Política de privacidade do Muveya

Última atualização: 21 de setembro de 2026.

Esta Política de privacidade explica como a Woku SpA trata dados pessoais ao prestar o Muveya. O Muveya é um produto da Woku, operado pela Woku SpA, que permite a clínicas e redes odontológicas gerenciar seu catálogo de insumos, seu estoque, seus pedidos internos e aprovações e a custódia das entregas entre suas unidades, com registro de quem fez o quê.

1. Quem somos e como entrar em contato

O controlador do Muveya é a Woku SpA, sociedade constituída no Chile, com sede em Calle 120 39 Dp 14 B, Hualpén, Chile 4600150 (nesta Política, "Woku", "nós" ou "nosso"). "Muveya" refere-se ao produto e aos serviços descritos nesta Política, e não a uma empresa distinta. Termos como Cliente, Organização, Clínica, Almoxarifado, Usuário e Plano são usados aqui com o significado dado nos Termos de serviço.

• Dúvidas gerais e suporte: [email protected]
• Privacidade, direitos sobre os dados e segurança: [email protected]

Quando um Cliente usa o Muveya para conduzir sua operação, esse Cliente determina as finalidades para as quais os dados pessoais de sua Organização são coletados e usados, como a atribuição de sua equipe nos registros operacionais e as referências de paciente que insere. Nesse caso, o Cliente é o controlador e a Woku trata esses dados em nome do Cliente como operadora, nos termos do Acordo de tratamento de dados. Quando tratamos dados para administrar contas, autenticação, segurança, suporte ou nosso próprio site, a Woku atua como controladora.

2. A quem e a quais serviços se aplica

Esta Política se aplica a:

• pessoas que visitam muveya.com;
• proprietários, administradores e membros de uma Organização no Muveya, e pessoas convidadas a participar de uma;
• pessoas que solicitam acesso, informações, suporte ou uma demonstração;
• pessoas cujos dados aparecem nos registros que um Cliente mantém no Muveya, como a equipe mencionada em pedidos, aprovações, entregas ou movimentações de estoque.

As organizações que usam o Muveya podem ter suas próprias políticas de privacidade. Se você trabalha para uma organização que usa o Muveya, ou recebe atendimento nela, consulte também o aviso de privacidade dessa organização.

3. Dados pessoais que tratamos

3.1 Conta, identidade e participação na Organização

Podemos tratar:

• nome, endereço de e-mail e idioma dos e-mails da conta;
• status de verificação do e-mail, método de login (senha ou Google) e provedor de identidade;
• participações, funções, permissões, acesso a Clínicas e Almoxarifados, convites e Organização ativa;
• data do último login.

Não armazenamos sua senha nem um hash dela no Muveya: a autenticação é gerenciada pelo nosso provedor de identidade, a Stytch.

Informações que recebemos do Google. Se você escolher Fazer login com o Google, recebemos do Google, por meio da Stytch, seu endereço de e-mail, se o Google o verificou e seu nome, se sua conta do Google o fornecer. O Muveya solicita apenas as permissões básicas openid, email e profile. Usamos essas informações apenas para autenticar seu acesso e para identificar ou criar sua conta do Muveya; se o Google não fornecer um nome, usamos como nome a parte do seu e-mail antes do "@". Não recebemos nem armazenamos tokens de acesso ou de atualização do Google, não chamamos outras APIs do Google e não usamos sua foto de perfil nem outras informações da sua conta do Google. A seção 7 explica como essas informações são usadas e compartilhadas.

3.2 Dados de segurança e técnicos

Podemos tratar endereço IP, agente de usuário, identificadores de sessão, carimbos de data e hora, registros de acesso, ações administrativas, erros, solicitações e sinais para prevenir fraude ou abuso.

Cada registro de sessão do console guarda o endereço IP e o agente de usuário a partir dos quais a sessão foi iniciada, para que as sessões possam ser reconhecidas e revogadas, até que a sessão expire. Para limitar as tentativas de login, armazenamos um hash que combina seu e-mail com a faixa de rede do seu endereço IP, e não o próprio endereço. As ações sensíveis em uma Organização ficam em registros de auditoria que identificam quem agiu, a ação, o recurso e o resultado.

O endereço IP também pode ser tratado temporariamente por nossos provedores de rede e hospedagem, em sistemas de segurança, em registros operacionais ou na limitação de solicitações.

3.3 Dados operacionais e Dados do Cliente

Um Cliente e seus Usuários podem criar ou enviar:

• fotos de embalagens de insumos que os Usuários decidem enviar para o cadastro assistido no catálogo e os campos propostos que revisam;
• nomes da Organização e de suas Clínicas, Almoxarifados e destinos de consumo;
• itens do catálogo, apresentações, códigos comerciais e seus emissores, categorias e custos;
• caixas de estoque com lote, números de série e datas de validade;
• movimentações de estoque, como recebimentos, consumos, transferências, ajustes e contagens, com o Usuário que as registrou e, nas correções, o motivo;
• pedidos internos, decisões de aprovação e seus comentários;
• confirmações de despacho, entrega e recebimento e suas observações;
• arquivos de catálogo importados em formato CSV.

O Cliente decide quais dados incluir. Ele não deve incluir dados pessoais ou sensíveis que não esteja autorizado a tratar. Custos, valores de pedidos e referências de paciente são removidos em nossos servidores antes que os dados cheguem a Usuários sem a permissão correspondente.

3.4 Referências de paciente e de atendimento

Um pedido interno pode conter uma referência de paciente, e uma saída de estoque pode conter uma referência de atendimento. Ambas são códigos opacos que o Cliente obtém de seus próprios sistemas clínicos ou de gestão; o Muveya não é um prontuário clínico. Nós as protegemos assim:

• são criptografadas campo a campo (AES-256-GCM) antes de serem armazenadas;
• são exibidas apenas a Usuários com permissão para ler referências de paciente;
• são excluídas dos registros da aplicação, das exportações, da API pública e do acesso MCP.

O Cliente não deve inserir nomes de pacientes, números de identificação nacional (como o RUT chileno), diagnósticos, prontuários ou outros dados identificadores ou clínicos nessas referências nem em nenhum campo de texto livre. A justificativa em texto livre de um pedido é verificada automaticamente contra padrões comuns de identificadores; os demais campos de texto livre, como comentários e observações, não são verificados.

3.5 Solicitações de acesso

Se você nos escrever para solicitar acesso ao Muveya, informações ou uma demonstração, tratamos as informações incluídas na sua mensagem, como seu nome, endereço de e-mail e organização, para responder e dar seguimento à sua solicitação. muveya.com não tem formulários de contato nem de captação de leads.

3.6 Sem dados de pagamento durante o piloto

Durante o piloto, o Serviço é gratuito. O Muveya não tem checkout, não coleta meios de pagamento e não recebe dados de cartão nem de faturamento. Se Planos pagos forem introduzidos, vamos anunciá-los com antecedência e atualizar esta Política antes de coletar qualquer dado de pagamento.

3.7 Suporte e comunicações

Tratamos o conteúdo de e-mails, solicitações, reuniões, respostas a pesquisas e outras mensagens que você nos enviar, junto com os dados necessários para responder e manter um registro da solicitação.

Também enviamos os e-mails de conta necessários para usar o Serviço: verificação do seu endereço de e-mail, inclusive ao aceitar um convite, configuração da sua primeira senha e convites para participar de uma Organização. Eles são enviados de [email protected] por meio do Amazon SES, no idioma da sua conta, e não incluem custos nem referências de paciente.

Esses e-mails são comunicações operacionais, não de marketing. Comunicações promocionais não vinculadas ao seu uso do Serviço exigem uma base legal e preferências separadas.

3.8 Análise de uso

Não usamos análise de produto, pixels de publicidade nem ferramentas de rastreamento de terceiros no console do Muveya nem em muveya.com. Se introduzirmos ferramentas de análise, primeiro atualizaremos esta Política e, quando a lei exigir, só as carregaremos após o seu consentimento.

O app Android usa o Google ML Kit para ler códigos de barras no dispositivo. O Google coleta informações técnicas do dispositivo, do app, da instalação, dos eventos do leitor, dos erros, da configuração e do desempenho para diagnóstico e análise de uso. As imagens da câmera do leitor são processadas no celular; as fotos de embalagens enviadas voluntariamente para o cadastro assistido seguem a seção 6. Consulte a declaração de dados do ML Kit.

4. De onde obtemos os dados

Obtemos dados:

• diretamente de você ou do Cliente que administra a Organização, inclusive quando ele envia um convite a você;
• de outros Usuários da Organização, quando registram operações das quais você participa;
• automaticamente de navegadores, dispositivos, sistemas de segurança e registros técnicos;
• do Google, por meio da Stytch, quando você escolhe fazer login com o Google;
• dos próprios sistemas do Cliente, quando ele insere referências ou importa arquivos, e de outras fontes que um Cliente nos instrua a tratar e para as quais declare ter autorização.

5. Para que e por que tratamos dados

A base legal exata depende do país e da relação. Quando a lei aplicável exige identificá-la, usamos as seguintes:

Quando nos baseamos no consentimento, você pode retirá-lo a qualquer momento, sem afetar a licitude do tratamento realizado antes.

6. Inteligência artificial

O Muveya pode ler fotos da embalagem de um insumo para propor campos do catálogo, como nome, marca, apresentação, lote e datas. Quando você escolhe esta função, enviamos as fotos, o código de barras escaneado se houver e o idioma da sua interface à OpenAI para gerar a proposta. Não adicionamos seu perfil de conta, outros registros da Organização nem referências de pacientes a essa solicitação. Fotografe apenas a embalagem, sem pessoas, receitas, etiquetas de pacientes ou outras informações pessoais ou clínicas.

• Não usamos Dados do Cliente para treinar nem ajustar modelos. A OpenAI não usa os dados da API para treinamento por padrão; consulte os controles de dados da API.
• A proposta pode conter erros. Você revisa e confirma os campos antes de salvar; o modelo não pode aprovar pedidos nem alterar o estoque.
• Guardamos de forma privada as fotos de embalagens enviadas para rastreabilidade, inclusive as enviadas antes de concluir o cadastro do insumo. Elas não são excluídas automaticamente após a resposta nem se você cancelar. Sua retenção e exclusão seguem a seção 10 e o DPA.
• A OpenAI pode reter as entradas e saídas conforme seus controles padrão de dados da API. O Muveya não promete retenção zero nem tratamento exclusivo no seu país.
• Alterações substanciais desta função ou de seus provedores seguem o processo de aviso da seção 15 e do DPA.

7. Com quem compartilhamos dados

Só podemos compartilhar dados quando necessário com:

1. Provedores de infraestrutura e operação. Incluem, conforme o serviço ativo e a função aplicável, Amazon Web Services (inclusive o Amazon SES para os e-mails de conta), MongoDB Atlas, Cloudflare, Stytch e OpenAI para a função de fotos da seção 6. O Anexo III do DPA identifica quais atuam como suboperadores dos Dados do Cliente e suas funções.
2. Login com o Google e leitor Android. Se você escolher fazer login com o Google, o Google recebe a solicitação de autenticação e compartilha com a Stytch e a Woku os dados descritos na seção 3.1. O Google também recebe os dados de diagnóstico do leitor Android descritos na seção 3.8 quando o app usa ML Kit.
3. O Cliente e seus Usuários. Dentro de uma Organização, os dados são exibidos aos seus Usuários conforme suas funções, permissões e acesso a Clínicas. Se o Cliente criar chaves de API, seus próprios sistemas podem ler os dados da Organização pela API somente leitura, dentro das permissões de cada chave.
4. Autoridades e assessores. Quando razoavelmente necessário para cumprir uma obrigação legal, proteger direitos, investigar abusos ou exercer ou defender direitos em processos.
5. Operações societárias. Em uma fusão, aquisição, financiamento, reorganização ou venda, sujeito a confidencialidade e à lei aplicável.

A Woku não vende dados pessoais nem os usa para publicidade comportamental.

Uso das informações recebidas do Google. Usamos as informações que recebemos do Google apenas para autenticar seu acesso e para identificar ou criar sua conta do Muveya. Não as usamos para publicidade, não as vendemos e não as transferimos a terceiros, exceto aos provedores que nos ajudam a prestar o Serviço (a Stytch e nossos provedores de hospedagem e banco de dados), quando necessário para cumprir a lei aplicável ou como parte de uma fusão, aquisição ou venda de ativos, com aviso a você. As pessoas da Woku não as leem, exceto quando você nos pede suporte, por motivos de segurança ou para cumprir a lei. Nós as guardamos enquanto sua conta existir, e você pode nos pedir que as excluamos, conforme descrito na seção 12. O uso e a transferência, pelo Muveya, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google (Google API Services User Data Policy), incluindo os requisitos de Uso Limitado (Limited Use).

8. Cookies, armazenamento local e tecnologias semelhantes

Usamos tecnologias diferentes conforme a superfície:

• Console: cookies estritamente necessários para uma sessão opaca (__Host-muveya_session, não legível por JavaScript) e para a proteção CSRF (__Host-muveya_csrf), além de um cookie temporário (__Host-muveya_google, por até 10 minutos) enquanto você faz login com o Google. Todos são Secure e SameSite=Strict. A sessão tem um limite absoluto de 30 dias desde o login e não expira por inatividade. O console também usa sessionStorage para continuar um login ou um convite e voltar à página solicitada, e localStorage para lembrar o idioma da interface.
• muveya.com: sem cookies de análise, publicidade ou rastreamento. O site pode definir um cookie funcional NEXT_LOCALE para lembrar seu idioma.
• Fazer login com o Google: durante o redirecionamento, nosso provedor de identidade e o Google podem definir seus próprios cookies, conforme suas políticas.

Esta seção é a nossa informação sobre cookies; não existe uma política de cookies separada. Você pode excluir cookies e dados do site a qualquer momento no seu navegador; sem os cookies estritamente necessários, não será possível fazer login no console.

9. Transferências internacionais

A Woku está localizada no Chile e usa provedores que operam nos Estados Unidos e em outras jurisdições. Por isso, os dados podem ser tratados fora do país onde você reside.

Quando a lei aplicável exige, usamos mecanismos reconhecidos, como decisões de adequação, cláusulas contratuais-padrão, aditivos de transferência e medidas complementares técnicas ou organizacionais. A lista pública de provedores no Anexo III do DPA identifica as localizações relevantes de cada serviço; os serviços de rede e segurança podem tratar tráfego em uma rede global.

10. Por quanto tempo guardamos os dados

Guardamos os dados apenas pelo tempo necessário para as finalidades descritas, para cumprir a lei, resolver disputas e fazer cumprir nossos acordos.

Quando um dado precisar ser guardado por obrigação legal ou para a defesa em processos, ele será restrito a essa finalidade. Encerrar o piloto ou deixar de usar o Serviço não exclui, por si só, uma Organização nem uma conta; para solicitar a exclusão, escreva para nós conforme descrito na seção 12.

11. Segurança

Aplicamos medidas técnicas e organizacionais proporcionais ao risco no serviço de produção em operação. Essas medidas incluem:

• criptografia em trânsito nas interfaces controladas pela Woku e criptografia em repouso gerenciada pelos provedores;
• sessões opacas e revogáveis armazenadas como hash;
• controle de acesso por função e permissão, com acesso que pode ser limitado a Clínicas específicas, e isolamento entre Organizações que nega o acesso por padrão;
• criptografia em nível de campo das referências de paciente e de atendimento;
• remoção no servidor de custos, valores de pedidos e referências de paciente para Usuários sem permissão;
• armazenamento privado de arquivos e links de download assinados de curta duração;
• segredos gerenciados fora do código;
• limites para tentativas de login e para a frequência de solicitações à API pública;
• um segundo fator de autenticação opcional com um aplicativo autenticador;
• registros da aplicação que ocultam credenciais, cookies, corpos de solicitações, custos e referências de paciente.

Nenhum sistema é infalível. Se você detectar uma vulnerabilidade ou um possível incidente, escreva para [email protected] e evite incluir dados pessoais desnecessários na primeira mensagem.

Quando a Woku atua como controladora e uma violação de segurança representa um risco que deve ser comunicado, notificaremos as pessoas afetadas e as autoridades competentes sem demora indevida e dentro dos prazos da lei aplicável. A comunicação descreverá a natureza conhecida, as consequências prováveis, as medidas adotadas e o canal de contato, e poderá ser feita em etapas se a investigação continuar.

12. Seus direitos

Dependendo da sua jurisdição, você pode ter o direito de:

• saber se tratamos seus dados e acessá-los;
• corrigir dados inexatos ou incompletos;
• solicitar a exclusão, o bloqueio ou a limitação;
• opor-se a determinados tratamentos;
• retirar o consentimento;
• receber seus dados em formato portável, quando aplicável;
• não ser submetido a uma decisão baseada exclusivamente em tratamento automatizado com efeitos jurídicos ou semelhantes, quando a lei a limitar;
• apresentar uma reclamação à autoridade competente.

Para exercer um direito sobre sua conta ou muveya.com, incluindo a exclusão da sua conta e das informações recebidas do Google, escreva para [email protected]. Podemos solicitar informações razoáveis para verificar sua identidade e proteger outras pessoas. Confirmaremos o recebimento e informaremos o prazo esperado sem demora indevida; responderemos dentro do prazo aplicável na sua jurisdição. O Muveya não oferece exportação nem exclusão de contas por autoatendimento: uma pessoa da Woku atende cada solicitação à mão nos sistemas subjacentes, por isso, quando uma solicitação exigir extrair ou remover registros, explicaremos em que consiste esse trabalho manual e manteremos você informado até a conclusão.

Se sua solicitação se referir a dados mantidos na Organização de um Cliente, como seus registros como membro da equipe de uma clínica ou uma referência de paciente, entre em contato primeiro com esse Cliente. Se você nos escrever, encaminharemos ou apoiaremos a solicitação conforme as instruções e obrigações do Cliente responsável, sem revelar dados de outra Organização.

Atualmente, rege no Chile a Lei nº 19.628. As alterações da Lei nº 21.719, incluindo novas regras e direitos, entram em vigor em 1º de dezembro de 2026; redigimos esta Política considerando esse marco reforçado.

13. Menores e dados de alto risco

O Muveya é um serviço para empresas e não é direcionado a menores de 18 anos. Os Clientes não devem inserir dados identificadores ou clínicos de pacientes de nenhuma idade além das referências opacas descritas na seção 3.4, nem coletar deliberadamente dados de menores ou de categorias sensíveis sem base legal adequada, controles e acordo específico. Se você acredita que recebemos dados de um menor sem autorização, escreva para [email protected].

14. Links e serviços de terceiros

muveya.com e o console podem conter links ou integrações com serviços de terceiros, como Fazer login com o Google. Suas políticas e práticas pertencem a esses terceiros. Consulte as informações deles antes de fornecer dados.

15. Alterações nesta Política

Podemos modificar esta Política para refletir mudanças no Serviço, nos provedores ou na legislação. Publicaremos a versão e a data atualizadas. Quando uma mudança material afetar negativamente seus direitos, avisaremos com pelo menos 30 dias de antecedência por e-mail ou no Serviço, salvo se uma obrigação legal, de segurança ou de emergência exigir agir antes. Pediremos consentimento adicional quando a lei exigir.

16. Contato e reclamações

• Privacidade e exercício de direitos: [email protected]
• Dúvidas gerais: [email protected]
• Correspondência: Woku SpA, Calle 120 39 Dp 14 B, Hualpén, Chile 4600150

Se não estiver satisfeito com nossa resposta, você pode recorrer à autoridade de proteção de dados ou ao tribunal competente da sua jurisdição.