Política de privacidade

Quem é responsável pelos seus dados

A Trazza Pro é uma plataforma para negócios de beleza operada a partir de Santiago do Chile. Esta política explica quais dados pessoais tratamos, para quê, onde são guardados e quais direitos você tem.

A Trazza é a controladora dos dados de acesso das contas de usuário (nome, e-mail, senha, idioma, preferências de avisos e registros de segurança), das solicitações de demonstração que chegam pela nossa página e da análise de uso das páginas públicas.

Os dados que cada negócio carrega sobre seus clientes finais e sua equipe, e o perfil, as filiais atribuídas e o registro de atividade dos seus usuários, pertencem a esse negócio, que é o controlador. A Trazza os trata em nome dele, como operadora, de acordo com o Acordo de tratamento de dados.

Quais dados tratamos

Contas de usuário: nome, e-mail, idioma, foto se você a adicionar, perfil, negócio e filiais atribuídas, preferências de avisos e os avisos que você recebe dentro da plataforma. Sua senha é guardada apenas como hash, nunca em texto legível.

Segurança: tentativas de login malsucedidas, com o e-mail usado, o navegador e uma impressão digital irreversível do endereço IP, e registros de limites de uso. Nesses registros não guardamos o endereço IP em texto legível.

Solicitações de demonstração: seu nome, o nome do seu negócio, seu e-mail, seu WhatsApp, seu Instagram se você o informar, sua mensagem e seu idioma.

Dados que cada negócio carrega: de seus clientes finais, nome, e-mail, telefone, documento de identidade, data de nascimento, município ou bairro, canal de contato preferido, consentimento de contato, anotações, agendamentos e compras; e de sua equipe, nome, contato, cargo, horários, ausências, comissões, salários, adiantamentos e gorjetas.

Arquivos: comprovantes de despesas, fotos de comprovantes do POS, logos e fotos da equipe para o site público.

Registros de atividade: quem fez cada alteração e quando, e um registro de cada e-mail enviado com seu destinatário, seu assunto e seu conteúdo.

Dados do negócio: razão social, identificador fiscal, ramo de atividade, telefones, endereços e redes sociais. Não guardamos dados de cartões de pagamento.

Para que usamos os dados e com qual base legal

Prestar o serviço: criar e proteger sua conta, mostrar a cada usuário somente o que seu perfil permite e fazer funcionar a agenda, o caixa, as vendas e os relatórios. A base é a execução do contrato com o negócio e, para as pessoas que ele convida, nosso legítimo interesse em prestar a elas o serviço que o negócio contratou.

Proteger a plataforma: limitar tentativas de acesso, detectar abusos e registrar as alterações para que possam ser auditadas. A base é nosso legítimo interesse em manter o serviço seguro.

Responder a solicitações de demonstração por WhatsApp ou por e-mail. A base é a sua própria solicitação, e usamos esses dados somente para entrar em contato com você sobre a Trazza.

Enviar e-mails do serviço, como recuperação de senha, convites e avisos de caixa. Em nome de cada negócio, também confirmações e lembretes de agendamentos aos seus clientes finais, somente quando o negócio registrou o e-mail e o consentimento de contato da pessoa.

Os lembretes por WhatsApp não saem dos nossos servidores: o negócio os envia do seu próprio dispositivo com um link do WhatsApp, e somente se a pessoa deu seu consentimento. A Trazza não tem integração com a API do WhatsApp.

Medir o uso das páginas públicas com o Google Analytics, somente se você aceitar a análise de uso. A base é o seu consentimento, que você pode revogar quando quiser.

Cumprir obrigações legais e atender a requisições de autoridades competentes.

Não vendemos dados pessoais, não os usamos para publicidade de terceiros e não os usamos para treinar modelos de inteligência artificial.

Onde os dados são guardados

A aplicação funciona na Vercel, na região de São Paulo (Brasil), e o banco de dados está na Neon, sobre a infraestrutura da AWS em São Paulo (Brasil). Os arquivos que você envia são guardados no armazenamento de arquivos da Vercel, cuja região ainda estamos confirmando.

Alguns provedores de que precisamos para funcionar estão fora do Brasil, provavelmente nos Estados Unidos: Resend para os e-mails, OpenAI para a inteligência artificial, Google para a análise de uso e os mapas, e Cloudflare para o DNS e a proteção contra bots. O armazenamento de arquivos da Vercel também pode estar fora do Brasil. Usá-los implica transferências internacionais de dados.

Limitamos o que enviamos a cada provedor ao necessário para sua função. Quando a lei de um país exige garantias específicas para essas transferências, como cláusulas contratuais, trabalhamos para aplicá-las; os detalhes de cada país estão no Marco legal por país.

Provedores que tratam dados

Usamos estes provedores para prestar o serviço: Vercel (hospedagem, funções e arquivos), Neon (banco de dados), Resend (e-mail), OpenAI (inteligência artificial, somente se o seu plano a incluir e ela estiver ativada), Cloudflare (DNS e verificação contra bots), Google Analytics (análise de uso, somente com o seu consentimento) e Google Maps (mapa nos sites dos negócios).

Os que tratam os dados dos negócios em nome da Trazza, com a finalidade e a localização de cada um, estão no Acordo de tratamento de dados. O Google Analytics e o Cloudflare Turnstile são usados pela Trazza para finalidades próprias, como controladora.

As fontes tipográficas são servidas pelos nossos próprios servidores, então seu navegador não se conecta ao Google para carregá-las.

Por quanto tempo guardamos os dados

Alguns dados são apagados automaticamente: as tentativas de login malsucedidas após 30 dias, os registros de limites de uso após 7 dias, os contadores de cota de inteligência artificial após 62 dias e os links QR para enviar fotos do POS 24 horas depois de expirarem.

Os códigos para recuperar a senha valem por 15 minutos e uma única vez. Os convites expiram em 48 horas. As sessões duram 30 dias.

O restante dos dados é conservado enquanto a conta do negócio estiver ativa e, depois, pelo tempo necessário para cumprir obrigações legais ou até que o negócio peça sua eliminação. Essa eliminação é feita mediante solicitação e inclui, em uma etapa à parte, os registros de atividade e os arquivos do negócio.

Um negócio pode excluir um cliente final que não tem vendas nem agendamentos; se tiver, pode desativá-lo. Mesmo assim, o registro de auditoria conserva o nome, o documento, o e-mail e o telefone do registro excluído, para manter a rastreabilidade das alterações.

Hoje não há prazos de exclusão automática para os registros de auditoria, os registros de e-mails enviados nem as solicitações de demonstração. Também não há exclusão automática dos registros de uso de inteligência artificial, dos códigos de verificação, dos convites expirados, dos avisos dentro da plataforma nem das sessões expiradas. Se definirmos prazos, atualizaremos esta política.

Seus direitos

De acordo com a lei do seu país, você pode pedir acesso aos seus dados, sua correção e sua eliminação, opor-se a certos usos, pedir sua portabilidade e, quando cabível, a limitação ou o bloqueio do tratamento. Também pode revogar seu consentimento quando o tiver dado, sem afetar o que foi feito antes.

O nome desses direitos muda conforme o país: direitos ARCO no México e no Peru, ARCO-POL em El Salvador, habeas data na Colômbia e na Argentina, direitos do titular no Brasil. O Marco legal por país resume cada caso.

Se não respondermos ou se você não estiver de acordo com a resposta, pode reclamar à autoridade de proteção de dados do seu país, quando houver.

Como exercer seus direitos

Se você tem uma conta na Trazza ou nos escreveu pelo formulário de demonstração, escreva para nós pelo canal de contato indicado no final desta página.

Se você é cliente ou colaborador de um negócio que usa a Trazza, dirija-se primeiro a esse negócio: ele é o controlador dos seus dados e pode corrigi-los pela plataforma e, no caso das fichas de clientes, exportá-las em CSV; para outros dados, pode nos pedir uma cópia. Se você escrever para nós, encaminharemos sua solicitação a ele e o ajudaremos a respondê-la.

Podemos pedir que você confirme sua identidade antes de entregar ou alterar dados. Respondemos dentro dos prazos fixados pela lei aplicável.

Como protegemos os dados

As senhas são guardadas com scrypt, um algoritmo de hash com salt aleatório, e os tokens de sessão são guardados apenas como hash. Os códigos de recuperação e os links de convite são verificados contra um hash, mas uma cópia do e-mail que os contém fica no registro de envios.

Todo o tráfego é criptografado por HTTPS com HSTS, e as páginas usam uma política de segurança de conteúdo (CSP) com um valor único em cada resposta. A conexão com o banco de dados também é criptografada.

Limitamos as tentativas de login, de recuperação de senha e de envio de formulários, e revisamos diariamente sinais de ataque, como testes massivos de senhas.

Cada negócio vê apenas seus próprios dados. O isolamento entre negócios é verificado no servidor a cada ação, o banco de dados rejeita referências cruzadas entre negócios e há testes automáticos que o comprovam.

Os comprovantes e documentos privados são guardados em um armazenamento separado e só são entregues após a verificação da sessão e das permissões de quem os solicita.

Os acessos da equipe da Trazza a contas de clientes ficam registrados na auditoria.

Nenhum sistema é infalível. Se detectarmos um incidente que afete seus dados, avisaremos você conforme a lei exigir.

Inteligência artificial

O assistente e a leitura de comprovantes do POS usam a OpenAI. As chamadas saem apenas dos nossos servidores: seu navegador não se conecta ao provedor de inteligência artificial.

O que é enviado: sua pergunta, o histórico da conversa que seu navegador guarda, seu nome de exibição, seu perfil e o nome do negócio. Nas perguntas sobre números também são enviados resultados agregados que suas permissões deixam você ver, como nomes da equipe com seus serviços, vendas, comissões e adiantamentos, nomes de produtos e serviços, despesas e quantidade de agendamentos por status. Na leitura de comprovantes é enviada a foto do comprovante.

O que não é enviado: nenhum relatório do assistente lê as fichas dos clientes finais, então o sistema não envia seus nomes, e-mails, telefones, documentos nem datas de nascimento. Mas, se você escrever dados pessoais na sua pergunta, eles são enviados tal como você os escreveu, então evite incluí-los.

Do assistente, a Trazza não guarda o texto das suas perguntas nem das respostas, apenas dados de uso como o modelo, os tokens, o custo e o resultado. Na leitura de comprovantes, guardamos a foto e a leitura extraída junto ao fechamento de caixa. A OpenAI pode conservar os dados que recebe de acordo com as políticas da sua API.

O assistente não toma decisões com efeitos jurídicos sobre ninguém: apenas consulta e responde.

Menores de idade

A Trazza é um serviço para negócios e não é dirigida a crianças nem a adolescentes.

Um negócio pode registrar clientes finais menores de idade, por exemplo com sua data de nascimento. Ele o faz sob sua própria responsabilidade e deve ter a autorização dos pais ou responsáveis legais quando a lei exigir.

Quando a equipe da Trazza entra em uma conta

Algumas pessoas da Trazza podem entrar no painel de um negócio para dar suporte, ajudar com a configuração ou, se essa conta estiver atribuída a elas, revisar o uso e a configuração dela. O negócio autoriza esse acesso nos Termos e condições.

Para isso, precisam de um perfil de plataforma e, exceto a administração geral da Trazza, estar atribuídas a esse negócio. Cada acesso fica registrado na auditoria junto com seu perfil, e o acesso dura no máximo 8 horas antes de ser preciso entrar novamente.

Esse acesso é usado apenas para essas finalidades.

Alterações nesta política

Se alterarmos esta política, atualizaremos a data desta página. Se a alteração for relevante, também avisaremos você dentro da plataforma ou por e-mail.

Contato

Para qualquer dúvida sobre privacidade ou para exercer seus direitos, use o canal de contato indicado no final desta página.