O que este guia é, e o que não é
Este artigo traz informações gerais sobre o Regulamento Geral sobre a Proteção de Dados da União Europeia, o RGPD (GDPR, na sigla em inglês), e sobre como ele costuma se aplicar a pequenos negócios que trabalham com agendamento. Não é orientação jurídica e não cobre a sua situação específica. As leis nacionais acrescentam regras próprias, como a LOPDGDD na Espanha, e as autoridades de proteção de dados publicam orientações que podem mudar com o tempo.
Se você lida com informações sensíveis, tem funcionários, atende clientes de outros países ou simplesmente quer ter certeza, fale com um profissional qualificado em proteção de dados ou com um advogado. Muitas associações profissionais e câmaras de comércio também oferecem modelos e orientação aos associados. No Brasil existe uma lei própria, a LGPD, com princípios parecidos, mas regras e autoridade diferentes. Use este guia para entender o vocabulário e preparar perguntas mais certeiras, não como substituto de apoio profissional.
Por que isso importa para um salão, uma clínica ou um coach? Porque todo agendamento envolve dados pessoais: nome, telefone, e-mail, histórico de atendimentos e, às vezes, anotações sobre preferências ou saúde. O RGPD vale para tudo isso, esteja guardado em um software, numa planilha, numa agenda de papel ou numa conversa de WhatsApp no seu celular.
Colete só o necessário, com um motivo claro
Um dos princípios centrais do RGPD é a minimização dos dados: colete apenas os dados pessoais de que você realmente precisa para uma finalidade específica. Para um agendamento, isso normalmente é o nome, uma forma de contato e o serviço solicitado. Pedir data de nascimento, endereço residencial ou número de documento "por via das dúvidas" aumenta sua responsabilidade sem ajudar em nada o atendimento.
Todo uso de dados pessoais precisa de uma base legal. Para receber e gerenciar um agendamento, os negócios costumam se apoiar no fato de o tratamento ser necessário para prestar o serviço que o cliente pediu, o que o RGPD chama de execução de contrato. Enviar marketing, newsletters ou ofertas promocionais é outra finalidade e geralmente exige um consentimento separado, que o cliente pode recusar sem perder o seu horário.
Mantenha as finalidades separadas também na prática. Um telefone informado para receber lembretes de agendamento não deve ir parar automaticamente numa lista de transmissão promocional. Faça do consentimento para marketing uma opção à parte, que vem desmarcada, registre quando e como ele foi dado e torne a retirada tão fácil quanto a concessão. Essa separação clara preserva a confiança dos clientes e deixa seus registros mais fáceis de explicar.
Dados de saúde e outras informações sensíveis
O artigo 9 do RGPD define categorias especiais de dados pessoais, entre elas os dados relativos à saúde. Para fisioterapeutas, psicólogos, nutricionistas, dentistas e profissionais parecidos, o simples fato de alguém ter agendado um tratamento, junto com anotações sobre sintomas ou condições, pode ser um dado de saúde. Tratar esses dados é proibido em regra, a menos que se aplique uma exceção específica, o que torna o cuidado redobrado essencial.
Mesmo fora da área da saúde, aparecem detalhes sensíveis: uma alergia anotada pela esteticista, uma lesão comentada com o personal trainer ou uma gravidez registrada antes de uma massagem. Pergunte a si mesmo se você realmente precisa registrar isso, quem pode ver e como essa informação está protegida. Se precisar guardá-la, informe-se com um profissional sobre qual base legal e quais salvaguardas se aplicam à sua atividade.
Algumas medidas práticas ajudam, independentemente dos detalhes jurídicos: restrinja quem pode abrir as anotações dos clientes, evite escrever informações sensíveis nos comentários do agendamento ou em mensagens de chat, use senhas fortes e verificação em duas etapas quando disponível e não deixe aparelhos compartilhados desbloqueados. Profissionais de saúde costumam ter deveres adicionais de registro e de ética profissional, então uma ferramenta de agendamento não deve ser tratada como sistema de prontuário.
Fornecedores de software, retenção e direitos dos clientes
Quando uma empresa de software armazena ou trata dados de clientes em seu nome, ela normalmente atua como operadora, e o artigo 28 do RGPD exige um contrato por escrito, muitas vezes chamado de DPA, que define o que ela pode fazer com esses dados. Antes de escolher ferramentas de agendamento, e-mail ou mensagens, leia a política de privacidade de cada fornecedor, pergunte se ele oferece um contrato de tratamento de dados e verifique onde os dados ficam armazenados e quais suboperadores estão envolvidos. Se um fornecedor trata dados fora da UE/EEE, pergunte qual garantia de transferência se aplica, como uma decisão de adequação ou cláusulas contratuais-padrão.
Decida por quanto tempo você guarda os dados e por quê. Os registros de atendimento podem ser necessários por um tempo para contabilidade, eventuais disputas ou acompanhamento, mas não para sempre. Defina prazos de retenção por tipo de dado, deixe-os por escrito e apague ou anonimize os registros de clientes inativos quando o prazo terminar. Lembre-se das cópias antigas em planilhas, anexos de e-mail e celulares, que são fáceis de esquecer.
Os clientes têm direitos sobre os próprios dados, entre eles o acesso, a retificação, o apagamento em muitos casos, a limitação, a oposição e a portabilidade. Prepare um processo simples: quem recebe os pedidos, como você confirma a identidade e como encontra os dados do cliente nas suas ferramentas. Em geral, a resposta deve ser dada em até um mês. Conseguir localizar e apagar as informações de um cliente no seu sistema de agendamento facilita muito esse trabalho.
Informe o cliente com clareza no agendamento
O RGPD exige transparência: as pessoas precisam saber quem está coletando seus dados, por quê, com qual base, quem os recebe, por quanto tempo são guardados e como exercer seus direitos. Para negócios com agendamento, o momento natural é o próprio agendamento. Um aviso curto ao lado do formulário, com link para a sua política de privacidade completa, resolve a maioria das situações.
Escreva a política de privacidade em linguagem simples e de acordo com o que você realmente faz. Cite as ferramentas que usa para agendamento, lembretes e mensagens e evite copiar um modelo cheio de atividades que você não realiza. Revise o texto sempre que adotar uma nova ferramenta, começar a enviar um novo tipo de mensagem ou mudar o tempo de guarda das informações.
Seu sistema de agendamento faz parte desse cenário, mas a responsabilidade pelos dados dos seus clientes continua sendo do seu negócio. O SkedEz, como qualquer fornecedor, publica sua própria política de privacidade e seus termos, que você deve ler antes de decidir; se precisar, pergunte se o fornecedor oferece um contrato de tratamento de dados. Seja qual for a ferramenta, combine os recursos dela com os seus próprios hábitos e, na dúvida, peça a um profissional de proteção de dados que revise sua configuração.