Política de Privacidade

A sua privacidade é prioridade para o Ocurve. Esta Política de Privacidade explica como coletamos, usamos, compartilhamos, armazenamos e protegemos dados pessoais tratados no âmbito da plataforma Ocurve, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), com o Marco Civil da Internet (Lei nº 12.965/2014) e com o Código de Defesa do Consumidor (Lei nº 8.078/1990).

O Ocurve é uma plataforma de software como serviço (SaaS) destinada a profissionais autônomos de beleza — como designers de sobrancelhas, esteticistas e barbeiros — para gestão de agendamentos, cadastro e ficha de anamnese de clientes, finanças e comunicação por WhatsApp.

Ao utilizar a plataforma, você declara ter lido e compreendido esta Política. Se não concordar com os termos aqui descritos, não utilize os nossos serviços.

1. Definições

• Titular: a pessoa natural a quem se referem os dados pessoais.
• Controlador: quem decide sobre o tratamento dos dados pessoais (finalidades e meios essenciais).
• Operador: quem trata os dados pessoais em nome do controlador, seguindo as instruções dele.
• Encarregado (DPO): a pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
• Profissional: o profissional ou estúdio de beleza que contrata e utiliza o Ocurve para gerir o seu negócio.
• Cliente: a pessoa atendida pelo Profissional, cujos dados são inseridos e tratados na plataforma pelo Profissional.
• Dado pessoal sensível: dado sobre saúde, biometria, origem racial, entre outros, com proteção reforçada pelo art. 11 da LGPD.

2. Nossos papéis: quando somos Controlador e quando somos Operador

O Ocurve atua em dois papéis distintos, conforme o tipo de dado tratado. Esta distinção é central para entender as suas responsabilidades e os seus direitos.

a) Dados do Profissional — o Ocurve é Controlador. Em relação aos dados de cadastro e de cobrança do Profissional (nome, e-mail, telefone, dados de assinatura e pagamento), o Ocurve é o controlador e responde diretamente pelo tratamento desses dados, nos termos desta Política.

b) Dados dos Clientes do Profissional — o Ocurve é Operador. Em relação aos dados que o Profissional insere sobre as suas próprias Clientes (nome, telefone/WhatsApp, histórico de agendamentos, ficha de anamnese, fotos, notas e histórico financeiro), o Profissional é o Controlador e o Ocurve atua como Operador, tratando esses dados exclusivamente em nome e conforme as instruções do Profissional. O Ocurve não utiliza os dados das Clientes para finalidade própria, não os comercializa e não os compartilha, salvo com os operadores necessários à prestação do serviço (Seção 6) ou por obrigação legal.

Consequentemente, a Cliente que desejar exercer direitos sobre os seus dados deve procurar, em primeiro lugar, o Profissional que a atende, por ser o Controlador desses dados. O Ocurve apoiará o Profissional no atendimento a essas solicitações.

3. Identificação do Controlador e canal de proteção de dados

Controlador (dados do Profissional) e Operador (dados das Clientes):

• Razão social: V. Hugo Pitol da Silva
• CNPJ: 41.890.768/0001-65
• Endereço: Rua Joaquim Teixeira Alves, nº 09, Sala B — Jardim Clímax, Dourados/MS, CEP 79820-120
• Nome fantasia / plataforma: Ocurve

Canal de comunicação sobre proteção de dados: para questões relativas a esta Política, ao tratamento de dados pessoais e ao exercício dos direitos descritos na Seção 10, entre em contato pelo e-mail contato@ocurve.com.br.

(O Ocurve ainda não divulga o nome de um encarregado, como pede o art. 41, §1º, da LGPD. Caso seja enquadrado como agente de tratamento de pequeno porte, o art. 11 da Resolução CD/ANPD nº 2/2022 dispensa essa indicação e admite o canal acima em seu lugar. O enquadramento deve ser confirmado com o jurídico antes da versão final.)

4. Dados que coletamos

Os dados variam conforme o titular. Abaixo detalhamos por categoria.

4.1. Dados do Profissional (Ocurve como Controlador)

• Cadastro: nome, e-mail, telefone e, quando aplicável, nome do estúdio, endereço público e identificação fiscal.
• Autenticação: credenciais de acesso (a senha é armazenada apenas como hash criptográfico, nunca em texto legível).
• Assinatura e pagamento: plano contratado, histórico de cobranças e status de pagamento. Os dados de cartão são processados diretamente pelo Stripe; o Ocurve não armazena o número completo do cartão.
• Registros técnicos: endereço IP, data e hora, dados da requisição (endereço acessado e resultado) e informações do dispositivo/navegador, registrados pela nossa infraestrutura e pela ferramenta de monitoramento de erros, para segurança, diagnóstico e suporte.
• Uso do produto (eventos, sem gravação de tela): registramos eventos de uso da plataforma — por exemplo, conclusão de cadastro, escolha de especialidade, passos concluídos no primeiro acesso, conexão do WhatsApp e início ou confirmação de assinatura — identificados apenas pelo identificador do estúdio. Não coletamos nome, e-mail, telefone, conteúdo de anamnese, valor em reais ou qualquer texto livre nesses eventos, e não gravamos vídeo da tela nem sessão de navegação para essa finalidade.

4.2. Dados das Clientes (Ocurve como Operador, em nome do Profissional)

• Identificação e contato: nome, telefone/WhatsApp e, quando informados, e-mail e data de nascimento.
• Agendamento e atendimento: histórico de agendamentos, serviços realizados, observações e notas de atendimento.
• Dados de anamnese — dados pessoais sensíveis de saúde (art. 11 da LGPD): alergias, condições de pele, uso de medicamentos, gestação/amamentação, histórico de procedimentos e demais informações de saúde necessárias à segurança do procedimento estético.
• Fotos “antes/depois”: imagens da região tratada, que podem constituir dado sensível, coletadas quando solicitadas para acompanhamento do procedimento.
• Dados financeiros do relacionamento: saldo, créditos, pacotes e histórico de pagamentos junto ao Profissional.

Os dados sensíveis (anamnese e fotos) recebem proteção reforçada e são tratados mediante consentimento específico e destacado da Cliente, colhido pelo Profissional por meio do Termo de Consentimento da Anamnese.

5. Finalidades e bases legais

Cada tratamento se apoia em uma base legal prevista nos arts. 7º e 11 da LGPD. As principais finalidades e respectivas bases são:

• Criar e manter a conta do Profissional e prestar o serviço contratado — base: execução de contrato (art. 7º, V).
• Cobrar e processar a assinatura — base: execução de contrato (art. 7º, V) e cumprimento de obrigação legal/regulatória e fiscal (art. 7º, II).
• Realizar agendamentos e enviar confirmações e lembretes — base: execução de contrato (art. 7º, V) e legítimo interesse do Profissional em reduzir faltas (art. 7º, IX).
• Tratar dados de anamnese e fotos (dados sensíveis de saúde) — base: consentimento específico e destacado da Cliente (art. 11, I) e tutela da saúde no procedimento estético (art. 11, II, “f”).
• Enviar campanhas e comunicações de marketing/retenção — base: consentimento e/ou legítimo interesse (art. 7º, IX), sempre com mecanismo de descadastramento (opt-out) disponível.
• Garantir segurança, prevenir fraudes e resolver incidentes — base: legítimo interesse (art. 7º, IX) e cumprimento de obrigação legal (art. 7º, II).
• Entender o uso da plataforma para melhorá-la (eventos de produto, identificados pelo estúdio) — base: legítimo interesse (art. 7º, IX).
• Cumprir obrigações legais, regulatórias e ordens de autoridades — base: cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI).

6. Compartilhamento de dados e operadores (sub-operadores)

O Ocurve não vende dados pessoais nem os compartilha para finalidades alheias às descritas nesta Política. Para operar a plataforma, contamos com prestadores de serviço (operadores/sub-operadores) que tratam dados sob nossas instruções e com obrigações de confidencialidade e segurança:

• Hostinger (provedor de infraestrutura — VPS no Brasil): hospeda a API e o banco de dados PostgreSQL do Ocurve, onde ficam os dados de cadastro, agendamentos, anamneses e informações financeiras;
• Vercel (Estados Unidos): hospedagem e distribuição da aplicação web; trata as requisições ao site e os dados nelas contidos;
• Cloudflare (Estados Unidos): rede de distribuição de conteúdo, DNS e proteção contra ataques na frente do site e da API; trata metadados de conexão, como endereço IP e cabeçalhos das requisições;
• Supabase (Estados Unidos): armazenamento de arquivos — atualmente, as fotos enviadas pelo Profissional e as imagens de perfil (avatar, capa e logotipo) do Profissional e do estúdio, exibidas nas páginas públicas. O Supabase não hospeda o banco de dados nem autentica usuários;
• Stripe (Estados Unidos): processamento de pagamentos e gestão das assinaturas do Profissional;
• Evolution API e WhatsApp (Meta Platforms): envio de confirmações, lembretes e comunicações às Clientes; a entrega das mensagens ocorre na infraestrutura do WhatsApp;
• Sentry (Estados Unidos): monitoramento de erros e estabilidade do site e da API; recebe registros de falha que podem conter endereço IP, identificadores de conta e o contexto técnico do erro. Quando ocorre um erro na tela, pode ser gravada uma reprodução da sessão, com textos, campos de formulário e imagens mascarados;
• PostHog (Estados Unidos): registro de eventos de uso do produto (por exemplo, conclusão de cadastro, escolha de especialidade e confirmação de assinatura), identificados apenas pelo identificador do estúdio — sem nome, e-mail, telefone ou conteúdo de anamnese, e sem gravação de tela ou de sessão;
• Resend (Estados Unidos): envio de e-mails transacionais, como verificação de conta e recuperação de senha; trata o nome e o e-mail do destinatário;
• Google (Estados Unidos): quando o Profissional opta por entrar com a conta Google, o Google trata os dados de autenticação dessa conta;
• Serviços de push do navegador (Google, Apple ou Mozilla, conforme o navegador utilizado): entrega de notificações push. O conteúdo da notificação trafega criptografado de ponta a ponta, de modo que esses serviços têm acesso apenas ao texto cifrado;
• OpenAI (Estados Unidos): quando o Profissional utiliza o ditado por voz ou a Memória com IA, são enviados à OpenAI o áudio ditado, a sua transcrição e a lista de nomes de Clientes do estúdio, para transcrição e organização das informações. As notas ditadas podem conter dados de saúde das Clientes. O envio só ocorre quando o Profissional aciona o recurso, que exige assinatura ativa e possui limite mensal de uso.

Também poderemos compartilhar dados: (i) para cumprir obrigação legal ou ordem judicial/administrativa; (ii) para exercício regular de direitos em processo; e (iii) em caso de reorganização societária, hipótese em que esta Política continuará a proteger os dados.

7. Transferência internacional de dados

A API e o banco de dados do Ocurve — onde ficam o cadastro, os agendamentos, as anamneses e as informações financeiras — são hospedados no Brasil (Seção 6). Essa hospedagem, portanto, não constitui transferência internacional de dados: os dados de anamnese, que são dados sensíveis de saúde, permanecem em território nacional.

Parte dos operadores listados na Seção 6 trata dados fora do Brasil. É o caso de Vercel, Cloudflare, Supabase, Stripe, Sentry, PostHog, Resend, Google, WhatsApp (Meta Platforms), dos serviços de push do navegador e, quando os recursos de ditado por voz e de Memória com IA são utilizados, da OpenAI. Esses fornecedores processam dados em infraestrutura situada nos Estados Unidos e/ou em outros países. Nessas hipóteses, a transferência internacional observa os arts. 33 e seguintes da LGPD. Ao utilizar a plataforma, você está ciente de que os seus dados podem ser tratados fora do território nacional para viabilizar a prestação do serviço.

(O mecanismo de transferência internacional aplicável a cada fornecedor — cláusulas-padrão contratuais ou outra garantia prevista no art. 33 da LGPD — deve ser confirmado com o jurídico e detalhado nesta Seção antes da versão final.)

8. Retenção e descarte

Mantemos os dados pessoais pelo tempo necessário ao cumprimento das finalidades desta Política e das obrigações legais aplicáveis:

• Dados do Profissional: enquanto a conta estiver ativa e, após o encerramento, pelo prazo necessário ao cumprimento de obrigações legais, fiscais e à eventual defesa em processos.
• Dados das Clientes: enquanto durar a relação de atendimento com o Profissional e conforme as instruções deste (Controlador), respeitados os prazos legais.
• Registros técnicos e de acesso: gerados pela infraestrutura que hospeda o site e a API e pela ferramenta de monitoramento de erros, com retenção definida na configuração de cada um desses serviços.

A eliminação ou a anonimização dos dados ocorre mediante solicitação — do Profissional, a partir da ficha da Cliente, ou pelo encerramento da conta —, e não por rotina automática de expurgo, salvo hipóteses de guarda obrigatória previstas em lei.

(Os dados são retidos pelo tempo necessário ao cumprimento das finalidades descritas nesta Política e das obrigações legais e regulatórias aplicáveis; prazos específicos por categoria de dado, bem como a configuração de retenção dos registros de acesso à luz do art. 15 do Marco Civil da Internet, a serem confirmados com o jurídico antes da versão final.)

9. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou difusão. Entre elas:

• Criptografia em trânsito: todo o acesso ao site e à API ocorre por conexão criptografada (HTTPS/TLS), com redirecionamento automático de HTTP para HTTPS;
• Segregação lógica por estúdio: os dados de cada estúdio são isolados no nível da aplicação, que restringe cada requisição autenticada aos registros do estúdio correspondente;
• Autenticação de contas: as senhas são armazenadas apenas como hash criptográfico (bcrypt), nunca em texto legível, e as sessões são controladas pelo servidor;
• Controle de acesso da equipe: os integrantes da equipe do estúdio acessam os dados conforme o perfil que lhes é atribuído pelo Profissional;
• Acesso a arquivos por URLs assinadas e temporárias;
• Proteção de rede na borda, com mitigação de ataques e filtragem de tráfego malicioso.

Apesar dos nossos esforços, nenhum sistema é completamente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos os afetados e a ANPD, nos termos do art. 48 da LGPD.

(A eventual adoção de criptografia em repouso e de registros de auditoria de acesso deve ser verificada junto ao provedor de infraestrutura e implementada antes de ser afirmada nesta Seção.)

10. Direitos do titular (art. 18 da LGPD)

A qualquer momento e mediante requisição, você pode exercer os seguintes direitos:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com base no consentimento;
• Informação sobre com quem compartilhamos os seus dados;
• Informação sobre a possibilidade de não fornecer consentimento e as consequências disso;
• Revogação do consentimento.

Como exercer: se você é Profissional, escreva para o canal informado na Seção 3. Se você é Cliente de um Profissional, procure primeiro o Profissional que a atende (Controlador dos seus dados); o Ocurve, na condição de Operador, apoiará o atendimento da solicitação. Poderemos solicitar informações para confirmar a sua identidade antes de atender ao pedido.

11. Cookies e tecnologias semelhantes

Utilizamos apenas cookies estritamente necessários ao funcionamento da plataforma: os cookies que mantêm a sua sessão autenticada e dois cookies temporários, válidos por dez minutos, usados durante o login para retomar a página de origem e registrar o fuso horário do seu dispositivo. Preferências de interface, como o tema visual, ficam guardadas apenas no seu próprio navegador e não são enviadas aos nossos servidores.

Não utilizamos cookies analíticos, de publicidade ou de rastreamento, nem pixels de terceiros. Para entender como a plataforma é usada, medimos eventos de uso com uma ferramenta de medição de produto, o PostHog. Ela não registra sozinha as páginas que você abre nem os seus cliques, e não grava a sua tela. Os eventos que guardamos são ações do Profissional dentro do painel, identificadas por um código do estúdio — não por você. Para funcionar, a medição guarda um identificador no seu próprio navegador, no armazenamento local, e não em cookie. A Seção 4.1 descreve o que cada evento contém.

Não exibimos banner de consentimento de cookies porque todos os cookies que usamos são essenciais ao funcionamento da plataforma e porque a medição descrita acima não usa cookie, não segue você por outros sites e não alimenta publicidade — ela se apoia no legítimo interesse (Seção 5), e não no seu consentimento. Você pode gerenciar cookies nas configurações do seu navegador; a desativação dos cookies essenciais compromete o funcionamento da plataforma.

12. Tratamento de dados de crianças e adolescentes

A plataforma destina-se a profissionais maiores de 18 anos. O Ocurve não coleta intencionalmente dados de menores para criação de contas. Caso o atendimento de um Profissional envolva Clientes menores de idade, cabe ao Profissional (Controlador) obter o consentimento específico de pelo menos um dos pais ou do responsável legal, nos termos do art. 14 da LGPD.

13. Alterações desta Política

Esta Política pode ser atualizada para refletir mudanças legais, técnicas ou de negócio. A versão vigente estará sempre disponível nesta página, com a data de última atualização. Alterações relevantes poderão ser comunicadas pelos canais habituais. O uso continuado da plataforma após a publicação implica ciência da versão atualizada.

14. Contato

Dúvidas, solicitações ou reclamações sobre esta Política e sobre o tratamento de dados podem ser encaminhadas pelo e-mail contato@ocurve.com.br. Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).