos, IA, armazenamento, suporte. A tabela completa e a finalidade de cada um estão na nossa Central de Confiança.
• Os recursos de IA são opcionais e limitados. As notas de reunião com IA enviam o texto da transcrição (sem títulos, sem lista de participantes, sem links). Agentes telefônicos de IA enviam o número de telefone e os dados do convidado necessários para fazer a ligação. Nada é usado para treinar modelos de ninguém.
• Seus apps são sua escolha. Quando você conecta Google Calendar, Zoom, Salesforce ou um webhook, os dados fluem para lá porque você mandou. Essas são suas integrações, seguindo suas instruções.
• Sem cookies de terceiros no produto. Nosso site de marketing usa análises e medição de anúncios. Veja a seção de cookies.
• Você pode exportar seus dados ou excluí-los. A qualquer momento, por conta própria ou por e-mail. Excluir significa excluir de verdade, inclusive nos nossos suboperadores.
• Dúvidas: [email protected]. Humanos de verdade, não um formulário.

Quem é quem: controlador vs. operador

Isso confunde as pessoas, então vem primeiro.

O que isso significa: se você é um participante que agendou uma reunião e quer que seus dados sejam excluídos, o caminho mais rápido é falar com a pessoa com quem você agendou. Vamos ajudar de qualquer forma e encaminhar a solicitação.

O que coletamos

Dados que você e quem agenda com você nos fornecem

• Dados da conta: nome, e-mail, nome de usuário, hash da senha ou identidade SSO, fuso horário, foto do perfil e sua disponibilidade.
• Dados de agendamento: nomes e e-mails dos participantes, números de telefone quando lembretes por SMS ou ligações são usados, títulos e locais das reuniões, respostas às suas perguntas de agendamento, notas, listas de convidados, motivos de cancelamento e reagendamento.
• Dados de cobrança: nome da empresa, endereço de cobrança e dados do cartão de pagamento. O cartão vai direto para Stripe, e nós nunca vemos nem armazenamos esses dados.
• Dados de suporte: tudo que você escreve para nós, além do contexto da conta anexado à conversa.

Dados que coletamos automaticamente

• Endereço IP, navegador e dispositivo, URL de referência, páginas visualizadas e registros de data e hora.
• Eventos de uso do produto (quais recursos você usou, com que frequência) vinculados a um ID opaco, não ao seu e-mail.
• Diagnósticos de erro e desempenho quando algo quebra.

O que deliberadamente não fazemos

• Não coletamos dados de categoria especial de propósito. Suas perguntas de agendamento podem coletar, porém. Se você pergunta sobre saúde, isso é dado de saúde na sua conta Cal.com, e cabe a você solicitar isso de forma legal. Veja "Informações de saúde".
• Não coletamos dados conscientemente de menores de 18 anos.
• Não criamos perfis de publicidade a partir de dados de agendamento e não vendemos nem alugamos dados pessoais.

O que isso significa: mantemos o que é necessário para colocar uma reunião em duas agendas, cobrar você e oferecer suporte. Os dados pessoais mais relevantes, as respostas de quem agenda com você, mantemos para você, não para nós.

Por que podemos fazer isso (bases legais, GDPR Art. 6)

Subprocessadores: quem mais lida com dados pessoais

Usamos outras empresas para operar Cal.com. Todos os subprocessadores têm um contrato de processamento de dados conosco, recebem apenas o que precisam e processam dados somente conforme nossas instruções. O que eles fazem e onde processam dados estão listados no nosso Trust Center.

Como você fica sabendo sobre mudanças. De acordo com nosso Contrato de Processamento de Dados, podemos adicionar ou substituir subprocessadores para fornecer, operar, proteger e dar suporte ao Cal.com. Quando exigido pelo DPA, avisaremos você antes que um subprocessador novo ou substituto comece a processar Dados Pessoais do Cliente.

Se você se opuser com base em motivos razoáveis e comprovados de proteção de dados, pode fazer isso conforme descrito no DPA. Se tiver dúvidas sobre um subprocessador, escreva para [email protected].

Publicidade e identificação de leads (site de marketing e ferramentas de marketing, não o produto)

Eles são gerenciados pela nossa equipe de marketing, em vez de estarem integrados ao código do produto, e só veem dados do site de marketing e das listas de marketing, nunca dados de agendamento, respostas de participantes ou qualquer coisa da sua conta Cal.com.

O que isso significa: se você estiver no EEE ou no Reino Unido, os fornecedores de correspondência de público e identificação de visitantes não são ativados para você. Em qualquer outro lugar, você pode desativá-los recusando cookies de marketing ou usando o Global Privacy Control.

Apps e integrações que você conecta

Quando você conecta um app, está nos dizendo para enviar dados para ele. Fazemos exatamente isso e nada mais.

• Calendários: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: títulos, descrições, horários, locais, nomes e e-mails de organizadores e participantes, e dados de livre/ocupado.
• Vídeo: Zoom, Google Meet, Microsoft Teams e outros: detalhes da reunião necessários para criar o link.
• CRM e automação: Salesforce, HubSpot, Pipedrive e similares: nome e e-mail do participante, detalhes da reunião e suas respostas às perguntas de agendamento.
• Webhooks e seu próprio servidor SMTP: você fornece o endpoint ou servidor de e-mail; ele recebe tudo o que os eventos que você escolheu receber contêm.

O que isso significa: esses são seus processadores, não os nossos. As políticas de privacidade deles se aplicam, e desconectar o app interrompe o fluxo. Não podemos excluir o que já está no seu CRM.

Informações de saúde (PHI)

Cal.com não é um produto de saúde, mas agendamentos podem conter informações de saúde: uma pergunta de admissão, um título de reunião, notas. Se você usa Cal.com para qualquer atividade regulada pela HIPAA, esses dados ficam protegidos apenas conforme o acordo por trás deles: tenha um BAA em vigor em go.Cal.com/BAA antes de coletá-los, e mantenha-os fora dos campos de agendamento que são copiados para apps de terceiros.

Por quanto tempo mantemos os dados

Para onde seus dados vão

Somos uma empresa dos EUA, e os dados são processados nos Estados Unidos. Alguns subprocessadores os processam em outros lugares. Para transferências do EEE ou do Reino Unido para os Estados Unidos, contamos com o EU-U.S. Data Privacy Framework e sua UK Extension quando aplicável, conforme descrito abaixo. Também usamos Cláusulas Contratuais Padrão quando apropriado, inclusive para transferências da Suíça. Se você precisa de residência de dados na UE, fale conosco em [email protected].

EU-U.S. Data Privacy Framework e UK Extension

Cal.com, Inc. cumpre o EU-U.S. Data Privacy Framework (EU-U.S. DPF) e a UK Extension ao EU-U.S. DPF conforme estabelecido pelo U.S. Department of Commerce. Cal.com, Inc. certificou ao Departamento que adere aos Princípios do EU-U.S. DPF para dados pessoais não relacionados a RH recebidos da União Europeia e do Espaço Econômico Europeu com base no EU-U.S. DPF, e do Reino Unido e Gibraltar com base na UK Extension. Este compromisso não cobre dados de RH de funcionários transferidos para uso em uma relação de emprego. Se esta política entrar em conflito com os Princípios do DPF, os Princípios prevalecem. Saiba mais sobre o programa e, assim que Cal.com aparecer na Lista do Data Privacy Framework, veja sua listagem em dataprivacyframework.gov.

Os dados abrangidos podem incluir nomes, endereços de e-mail, números de telefone, detalhes de conta e perfil, disponibilidade, detalhes de agendamento e reunião, respostas a perguntas de agendamento, informações de cobrança e suporte, e informações de site, dispositivo, uso e segurança. Os clientes podem configurar perguntas de agendamento que coletam dados sensíveis. Usamos dados abrangidos para fornecer serviços de agendamento e relacionados, gerenciar contas, reservas e pagamentos, comunicar-nos com usuários e participantes, fornecer suporte, proteger e melhorar o serviço, e realizar marketing quando permitido. Outras seções desta política descrevem esses dados e finalidades com mais detalhes.

Divulgamos dados abrangidos relevantes a prestadores de serviços e subprocessadores para hospedagem, armazenamento, e-mail e SMS, vídeo, pagamentos, suporte, análises, segurança e recursos opcionais, e a integrações selecionadas pelos clientes. Nosso Trust Center lista subprocessadores e suas finalidades. Também podemos divulgar dados pessoais quando exigido por lei. Segundo o Princípio de Responsabilidade por Transferência Subsequente do DPF, a Cal.com permanece responsável se um agente processar dados abrangidos de forma incompatível com os Princípios, a menos que a Cal.com prove que não foi responsável pelo evento que deu origem ao dano.

Indivíduos podem solicitar acesso aos dados abrangidos e nos pedir para corrigir, alterar ou excluir dados que estejam incorretos ou sejam processados em violação aos Princípios. Quando o Princípio de Escolha do DPF exigir, indivíduos podem recusar antes que dados abrangidos sejam divulgados a terceiros ou usados para uma finalidade materialmente diferente. Quando esse Princípio exigir consentimento afirmativo para informações sensíveis, nós o obteremos antes do uso ou divulgação relevante. Envie solicitações para [email protected]. Para dados de agendamento que processamos seguindo instruções de um cliente, coordenaremos com esse cliente para atender à solicitação.

Indivíduos da UE e do Reino Unido devem primeiro enviar dúvidas ou reclamações sobre o DPF para Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667. Felix Kolodziej, Líder de Compliance, também pode ser contatado em [email protected]. Responderemos a reclamações sobre o DPF em até 45 dias. Para reclamações não resolvidas sobre dados abrangidos, comprometemo-nos a cooperar com e cumprir a orientação do painel estabelecido pelas autoridades de proteção de dados da UE para dados da UE, e pelo UK Information Commissioner’s Office e pela Gibraltar Regulatory Authority para dados do Reino Unido e de Gibraltar. Esses mecanismos independentes de recurso estão disponíveis aos indivíduos gratuitamente.

Cal.com, Inc. está sujeita aos poderes de investigação e fiscalização da Comissão Federal de Comércio dos EUA em relação à sua conformidade com o DPF UE-EUA e a Extensão do Reino Unido. Em determinadas condições, indivíduos podem invocar arbitragem vinculante para reivindicações residuais sobre conformidade com o DPF. Podemos ser obrigados a divulgar dados cobertos em resposta a solicitações legais de autoridades públicas, inclusive para atender a requisitos de segurança nacional ou aplicação da lei.

Cookies

• No aplicativo: cookies para manter você conectado, lembrar preferências e garantir segurança. Sem cookies de publicidade de terceiros.
• No site de marketing: os cookies de análise e medição de anúncios listados acima. Você pode recusá-los.
• Respeitamos os sinais Global Privacy Control e Do Not Track.

Seus direitos

Onde quer que você more, você pode nos pedir para: acessar seus dados, corrigir eles, excluir eles, exportar eles, restringir ou se opor ao tratamento, ou retirar seu consentimento. Se você estiver na Califórnia, acrescente: saber o que coletamos, excluir esses dados, corrigi-los e recusar venda ou compartilhamento. Não vendemos nem compartilhamos seus dados, então não há nada a recusar. Se você estiver no EEE ou no Reino Unido, também pode reclamar com sua autoridade de proteção de dados.

A maior parte disso você resolve nas suas configurações. Caso contrário, envie um e-mail para [email protected] e responderemos em até 30 dias. Primeiro vamos pedir que você verifique sua identidade, e não vamos prejudicar você por fazer esse pedido.

Segurança

Criptografia em trânsito e em repouso, acesso com privilégio mínimo, SSO e 2FA, infraestrutura auditada e um programa de bug bounty. Detalhes e nossos relatórios atuais: cal.com/security. Nenhum sistema é perfeitamente seguro; se algo der errado, avisaremos os clientes afetados sem atraso desnecessário e de acordo com nosso DPA.

Alterações nesta política

Vamos publicar a nova versão aqui e atualizar a data de vigência. Para qualquer alteração relevante, como uma nova categoria de suboperador ou um novo uso de dados, enviaremos um e-mail antes que entre em vigor.

Contato

Encarregado de Proteção de Dados: [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos

Representante na UE (GDPR Art. 27): Felix Kolodziej, [email protected], endereço mediante solicitação

Todo o resto: [email protected]