Voltar

Política de Privacidade

Política de Privacidade

Atualizado em 3 de out. de 2026Para todos

Em resumo

Resumo para facilitar a leitura. Vale o texto completo.

1Quem é responsável

Quem é quem
  1. BarbeariaDecide por que e como usar os dados de clientes e equipe
  2. Barba & CabeloTrata esses dados em nome da barbearia, só para prestar o serviçoResponsável pelos dados da sua conta e da plataforma
  3. Clientes e equipeTêm direitos sobre os próprios dados (LGPD)

O aplicativo Barba & Cabelo (disponível em beauty.contheiner.digital) é operado por:

  • Razão social: PROH MEDIA AGENCIA DE MARKETING LTDA - ME
  • CNPJ: 65.789.160/0001-07
  • E-mail de contato sobre privacidade: contato@contheiner.digital
  • Encarregado pelo tratamento de dados (DPO): atendimento pelo e-mail contato@contheiner.digital, que recebe os pedidos dos titulares e as comunicações da Autoridade Nacional de Proteção de Dados (ANPD).

Para os dados da sua conta e da plataforma, a empresa acima é a controladora. Para os dados que cada barbearia cadastra sobre os próprios clientes e a própria equipe, a barbearia é a controladora e o Barba & Cabelo atua como operador, tratando esses dados apenas para prestar o serviço contratado. Ao cadastrar a barbearia, o dono aceita o Acordo de Tratamento de Dados, que detalha esses papéis.

Esta política explica quais dados tratamos, para quê, como os protegemos e como você exerce seus direitos, de acordo com a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) e com a Política de Dados do Usuário dos Serviços de API do Google.

2Quais dados tratamos

Tratamos apenas o necessário para o agendamento e a gestão da barbearia funcionarem:

  • Conta: nome (informado no cadastro ou vindo do login com Google), e-mail, foto de perfil (se você enviar uma ou se ela vier do login com Google) e senha — guardada somente como hash, nunca em texto legível;
  • WhatsApp: obrigatório no cadastro por e-mail, para o dono da barbearia e para o cliente (quem entra com o Google informa depois, em Meu perfil). Serve para confirmações, lembretes e códigos de verificação. O número é confirmado com um código enviado pelo WhatsApp da plataforma (o cliente pode deixar a confirmação para depois, em Meu perfil); só número confirmado recebe avisos de agendamento e serve para entrar e recuperar a senha pelo WhatsApp. Os avisos por WhatsApp vêm ligados no cadastro, e cada pessoa decide se mantém: dá para desligar no próprio cadastro ou quando quiser em Meu perfil;
  • Agendamentos: serviço, profissional, data, horário, status, histórico de atendimentos e pontos do clube de fidelidade da barbearia;
  • Dados da barbearia: nome, endereço, horários, serviços, preços, equipe e configurações cadastrados pelos responsáveis da loja;
  • Preferências opcionais: autorização para análise de uso, pesquisas e ofertas — todas desligadas por padrão e alteráveis em Meu perfil → Meus dados e privacidade;
  • Dados do Google, somente se você usar o login com Google ou conectar Google Agenda/Contatos (detalhes na seção 4);
  • Dados técnicos: sessão de autenticação e registros técnicos das requisições ao servidor (como endereço IP, data e hora), usados para segurança e para corrigir falhas.
  • Registro do aceite: a data e as versões dos Termos de Uso e desta Política (e, para o dono, do Acordo de Tratamento de Dados) que você aceitou, além da sua declaração de idade, ficam registradas no seu perfil para comprovar o aceite.

Não solicitamos dados pessoais sensíveis no sentido da LGPD (como saúde, religião, biometria ou origem racial). Mesmo assim, tratamos senhas, tokens de acesso, códigos de verificação e contatos com as proteções reforçadas descritas na seção 5.

3Para que usamos e com qual base legal

Cada uso tem uma base legal prevista no art. 7º da LGPD:

  • Execução do contrato e do serviço (art. 7º, V): criar e manter a conta, reservar e gerenciar horários, enviar confirmações e lembretes e operar o clube de fidelidade;
  • Consentimento (art. 7º, I): login com Google, conexão com Google Agenda/Contatos, análise de uso, pesquisas e ofertas. Você pode retirar o consentimento a qualquer momento, sem perder o restante do serviço;
  • Legítimo interesse (art. 7º, IX): segurança da conta, prevenção de fraudes e abusos e melhoria técnica do serviço, sempre respeitando seus direitos e expectativas;
  • Obrigação legal ou regulatória (art. 7º, II) e exercício regular de direitos (art. 7º, VI): guarda de registros exigidos por lei e defesa em processos.

Não vendemos dados pessoais, não os usamos para publicidade de terceiros e não tomamos decisões automatizadas que produzam efeitos jurídicos sobre você.

4Dados do Google

O Barba & Cabelo se integra ao Google de duas formas independentes. Cada uma só é ativada por ação sua, na tela de autorização do próprio Google, e acessa apenas o que está descrito abaixo.

Detalhes técnicos da integração com o Google

Login com Google (escopos openid, email e profile)

Recebemos seu nome, e-mail, foto de perfil e o identificador da conta Google, apenas para criar a conta e autenticar o acesso. Esses dados ficam no cadastro enquanto a conta existir. Nunca recebemos sua senha do Google.

Google Agenda (escopo https://www.googleapis.com/auth/calendar)

  • Lista de agendas: lemos a lista de agendas da conta conectada (nome, identificador e nível de permissão de cada uma) só para mostrar a você e deixar você escolher qual sincronizar; essa lista não é guardada. Guardamos apenas o identificador e o nome da agenda escolhida.
  • Eventos da agenda escolhida: quando você toca em Sincronizar agenda, lemos os eventos de 7 dias antes até 60 dias depois da data atual e guardamos de cada um apenas o título, o início, o fim, se é de dia inteiro, a agenda de origem e o link do evento. Não guardamos a descrição, os participantes, o organizador, o local nem o evento completo. Esses eventos aparecem só para você, em Ajustes → Avisos e integrações → Google Agenda e Contatos, na lista “Próximos eventos da Agenda Google”, para você ver os horários ocupados ao organizar os atendimentos; nenhum outro membro da barbearia nem o público tem acesso a eles. A cópia é atualizada a cada sincronização e apagada quando você desconecta ou exclui a conta.
  • Cópia dos agendamentos (opcional, desligada por padrão): se você ativar, criamos, atualizamos e removemos na agenda escolhida eventos com o serviço, o nome do cliente, o profissional, a barbearia e o horário dos atendimentos.

Google Contatos (escopo https://www.googleapis.com/auth/contacts)

Usado somente para criar um contato na sua conta Google quando você pede para salvar um cliente (nome, e-mail, telefone e observação que você informar). Não lemos, não copiamos e não guardamos sua lista de contatos.

Para a conexão com Agenda e Contatos guardamos também o e-mail da conta Google conectada, os escopos concedidos e os tokens de acesso e de atualização emitidos pelo Google, protegidos como descrito na seção 5. Os tokens ficam só no servidor e existem apenas enquanto a conexão estiver ativa.

Como protegemos os dados do Google

  • Criptografia em trânsito: toda comunicação com as APIs do Google e entre o app e nossos servidores usa HTTPS/TLS.
  • Tokens só no servidor: os tokens de acesso e de atualização ficam numa tabela do banco de dados que o navegador e a API pública do app não conseguem ler. Só as funções do servidor os usam, e apenas para chamar as APIs do Google em nome de quem fez a conexão; eles nunca são enviados ao seu aparelho.
  • Acesso só seu: regras de segurança por linha (Row Level Security) e uma função do servidor que confere a sua sessão garantem que só a pessoa que conectou a conta Google vê os eventos importados — nem a equipe da barbearia, nem os clientes, nem o público.
  • Só o necessário: guardamos apenas o título, os horários e o link de cada evento, a agenda escolhida e o e-mail da conta conectada. Descrição, participantes, local e a sua lista de contatos não são guardados.
  • Segredos e administração protegidos: a chave secreta do cliente OAuth do Google fica só em variáveis protegidas do servidor, e o painel de administração dos servidores fica numa rede privada (VPN).
  • Revogação e exclusão: ao desconectar, revogamos o acesso no Google e apagamos na hora os tokens e os eventos importados; eventos fora da janela de sincronização são removidos automaticamente (seção 8). Os demais mecanismos de segurança estão na seção 5.

Nossos compromissos com os dados do Google

  • Usamos os dados do Google somente para oferecer as funções visíveis ao usuário descritas acima: entrar no app, sincronizar a agenda, mostrar a você os próximos eventos importados e salvar contatos.
  • Não vendemos dados do Google e não os usamos para publicidade, incluindo anúncios personalizados, redirecionados ou baseados em interesses.
  • Não usamos dados do Google para desenvolver, melhorar ou treinar modelos generalizados de inteligência artificial ou de aprendizado de máquina.
  • Não transferimos dados do Google a terceiros, exceto aos operadores de infraestrutura necessários para o serviço funcionar (seção 6) ou quando a lei exigir.
  • Ninguém da nossa equipe lê seus dados do Google, salvo com o seu consentimento expresso para um caso específico (por exemplo, um atendimento de suporte que você pedir), quando necessário para a segurança (investigar abuso ou incidente), para cumprir a lei, ou de forma agregada e anonimizada para a operação interna.

O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google pelo Barba & Cabelo seguirão a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado.

Você pode desconectar a integração a qualquer momento (seção 11): ao desconectar, revogamos o acesso junto ao Google e apagamos os tokens e os eventos importados. Você também pode revogar o acesso diretamente no Google, em myaccount.google.com/permissions. Para pedir a exclusão de qualquer dado do Google que ainda esteja conosco, escreva para contato@contheiner.digital.

5Segurança e proteção de dados sensíveis

Damos proteção reforçada a senhas, tokens do Google, códigos de verificação e dados de contato dos clientes. Os mecanismos em uso hoje são:

  • Criptografia em trânsito: o tráfego entre o app, nossos servidores, as APIs do Google, o serviço de WhatsApp e o envio de e-mails usa HTTPS/TLS.
  • Controle de acesso no banco de dados: as tabelas têm regras de segurança por linha (Row Level Security). Cada pessoa só acessa os próprios dados e os da barbearia em que tem papel, conforme as permissões definidas pelo dono; ações sensíveis passam por funções do servidor que conferem a permissão antes de executar.
  • Isolamento dos tokens do Google: ficam só no servidor, numa tabela separada que não pode ser lida pelo navegador nem pela API pública do app. Só as funções do servidor os leem, gravam, alteram ou apagam, e apenas para chamar as APIs do Google; nenhum usuário (nem você mesmo), barbearia ou administrador do app consegue vê-los pelo app.
  • Segredos fora do código: as credenciais do Google e as chaves de serviço do banco ficam apenas em variáveis protegidas do servidor, nunca no aplicativo do seu aparelho nem no código-fonte.
  • Senhas com hash: o serviço de autenticação guarda as senhas apenas como hash criptográfico (bcrypt); ninguém, nem a nossa equipe, consegue vê-las.
  • Códigos de verificação protegidos: os códigos enviados por WhatsApp são guardados só como hash (SHA-256), valem por 10 minutos, servem uma única vez e têm limite de envios; 5 tentativas erradas invalidam o código.
  • Conexão com o Google protegida: o pedido de autorização é assinado (HMAC), fica vinculado à sua conta e expira em 10 minutos. O Google só devolve a autorização ao endereço de retorno cadastrado no nosso projeto, e a troca pelos tokens é feita no servidor, com a chave secreta do app — os tokens nunca passam pelo navegador. Assim, outra pessoa não consegue ligar a conta Google dela à sua conta no app nem aproveitar uma autorização interceptada.
  • Minimização: pedimos apenas dados ligados às funções que você usa; os dados opcionais ficam desligados até você autorizar e, ao retirar a autorização, os registros de uso opcionais são apagados.
  • Acesso administrativo restrito: só a operadora administra a infraestrutura; o painel de administração dos servidores fica numa rede privada (VPN), fora da internet pública, e o acesso direto ao banco é reservado às funções do servidor e à administração técnica.
  • Registros técnicos: o servidor registra as requisições recebidas (como data, hora, origem e resultado), o que permite investigar acessos indevidos e falhas.

Equipe e operadores: quem trabalha conosco ou presta serviços de infraestrutura só acessa dados pessoais quando necessário para a tarefa, sob dever de confidencialidade, e responde pelo uso indevido. Operadores tratam dados apenas conforme nossas instruções e esta política.

Resposta a incidentes: se ocorrer um incidente de segurança que possa causar risco ou dano relevante, vamos conter o problema, apurar a causa e comunicar a ANPD e as pessoas afetadas, como determina o art. 48 da LGPD, no prazo da regulamentação da ANPD (hoje, 3 dias úteis), informando os dados envolvidos, os riscos, as medidas tomadas e o que você pode fazer. Para relatar uma suspeita, escreva para contato@contheiner.digital.

Nenhum sistema é totalmente imune a falhas; por isso revisamos essas proteções continuamente. Você também ajuda: não compartilhe sua senha nem os códigos que receber.

6Com quem compartilhamos

Não vendemos nem alugamos dados pessoais. Eles só são compartilhados nestes casos:

  • A barbearia em que você agenda: dono, sócios e equipe autorizada veem os dados necessários para atender você (nome, contato e agendamentos), conforme as permissões da loja;
  • Hospedagem e infraestrutura: o servidor virtual privado (VPS) contratado pela operadora, onde ficam o banco de dados, a autenticação e as funções do servidor, e a Hostinger, que hospeda o site e o domínio;
  • E-mail: o serviço de e-mail da Hostinger, usado para mensagens da conta (como confirmação e recuperação de acesso);
  • WhatsApp: as mensagens passam pela nossa instalação do Evolution API, no nosso próprio servidor, e são entregues pela rede do WhatsApp (Meta) ao número informado;
  • Google: somente se você ativar o login com Google ou a conexão com Agenda/Contatos, nos termos da seção 4;
  • Busca por CEP: ao preencher o endereço da barbearia pelo CEP, o seu navegador envia só o CEP digitado ao ViaCEP, serviço gratuito de consulta de endereços. Não enviamos nome, e-mail, telefone nem outros dados da conta; como em qualquer acesso à internet, o serviço recebe o endereço IP do aparelho;
  • Autoridades: quando houver obrigação legal, ordem judicial ou requisição de autoridade competente.

Esses operadores recebem apenas o necessário para executar a sua parte do serviço.

7Transferência internacional

Alguns serviços que usamos podem tratar dados fora do Brasil, como o Google (quando você ativa a integração) e o WhatsApp. Essas transferências ocorrem apenas nas hipóteses do art. 33 da LGPD — por exemplo, quando necessárias para executar o serviço que você pediu ou com o seu consentimento.

8Por quanto tempo guardamos

  • Conta e perfil: enquanto a conta existir; ao excluí-la, os dados pessoais são apagados (seção 11);
  • Agendamentos e histórico: enquanto a conta e a barbearia estiverem ativas; após a exclusão da conta, ficam apenas registros anônimos, sem vínculo com a pessoa;
  • Tokens e eventos do Google: até você desconectar a integração ou excluir a conta, quando são apagados na hora. Dos eventos, guardamos só os da janela de 7 dias atrás a 60 dias à frente: na sincronização seguinte, removemos os que terminaram há mais de 7 dias, os que foram apagados no Google e os de uma agenda que deixou de ser a escolhida;
  • Códigos de verificação: cada envio registra o pedido (número, conta, horário e o hash do código), usado para conferir o código e limitar os envios; o código vale por 10 minutos e fica inutilizado após o uso ou após 5 tentativas erradas;
  • Registros de uso opcionais: até você retirar a autorização, quando são apagados;
  • Registros exigidos por lei: pelo prazo legal, como os registros de acesso a aplicações por 6 meses (Marco Civil da Internet, art. 15).

9Armazenamento no navegador e cookies

O app guarda no seu aparelho apenas o necessário para funcionar:

  • Sessão de login, para você continuar conectado com segurança;
  • Preferências: idioma, tema claro ou escuro e outras escolhas de exibição;
  • Arquivos do app instalado (PWA), que fazem as telas abrirem mais rápido.

Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros. Você pode apagar esses dados nas configurações do navegador; isso encerra a sessão e volta as preferências ao padrão.

10Seus direitos

Pela LGPD (art. 18), você pode pedir a qualquer momento:

  • confirmação de que tratamos seus dados e acesso a eles;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
  • portabilidade dos dados a outro fornecedor;
  • eliminação dos dados tratados com base no seu consentimento;
  • informação sobre com quem compartilhamos seus dados e sobre a possibilidade de não consentir e suas consequências;
  • revogação do consentimento e oposição a tratamentos que descumpram a lei.

Muitas ações você faz sozinho no app: editar o perfil, mudar preferências, excluir a conta e desconectar o Google. Para as demais, escreva para contato@contheiner.digital. Podemos pedir uma confirmação de identidade para proteger seus dados, e respondemos em até 15 dias.

Se não ficar satisfeito com a resposta, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD) ou à autoridade de proteção de dados do seu país.

11Exclusão da conta e desconexão do Google

  • Excluir a conta permanentemente: em Meu perfil → Meus dados e privacidade, o titular pode apagar a própria conta sem suporte. Nome, e-mail, WhatsApp e demais dados pessoais são removidos. Registros de agenda e de frequência da barbearia podem permanecer apenas de forma anônima (sem vínculo com a pessoa), para estatísticas operacionais até a data da exclusão.
  • Se você for dono ou sócio de uma loja, transfira a sociedade ou saia desse papel antes de excluir a conta.
  • Desconectar Agenda/Contatos: no painel da loja, em Ajustes → Avisos e integrações → Google Agenda e Contatos, use a opção de desconectar. Na mesma hora revogamos a autorização junto ao Google e apagamos do nosso banco os tokens, o e-mail da conta Google conectada e os eventos importados. Se a revogação no Google falhar (por exemplo, por falha de rede ou token já expirado), a desconexão no app acontece mesmo assim e avisamos você para remover o acesso em myaccount.google.com/permissions. Eventos já copiados para a sua Agenda Google continuam lá e podem ser apagados por você.
  • Revogar no Google: você também pode remover o acesso do Barba & Cabelo diretamente no Google, a qualquer momento, em myaccount.google.com/permissions.
  • Ao excluir a conta, pedimos ao Google a revogação da autorização (se a conexão existir) e apagamos a conexão, os tokens e os eventos importados. Para conferir, veja myaccount.google.com/permissions. Dúvidas ou pedidos de exclusão: contato@contheiner.digital.

12Crianças e adolescentes

O app não é direcionado a menores de 18 anos. Adolescentes só devem usá-lo com autorização e acompanhamento dos pais ou responsáveis, e não criamos contas de crianças de propósito. Se souber de dados de criança cadastrados sem o consentimento de um responsável, avise em contato@contheiner.digital para que sejam removidos.

13Alterações desta política

Podemos atualizar esta política para refletir mudanças no serviço ou na legislação. A data no topo da página indica a versão vigente. Em alterações relevantes, buscaremos informar pelos canais habituais do app.