Voltar

Política de Privacidade

Tradução de cortesia. Em caso de divergência, prevalece a versão em português do Brasil.Ler o original em português

Política de Privacidade

Atualizado em 3/10/2026Para todos

Em resumo

Resumo para facilitar a leitura. Prevalece o texto completo.

1Quem é responsável

Quem é quem
  1. BarbeariaDecide porquê e como usar os dados de clientes e equipa
  2. Barba & CabeloTrata esses dados em nome da barbearia, só para prestar o serviçoResponsável pelos dados da sua conta e da plataforma
  3. Clientes e equipaTêm direitos sobre os próprios dados (LGPD)

A aplicação Barba & Cabelo (disponível em beauty.contheiner.digital) é operada por:

  • Denominação social: PROH MEDIA AGENCIA DE MARKETING LTDA - ME
  • CNPJ: 65.789.160/0001-07
  • E-mail de contacto sobre privacidade: contato@contheiner.digital
  • Encarregado da proteção de dados (DPO): atendimento através do e-mail contato@contheiner.digital, que recebe os pedidos dos titulares e as comunicações da Autoridade Nacional de Proteção de Dados brasileira (ANPD).

Para os dados da sua conta e da plataforma, a empresa acima é a responsável pelo tratamento. Para os dados que cada barbearia regista sobre os seus clientes e a sua equipa, a barbearia é a responsável e o Barba & Cabelo atua como subcontratante, tratando esses dados apenas para prestar o serviço contratado. Ao registar a barbearia, o dono aceita o Acordo de Tratamento de Dados, que detalha estes papéis.

Esta política explica que dados tratamos, para quê, como os protegemos e como exerce os seus direitos, de acordo com a Lei Geral de Proteção de Dados brasileira (LGPD, Lei 13.709/2018) e com a Política de Dados do Utilizador dos Serviços de API da Google.

2Que dados tratamos

Tratamos apenas o necessário para que as marcações e a gestão da barbearia funcionem:

  • Conta: nome (indicado no registo ou vindo do início de sessão com Google), e-mail, fotografia de perfil (se enviar uma ou se vier do início de sessão com Google) e palavra-passe — guardada apenas como hash, nunca em texto legível;
  • WhatsApp: obrigatório no registo por e-mail, para o dono da barbearia e para o cliente (quem entra com a Google indica-o depois, em O meu perfil). Serve para confirmações, lembretes e códigos de verificação. O número é confirmado com um código enviado pelo WhatsApp da plataforma (o cliente pode deixar a confirmação para mais tarde, em O meu perfil); só um número confirmado recebe avisos de marcação e serve para iniciar sessão e recuperar a palavra-passe pelo WhatsApp. Os avisos por WhatsApp vêm ligados no registo, e cada pessoa decide se os mantém: pode desligá-los no próprio registo ou quando quiser em O meu perfil;
  • Marcações: serviço, profissional, data, horário, estado, histórico de atendimentos e pontos do clube de fidelização da barbearia;
  • Dados da barbearia: nome, morada, horários, serviços, preços, equipa e definições registados pelos responsáveis da loja;
  • Preferências opcionais: autorização para análise de utilização, inquéritos e ofertas — todas desligadas por predefinição e alteráveis em O meu perfil → Os meus dados e privacidade;
  • Dados da Google, apenas se utilizar o início de sessão com Google ou ligar o Google Calendar/Contactos (detalhes na secção 4);
  • Dados técnicos: sessão de autenticação e registos técnicos dos pedidos ao servidor (como endereço IP, data e hora), utilizados para segurança e para corrigir falhas.
  • Registo da aceitação: a data e as versões dos Termos de Utilização e desta Política (e, para o dono, do Acordo de Tratamento de Dados) que aceitou, bem como a sua declaração de idade, ficam registadas no seu perfil para comprovar a aceitação.

Não solicitamos categorias especiais de dados pessoais (como saúde, religião, biometria ou origem racial). Mesmo assim, tratamos palavras-passe, tokens de acesso, códigos de verificação e contactos com as proteções reforçadas descritas na secção 5.

3Para que utilizamos e com que fundamento legal

Cada utilização tem um fundamento legal previsto no art. 7.º da LGPD:

  • Execução do contrato e do serviço (art. 7.º, V): criar e manter a conta, reservar e gerir horários, enviar confirmações e lembretes e gerir o clube de fidelização;
  • Consentimento (art. 7.º, I): início de sessão com Google, ligação ao Google Calendar/Contactos, análise de utilização, inquéritos e ofertas. Pode retirar o consentimento a qualquer momento, sem perder o resto do serviço;
  • Interesse legítimo (art. 7.º, IX): segurança da conta, prevenção de fraudes e abusos e melhoria técnica do serviço, sempre respeitando os seus direitos e expectativas;
  • Obrigação legal ou regulatória (art. 7.º, II) e exercício regular de direitos (art. 7.º, VI): conservação de registos exigidos por lei e defesa em processos.

Não vendemos dados pessoais, não os utilizamos para publicidade de terceiros e não tomamos decisões automatizadas que produzam efeitos jurídicos sobre si.

4Dados da Google

O Barba & Cabelo integra-se com a Google de duas formas independentes. Cada uma só é ativada por ação sua, no ecrã de autorização da própria Google, e acede apenas ao que está descrito abaixo.

Detalhes técnicos da integração com a Google

Início de sessão com Google (âmbitos openid, email e profile)

Recebemos o seu nome, e-mail, fotografia de perfil e o identificador da conta Google, apenas para criar a conta e autenticar o acesso. Estes dados ficam no registo enquanto a conta existir. Nunca recebemos a sua palavra-passe da Google.

Google Calendar (âmbito https://www.googleapis.com/auth/calendar)

  • Lista de calendários: lemos a lista de calendários da conta ligada (nome, identificador e nível de permissão de cada um) apenas para lha mostrar e para que escolha qual sincronizar; essa lista não é guardada. Guardamos apenas o identificador e o nome do calendário escolhido.
  • Eventos do calendário escolhido: quando toca em Sincronizar calendário, lemos os eventos de 7 dias antes até 60 dias depois da data atual e guardamos de cada um apenas o título, o início, o fim, se é de dia inteiro, o calendário de origem e a ligação do evento. Não guardamos a descrição, os participantes, o organizador, o local nem o evento completo. Estes eventos aparecem apenas para si, em Definições → Avisos e integrações → Google Calendar e Contactos, na lista “Próximos eventos do Google Calendar”, para ver os horários ocupados ao organizar as marcações; nenhum outro membro da barbearia nem o público tem acesso a eles. A cópia é atualizada em cada sincronização e eliminada quando desliga a integração ou elimina a conta.
  • Cópia das marcações (opcional, desligada por predefinição): se a ativar, criamos, atualizamos e removemos no calendário escolhido eventos com o serviço, o nome do cliente, o profissional, a barbearia e o horário dos atendimentos.

Google Contactos (âmbito https://www.googleapis.com/auth/contacts)

Utilizado apenas para criar um contacto na sua conta Google quando pede para guardar um cliente (nome, e-mail, telefone e nota que indicar). Não lemos, não copiamos e não guardamos a sua lista de contactos.

Para a ligação ao Calendar e aos Contactos guardamos também o e-mail da conta Google ligada, os âmbitos concedidos e os tokens de acesso e de atualização emitidos pela Google, protegidos como descrito na secção 5. Os tokens ficam apenas no servidor e só existem enquanto a ligação estiver ativa.

Como protegemos os dados da Google

  • Cifragem em trânsito: toda a comunicação com as APIs da Google e entre a aplicação e os nossos servidores utiliza HTTPS/TLS.
  • Tokens apenas no servidor: os tokens de acesso e de atualização ficam numa tabela da base de dados que o navegador e a API pública da aplicação não conseguem ler. Só as funções do servidor os utilizam, e apenas para chamar as APIs da Google em nome de quem fez a ligação; nunca são enviados para o seu dispositivo.
  • Acesso só seu: regras de segurança por linha (Row Level Security) e uma função do servidor que verifica a sua sessão garantem que só a pessoa que ligou a conta Google vê os eventos importados — nem a equipa da barbearia, nem os clientes, nem o público.
  • Apenas o necessário: guardamos só o título, os horários e a ligação de cada evento, o calendário escolhido e o e-mail da conta ligada. A descrição, os participantes, o local e a sua lista de contactos não são guardados.
  • Segredos e administração protegidos: a chave secreta do cliente OAuth da Google fica apenas em variáveis protegidas do servidor, e o painel de administração dos servidores está numa rede privada (VPN).
  • Revogação e eliminação: ao desligar, revogamos o acesso na Google e eliminamos de imediato os tokens e os eventos importados; os eventos fora da janela de sincronização são removidos automaticamente (secção 8). Os restantes mecanismos de segurança estão na secção 5.

Os nossos compromissos com os dados da Google

  • Utilizamos os dados da Google apenas para oferecer as funcionalidades visíveis para o utilizador descritas acima: iniciar sessão, sincronizar o calendário, mostrar-lhe os próximos eventos importados e guardar contactos.
  • Não vendemos dados da Google e não os utilizamos para publicidade, incluindo anúncios personalizados, de remarketing ou baseados em interesses.
  • Não utilizamos dados da Google para desenvolver, melhorar ou treinar modelos generalizados de inteligência artificial ou de aprendizagem automática.
  • Não transferimos dados da Google para terceiros, exceto para os subcontratantes de infraestrutura necessários ao funcionamento do serviço (secção 6) ou quando a lei o exigir.
  • Ninguém da nossa equipa lê os seus dados da Google, salvo com o seu consentimento expresso para um caso específico (por exemplo, um pedido de suporte que faça), quando necessário para a segurança (investigar abusos ou incidentes), para cumprir a lei, ou de forma agregada e anonimizada para a operação interna.

A utilização e a transferência, para qualquer outra aplicação, de informações recebidas das APIs da Google pelo Barba & Cabelo cumprirão a Política de Dados do Utilizador dos Serviços de API da Google, incluindo os requisitos de Utilização Limitada.

Pode desligar a integração a qualquer momento (secção 11): ao desligar, revogamos o acesso junto da Google e eliminamos os tokens e os eventos importados. Também pode revogar o acesso diretamente na Google, em myaccount.google.com/permissions. Para pedir a eliminação de quaisquer dados da Google que ainda estejam connosco, escreva para contato@contheiner.digital.

5Segurança e proteção de dados sensíveis

Damos proteção reforçada a palavras-passe, tokens da Google, códigos de verificação e dados de contacto dos clientes. Os mecanismos em uso atualmente são:

  • Cifragem em trânsito: o tráfego entre a aplicação, os nossos servidores, as APIs da Google, o serviço de WhatsApp e o envio de e-mails utiliza HTTPS/TLS.
  • Controlo de acesso na base de dados: as tabelas têm regras de segurança por linha (Row Level Security). Cada pessoa só acede aos seus próprios dados e aos da barbearia em que tem uma função, conforme as permissões definidas pelo dono; as ações sensíveis passam por funções do servidor que verificam a permissão antes de executar.
  • Isolamento dos tokens da Google: ficam apenas no servidor, numa tabela separada que não pode ser lida pelo navegador nem pela API pública da aplicação. Só as funções do servidor os leem, gravam, alteram ou apagam, e apenas para chamar as APIs da Google; nenhum utilizador (nem o próprio titular), barbearia ou administrador da aplicação os consegue ver através da aplicação.
  • Segredos fora do código: as credenciais da Google e as chaves de serviço da base de dados ficam apenas em variáveis protegidas do servidor, nunca na aplicação do seu dispositivo nem no código-fonte.
  • Palavras-passe com hash: o serviço de autenticação guarda as palavras-passe apenas como hash criptográfico (bcrypt); ninguém, nem a nossa equipa, as consegue ver.
  • Códigos de verificação protegidos: os códigos enviados por WhatsApp são guardados apenas como hash (SHA-256), valem 10 minutos, servem uma única vez e têm limite de envios; 5 tentativas erradas invalidam o código.
  • Ligação à Google protegida: o pedido de autorização é assinado (HMAC), fica associado à sua conta e expira em 10 minutos. A Google só devolve a autorização ao endereço de retorno registado no nosso projeto, e a troca pelos tokens é feita no servidor, com a chave secreta da aplicação — os tokens nunca passam pelo navegador. Assim, outra pessoa não consegue associar a conta Google dela à sua conta na aplicação nem aproveitar uma autorização intercetada.
  • Minimização: pedimos apenas dados ligados às funcionalidades que utiliza; os dados opcionais ficam desligados até autorizar e, ao retirar a autorização, os registos de utilização opcionais são apagados.
  • Acesso administrativo restrito: só a operadora administra a infraestrutura; o painel de administração dos servidores está numa rede privada (VPN), fora da internet pública, e o acesso direto à base de dados está reservado às funções do servidor e à administração técnica.
  • Registos técnicos: o servidor regista os pedidos recebidos (como data, hora, origem e resultado), o que permite investigar acessos indevidos e falhas.

Equipa e subcontratantes: quem trabalha connosco ou presta serviços de infraestrutura só acede a dados pessoais quando necessário para a tarefa, sob dever de confidencialidade, e responde pela utilização indevida. Os subcontratantes tratam dados apenas de acordo com as nossas instruções e esta política.

Resposta a incidentes: se ocorrer um incidente de segurança que possa causar risco ou dano relevante, vamos conter o problema, apurar a causa e comunicar à ANPD e às pessoas afetadas, como determina o art. 48.º da LGPD, no prazo da regulamentação da ANPD (atualmente, 3 dias úteis), indicando os dados envolvidos, os riscos, as medidas tomadas e o que pode fazer. Para comunicar uma suspeita, escreva para contato@contheiner.digital.

Nenhum sistema é totalmente imune a falhas; por isso revemos estas proteções continuamente. Também pode ajudar: não partilhe a sua palavra-passe nem os códigos que receber.

6Com quem partilhamos

Não vendemos nem alugamos dados pessoais. Só são partilhados nestes casos:

  • A barbearia onde faz marcações: o dono, os sócios e a equipa autorizada veem os dados necessários para o atender (nome, contacto e marcações), conforme as permissões da loja;
  • Alojamento e infraestrutura: o servidor virtual privado (VPS) contratado pela operadora, onde ficam a base de dados, a autenticação e as funções do servidor, e a Hostinger, que aloja o site e o domínio;
  • E-mail: o serviço de e-mail da Hostinger, utilizado para mensagens da conta (como confirmação e recuperação de acesso);
  • WhatsApp: as mensagens passam pela nossa instalação do Evolution API, no nosso próprio servidor, e são entregues pela rede do WhatsApp (Meta) ao número indicado;
  • Google: apenas se ativar o início de sessão com Google ou a ligação ao Calendar/Contactos, nos termos da secção 4;
  • Pesquisa por CEP: ao preencher a morada da barbearia pelo CEP (código postal brasileiro), o seu navegador envia só o CEP escrito ao ViaCEP, serviço gratuito de consulta de moradas. Não enviamos nome, e-mail, telefone nem outros dados da conta; como em qualquer acesso à internet, o serviço recebe o endereço IP do dispositivo;
  • Autoridades: quando houver obrigação legal, ordem judicial ou pedido de autoridade competente.

Estes subcontratantes recebem apenas o necessário para executar a sua parte do serviço.

7Transferência internacional

Alguns serviços que utilizamos podem tratar dados fora do Brasil, como a Google (quando ativa a integração) e o WhatsApp. Estas transferências ocorrem apenas nas hipóteses do art. 33.º da LGPD — por exemplo, quando necessárias para executar o serviço que pediu ou com o seu consentimento.

8Durante quanto tempo conservamos

  • Conta e perfil: enquanto a conta existir; ao eliminá-la, os dados pessoais são apagados (secção 11);
  • Marcações e histórico: enquanto a conta e a barbearia estiverem ativas; após a eliminação da conta, ficam apenas registos anónimos, sem ligação à pessoa;
  • Tokens e eventos da Google: até desligar a integração ou eliminar a conta, altura em que são apagados de imediato. Dos eventos, guardamos apenas os da janela de 7 dias para trás a 60 dias para a frente: na sincronização seguinte, removemos os que terminaram há mais de 7 dias, os que foram apagados na Google e os de um calendário que deixou de ser o escolhido;
  • Códigos de verificação: cada envio regista o pedido (número, conta, hora e o hash do código), utilizado para validar o código e limitar os envios; o código vale 10 minutos e fica inutilizado após a utilização ou após 5 tentativas erradas;
  • Registos de utilização opcionais: até retirar a autorização, altura em que são apagados;
  • Registos exigidos por lei: pelo prazo legal, como os registos de acesso a aplicações durante 6 meses (Marco Civil da Internet brasileiro, art. 15.º).

9Armazenamento no navegador e cookies

A aplicação guarda no seu dispositivo apenas o necessário para funcionar:

  • Sessão iniciada, para continuar ligado com segurança;
  • Preferências: idioma, tema claro ou escuro e outras escolhas de apresentação;
  • Ficheiros da aplicação instalada (PWA), que fazem os ecrãs abrir mais depressa.

Não utilizamos cookies de publicidade nem ferramentas de rastreio de terceiros. Pode apagar estes dados nas definições do navegador; isso termina a sessão e repõe as preferências predefinidas.

10Os seus direitos

Nos termos da LGPD (art. 18.º), pode pedir a qualquer momento:

  • confirmação de que tratamos os seus dados e acesso aos mesmos;
  • retificação de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
  • portabilidade dos dados para outro fornecedor;
  • eliminação dos dados tratados com base no seu consentimento;
  • informação sobre com quem partilhamos os seus dados e sobre a possibilidade de não consentir e as respetivas consequências;
  • revogação do consentimento e oposição a tratamentos que não cumpram a lei.

Muitas ações pode fazer sozinho na aplicação: editar o perfil, alterar preferências, eliminar a conta e desligar a Google. Para as restantes, escreva para contato@contheiner.digital. Podemos pedir uma confirmação de identidade para proteger os seus dados, e respondemos no prazo de 15 dias.

Se não ficar satisfeito com a resposta, pode também apresentar reclamação à Autoridade Nacional de Proteção de Dados brasileira (ANPD) ou à autoridade de controlo do seu país.

11Eliminar a conta e desligar a Google

  • Eliminar a conta permanentemente: em O meu perfil → Os meus dados e privacidade, o titular pode apagar a sua própria conta sem recorrer ao suporte. Nome, e-mail, WhatsApp e os restantes dados pessoais são removidos. Os registos de agenda e de frequência da barbearia podem permanecer apenas de forma anónima (sem ligação à pessoa), para estatísticas operacionais até à data da eliminação.
  • Se for dono ou sócio de uma loja, transfira a sociedade ou deixe essa função antes de eliminar a conta.
  • Desligar Calendar/Contactos: no painel da loja, em Definições → Avisos e integrações → Google Calendar e Contactos, utilize a opção de desligar. Nesse momento revogamos a autorização junto da Google e apagamos da nossa base de dados os tokens, o e-mail da conta Google ligada e os eventos importados. Se a revogação na Google falhar (por exemplo, por falha de rede ou token já expirado), a desligação na aplicação acontece na mesma e avisamo-lo para remover o acesso em myaccount.google.com/permissions. Os eventos já copiados para o seu Google Calendar continuam lá e pode apagá-los.
  • Revogar na Google: também pode remover o acesso do Barba & Cabelo diretamente na Google, a qualquer momento, em myaccount.google.com/permissions.
  • Ao eliminar a conta, pedimos à Google a revogação da autorização (se a ligação existir) e apagamos a ligação, os tokens e os eventos importados. Para confirmar, consulte myaccount.google.com/permissions. Dúvidas ou pedidos de eliminação: contato@contheiner.digital.

12Crianças e adolescentes

A aplicação não se destina a menores de 18 anos. Os adolescentes só a devem utilizar com autorização e acompanhamento dos pais ou responsáveis, e não criamos contas de crianças intencionalmente. Se tiver conhecimento de dados de uma criança registados sem o consentimento de um responsável, avise-nos em contato@contheiner.digital para que sejam removidos.

13Alterações a esta política

Podemos atualizar esta política para refletir alterações no serviço ou na legislação. A data no topo da página indica a versão em vigor. Em alterações relevantes, procuraremos informar pelos canais habituais da aplicação.