Política de Privacidade

O BPM — Gestão Inteligente é um sistema de gestão para barbearias, salões de beleza e profissionais autônomos do setor, oferecido por SM Engenharia & Consultoria Ltda, inscrita no CNPJ sob o nº 50.946.438/0001-35, com sede em Rua José Licínio Lopes, nº 1241, bairro Canto, Florianópolis/SC, CEP 88.070-780.

Para falar conosco sobre qualquer assunto desta Política, escreva para contato@smengenhariaec.com.br.

A LGPD distingue quem decide sobre o tratamento (Controlador) de quem executa o tratamento em nome de outro (Operador). No BPM os dois papéis existem, e é importante saber qual se aplica a você.

Somos Controladora

dos dados da conta do assinante — quem contrata o BPM. Somos nós que decidimos tratá-los para criar a conta, validar o cadastro, cobrar a assinatura e dar suporte.

Somos Operadora

dos dados que o assinante cadastra dentro do sistema: seus clientes, profissionais e fornecedores. Nesse caso, o Controlador é o estabelecimento que usa o BPM, e nós tratamos esses dados apenas conforme as instruções dele.

Na prática: se você é cliente de uma barbearia ou salão que usa o BPM, quem responde pelos seus dados é o estabelecimento. Nós damos o apoio técnico necessário para que ele atenda você.

Coletamos apenas o necessário para o sistema funcionar. O conjunto varia conforme o seu papel:

Assinante (pessoa física ou jurídica)

Nome completo, nome social, razão social e nome fantasia; CPF ou CNPJ; data de nascimento; e-mail; telefone; endereço completo; logotipo do estabelecimento; e os identificadores e o status da assinatura mantidos junto ao provedor de pagamentos.

Profissional cadastrado pelo estabelecimento

Nome completo e nome social ou razão social e nome fantasia; CPF ou CNPJ; data de nascimento; e-mail; telefone; foto; percentual de comissão; permissões de acesso; status do vínculo e datas de convite e ativação.

Cliente final do estabelecimento

Nome; CPF ou CNPJ; e-mail e telefone (opcionais); foto; observações registradas pelo estabelecimento; e, quando o cliente é menor de idade, o nome, o CPF, o telefone e o grau de parentesco do responsável.

Fornecedor

Nome ou razão social; CPF ou CNPJ; e-mail e telefone (opcionais); foto; observações.

Credenciais de acesso

E-mail e senha. A senha é armazenada apenas de forma cifrada (hash) pelo serviço de autenticação — nem nós nem nossa equipe temos como lê-la.

Registros de uso e segurança

E-mail, endereço IP e horário das tentativas de login, usados para limitar tentativas e prevenir fraude; além do histórico gerado pela própria operação — atendimentos, comandas, agendamentos e entradas na fila vinculados a cada cliente, inclusive o nome informado para clientes sem cadastro.

Imagens

As fotos de profissionais, clientes, fornecedores e produtos e o logotipo do estabelecimento ficam em áreas de armazenamento privadas, acessíveis somente por links assinados de curta duração gerados para quem tem permissão.

Lembretes do agendamento online

Se o cliente final optar por receber lembretes na página pública de agendamento, guardamos o endereço de notificação que o navegador dele gera (um identificador do aparelho, sem nome nem telefone), as chaves usadas para cifrar a mensagem e a fila de avisos pendentes daquele agendamento. É opcional, depende de autorização explícita no navegador e pode ser desativado a qualquer momento pelo próprio cliente, no botão da tela de confirmação ou nas configurações do navegador.

Não coletamos dados sensíveis, não fazemos perfilamento comportamental e não usamos os dados para treinar modelos de inteligência artificial.

Execução do contrato (art. 7º, V)

Criar e manter a conta, autenticar o acesso, operar todos os módulos do sistema, processar a assinatura e prestar suporte.

Cumprimento de obrigação legal ou regulatória (art. 7º, II)

Manter registros fiscais, contábeis e financeiros pelos prazos exigidos por lei.

Legítimo interesse (art. 7º, IX)

Garantir a segurança da plataforma — limitar tentativas de login, investigar acessos indevidos e prevenir fraude.

Não enviamos comunicações de marketing por e-mail e não vendemos, alugamos ou cedemos dados pessoais a terceiros para fins comerciais.

O sistema permite que o estabelecimento marque um cliente como menor de idade e registre os dados do responsável. Nesse caso o Controlador é o estabelecimento, a quem cabe obter o consentimento específico e destacado de pelo menos um dos pais ou do responsável legal, na forma do art. 14 da LGPD.

A criação de contas de acesso ao BPM é restrita a maiores de 18 anos com plena capacidade civil.

No cadastro do assinante e do profissional, consultamos o CPF ou o CNPJ informado nas bases da Receita Federal por meio do Serpro (Serviço Federal de Processamento de Dados), para conferir a titularidade e a situação cadastral do documento.

A consulta devolve apenas o nome, o nome social (quando houver) e a situação do documento. A data de nascimento é coletada e armazenada por nós, mas ainda não é conferida junto à Receita Federal. Quando a consulta não pode ser concluída, o cadastro segue com preenchimento manual dos nomes.

Compartilhamos dados apenas com os prestadores necessários para o serviço funcionar, sempre limitados ao mínimo indispensável:

Supabase

Banco de dados, autenticação e armazenamento de arquivos. Os dados do BPM ficam hospedados em região do Brasil (São Paulo).

Stripe

Processamento de pagamentos e gestão da assinatura. Os dados do cartão são digitados diretamente no ambiente do Stripe e nunca transitam pelos nossos servidores — nós guardamos apenas identificadores, o plano contratado e o status da assinatura. Transferência internacional (Estados Unidos).

Brevo

Envio dos e-mails transacionais (confirmação de cadastro, redefinição de senha e convite de profissional). Transferência internacional (União Europeia).

Serpro

Consulta de CPF e CNPJ nas bases da Receita Federal, no momento do cadastro.

Hospedagem da aplicação

Vercel Inc. — execução da aplicação e entrega das páginas. Transferência internacional (Estados Unidos).

Também podemos compartilhar dados para cumprir ordem judicial, requisição de autoridade competente ou obrigação legal — hipótese em que informaremos o titular sempre que a lei permitir.

Alguns dos prestadores acima operam fora do Brasil, o que caracteriza transferência internacional de dados nos termos do art. 33 da LGPD. Essas transferências se apoiam nas cláusulas contratuais e nas garantias de proteção oferecidas por cada fornecedor, limitadas ao necessário para a execução do contrato.

Usamos apenas cookies essenciais. Não há ferramentas de análise, publicidade, remarketing ou rastreamento de terceiros — por isso o site não exibe banner de consentimento de cookies.

Cookies de sessão do sistema de autenticação

Mantêm você conectado e renovam a sessão com segurança enquanto navega. Sem eles, não é possível acessar a plataforma.

bpm_ctx

Guarda apenas o papel e o estabelecimento ativos de quem tem mais de um vínculo. É httpOnly (inacessível a scripts) e expira em 30 dias.

Armazenamento local do totem

No modo totem, o navegador do tablet guarda apenas a contagem de tentativas do PIN de saída. Não contém dados pessoais.

Anotação do agendamento no aparelho do cliente

Na página pública de agendamento, o navegador guarda no próprio aparelho o horário marcado (estabelecimento, profissional, serviços, data e valor) para que o cliente possa consultá-lo mesmo sem internet. Fica só no aparelho, não é enviado a nós e some quando o horário passa ou quando o cliente limpa os dados do site.

Inscrição em notificações

Não é cookie: quando o cliente ativa o lembrete do agendamento, o próprio navegador cria e mantém uma inscrição de notificação para este site. Ela é revogada ao desativar o lembrete na tela de confirmação ou ao bloquear as notificações nas configurações do navegador.

• Isolamento entre estabelecimentos no próprio banco de dados: cada conta só enxerga os próprios registros.
• Autorização verificada no servidor a cada operação, conforme o papel (assinante ou profissional) e as permissões concedidas.
• Senha com no mínimo 12 caracteres, exigindo maiúscula, minúscula, número e caractere especial, armazenada apenas como hash.
• Limite de tentativas de login por e-mail em janela de tempo, para conter ataques de força bruta.
• Fotos e logotipos em áreas privadas, servidos somente por links assinados de curta duração.
• Tráfego cifrado por HTTPS e política de segurança de conteúdo (CSP) restringindo origens externas.

Nenhum sistema é imune a incidentes. Trabalhamos para reduzir riscos, mas não podemos garantir segurança absoluta — e por isso mantemos o processo de resposta descrito abaixo.

Mantemos os dados enquanto a conta existir. Após o cancelamento da assinatura, os dados são mantidos por 180 (cento e oitenta) dias e, encerrado esse prazo, eliminados ou anonimizados.

Os dados de lembrete do agendamento online têm vida própria e curta: a fila de avisos é apagada depois de processada, e a inscrição do aparelho é descartada quando o navegador informa que ela deixou de valer ou quando o cliente desativa o lembrete.

Há duas exceções que preferimos declarar com clareza: registros já vinculados a movimentação financeira não são apagados durante o uso do sistema — nesses casos o cadastro é arquivado, inativado ou desligado, preservando o histórico; e dados necessários ao cumprimento de obrigações fiscais, contábeis e legais são mantidos pelos prazos exigidos pela legislação, mesmo após o encerramento da conta.

A LGPD garante a você, entre outros, os direitos de confirmar a existência de tratamento, acessar seus dados, corrigir dados incompletos ou desatualizados, solicitar anonimização, bloqueio ou eliminação de dados desnecessários, pedir a portabilidade, revogar consentimento, obter informação sobre compartilhamentos e se opor a tratamento feito com base no legítimo interesse.

Para exercer qualquer um deles, escreva para contato@smengenhariaec.com.br. Responderemos no menor prazo possível, observados os limites legais.

Atenção ao encaminhamento correto: se você é cliente, profissional ou fornecedor de uma barbearia ou salão que usa o BPM, o pedido deve ser dirigido ao estabelecimento, que é o Controlador dos seus dados. Se você nos procurar diretamente, encaminharemos a solicitação a ele e daremos o suporte técnico necessário.

Encarregado: Ronei Marcondes Gomes. Contato: contato@smengenhariaec.com.br.

Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, descrevendo a natureza dos dados envolvidos, os riscos e as medidas adotadas. Quando atuarmos como Operadora, comunicaremos imediatamente o estabelecimento Controlador.

Podemos atualizar esta Política para refletir mudanças no sistema ou na legislação. A data da última atualização fica sempre no topo da página, e mudanças relevantes serão avisadas na plataforma antes de entrarem em vigor.