Política de Privacidad

1Quién es el responsable

La aplicación Barba & Cabelo (disponible en beauty.contheiner.digital) está operada por:

• Razón social: PROH MEDIA AGENCIA DE MARKETING LTDA - ME
• CNPJ (registro mercantil brasileño): 65.789.160/0001-07
• Correo de contacto sobre privacidad: contato@contheiner.digital
• Delegado de protección de datos (DPO; «encargado» según la LGPD): atención en el correo contato@contheiner.digital, que recibe las solicitudes de los titulares y las comunicaciones de la Autoridad Nacional de Protección de Datos de Brasil (ANPD).

Para los datos de tu cuenta y de la plataforma, la empresa indicada arriba es la responsable del tratamiento. Para los datos que cada barbería registra sobre sus propios clientes y su equipo, la barbería es la responsable y Barba & Cabelo actúa como encargado, tratando esos datos solo para prestar el servicio contratado. Al registrar la barbería, el propietario acepta el Acuerdo de Tratamiento de Datos, que detalla estos papeles.

Esta política explica qué datos tratamos, para qué, cómo los protegemos y cómo puedes ejercer tus derechos, de acuerdo con la Ley General de Protección de Datos de Brasil (LGPD, Ley 13.709/2018) y con la Política de Datos de Usuario de los Servicios de API de Google.

2Qué datos tratamos

Tratamos solo lo necesario para que las reservas y la gestión de la barbería funcionen:

• Cuenta: nombre (indicado en el registro o recibido del inicio de sesión con Google), correo electrónico, foto de perfil (si subes una o si viene del inicio de sesión con Google) y contraseña — guardada solo como hash, nunca en texto legible;
• WhatsApp: obligatorio en el registro con correo, para el propietario de la barbería y para el cliente (quien entra con Google lo indica después, en Mi perfil). Sirve para confirmaciones, recordatorios y códigos de verificación. El número se confirma con un código enviado por el WhatsApp de la plataforma (el cliente puede dejar la confirmación para después, en Mi perfil); solo un número confirmado recibe avisos de citas y sirve para entrar y recuperar la contraseña por WhatsApp. Los avisos por WhatsApp vienen activados en el registro y cada persona decide si los mantiene: puede desactivarlos en el propio registro o cuando quiera en Mi perfil;
• Reservas: servicio, profesional, fecha, hora, estado, historial de atenciones y puntos del club de fidelidad de la barbería;
• Datos de la barbería: nombre, dirección, horarios, servicios, precios, equipo y ajustes registrados por los responsables de la tienda;
• Preferencias opcionales: permiso para análisis de uso, encuestas y ofertas — todas desactivadas por defecto y modificables en Mi perfil → Mis datos y privacidad;
• Datos de Google, solo si usas el inicio de sesión con Google o conectas Google Calendar/Contactos (detalles en la sección 4);
• Datos técnicos: sesión de autenticación y registros técnicos de las solicitudes al servidor (como dirección IP, fecha y hora), usados para la seguridad y para corregir fallos.
• Registro de la aceptación: la fecha y las versiones de los Términos de uso y de esta Política (y, para el propietario, del Acuerdo de Tratamiento de Datos) que aceptaste, junto con tu declaración de edad, quedan registradas en tu perfil para acreditar la aceptación.

No solicitamos datos personales sensibles en el sentido de la LGPD (como salud, religión, biometría u origen racial). Aun así, tratamos contraseñas, tokens de acceso, códigos de verificación y contactos con las protecciones reforzadas descritas en la sección 5.

3Para qué los usamos y con qué base legal

Cada uso tiene una base legal prevista en el art. 7 de la LGPD:

• Ejecución del contrato y del servicio (art. 7, V): crear y mantener la cuenta, reservar y gestionar horarios, enviar confirmaciones y recordatorios y operar el club de fidelidad;
• Consentimiento (art. 7, I): inicio de sesión con Google, conexión con Google Calendar/Contactos, análisis de uso, encuestas y ofertas. Puedes retirar el consentimiento en cualquier momento, sin perder el resto del servicio;
• Interés legítimo (art. 7, IX): seguridad de la cuenta, prevención de fraudes y abusos y mejora técnica del servicio, siempre respetando tus derechos y expectativas;
• Obligación legal o regulatoria (art. 7, II) y ejercicio regular de derechos (art. 7, VI): conservación de registros exigidos por ley y defensa en procesos.

No vendemos datos personales, no los usamos para publicidad de terceros y no tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti.

4Datos de Google

Barba & Cabelo se integra con Google de dos formas independientes. Cada una solo se activa por una acción tuya, en la pantalla de autorización de Google, y accede únicamente a lo que se describe a continuación.

Puedes desconectar la integración en cualquier momento (sección 11): al desconectar, revocamos el acceso ante Google y borramos los tokens y los eventos importados. También puedes revocar el acceso directamente en Google, en myaccount.google.com/permissions. Para pedir la eliminación de cualquier dato de Google que aún tengamos, escribe a contato@contheiner.digital.

5Seguridad y protección de datos sensibles

Damos protección reforzada a contraseñas, tokens de Google, códigos de verificación y datos de contacto de los clientes. Los mecanismos en uso hoy son:

• Cifrado en tránsito: el tráfico entre la aplicación, nuestros servidores, las API de Google, el servicio de WhatsApp y el envío de correos usa HTTPS/TLS.
• Control de acceso en la base de datos: las tablas tienen reglas de seguridad por fila (Row Level Security). Cada persona solo accede a sus propios datos y a los de la barbería en la que tiene un rol, según los permisos definidos por el dueño; las acciones sensibles pasan por funciones del servidor que verifican el permiso antes de ejecutarse.
• Aislamiento de los tokens de Google: se quedan solo en el servidor, en una tabla separada que no puede leerse desde el navegador ni a través de la API pública de la aplicación. Solo las funciones del servidor los leen, escriben, modifican o borran, y solo para llamar a las API de Google; ningún usuario (ni tú mismo), barbería o administrador de la aplicación puede verlos desde la aplicación.
• Secretos fuera del código: las credenciales de Google y las claves de servicio de la base de datos solo están en variables protegidas del servidor, nunca en la aplicación de tu dispositivo ni en el código fuente.
• Contraseñas con hash: el servicio de autenticación guarda las contraseñas solo como hash criptográfico (bcrypt); nadie, ni siquiera nuestro equipo, puede verlas.
• Códigos de verificación protegidos: los códigos enviados por WhatsApp se guardan solo como hash (SHA-256), valen 10 minutos, sirven una sola vez y tienen límite de envíos; 5 intentos fallidos invalidan el código.
• Conexión con Google protegida: la solicitud de autorización va firmada (HMAC), queda vinculada a tu cuenta y caduca en 10 minutos. Google solo devuelve la autorización a la dirección de retorno registrada en nuestro proyecto, y el intercambio por los tokens se hace en el servidor, con la clave secreta de la aplicación — los tokens nunca pasan por el navegador. Así, otra persona no puede vincular su cuenta de Google a tu cuenta en la aplicación ni aprovechar una autorización interceptada.
• Minimización: pedimos solo datos ligados a las funciones que usas; los datos opcionales permanecen desactivados hasta que los autorices y, al retirar la autorización, los registros de uso opcionales se borran.
• Acceso administrativo restringido: solo la operadora administra la infraestructura; el panel de administración de los servidores está en una red privada (VPN), fuera de internet pública, y el acceso directo a la base de datos está reservado a las funciones del servidor y a la administración técnica.
• Registros técnicos: el servidor registra las solicitudes recibidas (como fecha, hora, origen y resultado), lo que permite investigar accesos indebidos y fallos.

Equipo y encargados: quien trabaja con nosotros o presta servicios de infraestructura solo accede a datos personales cuando es necesario para la tarea, bajo deber de confidencialidad, y responde por el uso indebido. Los encargados tratan los datos solo según nuestras instrucciones y esta política.

Respuesta a incidentes: si se produce un incidente de seguridad que pueda causar un riesgo o daño relevante, lo contendremos, investigaremos la causa y lo comunicaremos a la ANPD y a las personas afectadas, como exige el art. 48 de la LGPD, en el plazo de la normativa de la ANPD (hoy, 3 días hábiles), indicando los datos implicados, los riesgos, las medidas adoptadas y lo que puedes hacer. Para informar de una sospecha, escribe a contato@contheiner.digital.

Ningún sistema es totalmente inmune a fallos; por eso revisamos estas protecciones de forma continua. Tú también ayudas: no compartas tu contraseña ni los códigos que recibas.

6Con quién compartimos

No vendemos ni alquilamos datos personales. Solo se comparten en estos casos:

• La barbería en la que reservas: el dueño, los socios y el equipo autorizado ven los datos necesarios para atenderte (nombre, contacto y reservas), según los permisos de la tienda;
• Alojamiento e infraestructura: el servidor privado virtual (VPS) contratado por la operadora, donde están la base de datos, la autenticación y las funciones del servidor, y Hostinger, que aloja el sitio y el dominio;
• Correo electrónico: el servicio de correo de Hostinger, usado para mensajes de la cuenta (como confirmación y recuperación de acceso);
• WhatsApp: los mensajes pasan por nuestra instalación de Evolution API, en nuestro propio servidor, y se entregan a través de la red de WhatsApp (Meta) al número indicado;
• Google: solo si activas el inicio de sesión con Google o la conexión con Calendar/Contactos, según la sección 4;
• Búsqueda por CEP: al completar la dirección de la barbería con el CEP (código postal brasileño), tu navegador envía solo el CEP escrito a ViaCEP, un servicio gratuito de consulta de direcciones. No enviamos nombre, correo, teléfono ni otros datos de la cuenta; como en cualquier acceso a internet, el servicio recibe la dirección IP del dispositivo;
• Autoridades: cuando exista una obligación legal, una orden judicial o un requerimiento de una autoridad competente.

Estos encargados reciben solo lo necesario para realizar su parte del servicio.

7Transferencia internacional

Algunos servicios que usamos pueden tratar datos fuera de Brasil, como Google (cuando activas la integración) y WhatsApp. Estas transferencias solo se producen en los supuestos del art. 33 de la LGPD — por ejemplo, cuando son necesarias para prestar el servicio que pediste o con tu consentimiento.

8Cuánto tiempo los conservamos

• Cuenta y perfil: mientras exista la cuenta; al eliminarla, los datos personales se borran (sección 11);
• Reservas e historial: mientras la cuenta y la barbería estén activas; tras eliminar la cuenta, solo quedan registros anónimos, sin vínculo con la persona;
• Tokens y eventos de Google: hasta que desconectes la integración o elimines la cuenta, cuando se borran de inmediato. De los eventos, guardamos solo los de la ventana de 7 días atrás a 60 días adelante: en la siguiente sincronización, quitamos los que terminaron hace más de 7 días, los que se borraron en Google y los de un calendario que dejó de ser el elegido;
• Códigos de verificación: cada envío registra la solicitud (número, cuenta, hora y el hash del código), que se usa para comprobar el código y limitar los envíos; el código vale 10 minutos y queda inutilizado tras su uso o tras 5 intentos fallidos;
• Registros de uso opcionales: hasta que retires la autorización, cuando se borran;
• Registros exigidos por ley: durante el plazo legal, como los registros de acceso a aplicaciones durante 6 meses (Marco Civil de Internet de Brasil, art. 15).

9Almacenamiento en el navegador y cookies

La aplicación guarda en tu dispositivo solo lo necesario para funcionar:

• Sesión iniciada, para que sigas conectado de forma segura;
• Preferencias: idioma, tema claro u oscuro y otras opciones de visualización;
• Archivos de la aplicación instalada (PWA), que hacen que las pantallas se abran más rápido.

No usamos cookies publicitarias ni herramientas de seguimiento de terceros. Puedes borrar estos datos en la configuración del navegador; al hacerlo se cierra la sesión y las preferencias vuelven a los valores por defecto.

10Tus derechos

Según la LGPD (art. 18), puedes solicitar en cualquier momento:

• confirmación de que tratamos tus datos y acceso a ellos;
• corrección de datos incompletos, inexactos o desactualizados;
• anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados de forma contraria a la ley;
• portabilidad de los datos a otro proveedor;
• eliminación de los datos tratados con base en tu consentimiento;
• información sobre con quién compartimos tus datos y sobre la posibilidad de no consentir y sus consecuencias;
• revocación del consentimiento y oposición a tratamientos que incumplan la ley.

Muchas acciones puedes hacerlas tú mismo en la aplicación: editar el perfil, cambiar preferencias, eliminar la cuenta y desconectar Google. Para las demás, escribe a contato@contheiner.digital. Podemos pedirte una confirmación de identidad para proteger tus datos, y respondemos en un plazo de 15 días.

Si no quedas satisfecho con la respuesta, también puedes presentar una reclamación ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD) o ante la autoridad de protección de datos de tu país.

11Eliminación de la cuenta y desconexión de Google

• Eliminar la cuenta de forma permanente: en Mi perfil → Mis datos y privacidad, el titular puede borrar su propia cuenta sin contactar con soporte. Se eliminan el nombre, el correo electrónico, el WhatsApp y los demás datos personales. Los registros de agenda y de asistencia de la barbería pueden permanecer solo de forma anónima (sin vínculo con la persona), para estadísticas operativas hasta la fecha de la eliminación.
• Si eres dueño o socio de una tienda, transfiere la sociedad o deja ese rol antes de eliminar la cuenta.
• Desconectar Calendar/Contactos: en el panel de la tienda, en Ajustes → Avisos e integraciones → Google Calendar y Contactos, usa la opción de desconectar. En ese momento revocamos la autorización ante Google y borramos de nuestra base de datos los tokens, el correo de la cuenta de Google conectada y los eventos importados. Si la revocación en Google falla (por ejemplo, por un error de red o un token ya caducado), la desconexión en la aplicación se hace igualmente y te avisamos para que quites el acceso en myaccount.google.com/permissions. Los eventos ya copiados a tu Google Calendar siguen allí y puedes borrarlos tú.
• Revocar en Google: también puedes quitar el acceso de Barba & Cabelo directamente en Google, en cualquier momento, en myaccount.google.com/permissions.
• Al eliminar la cuenta, pedimos a Google que revoque la autorización (si existe la conexión) y borramos la conexión, los tokens y los eventos importados. Para comprobarlo, consulta myaccount.google.com/permissions. Dudas o solicitudes de eliminación: contato@contheiner.digital.

12Niños y adolescentes

La aplicación no está dirigida a menores de 18 años. Los adolescentes solo deben usarla con autorización y supervisión de sus padres o tutores, y no creamos cuentas de niños de forma intencionada. Si sabes de datos de un niño registrados sin el consentimiento de un responsable, avísanos en contato@contheiner.digital para eliminarlos.

13Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la legislación. La fecha de la parte superior de la página indica la versión vigente. Ante cambios relevantes, procuraremos informar por los canales habituales de la aplicación.