Política de Privacidade

Esta política explica como tratamos dados pessoais na plataforma Marcalle. O texto completo vem a seguir; este resumo não substitui a leitura, mas dá o essencial:

• Nunca vendemos dados pessoais e não fazemos publicidade comportamental com os dados das suas clientes.
• Dos dados das clientes finais nós somos operadores, quem decide é a profissional, que é a controladora.
• No painel você exporta seus dados em CSV e apaga os dados de uma cliente quando ela pede, sem depender de chamado. Esse apagamento tem hoje duas limitações conhecidas, descritas na seção 9: o arquivo das fotos e o cadastro dela na lista de espera não são alcançados automaticamente.
• O encerramento da conta inteira é pedido pelo nosso canal e executado em até 30 dias.
• A ficha de anamnese só é enviada depois que a cliente aceita o texto de consentimento e assina com o nome, o aceite fica registrado com data e hora, e as respostas são eliminadas automaticamente 365 dias depois.
• Nossos fornecedores de nuvem são americanos, com processamento em São Paulo. O mecanismo que adotamos para amparar essa transferência são as cláusulas-padrão contratuais da ANPD, e a assinatura delas com cada fornecedor ainda está em andamento (seção 7).

O responsável por esta política é [PREENCHER: RAZÃO SOCIAL], CNPJ [PREENCHER: CNPJ], com sede em [PREENCHER: ENDEREÇO COMPLETO COM CEP].

A LGPD (Lei nº 13.709/2018) distingue quem decide sobre o tratamento (o controlador) de quem trata em nome de outrem (o operador). Na nossa plataforma isso muda conforme o dado:

Dados da profissional (somos controladores)

Dados das clientes finais (somos operadores)

Estes dados são inseridos pela profissional ou pela própria cliente na página pública de agendamento. A base legal de cada tratamento é definida pela profissional, na condição de controladora; nós apenas executamos.

A ficha de anamnese pode conter informações sobre saúde, alergias, uso de medicamentos, gravidez, condições de pele ou unha. A LGPD classifica isso como dado pessoal sensível (art. 5º, II) e submete o tratamento ao regime mais rigoroso do art. 11.

Na prática, na nossa plataforma isso significa:

• A ficha de anamnese é preenchida por um link próprio, separado do aceite geral de agendamento e dos termos; a cliente pode agendar sem preenchê-la (a profissional decide se o procedimento pode ser feito sem a ficha);
• O texto do consentimento aparece na própria ficha, antes do envio: sem marcar o aceite e assinar com o nome, a ficha não é enviada. O aceite fica registrado com data e hora;
• O texto padrão que entregamos pode ser trocado pela profissional, que é a controladora, cabe a ela adequá-lo ao art. 11 da LGPD e à realidade do atendimento dela;
• O consentimento é revogável a qualquer momento e sem custo: a profissional exclui a ficha pelo painel. Se você escrever para o nosso canal, encaminhamos o pedido a ela e damos o suporte técnico para atendê-lo;
• As respostas ficam isoladas por conta no banco de dados (filtro na aplicação mais política de segurança em nível de linha), trafegam sempre por conexão cifrada (TLS) e ficam em banco cifrado em repouso pelo provedor. As respostas em si não recebem, nesta versão, uma segunda camada de cifragem aplicada por nós dentro da aplicação;
• A anamnese tem prazo de retenção próprio e mais curto que o dos dados cadastrais: uma rotina automática elimina as respostas 365 dias após o envio, sem depender de pedido;
• Excluir os dados de uma cliente no painel apaga junto a ficha de anamnese dela, o registro das avaliações e o registro das fotos, com a ressalva sobre o arquivo da foto descrita na seção 9.

Usamos o mínimo necessário. Hoje a plataforma grava um único cookie, o estritamente necessário para o serviço funcionar, e guarda um único identificador no navegador de quem visita a página pública de agendamento:

Não usamos cookies de publicidade comportamental e não carregamos nenhum script de terceiro nas nossas páginas: não há Google Analytics, pixel de rede social nem ferramenta externa de medição de audiência. A única medição que existe é a contagem de visitas descrita acima, feita por nós, sem perfilamento. Também não existe banner de cookies aqui , como não há cookie além do estritamente necessário, não há consentimento a pedir (art. 7º, V e IX da LGPD).

As fontes tipográficas do site são servidas pelos nossos próprios domínios, sem carregar recursos de CDNs de terceiros, uma escolha deliberada para não expor o IP das visitantes.

A página pública de agendamento não instala cookie de rastreamento de terceiros. Se a profissional adicionar ferramentas próprias de medição à página dela, a responsabilidade por informar e coletar consentimento é dela.

Não vendemos dados pessoais e não os cedemos para uso próprio de terceiros. Compartilhamos apenas com quem é necessário para o serviço funcionar:

• Sub-operadores: fornecedores que tratam dados por nossa conta e sob nossas instruções, com contrato de proteção de dados. A lista completa, com finalidade, categorias de dados e país, está em [PREENCHER: DOMÍNIO OFICIAL]/subprocessadores.
• Autoridades públicas: mediante ordem judicial, requisição de autoridade competente ou obrigação legal. Avaliamos a legalidade de cada pedido e, quando permitido, avisamos a pessoa afetada.
• Assessores: advogados, contadores e auditores, sob dever de sigilo, no limite do necessário.
• Sucessão empresarial: em caso de fusão, aquisição ou reorganização societária, com aviso prévio e manutenção das obrigações desta política.

Atualizamos a lista pública de sub-operadores e comunicamos as controladoras com 30 dias de antecedência antes de incluir um novo sub-operador que trate dados das clientes finais.

Nossa infraestrutura roda em regiões brasileiras (São Paulo), mas os fornecedores de nuvem são empresas constituídas nos Estados Unidos e, por isso, sujeitas a legislações estrangeiras de acesso a dados. Consideramos que há transferência internacional nos termos do Capítulo V da LGPD e a amparamos formalmente.

• O mecanismo que adotamos são as cláusulas-padrão contratuais da ANPD, aprovadas pela Resolução CD/ANPD nº 19/2024 (Anexo II), nos contratos com fornecedores localizados fora do Brasil. A assinatura dessas cláusulas com cada fornecedor é item do nosso checklist de lançamento e ainda não está concluída: o andamento por fornecedor está na página de sub-operadores;
• Escolhemos, sempre que disponível, a região de processamento no Brasil (gru1 e sa-east-1, ambas em São Paulo), reduzindo latência e exposição;
• Aplicamos criptografia em trânsito (TLS) em todas as conexões e contamos com a criptografia em repouso do provedor do banco de dados. A cifragem adicional aplicada por nós, dentro da aplicação, alcança nesta versão apenas as credenciais de integração com terceiros, e não as respostas da ficha de anamnese;
• Avaliamos cada novo fornecedor quanto ao país de destino, às salvaguardas oferecidas e à existência de decisão de adequação da ANPD.

O envio de mensagens pelo WhatsApp implica transferência para a Meta (Irlanda e Estados Unidos), com o mesmo amparo contratual. O processamento da cobrança da assinatura é feito por instituição de pagamento brasileira, sem transferência internacional.

Guardamos os dados pelo tempo necessário às finalidades desta política e aos prazos legais. Depois disso, eliminamos ou anonimizamos de forma irreversível.

A LGPD garante a você, titular, os direitos do art. 18. Atendemos gratuitamente e no prazo legal:

• Confirmação da existência de tratamento e acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• Portabilidade a outro fornecedor, mediante requisição expressa;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Informação sobre a possibilidade de não consentir e as consequências disso;
• Revogação do consentimento, a qualquer momento;
• Oposição a tratamento fundado em legítimo interesse;
• Revisão de decisões automatizadas que afetem seus interesses.

Do jeito mais rápido: você mesma, pelo painel

Se você é profissional assinante, não precisa nos escrever para as coisas mais comuns. Dentro do painel, em Dados e privacidade, você encontra:

• Exportação em CSV, com 1 clique e a qualquer momento: sua carteira de clientes e seus atendimentos, com data, serviço, status e valor;
• Exclusão dos dados de uma cliente específica, feita por você na ficha dela: os dados de identificação (nome, telefone, e-mail, CPF, data de nascimento, preferências e observações) são anonimizados na hora, e a ficha de anamnese, as avaliações e os registros de foto dela são apagados;

O encerramento da conta inteira ainda não pode ser feito por você no painel: peça pelo canal abaixo e executamos a exclusão ou a anonimização em até 30 dias, preservando apenas o que a lei obriga a guardar.

Pedidos pelo canal de atendimento

Para qualquer outro pedido, escreva para [PREENCHER: E-MAIL DO CANAL DE PRIVACIDADE]. Podemos solicitar informações adicionais para confirmar sua identidade, é uma medida de segurança, não uma barreira. Respondemos em até 15 dias; se o pedido for complexo, informamos o motivo e o novo prazo.

Se você é cliente final de uma profissional, o pedido é dirigido a ela (controladora). Nós o encaminhamos em até 5 dias úteis e damos a ela os meios técnicos para atendê-lo.

Adotamos medidas técnicas e administrativas compatíveis com o porte da operação e com o risco envolvido, revisadas periodicamente:

• Isolamento por conta em todas as camadas: filtro de consulta na aplicação e política de segurança em nível de linha (RLS) no banco de dados, de modo que uma conta não consegue ler dados de outra nem por erro de programação;
• Criptografia em trânsito (TLS) em todas as conexões, banco de dados cifrado em repouso pelo provedor e cifragem adicional, dentro da nossa aplicação, das credenciais de integração, o token da sua conta do WhatsApp nunca fica em texto claro;
• Autenticação com senha protegida por hash e cookie de sessão httpOnly com SameSite; cada requisição revalida a sessão contra o selo de segurança da conta, de modo que redefinir a senha derruba as sessões antigas;
• Acesso da nossa equipe ao conteúdo de uma conta limitado ao mínimo necessário para prestar o suporte solicitado;
• Limites de requisição por endereço IP e por número de telefone nos fluxos públicos, validação de assinatura nos webhooks recebidos e proteção contra automações abusivas;
• Recuperação a ponto no tempo no banco de dados, com janela de 7 dias oferecida pelo provedor. A cópia externa diária e o teste periódico de restauração estão previstos no nosso roteiro de implantação, com procedimento escrito, e ainda não foram confirmados como ativos;
• Uso do OWASP ASVS nível 2 como checklist a cada versão. O monitoramento contínuo com alertas de indisponibilidade, de fila de mensagens e de falha de backup está especificado e com procedimento de resposta escrito, e a sua ativação também é item pendente do roteiro de implantação.

Incidentes de segurança

Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante, comunicamos a ANPD e os titulares afetados no prazo da Resolução CD/ANPD nº 15/2024, informando a natureza dos dados, os riscos envolvidos e as medidas adotadas. Quando atuamos como operadores, comunicamos a controladora em até 48 horas do conhecimento do incidente, para que ela possa cumprir os prazos dela.

Nosso canal de atendimento ao titular é [PREENCHER: E-MAIL DO CANAL DE PRIVACIDADE], atendido em dias úteis e divulgado de forma clara e acessível nesta política e no rodapé do site.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD), pelos canais oficiais disponíveis em gov.br/anpd, ou aos órgãos de defesa do consumidor.

A plataforma não é destinada a menores de 18 anos e não permitimos que menores criem conta de profissional.

Pode ocorrer de uma profissional atender criança ou adolescente (por exemplo, penteado ou design de sobrancelha). Nesse caso, o tratamento deve observar o art. 14 da LGPD: os dados são tratados no melhor interesse da pessoa menor e, quando o tratamento depender de consentimento, ele deve ser dado por pelo menos um dos pais ou pelo responsável legal. Cabe à profissional, na condição de controladora, obter e registrar esse consentimento. A plataforma não oferece, nesta versão, campo próprio para identificar o pai, a mãe ou o responsável legal: enquanto esse campo não existir, o registro precisa ser guardado pela profissional fora da plataforma, ou nos campos livres de observação da ficha da cliente.

Não realizamos coleta consciente de dados de crianças para publicidade, perfilamento ou qualquer finalidade que não seja o próprio atendimento.

Podemos atualizar esta política sempre que houver mudança no produto, na legislação ou nas nossas práticas. A data da última atualização fica sempre no topo da página.

Mudanças relevantes, como nova finalidade, nova base legal ou novo sub-operador que trate dados das clientes finais, são comunicadas por e-mail e por aviso no painel com pelo menos 30 dias de antecedência. Versões anteriores ficam disponíveis mediante pedido pelo canal de atendimento.