Política de Privacidade

A plataforma Marka Aki é operada pela LROBAERT TECNOLOGIA LTDA ("Marka Aki", "nós" ou "nosso").

A Marka Aki é controladora dos dados necessários para manter a sua conta na plataforma: cadastro, login, segurança, cobrança da assinatura dos estabelecimentos, comunicações nossas e analytics dos nossos sites.

Quando você agenda um horário em um salão, barbearia ou clínica (o "estabelecimento") — com conta ou sem conta, pelo link do estabelecimento ou pelo app —, os dados da sua relação com esse estabelecimento (agendamentos, observações, ficha de cliente, lembretes, fidelidade) são tratados pelo estabelecimento como controlador. Nesse caso a Marka Aki atua como operadora: guarda e processa esses dados em nome do estabelecimento, conforme as instruções dele e os nossos Termos de Uso.

Para dúvidas sobre esta política ou para exercer seus direitos, fale com o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO): [email protected]

Coletamos os seguintes tipos de dados, conforme o contexto de uso:

Dados de conta e identidade

• Identificação básica: nome completo, e-mail e telefone.
• Login com Google: se você escolher entrar com o Google, recebemos nome, e-mail e o identificador da sua conta Google. Não recebemos sua senha do Google.
• Credenciais: hash da senha (BCrypt). Nunca armazenamos senhas em texto claro.
• Autenticação de dois fatores (2FA): segredo TOTP, armazenado criptografado, usado exclusivamente para verificação de acesso.
• Consentimentos registrados: data e IP do consentimento de marketing e do consentimento para lembretes por WhatsApp.

Dados do agendamento

• Agendamento sem conta: para marcar um horário sem criar senha, pedimos nome, e-mail e telefone. Com eles criamos um cadastro simplificado, que você pode completar pelo link enviado por e-mail.
• Detalhes do horário: data, serviço, profissional, valor, forma de pagamento informada, histórico de visitas e a observação que você escrever ao agendar.
• Lista de espera: dia e serviço desejados e o recado que você deixar, quando pede para ser avisado se abrir um horário.
• Avaliações: notas e comentários deixados sobre o atendimento.
• Fidelidade: pontos acumulados, resgates e histórico do programa de fidelidade do estabelecimento.

Ficha de cliente (por estabelecimento)

• Dados complementares: data de nascimento, foto de perfil e endereço, quando fornecidos.
• Notas do estabelecimento: o estabelecimento pode registrar observações internas sobre o seu atendimento. Você pode pedir acesso a elas ao estabelecimento ou pelo canal do DPO.
• Preferências de comunicação: se aceita lembretes por WhatsApp, se pediu para parar de receber lembretes e o canal preferido.

Dados de estabelecimentos e equipes

• Negócio: nome, endereço, telefone, e-mail, CNPJ, serviços, horários de funcionamento.
• Profissionais: nome, foto, bio, telefone, e-mail, agenda e comissões registradas pelo estabelecimento.
• Assinatura: plano, status, histórico de cobrança e o CPF ou CNPJ usado para cobrar e emitir nota fiscal. Não armazenamos dados de cartão — eles vão direto ao processador de pagamento.
• Suporte: mensagens, anexos e avaliações dos chamados abertos pelo painel, com um retrato técnico do contexto (plano, tela, versão).

Dados técnicos e de segurança

• Endereço IP: registrado em cada autenticação e na verificação anti-robô dos formulários, para detectar acessos suspeitos e abuso.
• Tokens de sessão: refresh tokens com hash SHA-256, válidos por até 30 dias.
• Auditoria de ações sensíveis: quem fez o quê, quando e de qual IP, em operações de alto impacto no painel.
• Registro de envios: para não mandar a mesma mensagem duas vezes, guardamos para qual e-mail ou telefone cada lembrete foi enviado e o status de entrega.
• Dados de navegação (analytics): páginas visitadas, cliques e interações (ver seção 8).

Contato

• Formulário de contato: nome, e-mail, nome do negócio e a mensagem enviada.

Dados sensíveis

A Marka Aki não pede dados sensíveis (como saúde, biometria ou origem racial). Os campos de observação são livres: se um estabelecimento — uma clínica, por exemplo — registrar ali informação de saúde, ele é o controlador desse dado e responde pela base legal do art. 11 da LGPD. Orientamos os estabelecimentos a registrar só o necessário para o atendimento.

Utilizamos seus dados para:

• Permitir que você agende, remarque e cancele horários pelo link ou app do estabelecimento;
• Enviar confirmação e lembrete do agendamento por e-mail e, se você autorizar, por WhatsApp. O WhatsApp é usado só para avisos — a marcação acontece no link ou no app;
• Dar ao estabelecimento as ferramentas de agenda, ficha de cliente, fidelidade, avaliações e relatórios;
• Cobrar a assinatura dos estabelecimentos e emitir nota fiscal;
• Oferecer suporte técnico e atendimento;
• Enviar novidades e promoções (somente com seu consentimento);
• Analisar uso e desempenho da plataforma para melhorá-la;
• Detectar e prevenir fraudes, robôs e acessos não autorizados;
• Cumprir obrigações legais e regulatórias.

Tratamos seus dados com base nas seguintes hipóteses legais previstas na LGPD (Lei 13.709/2018):

• Execução de contrato (art. 7º, V): conta, agendamentos, confirmações e lembretes por e-mail, assinatura dos estabelecimentos, suporte e programa de fidelidade.
• Consentimento (art. 7º, I): lembretes por WhatsApp (dado a cada estabelecimento, separadamente), e-mails de marketing e cookies de analytics nos nossos sites. Você pode revogar a qualquer momento, sem prejuízo do agendamento.
• Legítimo interesse (art. 7º, IX): segurança da conta, prevenção de fraude e abuso (inclusive verificação anti-robô), auditoria de ações sensíveis, registro de envios e telemetria de uso do painel dos estabelecimentos. O interesse é balanceado e não prevalece sobre seus direitos fundamentais.
• Obrigação legal (art. 7º, II): obrigações fiscais, contábeis e regulatórias, e guarda de registros de acesso a aplicação (Marco Civil da Internet, art. 15).

Para os dados que trata como controlador, cada estabelecimento define a própria base legal. Na maior parte dos casos é a execução do serviço que você contratou com ele.

Não vendemos seus dados pessoais. Compartilhamos apenas o necessário, com:

• O estabelecimento em que você agenda: vê seu nome, contato, histórico e observações com ele. Um estabelecimento não vê seus dados em outro.
• Infraestrutura e hospedagem: provedores de nuvem onde os dados são armazenados e processados.
• E-mail (Lark Suite): nome, e-mail e detalhes do agendamento, para envio de confirmações, lembretes e avisos da conta.
• WhatsApp (Kapso e Meta): nome, telefone e dados do horário (estabelecimento, data, hora, serviço), somente se você autorizou lembretes por WhatsApp. A Kapso é a intermediária que envia a mensagem pela API oficial do WhatsApp, da Meta.
• Cobrança (Asaas): nome, e-mail e CPF ou CNPJ do responsável pela assinatura do estabelecimento, para gerar e cobrar as faturas. O Asaas é instituição de pagamento regulada pelo Banco Central.
• Login com Google: se você escolher essa opção, o Google autentica você e nos devolve nome e e-mail.
• Verificação anti-robô (Cloudflare Turnstile): IP e sinais técnicos do navegador, nos formulários públicos.
• Analytics (PostHog e Google Analytics): dados de navegação e interação (ver seção 8).
• Autoridades públicas: quando exigido por lei, ordem judicial ou requisição de autoridade competente.

Esses fornecedores atuam como operadores, tratam os dados só para prestar o serviço contratado e estão sujeitos a obrigações contratuais de confidencialidade e segurança.

Alguns fornecedores processam dados fora do Brasil:

• Estados Unidos: PostHog, Google (Analytics e login), Meta (WhatsApp) e Cloudflare;
• Singapura e outros países: Lark Suite (e-mail);
• Kapso: processamento fora do Brasil.

Essas transferências se apoiam nas hipóteses do art. 33 da LGPD: cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), a execução do serviço que você pediu e, no caso do WhatsApp, o seu consentimento para receber lembretes por esse canal.

Mantemos seus dados pelos seguintes prazos:

• Conta ativa: enquanto a conta existir e o contrato estiver em vigor.
• Exclusão da conta: seus dados de identificação e de perfil são anonimizados ou excluídos em até 90 dias. O histórico de agendamentos pode ser mantido sem nome nem contato, para as obrigações fiscais do estabelecimento.
• Estabelecimento que cancela a assinatura: os dados ficam disponíveis para exportação por 30 dias e são excluídos ou anonimizados em até 90 dias após o cancelamento.
• Dados fiscais e de cobrança: 5 anos, conforme a legislação tributária.
• Registros de acesso (IP, data e hora): 6 meses, como exige o Marco Civil da Internet (art. 15).
• Tokens de sessão: expiram em até 30 dias.
• Registro de envios de lembretes: até 12 meses.
• Auditoria de ações sensíveis: até 12 meses.
• Chamados de suporte e mensagens de contato: até 24 meses após o encerramento.
• Analytics: até 1 ano.
• Telemetria de produto do estabelecimento: marcos de uso do estabelecimento (cadastro, configuração concluída, primeiro agendamento online), sem vínculo a uma pessoa identificada, por até 24 meses.

Utilizamos os seguintes tipos de cookies e tecnologias similares:

• Essenciais e de sessão: mantêm você logado e a plataforma funcionando. Não podem ser desativados sem comprometer o serviço.
• Analytics no site (PostHog e Google Analytics): páginas visitadas, cliques e saída de página. Só são ativados depois que você aceita no aviso de cookies, e você pode recusar sem perder nada do site.
• Telemetria no painel do estabelecimento (PostHog): uso das telas pelo dono e pela equipe, para entender onde o produto trava. Os textos da tela, como nomes de clientes, não são enviados.

Você também pode apagar ou bloquear cookies nas configurações do seu navegador.

Você tem os seguintes direitos em relação aos seus dados pessoais:

• Confirmação da existência de tratamento;
• Acesso aos dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• Portabilidade dos dados a outro fornecedor;
• Eliminação dos dados tratados com base em consentimento;
• Informação sobre com quem compartilhamos seus dados;
• Informação sobre a possibilidade de não fornecer consentimento e as consequências;
• Revogação do consentimento a qualquer momento;
• Petição à Autoridade Nacional de Proteção de Dados (ANPD).

Na própria plataforma, em Perfil (clientes) ou em Configurações (estabelecimentos), você pode baixar seus dados, excluir sua conta e ligar ou desligar os e-mails de marketing. Todo lembrete traz um link para parar de receber lembretes.

Para qualquer outro pedido, escreva para [email protected] a partir do e-mail cadastrado. Se precisarmos confirmar sua identidade, pediremos só o necessário. Respondemos em até 15 dias.

Se o pedido for sobre dados que um estabelecimento trata como controlador (seus agendamentos e a ficha de cliente naquele estabelecimento), você pode falar com ele diretamente ou conosco — nesse caso encaminhamos ao estabelecimento e apoiamos a resposta.

A conta na Marka Aki é para maiores de 18 anos. Agendamento para criança ou adolescente deve ser feito pelo responsável legal, com os dados do responsável.

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

• Criptografia em trânsito via TLS/HTTPS em todas as comunicações;
• Hash de senhas com BCrypt (fator de custo adaptativo);
• Hash de tokens de sessão com SHA-256;
• Autenticação de dois fatores (TOTP/2FA) disponível para todas as contas;
• Isolamento entre estabelecimentos: cada um acessa apenas os próprios dados;
• Controle de acesso por função (RBAC) — cada usuário acessa apenas o que seu papel permite;
• Bloqueio de conta após tentativas de login malsucedidas e verificação anti-robô;
• Registro de ações sensíveis no painel.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a ANPD e os titulares afetados no prazo da Resolução CD/ANPD nº 15/2024 (3 dias úteis) e avisaremos os estabelecimentos cujos dados forem atingidos.

Podemos atualizar esta política periodicamente. Avisaremos mudanças significativas por e-mail ou aviso destacado na plataforma com, no mínimo, 15 dias de antecedência. O histórico de versões anteriores está disponível mediante solicitação ao DPO.