Política de privacidade

Esta política segue a Lei Geral de Proteção de Dados (Lei 13.709/2018). Somos um agente de tratamento de pequeno porte, e por isso a Resolução CD/ANPD nº 2/2022 nos dispensa de indicar formalmente um encarregado — mas o canal de comunicação existe e é o e-mail acima. Quem responde por ele é o próprio responsável pela empresa, e a gente responde em até 15 dias.

Dois papéis diferentes, e a diferença importa:

• Sobre os dados da sua conta (seu cadastro, sua equipe, sua cobrança), o Zanov é controlador: as decisões sobre esse tratamento são nossas.
• Sobre os dados dos seus clientes (nome, telefone, histórico de atendimento), quem é controladora é a sua barbearia. O Zanov é operador: trata esses dados apenas para o sistema funcionar, seguindo as suas instruções.

No cadastro da barbearia: nome da barbearia, nome completo do responsável, e-mail, WhatsApp, endereço e Instagram (se você informar), e CPF ou CNPJ — este último só quando há plano pago, porque é exigência de quem processa o pagamento.

De cada pessoa que entra no sistema: nome, e-mail, senha guardada embaralhada (bcrypt — nem a gente consegue ler), permissões por aba, e o segredo da verificação em duas etapas, se você ligar.

O que você registra no dia a dia: clientes (nome, sobrenome, telefone, e-mail e data de nascimento quando informados), agendamentos, comandas, vendas, lançamentos de caixa, fiado, despesas, produtos, serviços, profissionais e comissões.

Quando um cliente marca sozinho pelo seu link: ele cria uma conta de cliente com e-mail e senha (a senha é guardada embaralhada, nunca como foi digitada) ou entra com a conta Google — aí recebemos do Google só o nome, o e-mail e um número que identifica a conta dele. Depois ele informa nome, WhatsApp e, se quiser, data de nascimento. Esse cadastro vai para a sua lista de clientes, e você vê, na aba Site de agendamento, quem criou conta no seu site (nome, e-mail e WhatsApp) e quando entrou pela última vez. É a conta que dá a ele o direito de ver, remarcar e cancelar os próprios horários — e só os dele.

Clube de assinatura (se a sua barbearia oferecer): quando o cliente assina um plano pelo seu site, guardamos o plano, o preço combinado, a forma de pagamento (cartão, Pix ou boleto), a situação da assinatura e o histórico das mensalidades (valor, data do pagamento e quanto caiu na sua conta depois da taxa). No boleto, o banco exige CPF e endereço: guardamos os dois cifrados, só para gerar os boletos dos meses seguintes, e apagamos quando a assinatura acaba. O cartão é digitado na página do Mercado Pago — o Zanov nunca vê número nem código. Da sua barbearia, guardamos a autorização da conta do Mercado Pago que você conectou (cifrada, porque com ela dá para cobrar em seu nome), o e-mail e o apelido dessa conta.

Conversas com o assistente: o texto das mensagens trocadas no chat e o registro das ações que ele executou. Quando você fala em vez de digitar, quem transcreve é o recurso de reconhecimento de voz do seu próprio navegador — em alguns deles, como o Chrome, esse áudio passa pelos servidores do fabricante do navegador. Para o Zanov vai só o texto: o áudio fica no seu aparelho e não é enviado nem guardado por nós.

Dados técnicos, do mínimo necessário: o cookie de sessão, a descrição do navegador e do sistema (para a tela de Segurança poder dizer “Chrome no Windows”), o registro das ações feitas na conta (quem fez o quê e quando), e o endereço da inscrição de notificação, se você autorizar avisos no celular.

Endereço de IP: usamos para duas coisas. A primeira é travar tentativa repetida de login, de recuperação de senha e de cadastro — proteção contra ataque de força bruta —, e esse registro é apagado em até 30 dias. A segunda é o registro de acesso que a lei exige (artigo 15 do Marco Civil da Internet): a data, a hora e o IP de cada entrada na conta, guardados por 6 meses e apagados depois. O IP não é guardado junto da sua sessão, de propósito.

O que a gente NÃO guarda: número, validade ou código de cartão de crédito (isso é digitado direto na página do Asaas ou do Mercado Pago); dados sensíveis (saúde, religião, biometria, opinião política); e nada vindo de rastreador de propaganda — não existe nenhum no site nem no app.

• Fazer o serviço funcionar — criar a conta, manter agenda, balcão e relatórios de pé, enviar e-mail de acesso e de cobrança. Base: execução do contrato (art. 7º, V, da LGPD).
• Cobrar a mensalidade — gerar cobrança, confirmar pagamento, aplicar troca de plano. Base: execução do contrato.
• Cobrar o clube de assinatura em nome da barbearia — criar a assinatura no Mercado Pago, gerar a cobrança do mês, conferir o pagamento e avisar o cliente por e-mail. Base: execução do contrato entre o cliente e a barbearia; o Zanov faz isso como operador, a pedido dela.
• Cumprir a lei — guardar registros de acesso e documentos fiscais pelo prazo que a lei manda. Base: obrigação legal (art. 7º, II).
• Manter o sistema seguro e melhorar o produto — travar abuso, investigar erro, medir uso de forma agregada. Base: legítimo interesse (art. 7º, IX), sempre no mínimo necessário.
• Avisar no celular — notificação de agendamento novo, fiado vencendo, estoque baixo. Base: consentimento (art. 7º, I), que você dá na permissão do navegador e pode tirar quando quiser.

A gente não vende dados, não troca dados com parceiro comercial e não usa o que está na sua conta para anunciar nada.

Só com fornecedores que fazem o serviço existir, e só do que cada um precisa. Todos são obrigados por contrato a tratar os dados apenas para nos atender:

• Vercel Inc. (EUA) — hospedagem do sistema. As funções do Zanov rodam na região de São Paulo.
• Neon (banco de dados gerenciado, empresa dos EUA) — os servidores ficam na região de São Paulo. É onde os dados da sua barbearia ficam guardados.
• Asaas Gestão Financeira Instituição de Pagamento S.A. (CNPJ 19.540.550/0001-21, Joinville/SC) — cobranças e pagamentos. Recebe nome, e-mail, telefone, CPF ou CNPJ e os dados da cobrança.
• Mercado Pago Instituição de Pagamento Ltda. (CNPJ 10.573.521/0001-91, Osasco/SP) — só para as barbearias que oferecem o clube de assinatura. A cobrança é feita na conta do Mercado Pago da própria barbearia: o Mercado Pago recebe o nome e o e-mail do cliente que assina, o valor do plano e, no boleto, o CPF e o endereço. O cartão é digitado direto na página dele.
• Anthropic PBC (EUA) — o modelo de inteligência artificial do assistente. Recebe o texto da conversa e os dados necessários para executar a tarefa pedida. Pelos termos comerciais da Anthropic, esse conteúdo não é usado para treinar modelos.
• Zoho Corporation — envio dos e-mails do sistema (acesso, cobrança, recuperação de senha).
• Sentry (Functional Software, Inc.) (EUA) — monitoramento de erros. Está configurado para não enviar dados pessoais: recebe a falha técnica, não o conteúdo da tela.
• Serviço de notificação do seu navegador (Google, Mozilla ou Apple, conforme o que você usa) — só para entregar o aviso no aparelho, quando você autoriza.
• Google LLC (EUA) — só para quem escolhe “Entrar com Google” no site de agendamento. O Google confirma quem é a pessoa e nos entrega nome, e-mail e o identificador da conta; nada da agenda vai para ele.
• Cloudflare, Inc. (EUA) — a verificação “não sou um robô” das telas de cadastro (Turnstile). Ela recebe o endereço IP e sinais técnicos do navegador só para diferenciar pessoa de robô, e não é usada para publicidade.

Também podemos compartilhar dados quando a lei obrigar ou quando uma autoridade pedir formalmente — e, sempre que for permitido avisar, a gente avisa você.

O banco de dados fica em São Paulo, e o Asaas e o Mercado Pago são empresas brasileiras, mas parte dos nossos fornecedores é de fora (Vercel, Neon, Anthropic, Zoho, Sentry, Cloudflare e Google, todos indicados acima). Isso é uma transferência internacional de dados, permitida pelo artigo 33 da LGPD e feita com as garantias contratuais previstas na Resolução CD/ANPD nº 19/2024, que inclui as cláusulas-padrão da autoridade brasileira.

O Zanov usa dois cookies, os dois estritamente necessários — sem eles não existe login. O zanov_session mantém você conectado ao sistema: dura 1 dia, ou 30 dias se você marcar “manter conectado”. O zanov_cliente mantém o seu cliente conectado no site de agendamento: some quando ele fecha o navegador, ou dura 10 dias se ele marcar “manter conectado”. Os dois somem quando a pessoa sai da conta.

Não usamos Google Analytics, pixel de rede social, mapa de calor nem qualquer outro rastreador. É por isso que você não vê aquele aviso de cookies aqui: não há o que consentir além do que é essencial para o serviço funcionar.

• Enquanto a conta existir: os dados da barbearia, da equipe e do dia a dia ficam disponíveis para você, inclusive se a conta estiver suspensa por falta de pagamento.
• Depois do encerramento: apagamos em até 90 dias do pedido de exclusão ou do encerramento definitivo da conta. Antes disso, você pode pedir uma cópia.
• Registros de acesso (data, hora e IP de cada entrada na conta): 6 meses, como manda o artigo 15 do Marco Civil da Internet.
• Registros de cobrança e pagamento: 5 anos, por obrigação fiscal e pelo prazo de reclamação do Código de Defesa do Consumidor.
• Conta de cliente do site de agendamento: enquanto existir. O cliente pode pedir a exclusão pelo nosso e-mail de contato; os horários que ele marcou continuam na agenda da barbearia, sem a ligação com a conta. Sessões vencidas somem em 30 dias, e links de troca de senha vencidos em 7.
• Clube de assinatura: o CPF e o endereço do boleto saem assim que a assinatura acaba (cancelada e terminado o período pago, ou encerrada). O histórico das mensalidades é da barbearia e segue o prazo da conta dela.
• Travas de tentativa (IP): até 30 dias.
• Cópias de segurança: os backups do banco giram no ciclo do provedor e são sobrescritos sozinhos — um dado apagado some deles no ciclo seguinte.

• Todo o tráfego é criptografado (HTTPS/TLS).
• Senha nunca é guardada como você digitou: fica embaralhada com bcrypt.
• Verificação em duas etapas disponível para a conta do dono.
• Os dados de cada barbearia ficam isolados dentro do próprio banco, por uma regra que impede uma conta de enxergar a outra mesmo que houvesse falha no código.
• Cada permissão é conferida no servidor, não apenas escondendo botão na tela.
• Monitoramento de erros configurado para não receber dado pessoal.
• Acesso administrativo restrito ao responsável pela empresa, com senha e verificação em duas etapas.

Nenhum sistema é infalível. Se houver um incidente de segurança com risco relevante, comunicamos você e a ANPD nos prazos da Resolução CD/ANPD nº 15/2024, explicando o que aconteceu, o que foi afetado e o que estamos fazendo.

O artigo 18 da LGPD garante a você, a qualquer momento e de graça:

• Saber se tratamos dados seus e acessar esses dados.
• Corrigir dado incompleto, errado ou desatualizado.
• Pedir a exclusão, a anonimização ou o bloqueio do que for desnecessário ou excessivo.
• Pedir a portabilidade e uma cópia em formato que dê para abrir em outro sistema.
• Saber com quem compartilhamos e revogar consentimento, quando a base for consentimento.
• Se opor a um tratamento que você considere indevido.

Para exercer qualquer um deles, escreva para contato@zanov.com.br. A gente confirma sua identidade (para não entregar dado seu a outra pessoa) e responde em até 15 dias. Se você não ficar satisfeito, pode reclamar à Autoridade Nacional de Proteção de Dados (gov.br/anpd).

Quem cadastra o cliente final é você, e é você quem responde pela legalidade disso perante a LGPD: avisar a pessoa sobre o cadastro, usar o telefone dela só para o que ela espera, e não repassar essa lista para terceiros. O Zanov entra como operador e faz a parte dele: segurança, sigilo, e ajudar você a atender um pedido de acesso ou de exclusão.

A conta de cliente do site de agendamento (e-mail, senha, nome e WhatsApp) é do próprio cliente e vale em qualquer barbearia que use o Zanov — por isso quem cuida dela é o Zanov, e é a nós que ele pede acesso, correção ou exclusão. O que ele marca na sua barbearia, e o cadastro que vai para a sua lista de clientes, continuam sob a sua responsabilidade, como acima.

O clube de assinatura é um acordo entre a sua barbearia e o cliente: você define os planos e recebe as mensalidades na sua conta do Mercado Pago. O Zanov opera a cobrança por você e não fica com parte do valor; o atendimento ao assinante (dúvida, estorno, reclamação) é seu.

Se algum cliente for menor de 18 anos, o tratamento dos dados dele deve ser feito no melhor interesse dele e, quando for criança (menos de 12 anos), com consentimento de um dos pais ou responsável — é o que exige o artigo 14 da LGPD. O sistema não pede dado de menor além de nome, telefone e, se você quiser, data de nascimento.

Quando esta política mudar, a data e a versão no topo da página mudam junto. Se a mudança afetar seus direitos ou mexer em como usamos seus dados, avisamos por e-mail e na tela com 30 dias de antecedência. As regras do serviço em si estão nos Termos de uso.