POLÍTICA DE PRIVACIDADE DO ESTÉTIKEY

Vigente desde {{DATA_VIGENCIA}}. Escrita conforme a Lei nº 13.709/2018 (LGPD).

Controlador: {{CONTROLADOR_RAZAO_SOCIAL}}, CNPJ {{CONTROLADOR_CNPJ}}, com sede em {{CONTROLADOR_ENDERECO}}.

Canal de privacidade / encarregado: {{ENCARREGADO_NOME}} — {{ENCARREGADO_EMAIL}}.

É por esse e-mail que você exerce os direitos da §9, tira dúvida sobre esta política e apresenta reclamação.

Uma distinção que muda quem responde por quê: quando a clínica cadastra ou importa a própria base de clientes no EstétiKey — nomes, telefones, aniversários, anotações —, a clínica é a controladora desses dados e nós somos operador, tratando-os em nome dela (LGPD, art. 5º, VI e VII). Nesse caso, pedidos sobre esses dados devem ser dirigidos primeiro à clínica; se você nos escrever, encaminharemos e diremos a você a quem se dirigir (art. 18, §4º, I).

Para a sua conta, para os agendamentos feitos por você dentro do EstétiKey, para os pagamentos e para as avaliações, o controlador somos nós.

2.1 Você, cliente

Da sua conta: nome, e-mail, senha (guardada como hash, nunca em texto), CPF, data de nascimento, celular, e — se você entrar com o Google — a foto do seu perfil Google. Guardamos também se seu e-mail e seu celular já foram confirmados.

Dos códigos de confirmação: guardamos o hash do código de 6 dígitos, o número de tentativas e a validade. O código em si nunca é armazenado.

Do seu uso: endereço IP, identificação do navegador ou aparelho (user agent), data e hora das sessões.

Dos seus agendamentos: clínica, serviço, profissional, data e hora, situação (confirmado, realizado, cancelado, não compareceu), valores, motivo de cancelamento, remarcações. Se você agendar no balcão da clínica sem ter conta, ficam registrados o nome e o telefone que você deu ali.

Dos seus pagamentos: valor, método, situação, datas, identificador da cobrança no provedor, eventual estorno. Não guardamos dados de cartão.

Das suas avaliações: nota, comentário, nome do serviço, e o seu nome no formato "primeiro nome + inicial".

Das mensagens que enviamos a você: o tipo, o endereço para onde foi, quando, e se deu certo.

2.2 Você, profissional ou responsável por clínica

Tudo da §2.1 (você também tem uma conta), mais: seu papel na clínica, seu horário de trabalho, o e-mail pelo qual foi convidada, e — a partir desta versão — o conselho de classe, número e UF de registro declarados pela clínica, a data dessa declaração e, quando aplicável, o registro de aceite do termo de responsabilidade sobre procedimentos injetáveis.

2.3 Dados da clínica como estabelecimento

Nome, endereço, bairro, cidade, coordenadas, telefone, horário de funcionamento, fotos, configurações comerciais, chave Pix de recebimento (que pode ser um CPF ou CNPJ), e — a partir desta versão — CNPJ e licença sanitária: número, município, validade e o arquivo digitalizado que a clínica anexa.

2.4 Visitante que não tem conta

Quem só navega: endereço IP, user agent, páginas acessadas e data e hora, nos registros do servidor. Não usamos cookie de publicidade, pixel de rede social nem ferramenta de análise de audiência — ver §12.

Não jogamos tudo em "consentimento": consentimento é uma base entre dez, e usá-lo onde ele não cabe torna o tratamento frágil e engana você.

Sobre legítimo interesse: você pode se opor ao tratamento fundado nele (art. 18, §2º). Para o e-mail de pedido de avaliação, a oposição é imediata e sem precisar falar com ninguém: o botão de descadastro em toda mensagem. Para os demais, escreva para {{ENCARREGADO_EMAIL}}.

Duas coisas costumam ser confundidas nesta plataforma. Elas são diferentes.

a) O seu agendamento pode revelar dado referente à saúde. A LGPD define dado pessoal sensível incluindo "dado referente à saúde" (art. 5º, II). Um agendamento de procedimento estético — sobretudo os injetáveis e os que tratam condição de pele — ligado ao seu nome pode revelar informação sobre seu corpo e sua saúde. Tratamos essa informação com esse cuidado:

• ela é necessária para executar o que você contratou — sem saber qual serviço, não há agendamento. A base é o exercício regular de direitos, inclusive em contrato (art. 11, II, "d");
• não usamos a base do art. 11, II, "f" ("tutela da saúde"), porque ela vale para procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária — e nós não somos nenhum dos três; quem executa é a clínica;
• não vendemos, não compartilhamos com anunciante e não usamos para publicidade o que seu agendamento revela. A LGPD veda expressamente a comunicação ou o uso compartilhado de dado sensível de saúde entre controladores com objetivo de obter vantagem econômica (art. 11, §4º);
• o provedor de pagamento recebe a descrição da cobrança, que contém o nome do serviço e da clínica, mas não recebe seu nome, CPF, e-mail ou telefone — a ligação com você fica só conosco;
• se você escreve num comentário público informação sobre sua saúde, ela fica pública porque foi você quem publicou. Pense nisso antes de escrever, e peça a remoção quando quiser.

b) A licença sanitária é documento do estabelecimento, não dado de saúde. Ela não é dado pessoal sensível. Quando emitida em nome de pessoa física — o que a norma sanitária admite —, o arquivo contém dado pessoal comum da profissional (nome, documento), e é assim que o tratamos: acesso restrito, guardado para demonstrar diligência, não publicado.

c) O registro no conselho de classe também não é dado sensível. É dado profissional, e é público por natureza no cadastro do próprio conselho.

d) O campo de anotações do cadastro de clientes da clínica. Existe um campo livre onde a clínica escreve observações sobre a cliente. Ele não é prontuário e não deve ser usado para registro clínico. O que a clínica escreve ali é de responsabilidade dela, que é a controladora daquele cadastro (§1).

Nunca vendemos dados pessoais. Compartilhamos com quem é necessário para o produto funcionar:

Não temos provedor de SMS, ferramenta de análise de audiência, rede de publicidade ou plataforma de marketing recebendo seus dados. Se isso mudar, esta lista muda antes.

Transferência internacional: Vercel, Neon, Resend e Google são empresas com operação fora do Brasil, e parte do tratamento pode ocorrer no exterior — hipótese admitida pelo art. 33 da LGPD. As funções de servidor do EstétiKey rodam na região de São Paulo (gru1). A localização exata do armazenamento em cada fornecedor consta das condições contratuais dele; informamos, sob pedido, em {{ENCARREGADO_EMAIL}}.

Usamos apenas o necessário para você continuar logada: um cookie de sessão, marcado como httpOnly (não legível por script na página), e — no aplicativo — um token de sessão equivalente.

Não usamos cookie de publicidade, cookie de terceiro, pixel de rede social nem ferramenta de análise de audiência. Por isso não há banner de consentimento de cookies: não há nada a consentir além do que faz o login funcionar.

Adotamos medidas técnicas e administrativas para proteger seus dados (LGPD, art. 46). Entre elas:

• senha guardada como hash, nunca em texto legível;
• código de confirmação guardado como hash, com validade de 10 minutos, limite de 5 tentativas e intervalo mínimo entre reenvios;
• tráfego cifrado (HTTPS);
• acesso a dado de uma clínica restrito a quem é da equipe daquela clínica, verificado no servidor a cada requisição — não só na tela;
• webhook de pagamento com assinatura verificada e proteção contra evento duplicado;
• acesso administrativo interno restrito a uma lista nominal de e-mails.

Nenhum sistema é infalível. Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos você e a ANPD, como manda o art. 48 da LGPD.

O que acontece quando você pede a exclusão da conta — dito sem meia-verdade: apagamos os dados da sua conta, mas o histórico do atendimento e as avaliações que você publicou não são apagados: eles são anonimizados, deixando de estar ligados a você. A clínica continua tendo o registro contábil e de agenda do atendimento que prestou, e a média de avaliações não muda retroativamente. Isso é o que a lei permite conservar (art. 16) e é como o sistema foi construído.

Além disso, o cadastro que a clínica mantém sobre você (§1) pertence a ela; excluir sua conta no EstétiKey não apaga a ficha que a clínica tem.

O art. 18 da LGPD garante a você, a qualquer momento e mediante requisição:

1. confirmação de que tratamos seus dados;
2. acesso aos dados;
3. correção de dado incompleto, inexato ou desatualizado;
4. anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado fora da lei;
5. portabilidade a outro fornecedor, na forma da regulamentação;
6. eliminação dos dados tratados com base no seu consentimento, salvo as hipóteses do art. 16;
7. informação sobre com quem compartilhamos seus dados;
8. informação sobre a possibilidade de não consentir e o que acontece se você não consentir;
9. revogação do consentimento.

Você também pode se opor a tratamento fundado em legítimo interesse (art. 18, §2º) e peticionar diretamente à ANPD (art. 18, §1º).

Como exercer: escreva para {{ENCARREGADO_EMAIL}}.

Para confirmação de existência de tratamento e acesso aos dados, a própria lei fixa os prazos (art. 19): resposta imediata em formato simplificado, ou até 15 dias para a declaração clara e completa, que indica origem dos dados, critérios e finalidade. Para os demais pedidos, responderemos em até {{PRAZO_RESPOSTA_TITULAR}}. O atendimento é gratuito (art. 18, §5º). Podemos pedir informação adicional para confirmar que é você — não é burocracia: é o que impede que outra pessoa peça seus dados no seu lugar.

Transparência sobre a interface: hoje esses pedidos são atendidos por e-mail. Não existe ainda botão de "baixar meus dados" nem de "excluir minha conta" dentro do produto. Quando existirem, esta seção será atualizada.

Para descadastrar-se dos e-mails de pedido de avaliação, não é preciso escrever para ninguém: use o link de descadastro no rodapé da própria mensagem. Isso não interrompe as mensagens necessárias para você usar a conta (código de confirmação, por exemplo), que não são promocionais.

O EstétiKey é destinado a maiores de 18 anos e não coletamos intencionalmente dados de crianças e adolescentes. Se identificarmos cadastro de menor de idade sem responsável legal, encerraremos a conta e eliminaremos os dados, ressalvado o que a lei obrigue a conservar. O tratamento de dados de criança, quando ocorrer, observará o art. 14 da LGPD, inclusive o consentimento específico e destacado de pelo menos um dos pais ou do responsável legal.

Se você é responsável e identificou cadastro de um menor sob sua responsabilidade, escreva para {{ENCARREGADO_EMAIL}}.

Não tomamos decisões exclusivamente automatizadas que afetem seus interesses de forma relevante — não há pontuação de crédito, perfilamento de comportamento nem precificação personalizada. Há verificações automáticas de regra (por exemplo, o filtro que recusa dado de contato dentro de uma avaliação, e a regra que impede publicar procedimento injetável sem registro profissional declarado compatível), e todas admitem contestação humana por {{ENCARREGADO_EMAIL}}.

Podemos alterar esta Política. A versão vigente estará sempre nesta página, com a data no topo. Mudança relevante — nova finalidade, novo terceiro recebendo dados, mudança de base legal — será comunicada a você antes de passar a valer, por e-mail ou dentro do produto.

Se você não ficar satisfeita com nossa resposta, pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD), em https://www.gov.br/anpd.