Política de Privacidade

O Everflair é usado por dois públicos, e a lei nos coloca em posições diferentes em cada caso. Entender qual é o seu caso determina a quem você deve pedir acesso, correção ou exclusão dos seus dados.

• Se você é dono ou faz parte da equipe de um estabelecimento e criou uma conta aqui: somos controladores dos dados da sua conta. Nós decidimos como eles são tratados, e você trata diretamente conosco.
• Se você é cliente de um estabelecimento e seus dados foram cadastrados por ele: o estabelecimento é o controlador e nós somos operadores — processamos os dados sob instrução dele. Na prática, quem decide o que é coletado, por quanto tempo fica e se será apagado é o estabelecimento. Por isso, pedidos sobre esses dados devem ir primeiro a ele; nós damos suporte técnico para atendê-los.

Não coletamos nada além do que a operação do sistema exige. A tabela abaixo reflete os campos que existem de fato no banco de dados:

Dados sensíveis: o campo de observações é de texto livre e fica sob controle do estabelecimento. Se ele registrar ali informação de saúde (alergias, condições de pele, reações a produtos), isso é dado sensível na LGPD e exige cuidado redobrado — o estabelecimento, como controlador, é responsável por essa decisão e pela base legal correspondente.

• Endereço IP, usado para conter abuso e tentativas automatizadas. Antes de virar chave de controle, o endereço é convertido em hash SHA-256 — não guardamos o IP em texto no nosso mecanismo de proteção. Nossa hospedagem, porém, mantém registros de acesso próprios (veja a seção 5).
• Cookies estritamente necessários, detalhados na seção 6.

Não usamos Google Analytics, pixel de rede social, mapa de calor ou qualquer ferramenta de rastreamento de comportamento. Não construímos perfil publicitário e não vendemos dados — nem os seus, nem os dos seus clientes.

Não vendemos nem cedemos dados pessoais. Compartilhamos apenas com os prestadores necessários para o serviço funcionar:

Alguns desses prestadores são sediados fora do Brasil, o que caracteriza transferência internacional de dados. Nesses casos ela ocorre para permitir a execução do contrato com você, nos termos do art. 33 da LGPD.

Usamos apenas cookies necessários para o funcionamento. Nenhum é de publicidade ou análise de audiência — por isso não exibimos banner de consentimento, que a lei reserva justamente para os cookies não essenciais.

• Dados da conta e do estabelecimento: enquanto a conta existir.
• Dados de clientes e atendimentos: enquanto o estabelecimento mantiver a conta ativa, já que é ele quem define esse prazo como controlador.
• Pedidos de exclusão são avaliados conforme o papel do controlador e as obrigações legais. Registros históricos de atendimentos, cancelamentos e movimentações podem ser preservados quando necessários para cumprir obrigação legal, manter a integridade operacional ou exercer direitos.
• Registros de contenção de abuso: apagados automaticamente ao fim da janela de contagem, que é de minutos ou horas.
• Tokens de recuperação de senha: armazenados somente como hash, expiram em 1 hora e são removidos após uso ou falha de envio.

Nenhum sistema é imune, e seria desonesto prometer o contrário. O que adotamos concretamente:

• Senhas nunca são guardadas em texto — apenas o hash bcrypt, que não permite reverter a senha original.
• Links de recuperação são aleatórios, de uso único, expiram em 1 hora e revogam sessões anteriores depois da troca.
• Todo o tráfego trafega por HTTPS.
• Cada estabelecimento tem seus dados isolados: toda consulta ao banco é filtrada pelo identificador do estabelecimento da sessão ativa.
• Acesso ao financeiro é restrito por papel — quem não tem permissão não vê o módulo nem acessa a rota.
• O banco de dados fica em São Paulo e exige conexão autenticada; as políticas de isolamento também são aplicadas no próprio PostgreSQL.
• Limites de tentativa em login, cadastro e agendamento, para conter ataque automatizado.

Se identificarmos incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a ANPD, conforme o art. 48 da LGPD.

O art. 18 da LGPD garante a você, a qualquer momento e sem custo:

• Confirmar se tratamos dados seus e acessar esses dados.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• Solicitar a portabilidade a outro fornecedor.
• Ser informado com quem compartilhamos seus dados.
• Revogar o consentimento, quando o tratamento se basear nele.
• Opor-se a tratamento feito com base em legítimo interesse.

Se você é cliente de um estabelecimento: procure primeiro o próprio estabelecimento, que é o controlador dos seus dados. Se ele não responder ou você não souber como contatá-lo, escreva para nós que ajudamos a direcionar.

Para exercer qualquer direito, escreva para alisonbsilva1@hotmail.com. Respondemos em até 15 dias. Podemos pedir informação adicional para confirmar sua identidade antes de liberar ou apagar dados — é proteção contra alguém se passar por você.

O painel administrativo é destinado a maiores de 18 anos. Atendimentos de menores podem ser agendados por pais ou responsáveis, e cabe ao estabelecimento obter o consentimento específico exigido pelo art. 14 da LGPD antes de cadastrar dados de criança.

Podemos atualizar este documento. A data de última atualização no topo sempre reflete a versão vigente. Mudança que altere de forma relevante como tratamos seus dados será avisada pelos canais de contato antes de entrar em vigor.

O Everflair é operado por Alison Barbosa da Silva, que atua como encarregado pelo tratamento de dados pessoais para os fins do art. 41 da LGPD. Contato: alisonbsilva1@hotmail.com.

Veja também os Termos de uso.