Política de Privacidade

Em uma frase

A gente guarda o que precisa para o sistema funcionar para você, cada salão só enxerga o próprio dado, dado de saúde fica cifrado, e você pode levar tudo embora ou apagar quando quiser.

1. Quem é responsável pelo quê

Existem duas relações diferentes aqui, e vale separar:

• Sobre você, profissional: quem decide o que guardar é o CICLO. Somos o controlador dos seus dados de cadastro.
• Sobre os seus clientes: quem decide o que guardar é você. Você é o controlador, e o CICLO é apenas o operador: a gente só processa o que você mandou guardar, do jeito que você mandou.

Na prática isso significa que a autorização das pessoas que você cadastra é sua responsabilidade, e a segurança de como isso é guardado é nossa.

2. O que a gente guarda

• Do seu negócio: nome, e-mail, telefone, nome do estabelecimento, serviços, preços, horário de funcionamento e profissionais.
• Dos seus clientes: o que você cadastrar: em geral nome, telefone, aniversário, histórico de atendimento, preferências e observações.
• Dado de saúde, quando você usa a ficha de anamnese: alergia, condição de saúde e o que mais você anotar ali. É dado sensível pela LGPD e recebe tratamento diferente, e o item 4 explica como.
• De uso: registros técnicos de acesso e erro, para manter o sistema no ar e investigar problema.
• De onde você chegou: se você abriu o CICLO por um link de indicação, pelo selo na página de outro negócio ou por uma divulgação nossa, um cookie do próprio CICLO guarda por até 60 dias o nome desse caminho e de quem indicou, e nada mais. Se você criar uma conta, isso vai junto, para a gente saber qual caminho traz quem usa. Não identifica você nem seu aparelho, e não tem cookie de propaganda nem rastreador de outra empresa.

A gente não pede nem guarda dado de cartão de crédito.

3. Por que a gente guarda

Para executar o contrato que você fez com a gente: manter sua agenda, calcular o ciclo de retorno de cada cliente, montar sua página pública de agendamento, fechar seu caixa e dar suporte quando algo dá errado. Também guardamos o mínimo necessário para cumprir obrigação legal e para defender direitos, se for preciso.

A gente não vende sua base, não usa seus dados nem os dos seus clientes para anunciar nada a ninguém, e não cede pra terceiro fora do que é estritamente necessário pra operar o serviço que você contratou. Isso inclui, hoje:

• Mercado Pago, pra processar a assinatura do seu plano. A gente nunca vê nem guarda número de cartão.
• WhatsApp Business Platform (Meta), pra entregar lembrete e mensagem de recuperação de cliente.
• Resend, pra entregar e-mail transacional (confirmação, recuperação de senha).
• Supabase, que hospeda o banco de dados, com o mesmo isolamento por conta descrito na seção 4.
• Vercel, que hospeda o site e o app e por onde passa cada acesso.
• Google (Gemini), quando você usa o assistente: recebe a sua pergunta e os dados do seu negócio que ele precisa para responder.
• Sentry, quando está ligado, pra registrar erro técnico. Telefone, e-mail, senha e dado de saúde são tirados antes do envio.

4. Como a gente protege

• Cada conta só enxerga o próprio dado. O isolamento é feito no banco, não só na tela, e existe um teste automático que impede o sistema de subir se alguma tabela nova ficar de fora.
• Dado de saúde fica cifrado, com a chave guardada separada do banco. Só quem tem permissão abre, e todo acesso fica registrado, e dá para saber quem abriu a ficha de quem, e quando.
• Telefone de cliente é guardado também de forma embaralhada, para que a busca funcione sem espalhar o número.
• Tudo trafega por conexão cifrada, e os servidores ficam no Brasil.
• Dado de saúde nunca vai para registro de erro nem para ferramenta de análise.

5. Com quem a gente compartilha

Só com quem é necessário para o serviço existir, e cada um vê apenas o que precisa: a empresa que hospeda o sistema, a que hospeda o banco de dados e, quando você usa envio de mensagem ou e-mail, o serviço que entrega essa mensagem.

Podemos compartilhar também se a lei ou uma ordem judicial exigir. Fora isso, ninguém mais.

6. Por quanto tempo

Enquanto sua conta existir. Quando você apaga um cliente, os dados pessoais dele são eliminados, inclusive de dentro dos registros internos de auditoria, e não só da ficha visível.

Alguns registros de movimentação (agendamento, caixa, estoque) não são apagados, porque são o histórico do seu negócio, mas passam a não identificar mais a pessoa.

7. Seus direitos, e onde clicar

Pela LGPD você pode, a qualquer momento:

• saber quais dados a gente tem;
• corrigir o que estiver errado;
• pedir uma cópia: cada ficha de cliente tem exportação dentro do sistema;
• pedir a eliminação: cada ficha tem o botão de apagar, e ele apaga de verdade;
• revogar uma autorização que tenha dado;
• saber com quem a gente compartilhou.

E você, profissional que usa o CICLO: sua própria conta também pode ser excluída a qualquer momento, direto de dentro do sistema, em Configurações → Excluir minha conta (exige login e verificação em duas etapas, por ser irreversível). Excluir a conta apaga seu login para sempre; o histórico do negócio continua existindo, como acontece quando qualquer pessoa sai de uma equipe.

Para os seus próprios dados de cadastro, ou para qualquer pedido que a tela não resolva, responda o e-mail que você recebeu ao criar a conta. A gente responde e cumpre.

8. Se algo vazar

Se acontecer um incidente que possa trazer risco para você ou para seus clientes, a gente avisa você e a Autoridade Nacional de Proteção de Dados, dizendo o que aconteceu, o que foi afetado e o que estamos fazendo.

9. Mudanças

Se esta política mudar, a data no topo muda junto e a gente avisa dentro do sistema.