1. Quem é responsável pelos seus dados
Depende de quem você é no NavalhaOS:
- Cliente de uma barbearia: a barbearia é a controladora dos seus dados; nós operamos o sistema em nome dela.
- Dono ou barbeiro: somos controladores dos dados da sua conta e da cobrança da assinatura.
- Visitante deste site: somos controladores dos poucos dados técnicos da sua visita.
Controlador: NavalhaOS, CNPJ a informar, a informar. Encarregado pelo tratamento de dados (DPO): a informar, e-mail a informar.
2. Quais dados usamos e para quê
- Cadastro do cliente (nome, e-mail, telefone e, se você informar, data de nascimento): criar a conta, agendar e mandar os avisos do agendamento. Base legal: execução de contrato (LGPD, art. 7º, V).
- Foto do cliente, opcional: identificação no atendimento. Base: consentimento (art. 7º, I); você pode remover quando quiser.
- Observações da barbearia sobre o atendimento: lembrar preferências. Base: legítimo interesse (art. 7º, IX).
- Agendamentos, atendimentos, vendas e pagamentos: operar a barbearia e cumprir obrigações fiscais. Base: contrato e obrigação legal (art. 7º, II e V).
- Conta da equipe e da barbearia (nome, e-mail, telefone, CPF/CNPJ, razão social, endereço): acesso ao painel, site e cobrança da assinatura. Base: contrato e obrigação fiscal.
- Registros de acesso (IP, data, hora e navegador): segurança da conta e cumprimento do Marco Civil da Internet (art. 15). Base: obrigação legal e legítimo interesse.
- Medição de uso no navegador (páginas visitadas sem os parâmetros do endereço, tipo de aparelho e navegador, cliques nas etapas do cadastro e do agendamento, erros da página e gravação da sessão com todo texto e campo mascarados): entender como o site é usado e corrigir problemas. Só acontece se você clicar em “Aceitar” no aviso de cookies. Base: consentimento (art. 7º, I), que pode ser retirado a qualquer momento (art. 8º, § 5º).
- Eventos do sistema sobre o uso do produto (por exemplo: barbearia criada, plano contratado, agendamento feito), com identificadores internos e números, sem nome, e-mail, telefone ou CPF: medir o funil de contratação e a saúde do serviço. Base: legítimo interesse (art. 7º, IX, e art. 10), limitado ao estritamente necessário.
- Endereço do site antigo da barbearia, se o dono pedir para importar: lemos só aquela página pública para sugerir endereço, horários e serviços, e nada é salvo sem a confirmação do dono. Base: execução de contrato (art. 7º, V).
3. Com quem compartilhamos
Não vendemos nem alugamos dados pessoais. Compartilhamos apenas com fornecedores que nos ajudam a prestar o serviço, sob contrato e só no necessário:
- hospedagem do site e do sistema (Vercel);
- banco de dados e arquivos, com servidores no Brasil, em São Paulo (Supabase);
- cobrança da assinatura (Asaas);
- envio de e-mails e de mensagens de WhatsApp;
- medição de uso e registro de erros (PostHog, com servidores nos Estados Unidos);
- leitura do site antigo da barbearia, quando o dono pede a importação (Firecrawl, com servidores nos Estados Unidos).
Alguns desses fornecedores processam dados fora do Brasil, como o PostHog e o Firecrawl, nos Estados Unidos. Nesses casos, a transferência internacional segue o art. 33 da LGPD: cláusulas contratuais que garantem proteção equivalente à brasileira (inciso II) e, para a medição no navegador, o seu consentimento, pedido no aviso de cookies que informa que os dados vão para os Estados Unidos (inciso VIII).
Também podemos fornecer dados quando houver ordem judicial ou exigência legal.
4. Por quanto tempo guardamos
- Conta de cliente: enquanto existir; ao pedir a exclusão, os dados pessoais são anonimizados.
- Atendimentos, vendas e pagamentos: mantidos sem dados pessoais pelo prazo fiscal (5 anos).
- Registros de acesso: no mínimo 6 meses, como exige o Marco Civil da Internet.
- Sessão conectada: até 30 dias (8 horas para administradores).
- Barbearia cancelada: 90 dias para reativação; depois, anonimização.
- Dados de medição de uso (PostHog): até 12 meses, e gravações de sessão até 30 dias; depois, são apagados automaticamente.
6. Segurança
- Conexão sempre criptografada (HTTPS) e senhas guardadas com hash forte, nunca em texto.
- Separação dos dados de cada barbearia no próprio banco: uma barbearia nunca vê os dados de outra.
- Registro de quem fez o quê (auditoria), sem guardar nome, e-mail ou telefone nesses registros.
- Acesso do suporte só com motivo registrado.
Se acontecer um incidente de segurança que possa trazer risco ou dano relevante, avisaremos você e a Autoridade Nacional de Proteção de Dados (ANPD), como manda o art. 48 da LGPD.
7. Seus direitos
Você pode pedir a qualquer momento, sem custo: confirmação de que tratamos seus dados, acesso, correção, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade, eliminação do que foi tratado com seu consentimento, informação sobre com quem compartilhamos, informação sobre a possibilidade de não consentir e o que acontece se recusar, e a retirada do consentimento (LGPD, art. 18). Veja como exercer cada um na página Direitos LGPD.
Quando o tratamento não depende do seu consentimento (por exemplo, o legítimo interesse), você pode se opor a ele se achar que descumpre a lei (art. 18, § 2º).
Recusar o consentimento nunca impede o uso do sistema: sem a foto do perfil o agendamento funciona igual, e sem os cookies de medição o site funciona do mesmo jeito.
Se não ficar satisfeito com a nossa resposta, você pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) ou a um órgão de defesa do consumidor, como o Procon (art. 18, §§ 1º e 8º).
8. Crianças e adolescentes
O sistema não é voltado a menores de 18 anos. O agendamento para um menor deve ser feito por um responsável, que responde pelos dados informados.
9. Mudanças nesta política
Quando esta política mudar de forma relevante, avisaremos no site e por e-mail. A data da última atualização fica sempre no topo da página.