Política de Privacidade

1. Quem trata seus dados

O Balzai é o responsável pelo tratamento descrito nesta política. Para qualquer assunto relacionado a dados pessoais, o canal é privacidade@balzai.app.

O Balzai é uma plataforma de gestão de atendimento usada por negócios (salões, barbearias, clínicas, estúdios e profissionais autônomos) para organizar a própria agenda e receber agendamentos de seus clientes.

2. Dois papéis diferentes, duas responsabilidades

A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata em nome de outro (operador). O Balzai ocupa os dois papéis, dependendo de quais dados estão em questão. Essa distinção define a quem você deve dirigir seus pedidos:

• Somos controladores dos dados de quem contrata o Balzai: o titular da conta do negócio, os profissionais cadastrados, quem entra na lista de espera e quem se comunica conosco. Nós decidimos como esses dados são tratados.
• Somos operadores dos dados dos clientes finais atendidos por esses negócios. Quando você agenda um horário em uma barbearia que usa o Balzai, o controlador desses dados é a barbearia — nós apenas processamos, seguindo as instruções dela e os termos do contrato.

Na prática: se você é cliente final e quer excluir ou corrigir seus dados, o caminho mais direto é o negócio onde você se atendeu. Se você nos procurar diretamente, encaminharemos seu pedido ao controlador e o auxiliaremos a atendê-lo, como exige o art. 38 da LGPD.

3. Quais dados tratamos

Coletamos apenas o necessário para a plataforma funcionar. Não vendemos dados pessoais, não os usamos para publicidade e não fazemos perfilamento comportamental.

Dados de pagamento: o Balzai não recebe, não processa e não armazena número de cartão de crédito. Esses dados vão diretamente ao provedor de pagamento; guardamos apenas o identificador da assinatura e a situação da cobrança.

Dados sensíveis: o Balzai não solicita dados sensíveis (art. 5º, II da LGPD), como informações de saúde. O campo de observações do agendamento é livre, e negócios da área de saúde ou bem-estar podem, por conta própria, registrar ali informações dessa natureza. Quando isso ocorre, o negócio é o controlador desses dados e responde pela base legal aplicável. Orientamos expressamente, nos Termos de Uso, que esse campo não seja usado para dados sensíveis.

4. Para que usamos e com qual base legal

Quando o tratamento se apoia em consentimento, você pode revogá-lo a qualquer momento, sem custo, pelos canais desta política. A revogação não invalida os tratamentos feitos antes dela.

5. Dados obtidos do Google

A conexão com o Google Agenda é opcional e só ocorre depois que você autoriza expressamente na tela de consentimento do Google. Solicitamos o escopo calendar.events, que nos permite:

• consultar seus períodos ocupados, para não oferecer horários indisponíveis;
• criar, atualizar e cancelar na sua agenda os eventos dos agendamentos feitos pelo Balzai.

O uso e a transferência de informações recebidas das APIs do Google obedecem à Política de Dados do Usuário dos Serviços de API do Google, incluindo seus requisitos de Uso Limitado. Em termos concretos, isso significa que os dados da sua agenda:

• são usados apenas para operar as funcionalidades de agendamento descritas acima;
• não são transferidos a terceiros, exceto para operar o serviço, por exigência legal ou com seu consentimento;
• não são usados para publicidade, nem vendidos a ninguém;
• não são lidos por pessoas, salvo com seu consentimento expresso, por exigência legal, ou para fins de segurança e suporte que você tenha solicitado.

Você pode desconectar a integração a qualquer momento no painel do Balzai, em Integrações, ou revogar o acesso diretamente em Conta do Google, seção de conexões com apps. Ao desconectar, eliminamos o token de acesso armazenado. Os eventos já criados na sua agenda permanecem lá, sob seu controle.

O login com Google usa apenas os escopos de identificação básica (nome, e-mail e foto de perfil) e serve somente para autenticar você.

6. Com quem compartilhamos

Não vendemos nem cedemos dados pessoais. Compartilhamos apenas com prestadores que executam funções necessárias ao serviço, vinculados contratualmente a tratar os dados exclusivamente conforme nossas instruções:

Também podemos compartilhar dados para cumprir ordem judicial ou requisição de autoridade competente, e para exercer direitos em processo judicial ou administrativo (art. 7º, VI da LGPD).

7. Transferência internacional

A aplicação e o banco de dados ficam hospedados no Brasil. Alguns prestadores listados acima operam nos Estados Unidos, o que implica transferência internacional de dados. Essas transferências se apoiam nas hipóteses do art. 33 da LGPD — necessidade para a execução do contrato e cláusulas contratuais específicas firmadas com cada prestador, que asseguram grau de proteção compatível com a lei brasileira.

8. Por quanto tempo guardamos

Findos esses prazos, os dados são eliminados ou anonimizados de forma irreversível, ressalvadas as hipóteses de conservação previstas no art. 16 da LGPD.

9. Como protegemos

Entre as medidas técnicas adotadas:

• tráfego cifrado em TLS em toda a plataforma;
• senhas armazenadas apenas como hash com bcrypt, jamais em texto legível;
• tokens do Google criptografados no banco de dados;
• sessão mantida em cookie httpOnly, inacessível a scripts no navegador;
• isolamento entre negócios: cada consulta é restrita ao negócio do usuário autenticado;
• limitação de taxa de requisições e cabeçalhos de segurança contra abuso automatizado.

Nenhum sistema é infalível. Caso ocorra incidente de segurança com risco relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados e os titulares afetados em prazo razoável, conforme o art. 48 da LGPD.

10. Seus direitos

O art. 18 da LGPD garante a você, a qualquer momento e sem custo:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
• portabilidade a outro fornecedor, mediante requisição expressa;
• eliminação dos dados tratados com base em consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e as consequências da negativa;
• revogação do consentimento.

Se você não tem conta no Balzai, pode pedir a exclusão dos seus dados pelo formulário de exclusão. Para esse e para os demais direitos, escreva também para privacidade@balzai.app. Responderemos em até 15 dias. Podemos solicitar informações que confirmem sua identidade, como medida de segurança, antes de atender ao pedido.

Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

11. Encarregado pelo tratamento de dados

O canal de contato com nosso encarregado (DPO), nos termos do art. 41 da LGPD, é privacidade@balzai.app.

12. Cookies

O Balzai usa somente cookies estritamente necessários. Há um único cookie de sessão, que mantém você autenticado; ele é httpOnly, transmitido apenas por conexão segura e removido quando você sai da conta.

Não usamos cookies de publicidade, de rastreamento entre sites nem ferramentas de analytics de terceiros. Por isso não exibimos banner de consentimento de cookies — cookies necessários dispensam consentimento prévio.

13. Crianças e adolescentes

O Balzai não é destinado a menores de 18 anos, e a conta do negócio só pode ser criada por maiores de idade. Um agendamento pode, no entanto, ser feito em nome de uma criança ou adolescente pelo pai, mãe ou responsável legal.

Nesse caso, o tratamento ocorre no melhor interesse do menor e, quando se tratar de criança (menor de 12 anos), depende do consentimento específico e destacado de ao menos um dos pais ou do responsável, conforme o art. 14 da LGPD. Cabe ao negócio contratante, na condição de controlador desses dados, obter esse consentimento.

14. Alterações desta política

Podemos atualizar esta política para refletir mudanças na plataforma ou na legislação. A data de vigência no topo indica a última versão. Mudanças relevantes serão comunicadas por e-mail ou por aviso na plataforma, com antecedência razoável.

15. Contato

Privacidade e dados pessoais: privacidade@balzai.app. Demais assuntos: contato@balzai.app.

Consulte também nossos Termos de Uso.