Política de Privacidade

O Everflair é usado por dois públicos, e a lei nos coloca em posições diferentes em cada caso. Entender qual é o seu caso determina a quem você deve pedir acesso, correção ou exclusão dos seus dados.

• Se você é dono ou faz parte da equipe de um estabelecimento e criou uma conta aqui: somos controladores dos dados da sua conta, da assinatura e dos pagamentos feitos a nós. Nós decidimos como eles são tratados, e você trata diretamente conosco.
• Se você é cliente de um estabelecimento e seus dados foram cadastrados por ele: o estabelecimento é o controlador e nós somos operadores — processamos os dados sob instrução dele. Na prática, quem decide o que é coletado, por quanto tempo fica e se será apagado é o estabelecimento. Por isso, pedidos sobre esses dados devem ir primeiro a ele; nós damos suporte técnico para atendê-los.

A Stripe, que processa os pagamentos, também trata os dados de quem paga por conta própria, para cumprir regras financeiras e prevenir fraude, conforme a política de privacidade dela.

Não coletamos nada além do que a operação do sistema exige. A tabela abaixo reflete os campos que existem de fato no banco de dados:

Dados sensíveis: o campo de observações é de texto livre e fica sob controle do estabelecimento. Se ele registrar ali informação de saúde (alergias, condições de pele, reações a produtos), isso é dado sensível na LGPD e exige cuidado redobrado — o estabelecimento, como controlador, é responsável por essa decisão e pela base legal correspondente.

• Endereço IP, usado para conter abuso e tentativas automatizadas. Antes de virar chave de controle, o endereço é convertido em hash SHA-256 — não guardamos o IP em texto no nosso mecanismo de proteção. Nossa hospedagem, porém, mantém registros de acesso próprios (veja a seção 5).
• Cookies necessários ao funcionamento e de preferência, detalhados na seção 6.

Não usamos Google Analytics, pixel de rede social, mapa de calor ou qualquer ferramenta de rastreamento de comportamento. Não construímos perfil publicitário e não vendemos dados — nem os seus, nem os dos seus clientes.

Não vendemos nem cedemos dados pessoais. Compartilhamos apenas com os prestadores necessários para o serviço funcionar, e cada um recebe só o que precisa para a sua parte:

Alguns desses prestadores são sediados ou processam dados fora do Brasil, o que caracteriza transferência internacional de dados. Ela ocorre para permitir a execução do contrato com você e as etapas que o antecedem, nos termos do art. 33 da LGPD.

Links para WhatsApp, Instagram ou mapas abrem o serviço de terceiros, que segue a política de privacidade dele.

Usamos apenas cookies necessários para o funcionamento e para lembrar escolhas que você fez na tela. Nenhum é de publicidade ou análise de audiência — por isso não exibimos banner de consentimento, que a lei reserva justamente para os cookies não essenciais. Na página de pagamento da Stripe, valem os cookies e a política da Stripe.

• Dados da conta e do estabelecimento: enquanto a conta existir.
• Dados de clientes e atendimentos: enquanto o estabelecimento mantiver a conta ativa, já que é ele quem define esse prazo como controlador.
• Registros de assinatura, pagamentos e aceite dos documentos: enquanto a conta existir e, depois dela, pelo prazo que a lei exigir ou enquanto forem necessários para a defesa em processos.
• Conversas com a Secretária: guardadas por até 30 dias, com os nomes dos clientes trocados por nomes fictícios, e usadas só para melhorar a Secretária. O estabelecimento pode desligar isso em Configurações > Secretária, na opção "Guardar conversas para melhorar a Secretária". Ficam também o registro das ações que você confirmou e o custo de cada pedido.
• Pedidos de exclusão são avaliados conforme o papel do controlador e as obrigações legais. Registros históricos de atendimentos, cancelamentos e movimentações podem ser preservados quando necessários para cumprir obrigação legal, manter a integridade operacional ou exercer direitos.
• Registros de contenção de abuso: apagados automaticamente ao fim da janela de contagem, que é de minutos ou horas.
• Tokens de recuperação de senha: armazenados somente como hash, expiram em 1 hora e são removidos após uso ou falha de envio.

Nenhum sistema é imune, e seria desonesto prometer o contrário. O que adotamos concretamente:

• Senhas nunca são guardadas em texto — apenas o hash bcrypt, que não permite reverter a senha original.
• Links de recuperação são aleatórios, de uso único, expiram em 1 hora e revogam sessões anteriores depois da troca.
• Todo o tráfego trafega por HTTPS.
• Cada estabelecimento tem seus dados isolados: toda consulta ao banco é filtrada pelo identificador do estabelecimento da sessão ativa.
• Acesso ao financeiro é restrito por papel — quem não tem permissão não vê o módulo nem acessa a rota.
• Os dados do cartão são digitados na página do processador de pagamento e não passam pelos nossos servidores.
• O banco de dados fica em São Paulo e exige conexão autenticada; as políticas de isolamento também são aplicadas no próprio PostgreSQL.
• Limites de tentativa em login, cadastro e agendamento, para conter ataque automatizado.

Se identificarmos incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD, conforme o art. 48 da LGPD.

O art. 18 da LGPD garante a você, a qualquer momento e sem custo:

• Confirmar se tratamos dados seus e acessar esses dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Solicitar a portabilidade a outro fornecedor.
• Ser informado com quem compartilhamos seus dados.
• Revogar o consentimento, quando o tratamento se basear nele.
• Opor-se a tratamento feito com base em legítimo interesse.

Se você é cliente de um estabelecimento: procure primeiro o próprio estabelecimento, que é o controlador dos seus dados. Se ele não responder ou você não souber como contatá-lo, escreva para nós que ajudamos a direcionar.

Para exercer qualquer direito, escreva para everflair@outlook.com.br. Respondemos em até 15 dias. Podemos pedir informação adicional para confirmar sua identidade antes de liberar ou apagar dados — é proteção contra alguém se passar por você.

O painel administrativo é destinado a maiores de 18 anos. Atendimentos de menores podem ser agendados por pais ou responsáveis, e cabe ao estabelecimento obter o consentimento específico exigido pelo art. 14 da LGPD antes de cadastrar dados de criança.

Podemos atualizar este documento. A data e a versão no topo sempre refletem o texto vigente. Mudança que altere de forma relevante como tratamos seus dados será avisada pelos canais de contato antes de entrar em vigor, e o aceite da nova versão poderá ser pedido na próxima contratação ou compra de créditos.

O Everflair é operado por Alison Barbosa da Silva, que atua como encarregado pelo tratamento de dados pessoais para os fins do art. 41 da LGPD. Contato: everflair@outlook.com.br.

Veja também os Termos de uso.