Acordo de Tratamento de Dados

Este Acordo faz parte dos Termos de Uso e vale para toda barbearia que contrata o TrixBarber (TrixBarber (empresa em constituição), nº CNPJ em fase de registro). Ele descreve como tratamos os dados pessoais que a barbearia coloca ou recebe na plataforma, conforme a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), em especial os arts. 37 a 40.

Titulares

• Clientes da barbearia (com conta no app ou que agendam sem cadastro pelo site da barbearia ou pelo totem);
• Profissionais e recepcionistas da equipe da barbearia.

Dados

• Identificação e contato: nome, telefone, e-mail, foto de perfil (opcional);
• Agendamentos, cancelamentos, faltas, lista de espera, avaliações, histórico de atendimentos, comandas, pedidos da loja;
• Fidelidade, cupons, clube de assinatura, indicação e cashback;
• Mensagens do chat do agendamento (apagadas automaticamente 3 dias depois de enviadas);
• Anotações que a barbearia registra sobre o cliente;
• Passaporte do corte: fotos por ângulo e preferências que o próprio cliente decide compartilhar com a barbearia (ver seção 3).

O TrixBarber não usa os dados dos clientes da barbearia para fins próprios: não vende, não usa para publicidade de terceiros e não oferece outras barbearias a esses clientes com base nesses dados. Estatísticas agregadas e anônimas podem ser usadas para melhorar a plataforma.

• Ter base legal (LGPD, art. 7º) para cada dado de cliente e de equipe que cadastra ou importa, por exemplo a execução do serviço contratado pelo cliente ou o legítimo interesse, e o consentimento quando a lei exigir (como mensagens promocionais).
• Informar os clientes de forma clara sobre o tratamento dos dados deles, por exemplo com a própria política de privacidade ou um aviso no balcão.
• Atender os pedidos dos titulares (acesso, correção, exclusão, portabilidade). O TrixBarber ajuda no que depender da plataforma.
• Não importar listas de contatos sem base legal nem enviar mensagens a quem pediu para não receber.
• Dar acesso ao painel só a quem precisa e retirar o acesso de quem sai da equipe.
• Não usar o Passaporte do corte para outra finalidade que não seja o atendimento do próprio cliente.

• Tratar os dados somente para prestar o serviço e conforme as instruções da barbearia; se uma instrução parecer contrária à lei, avisamos a barbearia.
• Manter sigilo e exigir sigilo de quem, do nosso lado, tem acesso aos dados (acesso restrito ao necessário para suporte, segurança e manutenção).
• Adotar as medidas de segurança da seção 8.
• Ajudar a barbearia a responder pedidos de titulares e da ANPD, no que depender da plataforma.
• Repassar à barbearia, sem demora, pedidos de titulares que chegarem a nós sobre dados que ela controla.
• Manter registro das operações de tratamento que realizamos em nome da barbearia (LGPD, art. 37).

Para prestar o serviço usamos os fornecedores abaixo, que tratam dados apenas para isso. Ao contratar, a barbearia autoriza o uso deles.

Também baixamos modelos de reconhecimento de imagem de servidores públicos (Google e jsDelivr) para o recurso de visagismo funcionar no aparelho. Nesses downloads não vai nenhum dado pessoal.

Antes de incluir ou trocar um suboperador que receba dados dos clientes da barbearia, atualizamos esta página e avisamos as barbearias pelo app ou por e-mail com pelo menos 15 dias de antecedência. Se a barbearia tiver um motivo razoável ligado à proteção de dados para não aceitar, pode cancelar a assinatura sem multa antes da mudança. Exigimos de cada suboperador obrigações de proteção de dados compatíveis com este Acordo.

• Conexões sempre criptografadas (HTTPS/TLS) e dados criptografados em repouso pelo provedor do banco de dados;
• Isolamento por barbearia no banco (Row Level Security): uma barbearia não enxerga dados de outra; campos sensíveis (saldo, permissões, cobrança) só mudam pelo servidor;
• Fotos do Passaporte do corte em armazenamento privado, visíveis só para o cliente e para a equipe da barbearia com quem ele compartilhou;
• Senhas nunca guardadas em texto puro; dados de cartão nunca guardados por nós (vão direto ao processador de pagamento);
• Acesso interno restrito, registros de auditoria nas operações de pagamento, verificação automática de segurança a cada mudança no código e monitoramento de erros;
• Cópias de segurança mantidas pelo provedor do banco de dados.

Se confirmarmos um incidente de segurança que afete dados dos clientes ou da equipe da barbearia, avisamos a barbearia sem demora injustificada, em até 48 horas da confirmação, pelo e-mail do Dono e pelo app, com:

• o que aconteceu e quando;
• quais dados e quantos titulares podem ter sido afetados;
• as medidas tomadas e as recomendadas;
• um contato para acompanhar o caso.

A comunicação à ANPD e aos titulares cabe à barbearia como controladora (LGPD, art. 48), e o TrixBarber fornece as informações que tiver para isso. Quando o incidente envolver dados que o TrixBarber controla, nós mesmos fazemos essa comunicação.

Vários suboperadores ficam fora do Brasil, principalmente nos EUA. Essas transferências acontecem para executar o contrato (LGPD, art. 33) e com fornecedores que adotam cláusulas contratuais de proteção de dados e medidas de segurança compatíveis com as exigidas no Brasil.

• Durante a assinatura, a barbearia pode exportar clientes, agendamentos e relatórios em planilha pelo painel, ou pedir uma cópia completa em formato aberto ao suporte@trixbarber.com.
• Depois do encerramento da conta, a barbearia tem 30 dias para pedir a exportação. Passado esse prazo, os dados são apagados ou anonimizados, inclusive nas cópias de segurança conforme elas forem substituídas.
• Guardamos apenas o que a lei obriga (por exemplo, registros fiscais da assinatura e registros de acesso do Marco Civil da Internet), pelo prazo legal e sem uso para outra finalidade.
• Os dados que o cliente guarda na própria conta do app (como o Passaporte do corte no aparelho) continuam sob controle dele; o que ele compartilhou com a barbearia é apagado junto com os dados dela.

Mediante pedido por escrito, fornecemos à barbearia as informações razoavelmente necessárias para demonstrar o cumprimento deste Acordo (descrição das medidas de segurança, lista atualizada de suboperadores e respostas a questionários). Auditorias presenciais, quando exigidas por lei ou pela ANPD, são combinadas com antecedência, sem expor dados de outras barbearias.

Cada parte responde pelos danos que causar ao descumprir a LGPD ou este Acordo, na forma do art. 42 da LGPD e dos limites previstos nos Termos de Uso (que não se aplicam a dolo, culpa grave ou ao que a lei não permite limitar). Este Acordo vale enquanto a barbearia usar a plataforma e, quanto ao sigilo e à exclusão dos dados, também depois do encerramento.