Política de Privacidade

Dev On Demand Tecnologia Ltda., CNPJ 28.849.566/0001-01, R. Moisés Correa da Silva, 90, apto. 1103 — Imbiribeira, Recife/PE, CEP 51.160-030.

Há duas relações diferentes aqui, e a distinção importa. Em relação aos dados do estúdio assinante — cadastro, cobrança, uso da plataforma — somos controladores. Em relação aos dados dos clientes do estúdio — quem faz tatuagem ou piercing — somos operadores: o estúdio decide o que coletar e por quê, e nós tratamos por conta dele.

Do estúdio e de quem trabalha nele:

• Nome, e-mail e senha (guardada apenas como hash bcrypt — nunca em texto).
• Papel de acesso, horário de trabalho, folgas e especialidades.
• Telefone e Instagram, quando informados.
• Registro de acesso e trilha de auditoria das ações feitas no sistema.

Dos clientes atendidos pelo estúdio:

• Nome, telefone, e-mail e data de nascimento.
• Histórico de agendamentos, atendimentos, orçamentos e compras.
• Ficha de anamnese e termo de consentimento, quando o estúdio os utiliza — inclui informações de saúde como alergias, medicação em uso, condições de pele e gravidez.
• Assinatura manuscrita capturada em tela, com data, endereço IP e identificação do dispositivo, para dar validade probatória ao termo.
• Fotos do trabalho, quando o estúdio as registra.

A ficha de anamnese contém dado pessoal sensível nos termos do art. 5º, II da Lei 13.709/2018 (LGPD). Por isso:

• A base legal é o consentimento específico e destacado do titular, colhido no momento do preenchimento — não o consentimento genérico de uso da plataforma.
• O acesso é recortado por papel: quem opera a recepção sabe que a ficha existe e pode colhê-la, mas não lê o conteúdo. Quem executa o procedimento lê a ficha de quem atende, e apenas dela.
• A resposta é guardada junto com uma cópia congelada do formulário assinado. Editar o modelo depois não altera nenhuma ficha já assinada — o que a pessoa leu é o que fica registrado.
• O conteúdo da ficha não entra na trilha de auditoria: o registro guarda que a ficha foi criada e por quem, nunca o que ela diz.

Quando o titular é menor de idade, o termo é assinado pelo responsável legal, cujo documento é conferido e registrado.

A conexão com o Google é opcional e feita por cada profissional, na conta dele. Pedimos três escopos, e apenas eles:

• calendar.events.owned — para criar, atualizar e remover, nas agendas que o próprio profissional possui, os eventos correspondentes aos agendamentos feitos no InkGO.
• calendar.freebusy — quando o profissional ativa essa opção, para ler os horários já ocupados na agenda dele e impedir que o estúdio marque em cima de um compromisso pessoal.
• userinfo.email — apenas para mostrar qual conta foi conectada.

Ao ler horários ocupados, usamos somente início e fim de cada compromisso — é o que o endpoint de disponibilidade devolve. Título, participantes, descrição e local não são lidos nem armazenados, e o escopo pedido não daria acesso a eles nem se quiséssemos.

Os tokens de acesso do Google são guardados cifrados em repouso (AES-256-GCM). A conexão pode ser desfeita a qualquer momento na tela de configurações do sistema ou em myaccount.google.com/permissions. Ao desconectar, os tokens são apagados.

Uso Limitado. O uso das informações recebidas das APIs do Google pelo InkGO obedece à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Esses dados não são vendidos, não são usados para publicidade e não alimentam modelos de inteligência artificial.

Não vendemos dados. O compartilhamento se limita a fornecedores necessários para o serviço funcionar:

• Hospedagem da aplicação e armazenamento de arquivos.
• Banco de dados.
• Google, exclusivamente na integração de calendário descrita acima e apenas para quem a ativa.
• Meta (WhatsApp Business), em dois casos: quando a equipe consulta o sistema por mensagem, e quando o sistema AVISA o cliente do horário marcado. No segundo, vão para a Meta o telefone do cliente, o primeiro nome dele, o nome do estúdio e do profissional, a data e a hora — o necessário para a mensagem existir.
• OpenAI, para entender o que alguém da EQUIPE pede por mensagem — a frase digitada, o ÁUDIO quando a pessoa fala em vez de escrever, e a lista de serviços e de profissionais do estúdio. Ver a seção abaixo, que diz exatamente o que vai e o que não vai.

O que a Meta não recebe: nada de anamnese, nada de saúde. O aviso que pede a ficha manda um LINK — o conteúdo do formulário é preenchido no nosso site, e a Meta vê só o endereço, do mesmo jeito que veria qualquer link colado numa conversa.

Fora isso, dados só saem por determinação legal ou ordem judicial — e o estúdio é avisado quando isso for permitido.

Quando o estúdio conecta o WhatsApp, quem é da equipe pode pedir por mensagem o que está marcado, quanto entrou no mês, o que está acabando no estoque — ou marcar um atendimento. Para entender o pedido, e só para isso, parte da mensagem é enviada à OpenAI.

O que sai daqui:a frase digitada; o ÁUDIO, quando a pessoa fala em vez de escrever, para ser transcrito; e a lista de SERVIÇOS e de PROFISSIONAIS do estúdio, para que o pedido possa ser ligado a um deles — é como “agenda uma troca de joia com a Akemi” vira um serviço e uma agenda, em vez de uma pergunta de volta.

O que não sai, nunca: a carteira de CLIENTES do estúdio. Nome, telefone, e-mail e ficha de cliente não são enviados a serviço de inteligência artificial nenhum — quem decide de qual cliente a frase fala é o nosso código, consultando o banco do próprio estúdio depois da resposta. Também não saem agenda, faturamento nem estoque. E dados obtidos das APIs do Google — inclusive os horários ocupados lidos do calendário — nunca são enviados, nem em forma bruta, nem agregada, nem derivada.

⚠ O áudio é a voz de quem gravou, e pode conter o que a pessoa disser nele. Quem preferir não enviar áudio a um serviço de fora pode escrever: as mesmas perguntas e os mesmos comandos funcionam digitados, e nada é enviado.

Segundo a política da OpenAI, conteúdo enviado pela API não é usado para treinar os modelos dela. A interpretação por IA é opcional: sem ela, o sistema reconhece a pergunta por palavras-chave e responde do mesmo jeito.

Enquanto a conta do estúdio estiver ativa. Depois do encerramento, alguns registros permanecem pelos prazos que a lei exige — documento fiscal e registro contábil, por exemplo, têm prazo próprio de guarda, e o termo de consentimento assinado serve de prova em eventual discussão sobre o procedimento realizado.

Quando um cliente é anonimizado a pedido, os dados que o identificam são substituídos de forma irreversível. O histórico financeiro permanece sem vínculo com a pessoa, porque apagá-lo quebraria a contabilidade do estúdio.

• Cada estúdio é isolado no banco de dados por Row Level Security, aplicada pelo próprio PostgreSQL e não por filtro na aplicação — uma consulta sem escopo definido devolve zero linhas, não os dados de outro estúdio.
• Senhas são guardadas apenas como hash bcrypt.
• Tokens do Google são cifrados em repouso.
• Arquivos — fotos e assinaturas — não têm endereço público: cada acesso passa por verificação de assinatura e de sessão.
• Toda ação relevante fica registrada em trilha de auditoria, com autor e momento.

A LGPD (art. 18) garante ao titular: confirmação de tratamento, acesso, correção, anonimização, portabilidade, informação sobre compartilhamento, e revogação do consentimento.

Se você é cliente de um estúdio, fale primeiro com o estúdio: ele é quem decide sobre os seus dados, e o sistema dá a ele as ferramentas para atender o pedido. Se não obtiver resposta, escreva para nós.

Contato: contato@joaoalvarez.dev

Alterações relevantes são comunicadas por e-mail aos estúdios assinantes antes de entrarem em vigor. A data no topo desta página diz quando o texto foi revisado pela última vez.