Aviso de privacidade

Quem trata os dados

Cada clínica que usa a plataforma é a controladora dos dados dos pacientes dela: é ela quem decide para que os usa, e é com ela que o paciente fala para pedir acesso, correção, portabilidade ou exclusão. O contato do encarregado de cada clínica está na política de privacidade dela.

A Orbe Agência de Marketing Ltda, CNPJ 48.663.423/0001-18, com sede em Goiânia/GO, é a operadora: guarda e processa esses dados em nome da clínica, conforme o contrato de tratamento com ela, e não os usa para finalidade própria.

A Orbe é controladora apenas do que precisa para manter o serviço: o cadastro e o e-mail de quem usa o sistema, os registros de acesso e as métricas de consumo. Trata esses dados para cumprir o contrato com a clínica, manter a plataforma segura e cumprir a lei, inclusive a guarda dos registros de acesso exigida pelo Marco Civil da Internet (Lei 12.965/2014, art. 15).

O encarregado pelo tratamento de dados pessoais da Orbe é Gabriel Vaz Silva Ribeiro, que atende pelo e-mail orbe.cmc@gmail.com.

Os dados que chegam da Meta ao aplicativo Ligare (antigo Orbe Clinix) — da conta do Facebook de quem entra com ela, das Páginas, dos perfis do Instagram e das contas de anúncio conectados — são usados só em nome e por instrução da clínica que os conectou. Perante a Meta, quem responde por esses dados é a Orbe, dona do aplicativo. Os dados de cada clínica ficam separados dos de todas as outras.

O identificador e o e-mail da conta Google de quem vincula o login são parte do cadastro de quem usa o sistema, de que a Orbe é controladora. Os dados que chegam do Perfil de Empresa e do Google Ads, quando a clínica os conecta, são usados só em nome e por instrução da clínica que os conectou. Em ambos os casos, só para o que está descrito na seção sobre o Google abaixo.

O que a plataforma guarda

• cadastro do paciente, agenda e confirmações de consulta;
• prontuário, evoluções, anexos e documentos clínicos;
• conversas de WhatsApp entre o paciente e a clínica;
• orçamentos e o acompanhamento comercial deles;
• lançamentos financeiros e extratos bancários que a clínica importa;
• consentimentos — o de ser atendido e, separado dele, o de receber campanhas — e os pedidos para não receber mensagens;
• termos e anamneses que o próprio paciente assina pelo link: o texto lido, a data e a hora, o IP, o aparelho e uma foto do rosto, tirada na hora pela câmera do celular, como prova da assinatura. A foto é dado biométrico (LGPD, art. 11): fica só dentro do documento assinado, sem a localização do aparelho, e é guardada pelo mesmo prazo dele.Ela serve para garantir que foi o próprio paciente quem assinou (art. 11, II, "g": prevenção à fraude e segurança do titular na identificação em sistema eletrônico); na autorização de campanhas, a base é o próprio consentimento, dado na mesma assinatura;
• de quem usa o sistema: nome, e-mail, papel, registro profissional e o registro de cada acesso.

A Orbe usa apenas métricas agregadas, como quantidade de mensagens, de agendamentos e de uso de cada recurso, para operar e melhorar a plataforma. Elas não incluem conteúdo clínico e não identificam pacientes.

Entrar com Facebook e as contas da Meta

Quem trabalha na clínica, ou na Orbe, pode entrar com o botão Entrar com Facebook. A janela da Meta mostra cada permissão pedida e deixa escolher quais Páginas, perfis do Instagram, contas de anúncio e portfólios o aplicativo Ligare (antigo Orbe Clinix) pode usar. Da conta do Facebook guardamos o nome, o e-mail e o identificador da pessoa no aplicativo. O e-mail é o login: é por ele que a conta da Ligare é encontrada, e nenhuma conta é criada sem convite da clínica. O token de acesso fica cifrado, só no servidor.

Das contas que a clínica conecta, a plataforma trata:

• Páginas do Facebook e perfis profissionais do Instagram: os posts criados e aprovados no sistema e publicados por ele, a lista de posts com curtidas e comentários, o alcance e as visualizações de cada post;
• comentários nos posts, avaliações da Página e posts em que ela foi marcada, para a clínica responder, curtir, ocultar ou excluir;
• conversas do Messenger e do Instagram Direct com quem escreve para a clínica — preço, convênio, horário, procedimentos oferecidos e agendamento. Uma triagem automática por regras fixas responde primeiro e passa para uma pessoa da equipe; a triagem não usa inteligência artificial e não dá orientação de saúde;
• comentários e respostas a stories que a clínica escolher podem gerar uma mensagem automática no Instagram Direct, com links ou opções para continuar. A mensagem sai por regras fixas, não usa inteligência artificial e não dá orientação de saúde; comentário sobre assunto de saúde não recebe mensagem automática. Quem responder "parar" deixa de receber essas mensagens. Para isso a clínica guarda o identificador e o nome de usuário da pessoa no Instagram e o registro do que foi enviado, e pode criar um contato no sistema a partir da conversa;
• contas de anúncio: investimento, alcance, resultados e custo por resultado das campanhas, e as campanhas criadas pelo sistema, sempre por ação de alguém da clínica ou da Orbe;
• o portfólio empresarial: os ativos dele, o acesso da Orbe a esses ativos e as pessoas com permissão em cada um.

Mensagens e comentários chegam em tempo real, pela assinatura que a plataforma faz em cada Página conectada (webhook). O aviso que a Meta manda a cada mensagem ou comentário fica guardado por 30 dias, para conferir a entrega, e depois é apagado.

Entrar com Google e as contas do Google

O Entrar com Google já está disponível para quem tem acesso à Ligare. O Perfil de Empresa e o Google Ads só tratam dado de uma clínica depois que a administração dela os conecta, em Configurações, e param quando ela desconecta. Enquanto o Google não conclui a análise do aplicativo da Ligare, a conexão do Perfil de Empresa e do Google Ads só funciona para as contas de teste da Orbe. Nenhum dado de paciente é enviado ao Google por estas integrações: nem lista de pacientes, nem nomes, telefones, e-mails, conversas ou prontuário.

A Ligare usa o Google de duas formas, com dois aplicativos separados no Google Cloud: o login, que pede só a identidade da conta, e a conexão das contas da clínica, que pede acesso ao Perfil de Empresa e ao Google Ads.

Entrar com Google

Quem já tem acesso à Ligare pode vincular a própria conta do Google em Perfil e, depois, entrar com ela. O login pede só os escopos openid e email: lemos o identificador da conta no Google e o e-mail dela, e mais nada — nem nome, nem foto, nem contatos, nem arquivos. O identificador serve para reconhecer a pessoa que já vinculou a conta; o e-mail é guardado só para a tela mostrar qual conta está vinculada. O Entrar com Google nunca cria conta: quem não tem acesso à Ligare, por convite da clínica, não entra. A pessoa desfaz o vínculo quando quiser, em Perfil.

Perfil de Empresa Google e Google Ads

Quem administra a clínica pode conectar o Perfil de Empresa Google e o Google Ads da clínica, em Configurações. A autorização é dada na janela do Google, com a conta da própria pessoa. Cada conexão pede o escopo do seu produto, além de openid e email, que identificam a conta do Google usada:

• https://www.googleapis.com/auth/business.manage, para o Perfil de Empresa;
• https://www.googleapis.com/auth/adwords, para o Google Ads.

O Perfil de Empresa é lido e também editado, só quando uma pessoa da administração da clínica pede, na tela Perfil de Empresa (em Marketing): ela vê o que vai mudar, confirma, e só então a plataforma envia a mudança ao Google. No Google Ads, além de ler, a plataforma cria e altera campanhas, mas só quando uma pessoa da administração da clínica pede e confirma na tela: criar uma campanha de pesquisa (que nasce pausada e só gasta quando a administração a ativa em outro clique), ativar, pausar e mudar o orçamento diário de uma campanha. A plataforma nunca apaga campanha. Essas escritas no Google Ads só funcionam depois que a Orbe as libera na instalação, o que depende do nível de acesso à API concedido pelo Google; enquanto não liberadas, a plataforma só lê o Google Ads e nada é enviado. O que a administração escreve no anúncio (títulos, descrições, palavras-chave, endereço da página e telefone) é enviado ao Google para criar o anúncio, e não é guardado pela plataforma além do registro da ação, que guarda só os nomes dos campos mudados e identificadores. Anúncio de saúde passa pela análise do Google e pode ser limitado ou reprovado. Tudo é mostrado à equipe da clínica, na tela da administração.

Gestor de tráfego no Google Ads

O Gestor de tráfego, recurso de inteligência artificial da Ligare, também trabalha com o Google Ads da clínica, sempre dentro do que a administração permite:

• Planeja e propõe. Lê o histórico diário das campanhas que a plataforma já guardou, sem chamar o Google, para montar o plano de anúncios e propor pausar uma campanha ou mudar o orçamento. Nada disso muda o Google sozinho: a administração aplica a proposta com um clique.
• Cria só a pedido. Quando a administração pede, cria no Google a campanha de pesquisa do plano aprovado, sempre pausada. O texto do anúncio é escrito por inteligência artificial a partir do nome do procedimento e da cidade da clínica, conferido pelo sistema e enviado ao Google; ativar continua sendo um clique da administração.
• Age sozinho só com autorização própria. Se a administração autorizar a autonomia no Google Ads, depois de autorizar a do Gestor com ao menos um limite de gasto, o Gestor pode pausar uma campanha ou subir o orçamento diário (até 20% de uma vez, no máximo duas mudanças por dia, dentro dos limites de gasto definidos), e apenas nas campanhas que ele mesmo criou e que uma pessoa da administração ativou. Ele nunca cria, ativa nem apaga campanha sozinho. Antes de escrever, a plataforma relê a campanha no Google e confere os limites; cada análise e cada mudança fica no registro da clínica, com a pessoa que autorizou, o dia, os números e o motivo, sem texto de anúncio. A administração retira a autorização a qualquer momento, e a autonomia se desliga sozinha se o Google recusar as mudanças ou a conexão precisar ser refeita.

O que cada conexão lê:

• Perfil de Empresa: as contas do Perfil a que a pessoa tem acesso e os locais de cada uma, com nome, descrição, endereço, telefones, horário de funcionamento e horários especiais, site, categorias, atributos e situação, as fotos do perfil, a nota média e o total de avaliações e as métricas diárias de um local nos últimos 30 dias. Para obter a nota e o total, a plataforma pede ao Google uma página de avaliações, e por isso uma avaliação inteira (texto e nome de quem avaliou) chega ao servidor na resposta; a plataforma usa só a nota e o total e descarta o resto na hora, sem gravar nem mostrar. Esses dados são mostrados na tela e não são gravados. O que fica gravado é só o vínculo entre o local e a unidade da clínica, com o título do local. Nenhuma avaliação, métrica nem texto de cliente é guardado;
• Google Ads: as contas do Google Ads a que a pessoa tem acesso, inclusive as contas filhas de uma conta gerente, quando a conta gerente é usada, e o relatório diário de cada campanha: identificador e nome da campanha, situação, data, custo, impressões, cliques e conversões. Esses números são gravados por clínica, para a administração ver o histórico das campanhas e para o Gestor de tráfego trabalhar. Quando o Gestor cria uma campanha, a plataforma também guarda o registro dela: o nome do procedimento, o identificador no Google, o orçamento diário, a situação e quem criou e ativou, sem o texto do anúncio.

O que a plataforma escreve no Perfil de Empresa, sempre por ação de uma pessoa da administração e depois da confirmação dela na tela: nome, descrição, categorias, telefones, site, endereço, horário de funcionamento e horários especiais, atributos, situação e data de abertura, e fotos (enviar e remover). O texto digitado e as fotos são enviados ao Google no momento da confirmação e não ficam guardados na plataforma: as fotos passam pela memória do servidor, sem cópia em disco ou em armazenamento. Cada edição fica na trilha de auditoria da clínica com a pessoa, o dia e os campos mexidos, nunca o texto nem a foto. A plataforma não responde avaliações, não publica posts e não escreve em nome do cliente da clínica. Toda escrita no Google acontece por ação de uma pessoa da administração da clínica, depois de uma confirmação dela na tela. A única exceção é a autonomia do Gestor no Google Ads, descrita acima, que a administração autoriza antes e pode retirar quando quiser. Este aviso é atualizado antes de qualquer escrita nova. O identificador e o e-mail da conta do Google servem para mostrar qual conta está conectada. Os dados de cada clínica ficam separados dos de todas as outras e não entram na rede de aprendizado entre clínicas: nenhum dado do Perfil nem do Google Ads de uma clínica é usado para orientar outra.

A plataforma guarda o token de atualização, cifrado, para não pedir a autorização a cada uso. O token de acesso, que dura cerca de uma hora, existe só na memória do servidor e nunca é gravado. Cada chamada ao Google fica num registro técnico com o produto, o método, o endereço sem parâmetros e o resultado, sem token, sem conteúdo enviado e sem a resposta. Esse registro é apagado depois de 90 dias.

Declaração de uso limitado

O uso e a transferência, pela Ligare para qualquer outro aplicativo, das informações recebidas das APIs do Google seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use).

Ligare's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

Na prática, para os dados recebidos das APIs do Google:

• são usados só para oferecer à clínica as funções descritas acima, que aparecem na tela da conexão;
• não são vendidos;
• não são usados para publicidade, nem para criar perfis de pessoas;
• não são usados para treinar modelos de inteligência artificial;
• não são usados para avaliar crédito nem para decidir sobre empréstimo;
• não são transferidos a terceiros, salvo para prestar o serviço à própria clínica ou para cumprir a lei. Os terceiros que participam são os da lista de fornecedores abaixo, e do Google Ads só vão a um provedor de inteligência artificial números agregados de uma campanha do Gestor de tráfego (custo, resultados e dias no ar), sob contrato de operador e sem uso para treinar modelos. Os dados do Perfil de Empresa e o e-mail da conta do Google não vão a nenhum provedor de inteligência artificial. O texto do anúncio que o próprio Gestor cria, a partir do nome do procedimento e da cidade, passa pela inteligência artificial para ser escrito e revisado antes de ir ao Google;
• nenhum dado de paciente é enviado ao Google por estas integrações;
• nenhuma pessoa da Orbe os lê, salvo a pedido da clínica, para suporte, com a autorização dela, para apurar abuso ou segurança, ou por obrigação legal.

Campanhas e como sair

Mensagem de divulgação — promoção, novidade, convite de retorno — sai pelo canal oficial, por modelo aprovado pela Meta. A autorização para campanhas é um termo separado do de atendimento e é opcional: quem se descadastrou, ou está sem telefone cadastrado, fica fora de todo disparo, e a plataforma recusa o envio. Para escolher o que enviar, a clínica pode usar os procedimentos que a pessoa fez.

Para sair, basta responder SAIR ou PARAR a qualquer mensagem, ou pedir à clínica. O pedido vale na hora, inclusive no meio de uma campanha já montada, e não afeta as mensagens sobre as suas consultas.

Nenhuma lista de pacientes é enviada à Meta para montar público de anúncio.

Inteligência artificial

Os recursos de inteligência artificial — o assistente virtual (SDR) que atende no WhatsApp, a sugestão de objeção do paciente e o rascunho de mensagem — processam dados das conversas da clínica. Eles estão disponíveis para todas as clínicas, e a Orbe garante o contrato de operador com cada provedor de IA.

O Gestor de tráfego usa inteligência artificial para escrever a leitura da semana e o texto dos anúncios e para decidir se uma otimização já liberada pelas regras deve ser feita agora ou esperar. Ele recebe só totais e nomes do catálogo da clínica; no Google Ads, os números agregados de uma campanha (custo, resultados e dias no ar) e o valor da mudança, nunca dado de paciente. O sistema escolhe a campanha e o valor, confere a resposta e é quem escreve no Google. A inteligência artificial só decide fazer agora ou esperar, e confirma o passo a executar. Também lê, nas conversas, o áudio e a foto que o paciente manda no WhatsApp (o áudio só pelo Google, quando a clínica o habilita; a foto de corpo ou de saúde nunca é interpretada).

• a IA não lê o prontuário e não recebe CPF, telefone, e-mail, data de nascimento nem endereço;
• o nome do paciente é trocado por um marcador antes do envio, e essa troca não é perfeita: apelido, nome de outra pessoa citada na conversa e documento digitado na mensagem passam;
• os dados enviados não são usados para treinar modelos de IA;
• o assistente virtual se apresenta como assistente virtual, não responde perguntas clínicas, não marca horário e passa a conversa para a equipe da clínica, que pode assumir a qualquer momento.

Com quem o dado é dividido

• Hostinger, o servidor onde a plataforma roda, no Brasil: sistema, banco de dados, arquivos e automações. O servidor é compartilhado com outro sistema da mesma empresa, o Orbe Insights.
• Cloudflare (R2), onde fica a cópia de segurança fora do servidor: o banco inteiro, cifrado com uma chave que só a Orbe tem, e os arquivos anexados, como fotos e documentos, cifrados pela própria Cloudflare. Trata o dado fora do Brasil.
• Meta (Facebook, Instagram, Messenger e WhatsApp Business), para enviar e receber as mensagens da clínica, publicar e moderar nas contas dela e mostrar os anúncios. As contas da Meta — Páginas, perfis do Instagram, contas de anúncio e WhatsApp Business — são todas da própria clínica. Trata o dado fora do Brasil.
• Google (Entrar com Google, Perfil de Empresa e Google Ads), para reconhecer quem entra com a conta do Google e, quando a clínica conecta, usar o Perfil de Empresa e o Google Ads da própria clínica. As contas do Google — Perfil e Google Ads — são todas da própria clínica. Trata o dado fora do Brasil.
• Resend, para os e-mails do sistema, como links de acesso e avisos. Recebe o e-mail de quem usa o sistema, e não dado clínico. Trata o dado fora do Brasil.
• Sentry, para o registro de erros técnicos da plataforma. Recebe o erro sem o corpo da requisição, cookies ou cabeçalhos, com o identificador da clínica. Trata o dado nos Estados Unidos.
• Anthropic, provedor de inteligência artificial: recebe trechos das conversas do WhatsApp, inclusive as que o assistente virtual (SDR) atende, com o procedimento e o valor do orçamento e, no assistente virtual, o catálogo de preços. Quando a clínica importa um extrato bancário em PDF, recebe o extrato inteiro para ler os lançamentos, com o nome e, se o banco imprimir, o CPF de quem pagou ou recebeu. Também lê a foto que o paciente manda no WhatsApp (comprovante, anúncio, documento) e recebe os números agregados do Gestor de tráfego descritos acima. Trata o dado nos Estados Unidos.
• Google, provedor de inteligência artificial: recebe trechos das conversas do WhatsApp, inclusive as que o assistente virtual (SDR) atende, com o procedimento e o valor do orçamento e, no assistente virtual, o catálogo de preços. Quando a clínica importa um extrato bancário em PDF, recebe o extrato inteiro para ler os lançamentos, com o nome e, se o banco imprimir, o CPF de quem pagou ou recebeu. É também o único que transcreve o áudio que o paciente manda no WhatsApp, quando a clínica habilita a leitura de áudio. Cada instalação usa um provedor de IA por vez para o texto. Este serviço é independente da integração com o Perfil de Empresa e o Google Ads: dessas contas, só os números agregados do Gestor, descritos acima, podem chegar a ele, e só se ele for o provedor em uso. Trata o dado fora do Brasil, em qualquer país onde o Google mantenha instalações.

Não recebem dado pessoal de pacientes: o Better Stack, monitor externo de disponibilidade, que só acessa endereços públicos, recebe um sinal de funcionamento sem conteúdo e guarda por 30 dias uma cópia do registro técnico da plataforma, da qual saem antes o nome, o CPF, o e-mail, o telefone, o IP e o identificador de cada pessoa; e o serviço de repositório de código. O armazenamento de arquivos roda dentro do servidor da Orbe.

A transferência para fora do Brasil segue o art. 33 da LGPD. A Orbe avisa a clínica com 15 dias de antecedência antes de incluir ou trocar um desses fornecedores.

Como o dado é protegido

• banco e arquivos ficam num volume cifrado, com a chave fora do servidor;
• uma clínica não enxerga o dado de outra: o isolamento é feito pelo próprio banco;
• o acesso é individual, com verificação em duas etapas obrigatória para a equipe da Orbe e oferecida, com aviso permanente, a quem administra a clínica e a quem atende pacientes;
• toda leitura de prontuário e todo acesso excepcional ficam registrados;
• credenciais de terceiros ficam cifradas, e toda chamada à Meta sai do servidor com a prova do segredo do aplicativo.

Quando a Orbe acessa os dados da clínica

A Orbe entra no ambiente de uma clínica só para prestar suporte pedido por ela, corrigir falha, fazer a implantação, responder a incidente, gerir os recursos contratados ou cumprir ordem legal. Cada entrada exige segundo fator e um motivo escrito, que fica na trilha de auditoria que a administração da clínica consulta.

Pela plataforma, quem opera pela Orbe não vê o prontuário, os documentos clínicos nem o conteúdo das mensagens de WhatsApp. Quem administra o servidor tem acesso técnico ao banco de dados, que não passa pela trilha da plataforma: esse acesso é usado só para manutenção, cópia de segurança e resposta a incidente, com registro interno do motivo e termo de sigilo de cada pessoa.

Incidentes

Diante de qualquer incidente de segurança, confirmado ou suspeito, a Orbe avisa a clínica em até 24 horas, sem esperar o fim da apuração. Cabe à clínica, como controladora, comunicar a Autoridade Nacional de Proteção de Dados e os pacientes afetados quando a lei exige, e a Orbe entrega a ela as informações para isso.

Por quanto tempo

• prontuário e documentos clínicos: 20 anos, como exigem a Resolução CFM 1.821/2007 e a Lei 13.787/2018, mesmo depois do encerramento do cadastro;
• termos e anamneses assinados pelo link, com a foto do rosto de quem assinou: o mesmo prazo do prontuário e dos documentos clínicos;
• no encerramento do cadastro, somem a identificação, as conversas e o que não é obrigação legal;
• dados vindos da Meta: enquanto a conta estiver conectada. Desconectar apaga na hora;
• dados vindos do Google: o vínculo do Entrar com Google dura até a pessoa desfazê-lo; a conexão do Perfil de Empresa e do Google Ads, enquanto estiver conectada. Desconectar revoga a permissão no Google e, confirmada a revogação, apaga a conexão e o token na hora; o registro técnico das chamadas ao Google, 90 dias. O vínculo local-unidade do Perfil sai junto com a conexão. Ao desconectar a última conexão do Google Ads da clínica, a plataforma apaga na mesma hora o histórico diário das campanhas, as contas do Google Ads ligadas, o registro das campanhas que o Gestor criou e o das análises e mudanças autônomas dele. Enquanto houver conexão do Ads, esses dados não têm prazo de expiração e saem também quando a clínica é eliminada ou a pedido dela;
• avisos recebidos da Meta (webhook): 30 dias;
• registros de acesso ao sistema: 6 meses, como pede o Marco Civil da Internet;
• registros técnicos do servidor: 30 dias;
• pacote com os dados de um paciente, gerado a pedido dele: o link vale 7 dias, e o arquivo é apagado no dia seguinte;
• cópias de segurança: a diária fica cerca de 12 semanas; uma cópia anual, cifrada, é guardada pelo prazo do prontuário e usada só para restaurá-lo ou cumprir ordem legal. As versões anteriores dos arquivos no espelho da cópia ainda não expiram sozinhas, e a expiração em 90 dias está prevista.

Quando o contrato com uma clínica termina, a Orbe entrega a ela todos os dados em até 30 dias e depois elimina o que não precisa guardar por lei, conforme o contrato. O prontuário é guardado pelos 20 anos por quem a clínica escolheu: ela mesma ou a Orbe.

Como pedir

O pedido sobre os seus dados vai para a clínica, pelo encarregado dela. A plataforma dá à clínica os meios de atender: exportar os dados de um paciente e encerrar o cadastro. O prontuário fica guardado pelos 20 anos da Resolução CFM 1.821/2007, sem a identificação que não é exigida por ela.

O canal da Orbe é orbe.cmc@gmail.com. Para os dados de pacientes, ele é a via da clínica, e não a sua: um pedido sobre os seus dados que chegue aqui é repassado à clínica em até 2 dias úteis, e ela é quem responde; você recebe de volta o aviso de que ele foi encaminhado. Para os dados de quem usa o sistema, dos quais a Orbe é controladora, o pedido é atendido pela própria Orbe nesse mesmo canal.

Quem entrou com Facebook

Para apagar o que veio da sua conta do Facebook, há dois caminhos, e os dois são imediatos:

• na Ligare, quem administra a clínica entra em Configurações > Facebook e Instagram e clica em Desconectar. O acesso é removido na Meta e apagamos o token e tudo o que veio por ele: as Páginas, os perfis do Instagram, as contas de anúncio e os portfólios conectados, com as publicações, os comentários e as conversas do Messenger e do Instagram Direct ligados a eles;
• no Facebook, em Configurações > Aplicativos e sites, remova o aplicativo Ligare (antigo Orbe Clinix) e peça a exclusão dos dados. A Meta nos avisa, apagamos o mesmo conjunto e você recebe um código para acompanhar o pedido em useligare.com/exclusao.

Os posts já publicados continuam no Facebook e no Instagram, onde a Página ou o perfil os apaga. A sua conta de acesso à Ligare — nome, e-mail e o registro de acesso — não vem da Meta: o pedido sobre ela vai para a administração da clínica ou para o canal acima.

Quem usou o Google

• Entrar com Google: em Perfil, a própria pessoa desvincula a conta do Google, e o identificador e o e-mail guardados são apagados;
• Perfil de Empresa e Google Ads: quem administra a clínica entra em Configurações e clica em Desconectar. A plataforma revoga a permissão no Google e depois apaga o token e a conexão, e com ela o vínculo dos locais do Perfil. Se for a última conexão do Google Ads da clínica, o histórico das campanhas, as contas ligadas e os registros do Gestor são apagados da plataforma na mesma hora (as campanhas seguem no Google). Sem a conexão, o Gestor não consegue ler nem escrever no Google, e a administração pode retirar a autonomia dele no Google Ads quando quiser. Se o Google não confirmar a revogação, a conexão fica, para tentar de novo; quem preferir também pode remover o acesso da Ligare em myaccount.google.com/permissions;
• quando o contrato da clínica termina, a conexão é apagada da plataforma junto com os dados da clínica. Antes, a administração deve desconectar as contas pela tela, que também revoga a permissão no Google. Para pedir a exclusão de qualquer um desses dados, use o canal acima.

WhatsApp

A conexão oficial do WhatsApp guarda o token da conta comercial da clínica, o número e o identificador da conta. Para apagar, quem administra a clínica entra em Configurações > WhatsApp e clica em Desconectar: a remoção é imediata, sem prazo de espera.