Política de Privacidade

A Quero Marcar (CNPJ ), com sede em , é responsável pelos dados pessoais tratados na plataforma quero marcar — sistema de agendamento online para barbearias, salões e estabelecimentos de beleza.

Coletamos só o que é necessário para prestar o serviço.

Quando o estabelecimento ativa o programa de fidelidade, o cliente pode optar por participar — a inscrição é sempre opt-in, com base no consentimento (Art. 7º, I da LGPD). Sem o opt-in, nenhum dado de fidelidade é gerado para aquele cliente.

Compartilhamos dados só com fornecedores que precisamos para entregar o serviço. Não vendemos, alugamos nem cedemos dados para fins comerciais.

Para fins anti-fraude, aplicamos pseudonimização irreversível:

• CPF e telefone (anti-fraude): armazenados como hash SHA-256 — impossível recuperar o valor original a partir do hash.
• IP: usado de forma transiente para rate limiting. Não é gravado no banco.

Para prevenir uso indevido de períodos de teste (trial abuse), armazenamos hash criptográfico SHA-256 do número de telefone do responsável pelo estabelecimento na criação do tenant. Esse hash não permite recuperar o telefone original e é tratado com base no legítimo interesse (Art. 7º, IX da LGPD).

Isso permite detectar tentativas de fraude sem guardar dados pessoais desnecessários.

Usamos fornecedores com infraestrutura nos EUA e na UE. Conforme o art. 33 da LGPD, as transferências ocorrem para países com proteção adequada (UE/GDPR) ou mediante contratos com cláusulas equivalentes às recomendadas pela ANPD. Stripe tem certificação PCI-DSS; Supabase e Sentry têm SOC 2.

Os prazos de retenção respeitam o Art. 16 da LGPD (hipóteses de conservação de dados após o término do tratamento) e visam atender obrigações legais, exercício regular de direitos e estudos de pesquisa anonimizados.

Após encerramento da conta, os dados são anonimizados ou excluídos conforme o DPA.

Conforme o art. 18 da LGPD, você pode:

Para exercer qualquer direito, envie e-mail para . Respondemos confirmações de tratamento e solicitações de acesso em até 15 dias (Art. 19 da LGPD). Demais solicitações (eliminação, portabilidade, oposição, revisão) são respondidas em prazo razoável conforme a complexidade do pedido, sempre comunicando o titular sobre o andamento. Podemos pedir verificação de identidade antes de processar.

Usamos o mínimo possível:

Sentry Session Replay coleta amostra anonimizada de até 10% das sessões para diagnóstico de falhas. Base legal: legítimo interesse (Art. 7º, IX) — finalidade de melhoria contínua da plataforma e correção de bugs. Dados não permitem reidentificar o titular.

Sem cookies de publicidade, rastreamento ou analytics de terceiros. Veja mais na Política de Cookies.

• Todas as comunicações usam HTTPS/TLS
• Row Level Security no banco — cada tenant só vê seus próprios dados
• RBAC (admin/profissional) verificado no banco, não só no JWT
• CPF e telefone anti-fraude: somente hash SHA-256, nunca texto simples
• Soft-delete: dados desativados com timestamp, não apagados
• JWT expira em 15-30 min; token de agendamento em 7 dias
• Todas as entradas validadas com Zod (prevenção de injeção)
• Uploads: só PNG, JPEG e WebP; SVG bloqueado

Em caso de incidente, notificamos os titulares e a ANPD conforme o art. 48 da LGPD.

Quando houver mudanças relevantes, avisamos com pelo menos 15 dias de antecedência por e-mail ou aviso na plataforma. A data de vigência no topo do documento indica a versão atual.

• DPO (Proteção de Dados):
• Suporte geral:
• Endereço: — A/C Encarregado de Proteção de Dados
• ANPD (para reclamações não resolvidas conosco): gov.br/anpd