Política de Privacidade

Esta Política abrange os titulares que aparecem na plataforma:

• Usuários do salão (dono e barbeiro) — que acessam o sistema para operar metas e lançamentos.
• Responsável financeiro do salão — cujos dados de contratação constam do controle administrativo (seção 6).

Os clientes atendidos na barbearia não são titulares aqui: a plataforma não guarda nome, contato nem qualquer identificador deles (seção 5).

A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata os dados por conta de outrem (operador). No BarberMetas:

• Dados de conta dos usuários (necessários para operar a plataforma e decorrentes da relação contratual): a controladora é GagliTech, projeto de Lucas Gagliardi.
• Dados operacionais do salão (metas, lançamentos, desempenho e comissões da equipe): o salão é o controlador — define as finalidades e responde pela relação com os seus colaboradores. A GagliTech, por meio do BarberMetas, atua como operadora, tratando esses dados sob as instruções do salão.

O papel de encarregado pelo tratamento de dados (DPO) é exercido por Lucas Gagliardi e funciona como canal de comunicação entre você, os controladores e a Autoridade Nacional de Proteção de Dados (ANPD). Para dúvidas, solicitações e reclamações sobre seus dados, escreva para gaglitech@gmail.com.

Aplicamos o princípio da minimização: coletamos apenas o necessário para cada finalidade.

• Dados de conta (nome, e-mail, papel no salão e senha armazenada apenas como hash): para autenticação, controle de acesso e operação do sistema. Base legal: execução de contrato (Art. 7º, V).
• Dados operacionais (metas, lançamentos de atendimento e faturamento, ranking, comissões e premiações): registram o desempenho de cada colaborador no salão. Base legal: execução de contrato e legítimo interesse do salão na gestão da própria equipe (Art. 7º, V e IX).
• Registros de acesso e segurança (data/hora dos eventos, com o endereço IP e o agente do navegador guardados apenas como hash, não em texto puro): para segurança, prevenção a fraudes e apuração de incidentes. Base legal: legítimo interesse (Art. 7º, IX) e cumprimento de obrigação legal, inclusive o Marco Civil da Internet.
• Comunicações operacionais (convite, código de verificação, boas-vindas e recuperação de senha): registramos destinatário, tipo, assunto e situação do envio — nunca o corpo da mensagem. Base legal: execução de contrato e legítimo interesse.
• Trilhas de auditoria (quem fez o quê e quando, com os campos alterados e sem valores pessoais desnecessários): para responsabilização, segurança e prestação de contas. Base legal: legítimo interesse e cumprimento de obrigação legal (Art. 37).
• Inscrições de notificação (endereço do serviço de push do seu navegador e as chaves de criptografia da entrega), quando você ativa as notificações. Base legal: consentimento (Art. 7º, I), revogável a qualquer momento.

Esta é uma decisão de projeto, não um detalhe: o lançamento de atendimento registra a quantidade de clientes atendidos e os itens de cada atendimento (serviços, produtos, assinaturas, descontos e valores). Não há campo para nome, telefone, e-mail, CPF ou qualquer identificador do cliente final, e nenhum desses dados é coletado por outro caminho. Consequentemente, a plataforma não trata dados sensíveis e não mantém base de clientes da barbearia.

Para administrar o serviço, mantemos um controle da conta de cada salão: nome do cliente responsável, valor mensal contratado, até quando foi concedido acesso gratuito (dado apenas informativo), observações internas e o histórico de bloqueio manual, com data, motivo e quem executou. Esses dados servem à execução do contrato, à prevenção de abuso e à prestação de contas, e ficam restritos ao painel administrativo do fornecedor.

Utilizamos apenas cookies essenciais — sessão de login, renovação segura da sessão e proteção contra CSRF —, indispensáveis para o funcionamento seguro do sistema. Cookies opcionais só são ativados mediante o seu consentimento no banner; hoje o único item opcional é a preferência de tema. A versão vigente do aviso de cookies é —, e o banner reaparece sempre que essa versão muda. Cookies em uso:

Não vendemos dados pessoais e não os compartilhamos para fins de publicidade. O compartilhamento ocorre apenas com operadores estritamente necessários à prestação do serviço:

• Hostinger — hospedagem da aplicação e do banco de dados PostgreSQL, que roda na própria VPS, em data center no Brasil.
• Brevo (Sendinblue) — envio dos e-mails transacionais (convite, código de verificação, boas-vindas e recuperação de senha); trata apenas o nome e o e-mail do destinatário.
• Serviços de push do navegador (por exemplo, os da Google, Mozilla ou Apple) — apenas quando você ativa as notificações; recebem o endereço de entrega do seu navegador e o conteúdo já criptografado.

Falhas técnicas do sistema (mensagem de erro, rota e detalhe de diagnóstico) são enviadas ao painel interno de operação do próprio fornecedor, usado para corrigir defeitos — não é um terceiro. Também podemos compartilhar dados quando exigido por lei, por ordem judicial ou para o exercício regular de direitos. Esta lista é atualizada caso outros operadores passem a ser utilizados.

A hospedagem e o banco de dados ficam em território nacional. O envio de e-mails pelo Brevo e a entrega de notificações pelos serviços de push podem envolver processamento no exterior; nesses casos, a transferência apoia-se nas salvaguardas exigidas pela LGPD (Arts. 33 a 36) e limita-se ao mínimo necessário — nome e e-mail do destinatário, no caso do e-mail. Priorizamos, sempre que viável, o processamento em território nacional.

Mantemos cada dado apenas pelo tempo necessário à sua finalidade e aos prazos legais aplicáveis, expurgando as trilhas operacionais automaticamente após o período de retenção:

• Registros de auditoria: retidos por cerca de 12 meses.
• Logs de acesso e registros de erro: retidos por cerca de 6 meses.
• Dados de conta e operacionais do salão: mantidos enquanto durar a relação com o salão e pelos prazos legais aplicáveis, sendo depois eliminados ou anonimizados.

A exclusão de uma conta é feita por anonimização: removemos os dados pessoais e invalidamos o acesso, preservando apenas identificadores técnicos necessários à integridade das trilhas legais e dos lançamentos históricos do salão.

Adotamos medidas técnicas e organizacionais proporcionais ao risco:

• senhas protegidas com Argon2id (nunca em texto puro), e tokens e códigos guardados apenas como hash;
• sessão em cookies HttpOnly, com proteção contra CSRF em toda requisição que altera dados;
• isolamento por salão e controle de acesso por papel, validado no servidor;
• limite de tentativas de login, bloqueio temporário após falhas repetidas, cabeçalhos de segurança e registro de IP apenas como hash;
• trilhas de auditoria, monitoramento de erros e backups do banco de dados.

Nenhuma medida é absolutamente infalível, mas buscamos proteção proporcional ao risco e à natureza dos dados tratados.

Nos termos do Art. 18 da LGPD, você pode, a qualquer momento e gratuitamente:

• confirmar a existência de tratamento e acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar a portabilidade e a exportação dos seus dados;
• revogar consentimentos que tenha fornecido;
• solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• solicitar a exclusão da sua conta (por anonimização, veja a seção 10).

No seu perfil dentro da plataforma você já exerce boa parte desses direitos sozinho: exportar seus dados, corrigir o cadastro, gerir preferências e excluir a conta. Para o restante, use o canal do encarregado.

Enviamos e-mails operacionais — convite, código de verificação, boas-vindas e recuperação de senha —, necessários para criar e proteger o acesso, e por isso não dependem de consentimento. As notificações de metas (no aplicativo e por push) são opcionais: você as ativa e desativa quando quiser, nas suas preferências.

A plataforma destina-se a profissionais do salão e não é dirigida a crianças ou adolescentes. Não coletamos intencionalmente dados de menores; caso o salão precise cadastrar um colaborador menor de idade, cabe a ele observar o melhor interesse do titular e a base legal aplicável (Art. 14 da LGPD).

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, comunicamos a ANPD e os titulares afetados nos termos do Art. 48 da LGPD, e adotamos as medidas de contenção e mitigação cabíveis.

Podemos atualizar esta Política para refletir mudanças legais, técnicas ou de serviço. A versão e a data no topo desta página indicam a vigência; alterações relevantes são comunicadas e, quando aplicável, exigem novo aceite no próximo acesso.

Para dúvidas ou solicitações sobre seus dados, fale com o encarregado: gaglitech@gmail.com. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), por meio dos canais oficiais em gov.br/anpd.