Política de Privacidade do Fluxo Agenda
Em português, sem parágrafo de advogado. Se ficar dúvida, chama no WhatsApp que a gente explica.
Esta política fala com duas pessoas diferentes:
- Você que tem o salão (ou barbearia, estúdio, profissional que atende sozinha) e
usa a agenda: seções 1 a 3 e 5 a 13.
- Você que é cliente de um salão e marcou horário pela página dele: comece pela
seção 4.
1. Quem é quem
São duas relações, com papéis opostos.
Dado do salão (cadastro, login e cobrança). Quando você cria a conta do salão, a Fluxo Multi é a controladora: somos nós que decidimos pedir seu nome, WhatsApp, e-mail e, ao ativar a mensalidade, CPF ou CNPJ, para criar a conta, cobrar e dar suporte.
Dado das clientes do salão. O salão decide o que guardar de cada cliente dele e para quê. Nós fornecemos o sistema e guardamos esses dados por conta do salão, seguindo o que ele pede. Na linguagem da LGPD, o salão é o controlador e a Fluxo Multi é a operadora (LGPD, art. 5, VI e VII, e art. 39). Como operadora, tratamos esse dado só para fazer a agenda funcionar, não usamos para nada próprio e não vendemos.
2. O que o sistema guarda do salão
| Dado | De quem | Para quê | Por quanto tempo |
|---|---|---|---|
| Nome do negócio, nome, WhatsApp e e-mail | De quem criou a conta | Criar a conta, confirmar o e-mail, avisar sobre teste e cobrança | Enquanto a conta existir; veja a seção 8 |
| Código de confirmação do e-mail | De quem está se cadastrando | Provar que o e-mail é seu | Guardado só embaralhado; vence em minutos e o pedido não confirmado sai do sistema cerca de 1 dia depois de vencer |
| Marca de "já teve teste" do e-mail e do WhatsApp | De quem criou a conta | Não repetir o teste grátis | Guardada como resumo (hash), não em texto, e mantida mesmo depois de apagar a conta, só para esse fim |
| Senha | De cada pessoa da equipe | Login | Guardada embaralhada; nem nós conseguimos ver |
| Nome, login e papel de cada pessoa da equipe | Da equipe do salão | Login e controle de quem fez o quê | Enquanto a pessoa estiver na equipe |
| CPF ou CNPJ | De quem contrata | Contrato e cobrança. Só é pedido ao ativar a mensalidade | Enquanto houver contrato, e depois pelo prazo que a lei fiscal e contratual exigir |
| Prova do aceite dos termos | De quem aceitou | Provar quem aceitou o quê, quando e de onde | Enquanto durar o contrato e por pelo menos 5 anos depois |
| Referência da cobrança, valor, data e situação | Do salão | Controlar pagamento e liberar a agenda | Enquanto houver contrato, e depois pelo prazo fiscal |
| Endereço de internet (IP) e dia de cada entrada da equipe | De quem usa o sistema | Segurança e obrigação legal | 6 meses (Marco Civil da Internet, art. 15) |
| Aparelhos conectados (IP, mostrado mascarado na tela, e nome do aparelho) | De quem usa o sistema | Você ver e desligar sessão aberta em outro aparelho | Até a sessão acabar, e o registro sai 6 meses depois |
| Endereço de aviso do aparelho (para o aviso de pedido novo) | Do aparelho em que o aviso foi ligado | Avisar a equipe de pedido novo pelo link | Enquanto o aviso estiver ligado naquele aparelho |
| Registro de quem marcou, alterou ou cancelou cada horário | Do uso do sistema pela equipe | Auditoria interna e suporte | Enquanto a conta existir |
| Tentativas de login e marca de "login que já entrou deste IP" (guardada como resumo) | De quem tenta entrar | Proteção contra tentativa de senha | A marca de IP conhecido sai 30 dias depois do último login certo daquele IP |
Não pedimos dado de cartão nem dado bancário: o pagamento acontece na página da Efí, e o que volta para nós é a referência da cobrança, o valor e a data.
A base legal é a execução do contrato com você (LGPD, art. 7, V); o registro de acesso tem base em obrigação legal (LGPD, art. 7, II, e Marco Civil da Internet, art. 15).
3. O que o sistema guarda das clientes do salão
| Dado | Quem lança | Para quê |
|---|---|---|
| Nome e telefone | O salão, ou a própria cliente na página pública | Identificar a cliente, marcar o horário, permitir que o salão lembre do horário pelo WhatsApp |
| Agendamentos (serviço, dia, hora, profissional, situação, motivo de cancelamento) | O salão, ou a cliente na página pública | Fazer a agenda funcionar |
| Pagamento do atendimento (valor, forma, fiado e saldo que a cliente ficou devendo, recebimentos depois) | O salão | Controle de caixa do próprio salão |
| Venda de produto ligada à cliente | O salão | Controle de venda do próprio salão |
| Pedido de não receber mensagem | O salão, quando a cliente pede | Respeitar quem não quer ser lembrada pelo WhatsApp |
| Registro de quando o salão chamou uma cliente sumida | O sistema, quando o salão chama | O salão não chamar a mesma cliente de novo cedo demais |
Nome, telefone e motivo de cancelamento ficam cifrados com uma chave própria de cada salão: um salão nunca enxerga a cliente de outro. O sistema não tem campo de ficha ou de observações da cliente.
O prazo de guarda desses dados é decisão do salão, que é o controlador: ficam enquanto o salão for nosso cliente. O salão consegue apagar uma cliente pelo próprio sistema; o que era atendimento já concluído fica no caixa do salão como "Cliente apagada", sem nome nem telefone. Quando a conta do salão é encerrada ou apagada, os dados das clientes saem junto (seção 8).
Para o salão: nenhum texto livre do sistema (como motivo de cancelamento ou de folga) é lugar de dado de saúde (alergia, doença, gravidez, remédio). A lei trata dado de saúde como dado sensível, com regras mais rígidas (LGPD, art. 5, II, e art. 11).
4. Para você que é cliente de um salão
Quando você marca horário pela página de um salão, você informa nome e telefone. Esses dados vão para a agenda daquele salão, que é quem responde por eles. A Fluxo Multi só fornece o sistema.
Na página pública não pedimos login, não criamos conta para você, não usamos cookie de rastreamento e não colocamos pixel de publicidade. Para impedir que alguém lote a agenda de um salão com pedidos falsos, contamos por pouco tempo quantos pedidos saem do mesmo endereço de internet e do mesmo telefone; essa contagem é apagada pouco depois de vencer.
Depois de marcar, você recebe um link do seu horário, com o qual pode ver e cancelar. Quem tiver esse link vê o seu horário, então não repasse.
Se quiser saber quais dados seus o salão tem, corrigir ou pedir para apagar, fale primeiro com o salão: é ele quem decide sobre esses dados. Se preferir falar com a gente, encaminhamos o pedido ao salão e ajudamos no que for técnico.
5. Onde o dado fica
- Banco de dados da agenda: Neon (Postgres), na região da Amazon em São Paulo
(aws-sa-east-1). A Neon é do grupo Databricks, que roda o banco na nuvem de outra empresa, e cuja equipe de suporte e segurança, de empresas do grupo em vários países, pode acessar o banco quando necessário.
- Sistema e página pública: rodam na Cloudflare. O contrato da Cloudflare prevê que
ela e as empresas que ela contrata podem processar o dado em outros países além do Brasil.
- Backup: cópia cifrada, guardada na Cloudflare (R2), com chave que só a Fluxo Multi
tem. A região de armazenamento é escolhida pela Cloudflare e pode ser fora do Brasil.
- Cadastro, teste e cobrança do salão: ficam na central de licenças da Fluxo Multi,
que roda na Cloudflare, com banco fora do Brasil. Nenhum dado de cliente do salão vai para a central.
6. Com quem compartilhamos
Estas empresas ajudam a rodar o sistema, e nomeamos cada uma:
- Cloudflare: executa o sistema, a página pública e a central, e guarda o backup
cifrado. Os pedidos passam por ela.
- Neon (grupo Databricks): guarda o banco de dados da agenda.
- Efí: processa o pagamento da mensalidade. Recebe o que você informa na página de
pagamento dela. Não recebe dado de cliente do salão.
- Resend: envia, em nome da central da Fluxo Multi, o código de confirmação e os
avisos de teste, cobrança e exclusão. Recebe o e-mail do destinatário e o texto da mensagem. Não recebe dado de cliente do salão.
- Google (Firebase Cloud Messaging): entrega o aviso de pedido novo no aplicativo
Android. Recebe o endereço de aviso do aparelho e um texto genérico, como "Novo pedido de horário pelo link". Não recebe nome, telefone nem qualquer dado de cliente do salão.
- Serviço de aviso do navegador (por exemplo Google, Mozilla ou Apple, conforme o
navegador usado): quando o aviso é ligado no navegador, ele é entregue pelo serviço do próprio navegador, com o conteúdo cifrado e o mesmo texto genérico.
O WhatsApp não está nessa lista de propósito: quando o salão lembra uma cliente, quem abre o WhatsApp e manda a mensagem é o próprio salão, no aparelho dele.
Não compartilhamos dado com mais ninguém e não vendemos dado.
7. Os dados saem do Brasil
Sim, em parte, e precisa estar escrito. O banco da agenda fica em São Paulo, mas há transferência internacional nestes pontos:
| Para onde | Que dado | Para quê | Por quanto tempo |
|---|---|---|---|
| Cloudflare, em países onde ela opera (inclusive Estados Unidos) | O que passa pelo sistema e pela página pública; o backup cifrado; a ficha do salão na central | Rodar o sistema, guardar o backup e a central | Enquanto a conta existir, e o backup pelo prazo da seção 8 |
| Suporte do grupo Databricks (Neon), em vários países | O banco da agenda, só quando acessado para suporte ou segurança | Suporte e segurança do banco | Só durante o acesso |
| Resend, Estados Unidos | E-mail e texto da mensagem ao salão | Mandar código e avisos | Pelo prazo de guarda do próprio fornecedor |
| Google (Firebase), em países onde ele opera | Endereço de aviso do aparelho e texto genérico | Entregar o aviso de pedido novo | Pelo prazo de guarda do próprio fornecedor |
A transferência é feita porque é necessária para executar o contrato com o salão (LGPD, art. 33, IX). A proteção não muda: o dado trafega cifrado, e nome e telefone das clientes do salão ficam cifrados no banco; quando são usados, são decifrados dentro do servidor da Cloudflare, que pode estar fora do Brasil.
8. Por quanto tempo guardamos, e o que apagamos
- Conta ativa (teste ou mensalidade em dia): os dados ficam enquanto a conta existir.
- Teste vencido sem ativar: 3 dias de folga, depois somente leitura. **90 dias depois
do fim do teste, a conta e todos os dados dela são apagados**, inclusive clientes e agendamentos, e a ficha do salão na central é anonimizada. Antes disso mandamos 2 avisos por e-mail, 30 e 7 dias antes. Até lá, o salão consulta tudo na tela e pode pedir uma cópia dos dados pelo canal da seção 13.
- Contrato encerrado (cancelamento ou falta de pagamento): pelo menos 90 dias em
somente leitura; depois disso podemos apagar tudo, sempre com 2 avisos por e-mail, 30 e 7 dias antes.
- Conta excluída pelo dono: o dono do salão exclui a conta pelo próprio sistema, com a
senha, e os dados são apagados (a mensalidade, se houver, precisa ser cancelada antes).
- Registro de acesso: sai aos 6 meses.
- Backup: dado apagado do sistema ainda fica no backup cifrado até a cópia completar o
prazo dela: 30 dias para a cópia diária e 12 meses para a cópia mensal. O backup só é usado para recuperar o sistema depois de uma falha.
- O que fica mesmo depois de apagar a conta: a prova do aceite, os registros de
cobrança e o documento de quem contratou, pelo prazo que a lei fiscal e contratual exigir, e a marca de "já teve teste".
9. Seus direitos e como usar
Você tem os direitos do art. 18 da LGPD: confirmação do tratamento, acesso, correção, anonimização, bloqueio ou eliminação do que for desnecessário, excessivo ou tratado fora da lei, portabilidade, eliminação do que foi tratado com seu consentimento, informação sobre com quem compartilhamos, informação sobre a possibilidade de não consentir e suas consequências, e revogação do consentimento. Você também pode pedir a revisão de decisão tomada só por sistema automatizado (art. 20).
- Se você tem o salão: peça pelo canal da seção 13. A confirmação de que existe
tratamento é dada de imediato; a declaração completa sai em até 15 dias do pedido (LGPD, art. 19).
- Se você é cliente de um salão: o pedido é do salão, que é o controlador (seção 4).
Nós apoiamos tecnicamente para ele responder.
10. Segurança e incidente
Senha nunca é guardada legível. Nome e telefone das clientes do salão são cifrados com chave própria de cada salão. Cada salão só enxerga os próprios dados, travado no próprio banco de dados. O backup é cifrado. A sessão expira sozinha e você vê e desliga os aparelhos conectados.
Se um incidente de segurança afetar dado pessoal:
- dado do salão (somos controladores): avisamos o salão e, quando a lei exigir, a
Autoridade Nacional de Proteção de Dados, no prazo da Resolução CD/ANPD nº 15/2024;
- dado das clientes do salão (somos operadores): avisamos o salão afetado **em até 1
dia útil de quando soubermos**, com o que ele precisar para comunicar a Autoridade Nacional de Proteção de Dados e as pessoas afetadas, porque essa comunicação é do salão.
11. Criança e adolescente
O Fluxo Agenda não é direcionado a criança ou adolescente. Pode acontecer de um salão atender menor de idade e anotar o nome dele na agenda; nesse caso, o salão responde como controlador pelo cuidado que a lei exige para dado de menor, que deve ser tratado no melhor interesse dele (LGPD, art. 14).
12. Mudanças nesta política
Esta é a versão 1.0. Mudança relevante é avisada pelo e-mail cadastrado do salão, e a nova versão passa a valer a partir da data informada, com o histórico das versões anteriores preservado.
13. Contato
Empresa responsável: 68.192.317 DOUGLAS SOUZA SILVA, CNPJ 68.192.317/0001-00, com sede em Cansanção/BA, controladora dos dados do salão e operadora dos dados das clientes do salão. O endereço completo da sede consta no cadastro do CNPJ na Receita Federal e é informado por escrito a quem pedir pelo canal de atendimento.
Canal oficial para assuntos de dados pessoais: WhatsApp (75) 99849-3611, dizendo que o assunto é privacidade. Se preferir e-mail, use fluxomulti@gmail.com.
A Fluxo Multi não indicou um encarregado (DPO) formal e mantém este canal de comunicação com o titular, como a Resolução CD/ANPD nº 2/2022 (art. 11) permite ao agente de tratamento de pequeno porte.