Política de Privacidade

1. Quem é responsável

O Zalão é um sistema de agendamento para barbearias, salões e estúdios de beleza, operado pela F7 Sistemas (razão social FABIO DA COSTA COELHO LTDA), inscrita no CNPJ sob o nº 67.895.877/0001-69.

Contato para assuntos de privacidade, incluindo o exercício dos seus direitos: contato@zalao.com.br. Escrevendo para lá você fala com quem decide, e a resposta sai no prazo do art. 19 da LGPD (15 dias).

2. Dois papéis diferentes

Se você é DONO de um estabelecimento que usa o Zalão: os dados da sua conta (nome, e-mail, CNPJ, cobrança) são tratados por nós como controlador. Somos nós que decidimos o que coletar e para quê, e é conosco que você fala.

Se você é CLIENTE de uma barbearia ou salão que usa o Zalão: os seus dados foram cadastrados pelo estabelecimento, e é ELE quem decide o que coletar e para quê. Nós apenas guardamos e processamos, seguindo as instruções dele — somos operador. Para pedir acesso, correção ou exclusão, fale primeiro com o estabelecimento que te atende. Se ele não responder, escreva para nós e ajudamos.

Uma exceção importante, e ela é nossa: o registro de data, hora e IP de quando você agenda, cancela ou remarca. Esse dado não é coletado por instrução da barbearia — nós o guardamos porque a lei nos obriga (Marco Civil da Internet, art. 15), com finalidade e prazo que a lei define. Sobre ele, o controlador somos nós, e é conosco que você fala.

3. Que dados tratamos

De quem contrata o Zalão (o dono):

De clientes finais, cadastrados pelo estabelecimento:

Não pedimos CPF, endereço nem documento de cliente final. Não usamos cookie de publicidade, de análise ou de rastreamento entre sites.

4. Com que base legal

5. Com quem compartilhamos

Não vendemos dados pessoais e não os cedemos para publicidade de terceiros. Compartilhamos apenas com quem é necessário para o serviço funcionar:

O Asaas recebe apenas dados de quem contrata o Zalão. Nenhum dado de cliente final de barbearia é enviado ao Asaas.

6. Transferência internacional

Os dados do banco ficam armazenados no Brasil. Isso não encerra o assunto: Vercel, Neon e Upstash são empresas norte-americanas e o suporte técnico delas pode alcançar a infraestrutura de fora do país. Região de armazenamento e possibilidade de acesso são coisas diferentes, e a segunda também é transferência internacional.

Além dessas, quatro serviços recebem dados fora do Brasil por natureza: o servidor que dispara as mensagens (Railway), a Meta, a Resend e a Cloudflare — esta última guarda a cópia de segurança diária, que é uma cópia de tudo. Essa cópia sai cifrada do nosso servidor, com uma chave que não fica nem na Cloudflare nem no provedor do banco: quem tiver o arquivo, e só o arquivo, não consegue lê-lo.

Hoje essas transferências se apoiam nas cláusulas contratuais de proteção de dados dos próprios fornecedores. Estamos trabalhando para adequá-las integralmente à Resolução CD/ANPD nº 19/2024, e atualizaremos esta seção conforme isso avançar. Se quiser saber em que pé está esse trabalho, escreva para nós.

7. Por quanto tempo guardamos

Sobre os registros de acesso: a lei nos obriga a guardar data, hora e endereço IP de quem entra no painel e de quem agenda pelo link público, por 6 meses (Marco Civil da Internet, art. 15). É só isso — não guardamos que páginas você abriu nem o que fez. Esses registros ficam sob sigilo, acessíveis apenas à administração da plataforma, cada consulta é auditada, e a entrega a terceiros depende de ordem judicial (art. 15, §3º). Passados os 6 meses, são apagados.

Um cliente que não é atendido há três anos não tem mais finalidade ativa no sistema. O cadastro dele deixa de identificar alguém: nome, telefone, e-mail, data de nascimento, observações, alergias e ficha de química são removidos. O histórico de atendimento continua como número, sem dono — é o que a barbearia precisa para o próprio faturamento passado.

8. Segurança

• Os dados de cada estabelecimento ficam isolados no banco por uma regra do próprio Postgres, não apenas por filtro na aplicação — uma consulta mal escrita não alcança dados de outra barbearia.
• Senhas são guardadas como hash, nunca em texto. Ninguém do Zalão consegue ler a sua.
• Todo o tráfego é cifrado (HTTPS), e os cookies de sessão só trafegam por conexão segura.
• Cópia de segurança diária, cifrada, guardada em provedor diferente do banco, com a chave em um terceiro lugar.
• O acesso ao suporte da plataforma é somente leitura e fica registrado na trilha de auditoria.
• Acesso administrativo com autenticação em duas etapas.

9. Se acontecer um incidente

Nenhuma medida elimina o risco. Se houver incidente de segurança com dado pessoal:

• Quando o dado for de responsabilidade do estabelecimento, avisamos o estabelecimento — é ele quem comunica os clientes dele, e nós damos o que for preciso para isso.
• Quando o dado for de responsabilidade nossa (a conta do estabelecimento), comunicamos a ANPD e os afetados no prazo da Resolução CD/ANPD nº 15/2024: 3 dias úteis contados do conhecimento.

10. Seus direitos

A LGPD (art. 18) te dá o direito de saber se tratamos seus dados, acessá-los, corrigi-los, pedir a eliminação, pedir a portabilidade, revogar consentimento e se opor a um tratamento. Basta escrever para o contato acima.

Se você é cliente de uma barbearia, fale primeiro com ela — é quem decide sobre os seus dados e tem as ferramentas prontas no painel. Não obtendo resposta, escreva para nós.

Para sair das promoções por WhatsApp, basta responder PARAR na própria mensagem. Você recebe uma confirmação de volta. Atenção ao alcance: como o número atende várias barbearias, o pedido vale para todas — não temos como saber de qual delas veio a mensagem. As confirmações e os lembretes dos seus horários continuam chegando, porque não são propaganda: são o aviso do seu agendamento.

11. Cookies

Usamos apenas cookies estritamente necessários para o login funcionar. Não há cookie de publicidade, de análise nem de rastreamento entre sites — e por isso não existe banner de consentimento: não há nada opcional para você recusar.

Os prefixos __Host- e __Secure- são uma instrução ao navegador para só devolver o cookie por HTTPS e, no caso do primeiro, só para este domínio exato. As páginas públicas — início, preços, cadastro e login — não gravam cookie nenhum antes de você entrar.

12. Crianças e adolescentes

O Zalão não é destinado a menores de 18 anos. Um estabelecimento pode atender uma criança e registrar o atendimento, e nesse caso o tratamento se dá no melhor interesse dela, com o responsável.

O sistema não envia campanha promocional para quem tem menos de 18 anos, mesmo que a data de nascimento esteja cadastrada e a caixa de promoções esteja marcada. Publicidade dirigida a criança é vedada pelo Código de Defesa do Consumidor (art. 37, §2º), e consentimento de menor exige o responsável (LGPD art. 14).

13. Mudanças nesta política

Mudando algo relevante, avisamos por e-mail e no painel antes de a mudança valer. A data no topo indica a versão em vigor.

Quando você autoriza o envio de promoções, guardamos a data e por onde veio a autorização — o formulário de agendamento (foi você) ou o cadastro feito pela barbearia (foi ela quem declarou ter obtido). Se você pedir para sair, guardamos a data disso também. É esse registro que responde, meses depois, quando e como a autorização foi dada.

14. Encarregado (DPO)

O canal de comunicação para assuntos de proteção de dados é contato@zalao.com.br.

A Resolução CD/ANPD nº 2/2022 (art. 11) dispensa o agente de tratamento de pequeno porte de indicar formalmente um encarregado, bastando disponibilizar esse canal — que é a nossa situação hoje. Deixando de ser, indicaremos um encarregado e atualizaremos esta seção.