Introdução
A privacidade dos seus dados é prioridade para a HENS Desenvolvimento de Software, operadora da plataforma Studio Kallos. Esta política explica de forma clara como tratamos suas informações pessoais.
Aplicamos cuidado especial a dados sensíveis (fotos de procedimentos estéticos, informações sobre tratamentos, dados de saúde indireta) com medidas técnicas e organizacionais rigorosas. Esta política aplica-se a todos os usuários da plataforma: profissionais de beleza, estabelecimentos e clientes finais.
Controlador de dados e Encarregado (DPO)
HENS Desenvolvimento de Software LTDA — ME
Nome fantasia: Studio Kallos
CNPJ: 27.901.400/0001-24
E-mail geral: [email protected]
O Encarregado de Proteção de Dados (DPO) é o canal entre você, a empresa e a Autoridade Nacional de Proteção de Dados (ANPD).
E-mail DPO: [email protected]
Dados que coletamos
Dados de identificação e contato
- Nome completo, CPF (quando necessário), data de nascimento
- E-mail, telefone, WhatsApp
- Endereço (cidade e região)
Dados de uso da plataforma
- Histórico de agendamentos e serviços
- Preferências de horários e profissionais
- Interações com funcionalidades do aplicativo
- Mensagens trocadas via WhatsApp e Instagram quando integrados à plataforma
Dados sensíveis (com consentimento específico)
- Fotografias de procedimentos estéticos (antes e depois)
- Histórico de procedimentos, alergias, sensibilidades, contraindicações
Dados técnicos e de navegação
- IP anonimizado, tipo de dispositivo, sistema operacional
- Versão do navegador, dados de geolocalização aproximada
- Cookies e identificadores similares, logs de acesso
Finalidades do tratamento
Prestação dos serviços (Art. 7º, V LGPD — execução de contrato)
- Cadastro e gerenciamento da sua conta
- Processamento de agendamentos e gestão de carteira de clientes
- Registro e acompanhamento de procedimentos estéticos
- Gestão de pagamentos, comissões e transações financeiras
Comunicação com o usuário (Art. 7º, V e I LGPD)
- Confirmações e lembretes de agendamento por WhatsApp e Instagram
- Notificações sobre alterações nos serviços
- Newsletters e marketing — apenas com consentimento específico
Segurança e prevenção de fraudes (Art. 7º, IX LGPD — legítimo interesse)
- Proteção contra acessos não autorizados
- Detecção de atividades suspeitas
- Investigação de violações dos Termos de Uso
Cumprimento de obrigações legais (Art. 7º, II LGPD)
- Emissão de notas fiscais e documentos tributários
- Atendimento a requisições judiciais e de autoridades reguladoras
Uso para melhoria de sistemas e inteligência artificial
A plataforma Studio Kallos inclui um motor de assistência (Overair) que sugere respostas, antecipa preferências e melhora a operação do salão. Para que esse sistema continue evoluindo com qualidade, tratamos dados nas seguintes formas:
Aprendizado a partir de dados anonimizados (Art. 12 LGPD)
Após técnicas de anonimização rigorosas (agregação, generalização, supressão de identificadores diretos, k-anonimização com k≥10), utilizamos padrões coletivos para:
- Treinar e aprimorar modelos de sugestão de resposta
- Identificar padrões de agendamento, sazonalidade e demanda por serviços
- Melhorar a interface e a experiência geral da plataforma
- Desenvolver novas funcionalidades baseadas em uso real
Conforme Art. 12 da LGPD, dados verdadeiramente anonimizados deixam de ser considerados dados pessoais e podem ser utilizados sem consentimento adicional.
Análises não-anonimizadas (Art. 7º, IX LGPD — legítimo interesse)
Em casos específicos, podemos analisar interações identificáveis para depuração técnica, investigação de bugs reportados, e melhorias diretas no produto. Nesses casos, o tratamento é restrito a equipe técnica autorizada, sob confidencialidade contratual, e pelo menor tempo necessário.
O que não fazemos
- Não vendemos seus dados a terceiros, em qualquer formato
- Não compartilhamos dados individuais com empresas de marketing
- Não usamos seu conteúdo para treinar modelos de IA fora do escopo da plataforma
- Não enviamos dados a outros clientes nossos — cada salão vê apenas a própria carteira
Compartilhamento com terceiros
Provedores de infraestrutura (operadores)
- Google LLC (Firebase, Cloud Storage, Analytics) — armazenamento em nuvem e analytics. Cláusulas Contratuais Padrão aprovadas pela ANPD.
- Meta Platforms Inc. (WhatsApp Business Cloud API, Instagram Messaging API) — quando o salão conecta canais Meta à plataforma. Mensagens trocadas com clientes finais passam pelos servidores do Meta conforme política do produto.
- Provedores de pagamento (Pix via instituições bancárias) — quando há cobrança ou depósito.
Compartilhamento entre profissional e cliente
Quando você é cliente final agendando com um salão pela plataforma, seus dados (nome, contato, histórico, fotos de procedimentos com seu consentimento) são compartilhados com aquele estabelecimento, que atua como Controlador independente dos seus dados para fins de prestação do serviço. Cada salão é responsável por sua própria conformidade LGPD.
Autoridades públicas
Compartilhamos dados quando exigido por lei, ordem judicial ou requisição formal de autoridade competente.
O que não compartilhamos
- Empresas de marketing ou publicidade
- Corretores de dados (data brokers)
- Parceiros comerciais não relacionados ao serviço
Integração com Meta — Instagram e WhatsApp
Quando o salão usuário da plataforma conecta uma conta do Instagram Business ou do WhatsApp Business à Studio Kallos, ocorre tratamento de dados específico regido por esta seção.
O que tratamos
- Mensagens recebidas pelo salão via Instagram Direct ou WhatsApp
- Identificadores Meta dos remetentes (Instagram-scoped IDs, WhatsApp phone IDs)
- Metadados das conversas (timestamps, status de leitura, anexos)
- Perfil público mínimo do remetente (nome, foto de perfil quando disponível)
Para que tratamos
- Centralizar a comunicação do salão em um inbox unificado (Instagram + WhatsApp + chat interno)
- Sugerir respostas via assistente Overair, que são sempre revisadas e enviadas por humanos da equipe do salão — não há resposta automática ao cliente final sem revisão humana
- Vincular conversas a fichas de cliente e a agendamentos
- Análise técnica e métricas operacionais
Conformidade com políticas do Meta
- Respeitamos a janela de atendimento de 24 horas do WhatsApp para mensagens livres
- Fora da janela, enviamos apenas templates pré-aprovados pela Meta
- Não usamos dados Meta para criar perfis de usuários para fins de propaganda
- Não combinamos dados Meta com dados de outras plataformas para enriquecimento de perfil
- Permitimos desconexão imediata do canal Meta a pedido do salão usuário
Retenção de dados Meta
Dados de conversas Instagram e WhatsApp são retidos enquanto o salão mantiver a conta ativa na Studio Kallos. Após desconexão do canal Meta ou cancelamento da conta, os dados são excluídos em até 30 dias, exceto quando obrigação legal exigir retenção mais longa.
Integração com Google Agenda
Quando o salão usuário da plataforma conecta sua Conta do Google à Studio Kallos (Configurações > Integrações > Google Agenda), autorizamos o acesso por OAuth com os escopos calendar e calendar.eventsda API do Google Agenda, além do nome e e-mail da conta. O tratamento descrito nesta seção só acontece depois dessa autorização e pode ser desfeito a qualquer momento.
O que tratamos
- Nome, e-mail e foto de perfil da Conta do Google, para identificar a conexão no app
- Tokens de acesso OAuth, guardados de forma cifrada no nosso banco e usados exclusivamente para as operações abaixo
- Uma agenda dedicada chamada "Kallos", que criamos na Conta do Google do salão e na qual gravamos os agendamentos feitos na plataforma
- Da agenda principal do salão, apenas horário de início, término e título dos eventos — para marcar esses períodos como ocupados na agenda da Studio Kallos e evitar agendamento duplo
Para que tratamos
- Espelhar os agendamentos da plataforma na agenda "Kallos" do Google (criar, atualizar e remover eventos)
- Bloquear, na agenda da Studio Kallos, os horários já ocupados na agenda principal do Google
- Manter esse espelhamento atualizado por notificações de mudança da API do Google
O que não fazemos com os dados do Google
- Não lemos descrição, participantes, anexos nem local dos eventos da agenda principal
- Não alteramos nem excluímos eventos que não foram criados pela Studio Kallos
- Não usamos dados da Conta do Google para publicidade nem para treinar modelos de IA
- Não transferimos dados obtidos do Google a terceiros, exceto quando exigido por lei
- Nenhuma pessoa da equipe lê esses dados, salvo com seu consentimento explícito, para segurança, ou por obrigação legal
Uso limitado (Google API Services User Data Policy)
O uso e a transferência, pela Studio Kallos, de informações recebidas das APIs do Google seguem a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado (Limited Use).
Desconexão e retenção
O salão pode desconectar a Conta do Google a qualquer momento em Configurações > Integrações > Google Agenda > Desconectar, ou revogar o acesso em myaccount.google.com/permissions. Ao desconectar, revogamos o token junto ao Google e apagamos os tokens e os bloqueios de horário importados. A agenda "Kallos" permanece na Conta do Google do salão, sob controle dele. Após cancelamento da conta na plataforma, os dados remanescentes da integração são excluídos em até 30 dias.
Seus direitos (Art. 18 LGPD)
A LGPD garante a você direitos sobre seus dados pessoais. Todos os pedidos abaixo são gratuitos e respondidos em até 15 dias úteis.
- Confirmação e acesso — saber quais dados temos sobre você e obter cópia completa
- Correção — corrigir dados incompletos, inexatos ou desatualizados (a maioria você atualiza direto no app)
- Anonimização, bloqueio ou eliminação — dados desnecessários ou tratados em desconformidade com a LGPD
- Portabilidade — receber seus dados em formato estruturado (CSV, JSON)
- Eliminação de dados baseados em consentimento — quando a base legal for consentimento
- Informação sobre compartilhamento — com quem compartilhamos seus dados
- Revogação de consentimento — retirar consentimento dado anteriormente, a qualquer momento
- Oposição ao tratamento — contra tratamentos baseados em legítimo interesse
- Petição à ANPD — direito de reclamação à autoridade nacional (www.gov.br/anpd)
Como exercer
Envie e-mail para [email protected] com:
- Identificação (nome completo, CPF, e-mail cadastrado)
- Qual direito deseja exercer
- Cópia de documento de identidade para verificação
Responderemos com confirmação em até 48 horas e resposta completa em até 15 dias úteis.
Segurança e retenção
Medidas técnicas
- Criptografia em trânsito (TLS 1.3) e em repouso (AES-256)
- Autenticação multifator para acessos administrativos
- Controle de acesso baseado em função (RBAC)
- Hash criptográfico de senhas (bcrypt)
- Firewalls, detecção de intrusão e monitoramento contínuo
- Backups automáticos criptografados
Prazos de retenção
- Dados cadastrais: durante a relação + 5 anos (Código Civil Art. 205)
- Dados fiscais: 5 anos (Código Tributário Nacional)
- Fotos de procedimentos: durante tratamento + 5 anos (CFM/Anvisa)
- Logs de acesso: 6 meses (Marco Civil da Internet Art. 15)
- Dados de marketing: até revogação ou 2 anos de inatividade
- Conversas Meta (Instagram, WhatsApp): durante conta ativa + 30 dias após desconexão
- Tokens e bloqueios importados do Google Agenda: até a desconexão, ou conta ativa + 30 dias
Resposta a incidentes
Em caso de incidente que possa gerar risco ou dano relevante, comunicaremos você em prazo adequado e a ANPD conforme regulamentação. Reporte suspeitas de incidente para [email protected].
Exclusão de dados (Data Deletion)
Você pode solicitar a exclusão completa dos seus dados de duas formas:
Exclusão direta no app
Acesse Configurações > Conta > Excluir conta. A exclusão é processada em até 30 dias, com confirmação por e-mail.
Exclusão via canal de privacidade
Envie e-mail para [email protected] com o assunto "Exclusão de dados — LGPD" informando seu nome completo, CPF e e-mail cadastrado. Confirmação em 48h, exclusão completa em até 15 dias úteis.
Exclusão de dados Meta (Instagram, WhatsApp)
Para excluir especificamente os dados decorrentes da integração com Instagram ou WhatsApp, o salão usuário deve desconectar o canal em Configurações > Integrações > Instagram (ou WhatsApp) > Desconectar. Os dados associados àquele canal são excluídos em até 30 dias.
Exclusão de dados do Google Agenda
Para excluir os dados decorrentes da integração com o Google Agenda, o salão usuário deve desconectar em Configurações > Integrações > Google Agenda > Desconectar(ou revogar o acesso em myaccount.google.com/permissions). Tokens e bloqueios de horário importados são apagados imediatamente na desconexão.
Limites legais
Dados sujeitos a obrigação legal (notas fiscais, registros tributários) são mantidos pelo prazo legal mesmo após pedido de exclusão.
Menores de idade
A plataforma é destinada a maiores de 18 anos. Menores podem ser cadastrados como clientes pelos pais ou responsáveis legais, com consentimento expresso e supervisão.
Se identificarmos que coletamos dados de menor sem autorização adequada, excluímos imediatamente.
Mudanças nesta política
Podemos atualizar esta política periodicamente. Mudanças relevantes serão comunicadas com pelo menos 30 dias de antecedência por e-mail e por aviso na plataforma. A data de vigência no topo desta página sempre indica a versão atual.
Contato
Dúvidas, solicitações ou exercício de direitos:
- Encarregado de Proteção de Dados (DPO) — [email protected]
- Geral — [email protected]
- Incidentes de segurança — [email protected]