Política de Privacidade

Controlador: Rocca & Berg Solutions LTDA, CNPJ 69.137.389/0001-18, com sede em Avenida José Brambila, 480, Loja 02, Vila Vista Alegre, Cachoeirinha/RS, CEP 94945-000.

Encarregado pelo tratamento de dados pessoais (o "DPO" da LGPD): Bruna Pereira Demichei — encarregado@tattus.com.br.

Dos seus dados de cadastro — nome, e-mail, WhatsApp, senha, CNPJ do estúdio, histórico de cobrança — o Tattus é o controlador: nós decidimos como tratá-los para manter sua conta funcionando, e é a nós que você pede.

Dos dados dos clientes do seu estúdio o controlador é você; o Tattus é o operador. Tratamos esses dados por sua conta e ordem, seguindo o Acordo de Tratamento de Dados. É você quem responde perante o seu cliente pelo que coleta dele — inclusive perante a ANPD.

Se você é cliente de um estúdio e chegou aqui, o que vale para você é o aviso de privacidade daquele estúdio. Se ele não tiver um, fale com ele: não podemos responder por decisões que não são nossas. O que podemos fazer, e fazemos, é encaminhar o seu pedido ao estúdio.

Da sua conta: nome, e-mail, WhatsApp, senha (guardada apenas como hash, nunca em texto), foto de perfil se você enviar, e registros de acesso com data, hora e endereço de IP.

Do seu estúdio: dados do negócio (nome, CNPJ, endereço, telefone, logo), equipe e papéis, agenda, valores, regras de remuneração, estoque e registros de biossegurança.

Da assinatura: plano, histórico de mudanças, faturas e status de pagamento.

Dos seus clientes, que são seus e não nossos: contato, histórico de atendimento, orçamentos, pagamentos, fotos de referência e de cicatrização, e — quando você usa o módulo de anamnese — dados de saúde.

Dados de saúde são dados pessoais sensíveis e recebem tratamento próprio: ficam em tabela separada, cada leitura registra quem leu e quando, o financeiro do estúdio não os vê, e eles nunca saem por e-mail, notificação ou WhatsApp — os avisos levam um link, e o conteúdo fica dentro do produto.

Não tratamos dados de geolocalização, identificador de publicidade, comportamento de navegação para fins de marketing, nem qualquer perfilamento.

Para manter sua conta e o produto funcionando, e para avisar você sobre o seu trabalho (sessão que se aproxima, pagamento confirmado, pedido novo): execução de contrato, art. 7º, V.

Para cobrar a assinatura e emitir documento fiscal: execução de contrato e obrigação legal, art. 7º, II e V.

Para guardar registros financeiros, fiscais e de acesso à aplicação: obrigação legal, art. 7º, II, e art. 15 do Marco Civil da Internet.

Para segurança, prevenção a fraude e apuração de incidente: legítimo interesse, art. 7º, IX.

Para os dados de saúde do cliente do estúdio: consentimento específico e destacado do titular, art. 11, I, coletado pelo estúdio. Complementarmente, a obrigação regulatória de guarda (art. 11, II, alínea a) sustenta a retenção da ficha, e a proteção da incolumidade física (art. 11, II, alínea e) sustenta o alerta que aparece a quem vai atender.

Não usamos seus dados nem os dos seus clientes para publicidade. Não vendemos dado nenhum. Não treinamos modelo de inteligência artificial com o conteúdo do seu estúdio.

Só com os fornecedores necessários para o serviço existir. Eles atuam como suboperadores, só podem tratar os dados para prestar o serviço contratado, e estão obrigados por contrato a fazê-lo.

Vercel — hospedagem da aplicação, em São Paulo (região gru1).

Neon — banco de dados, em São Paulo (região sa-east-1).

Vercel Blob — armazenamento de imagens, em repositório privado.

Mercado Pago (Mercado Pago Instituição de Pagamento Ltda., CNPJ 10.573.521/0001-91) — meio de pagamento da assinatura, no Brasil.

Resend — envio de e-mail transacional, fora do Brasil. Ver a seção 5.

Sentry — registro de erro da aplicação, com os dados pessoais removidos antes do envio, armazenado na União Europeia. Ver a seção 5.

Vercel AI Gateway, com o modelo Claude da Anthropic — interpretação das perguntas feitas ao assistente do produto, só quando ele estiver ligado, com retenção zero. Ver a seção 5.

Meta (WhatsApp Business) — envio de avisos pelo número de WhatsApp do próprio estúdio, só quando o estúdio conectar a conta dele. Ver a seção 5.

Google (Google Agenda) — só quando um artista conectar a própria agenda: o horário das sessões dele vai para lá, e os horários ocupados de lá bloqueiam o agendamento pelo site. Ver a seção 5.

Focus NFe — emissão de nota fiscal de serviço, só quando o estúdio ativar a emissão automática: recebe os dados do tomador e do serviço que a nota exige.

A lista completa e atualizada, com o compromisso de avisar antes de trocar qualquer um deles, está no Acordo de Tratamento de Dados.

Fora daí, só compartilhamos por ordem judicial ou requisição de autoridade competente — e, quando pudermos avisar você antes, avisamos.

Nunca compartilhamos dados entre estúdios diferentes. O isolamento por estúdio é aplicado no servidor, dentro da própria consulta ao banco: o dado do outro estúdio não chega a sair de lá.

Toda a aplicação, o banco de dados e as imagens ficam no Brasil. O que sai daqui está abaixo. O e-mail e o registro de erro saem sempre; o assistente, o WhatsApp e a agenda do Google só enviam algo quando a função é usada.

Envio de e-mail, pelo Resend, empresa sediada nos Estados Unidos. Vão para lá o nome e o e-mail do destinatário e o texto da mensagem. Não vai dado de saúde: os avisos carregam um link para o produto, nunca o conteúdo, e isso é verificado automaticamente a cada alteração do sistema.

Registro de erro, pelo Sentry (Functional Software, Inc.), que não tem operação no Brasil. Vai para lá o que a aplicação precisa para diagnosticar uma falha: mensagem do erro, arquivo e linha onde ele aconteceu, e o endereço da tela — com os dados pessoais removidos antes do envio. O filtro funciona por lista do que pode sair, e não por lista de exceções: conteúdo de formulário, cookie, identificação de usuário, e qualquer código de acesso presente no endereço ou no cabeçalho de origem, são descartados antes de a informação deixar o servidor.

Os registros de erro deste sistema ficam armazenados na União Europeia, em Frankfurt, na Alemanha. Ficam nos Estados Unidos, independentemente disso, os dados que o Sentry mantém sobre a própria conta: cadastro de quem acessa o painel, ajustes de notificação, chaves de acesso, configurações da organização e registros de auditoria. Nenhum desses é dado do seu cliente.

O Sentry, por sua vez, contrata terceiros para operar o serviço dele, e a lista deles é pública. Nós mantemos desligados os recursos de inteligência artificial do Sentry, porque eles envolvem fornecedores adicionais nos Estados Unidos.

Assistente do produto, pelo Vercel AI Gateway com o modelo Claude, da Anthropic, nos Estados Unidos — só quando o assistente estiver ligado para o seu estúdio. Vai o texto da pergunta digitada e a lista das consultas que o assistente sabe fazer; a resposta nunca vai, porque é montada pelo próprio Tattus a partir do banco. Antes do envio, a pergunta é conferida no servidor: se parecer conter dado de saúde, CPF ou número de cartão, ela não sai. O fornecedor opera com retenção zero: a pergunta não é guardada nem usada para treinar modelo.

Avisos por WhatsApp, pela Meta, nos Estados Unidos — quando o estúdio conecta o próprio número. Vão o telefone e o nome do destinatário e o texto do aviso, que nunca contém dado de saúde.

Agenda do Google, pelo Google, fora do Brasil — quando um artista conecta a própria agenda. Vão o horário e a duração das sessões dele e um título curto, sem dado de saúde.

Base legal de todas: necessidade para a execução do contrato (art. 33, IX), somada à adoção de cláusulas contratuais padrão (art. 33, II, alínea a).

Conta e estúdio ativos: enquanto a assinatura existir.

Depois do fim da assinatura: 7 dias em modo leitura, depois desativação da página pública, um último aviso por e-mail no 25º dia e apagamento dos dados pessoais a partir de 30 dias contados do encerramento, sempre pelo menos 5 dias depois desse aviso.

Ficha sanitária do atendimento (anamnese, região do corpo, intercorrências e termo): pelo menos 24 meses depois do último procedimento, ou o prazo maior que o estúdio configurar conforme a exigência da vigilância sanitária do município. É guarda por obrigação legal (LGPD art. 16, I): mesmo com pedido de exclusão, ela fica até esse prazo e depois é apagada.

Registros financeiros e fiscais: 5 anos contados do encerramento do exercício em que ocorreram.

Aceites de termos e histórico de plano: 5 anos após o fim do contrato — é a prova do que foi contratado.

Registros de acesso à aplicação e ao portal do cliente: 12 meses.

Registro de quem leu ficha de saúde: enquanto a ficha existir, e apagado junto com ela.

Cópias de segurança do banco: uma por dia, cada uma guardada por 30 dias.

Sobre as cópias de segurança: elas são feitas uma vez por dia, automaticamente. Um dado apagado a seu pedido some do sistema na hora, mas pode sobreviver nelas por até 30 dias, até que a cópia mais antiga seja descartada. Cópia de segurança não é consultada no dia a dia; ela só é usada para restaurar o sistema depois de uma falha. Se uma restauração acontecer nesse intervalo, reaplicamos as exclusões pendentes.

O pedido é feito ao estúdio, que é o controlador, e executado por ele dentro do produto.

É apagado: a ficha de saúde e todo o registro de quem a leu, as fotos de cicatrização, o mapa corporal, as fotos de referência do briefing, o comentário da avaliação, o texto do pedido de remarcação e o endereço para onde avisos foram enviados.

É anonimizado: o cadastro do cliente e os pedidos dele no funil — o atendimento continua contando como fato para o histórico do estúdio, sem nome, telefone ou e-mail atrás.

Os links de acesso ao portal daquele cliente são invalidados na hora, todos de uma vez, inclusive os já abertos.

É mantido: o histórico financeiro, pelos 5 anos que a lei exige, e o termo de consentimento assinado, que é a prova da base legal do que foi tratado. Os dois ficam ligados a um cadastro sem dados pessoais.

A LGPD garante a você: confirmar se tratamos seus dados, acessá-los, corrigi-los, pedir anonimização ou eliminação do que for desnecessário ou excessivo, pedir a portabilidade, saber com quem compartilhamos, revogar consentimento e se opor a tratamento feito com base em legítimo interesse.

Para exercer qualquer um deles, escreva para encarregado@tattus.com.br. Respondemos em até 15 dias.

Se você é cliente de um estúdio, o pedido vai para o estúdio — nós encaminhamos e, quando ele precisar de ajuda técnica para cumprir, ajudamos.

Se a resposta não te satisfizer, você pode reclamar à ANPD, em gov.br/anpd, ou aos órgãos de defesa do consumidor.

Senhas são guardadas apenas como hash. Todo o tráfego é criptografado. Cada tela depende do papel da pessoa no estúdio, e as regras de privacidade mais sensíveis são aplicadas dentro da consulta ao banco — o dado protegido nem chega a sair de lá.

O acesso a dado de saúde é registrado antes de o conteúdo ser mostrado. Imagens privadas são servidas por rota com verificação de autorização e sem cache compartilhado.

O acesso do cliente ao portal é feito por um link assinado, que vale 90 dias e pode ser invalidado pelo estúdio a qualquer momento. Esse link é a credencial: quem o tiver, entra. Ele sai do endereço na primeira visita e passa a viver num cookie do próprio aparelho, o portal não é indexado por buscadores e cada abertura fica registrada — mas o link não deve ser repassado.

Nenhum sistema é infalível. Se acontecer um incidente de segurança com risco relevante, comunicamos você em até 2 (dois) dias úteis do momento em que tomarmos conhecimento, para que você consiga cumprir o seu próprio prazo perante a ANPD e os seus clientes. Comunicamos também a ANPD quando a lei exigir.

Usamos apenas os cookies necessários para o produto funcionar: manter você conectado e manter o acesso do cliente ao portal. Não usamos cookies de publicidade, nem de rastreamento entre sites, nem ferramenta de análise de comportamento.

Também guardamos no próprio aparelho, sem cookie, duas preferências de tela: o tema (claro ou escuro) e se o menu lateral fica recolhido. Elas não saem do aparelho, não identificam ninguém e podem ser apagadas limpando os dados do site no navegador.

Por isso não há banner de cookies: não há o que consentir.

O aplicativo mostra o mesmo produto e trata os mesmos dados descritos acima. Ele não coleta nada a mais por ser um aplicativo: não usa identificador de publicidade, não rastreia você em outros aplicativos ou sites e não tem ferramenta de análise de comportamento embutida.

O aplicativo pede acesso à câmera e às fotos apenas quando você escolhe enviar uma imagem — foto de portfólio, peça de flash, logo ou registro de cicatrização. A imagem vai para o Tattus e para mais lugar nenhum; não lemos o resto da sua galeria.

Se você autorizar notificações, elas são usadas para avisos do seu trabalho: sessão que se aproxima, pagamento confirmado, pedido novo pelo site. Nunca mandamos propaganda por notificação, e o texto do aviso nunca contém dado de saúde de cliente — ele chama você para a tela, e o conteúdo fica lá dentro. Você pode desligar as notificações a qualquer momento nos ajustes do aparelho.

Você pode apagar a sua conta a qualquer momento em Minha conta, no aplicativo ou no site. O caminho é o mesmo nos dois.

Ao apagar, o seu acesso termina na hora, a sua senha é destruída, os aparelhos param de receber notificação e os seus dados pessoais (nome, e-mail, telefone e foto) são apagados do Tattus.

Alguns registros são mantidos, e é importante que você saiba quais e por quê: os lançamentos financeiros do estúdio, que a lei obriga a guardar pelo prazo da seção 6, e o vínculo de trabalho que sustenta esse histórico. Eles ficam sem os seus dados pessoais atrás.

Se o seu estúdio nunca atendeu ninguém, ele é apagado junto com a conta. Se já atendeu, ele sai do ar — a página pública fecha e ninguém mais entra — e os dados dos clientes seguem sob as regras das seções 6 e 7, porque esses dados são deles, não seus.

Se ainda houver outras pessoas com acesso ao estúdio, pedimos que você passe a titularidade antes de apagar: a sua saída não pode tirar o acesso de quem trabalha com você.

O Tattus é uma ferramenta de trabalho e não é destinado a menores de 18 anos. Não coletamos dados de crianças e adolescentes conscientemente para a nossa própria conta.

Se o seu estúdio atende cliente menor de idade, os dados dele são tratados por você, como controlador, sob a regra própria do art. 14 da LGPD — e verificar a idade e obter a autorização de quem responde por ele é obrigação sua.

Quando esta Política mudar de forma relevante, avisamos e pedimos um aceite novo. A versão que estava valendo quando você aceitou continua guardada — nada é reescrito para trás.

Privacidade, dados e exercício de direitos: encarregado@tattus.com.br — Bruna Pereira Demichei, encarregado.

Assuntos gerais: contato@tattus.com.br.