Política de Privacidade

1. Controlador

O controlador dos dados descritos nesta Política é Rafael Henrique Barros. Para qualquer assunto de privacidade, use o e-mail abaixo.

• Titular: Rafael Henrique Barros, pessoa física residente na Espanha, que oferece o serviço sob o nome comercial Noctelo.
• NIF/NIE: Z2504792M
• E-mail: contato@noctelo.site

2. Dois papéis: controlador e operador

Somos controladores dos dados das contas que usam o Noctelo (titulares, gestores e equipe), da cobrança, do suporte e dos visitantes do site.

Os dados que cada negócio insere sobre seus clientes e profissionais — contatos, agendamentos, mensagens, anotações, fotos, valores — pertencem a esse negócio, que é o controlador deles. Nesse caso atuamos apenas como operador, em nome dele e segundo as suas instruções, como previsto nos Termos. Se você é cliente ou profissional de um negócio que usa o Noctelo, dirija seus pedidos a esse negócio; se escrever para nós, encaminhamos o pedido e ajudamos a respondê-lo.

3. Quais dados tratamos

• Conta: nome, e-mail, telefone, senha (guardada apenas como hash irreversível), idioma, função e permissões, e o registro de aceite destes documentos (versão, data e endereço IP).
• Negócio: nome, endereço, país, configurações, plano e histórico de assinatura.
• Cobrança: identificadores de cliente e de assinatura na Paddle, valor, situação e datas dos pagamentos. Os dados do cartão são digitados no formulário da Paddle e nunca chegam até nós.
• Uso e segurança: endereço IP, tipo de dispositivo e navegador, registros de acesso e de erros.
• Suporte: o conteúdo das mensagens que você nos envia.
• Visitantes da vitrine: estatísticas de visitas pseudonimizadas. O endereço IP é transformado em um código que muda todo dia e não pode ser revertido; o IP em si não é guardado.
• Em nome dos negócios (como operador): dados de clientes (nome, telefone, histórico de agendamentos, mensagens de WhatsApp e Telegram, anotações, avaliação de confiança), de profissionais (nome, contato, horários, valores e comissões, fotos e perfil da vitrine, PIN) e, quando o negócio usa a verificação de chegada nos atendimentos externos, o endereço do atendimento e a localização do dispositivo no momento da chegada.

4. Para que usamos os dados e com qual base legal

• Criar e gerenciar a conta e prestar o serviço contratado — execução de contrato (art. 6.º, 1, b do RGPD; art. 7.º, V da LGPD).
• Cobrança, faturamento e obrigações fiscais e contábeis — execução de contrato e cumprimento de obrigação legal.
• Segurança, prevenção de fraude e abuso, proteção contra robôs no cadastro e diagnóstico de erros — legítimo interesse em manter o serviço seguro e funcionando.
• E-mails de serviço (confirmação de conta, recuperação de senha, avisos sobre a assinatura e mudanças nestes documentos) — execução de contrato.
• Estatísticas pseudonimizadas da vitrine, para mostrar ao negócio quantas visitas recebeu — legítimo interesse, com o mínimo de dados possível.
• Responder a pedidos de suporte — execução de contrato ou legítimo interesse em responder a quem nos procura.

Não vendemos dados pessoais, não os usamos para publicidade e não tomamos decisões automatizadas com efeitos jurídicos sobre você. Não enviamos comunicações de marketing sem o seu consentimento.

5. Com quem compartilhamos

Usamos os fornecedores abaixo, que tratam dados apenas para nos prestar o serviço deles e com obrigações contratuais de proteção:

• Paddle.com Market Ltd (Reino Unido) — Merchant of Record: checkout, pagamentos, faturas, impostos e reembolsos. A Paddle também trata os dados de pagamento como controladora, conforme a política de privacidade da Paddle.
• Contabo GmbH (Alemanha, UE) — servidores que hospedam o serviço e o banco de dados.
• Backblaze, Inc. (EUA) — cópia de segurança do banco de dados fora do servidor principal.
• Sendinblue SAS — Brevo (França, UE) — envio dos e-mails do serviço.
• OpenAI (EUA) — processamento de mensagens e pedidos pelas funcionalidades de IA, quando o negócio as utiliza.
• Functional Software, Inc. — Sentry (EUA) — monitoramento de erros técnicos, com cabeçalhos de autenticação e campos sensíveis removidos.
• Cloudflare, Inc. (EUA) — verificação antirrobô (Turnstile) no cadastro.
• OpenStreetMap Foundation (Reino Unido) — conversão do endereço de um atendimento externo em coordenadas, quando o negócio usa a verificação de chegada. Só o endereço é enviado, sem nome nem contato.
• Serviços de notificação dos navegadores (Google, Apple, Mozilla) — entrega das notificações push que você ativar.

WhatsApp (Meta) e Telegram não são nossos fornecedores: são serviços que o negócio conecta com contas próprias, e as mensagens que passam por eles ficam sujeitas às políticas desses serviços.

Também podemos compartilhar dados com assessores profissionais (por exemplo, jurídicos ou contábeis), sob dever de sigilo, e com autoridades, quando a lei exigir.

6. Transferências internacionais

Alguns fornecedores estão fora do Espaço Econômico Europeu. Para o Reino Unido, aplica-se a decisão de adequação da Comissão Europeia. Para os Estados Unidos, as transferências se baseiam no EU-US Data Privacy Framework, quando o fornecedor é certificado, ou nas Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia. Você pode nos pedir uma cópia das garantias aplicáveis.

7. Por quanto tempo guardamos

• Dados da conta e do negócio: enquanto a conta existir. Após um pedido de encerramento, há 30 dias para desistir; passado esse prazo, os dados são excluídos e fica apenas um registro, sem dados pessoais, de que a exclusão aconteceu.
• Backups: são substituídos em ciclo, e cada cópia é excluída após 14 dias.
• Registros de cobrança: pelo prazo exigido pela legislação fiscal e comercial.
• Registros de erros: até 90 dias.
• Estatísticas pseudonimizadas da vitrine: 400 dias.
• Mensagens de suporte: pelo tempo necessário para tratar o pedido e eventuais desdobramentos.

8. Segurança

Todas as conexões são criptografadas (HTTPS). As senhas são guardadas apenas como hash, as sessões de WhatsApp são criptografadas no banco de dados, o acesso aos servidores é restrito e feito por chave, e cada negócio só vê os próprios dados. Nenhum sistema é infalível; se ocorrer um incidente que afete os seus dados, avisaremos você e as autoridades nos prazos previstos em lei.

9. Cookies e armazenamento local

Usamos apenas cookies e armazenamento local estritamente necessários: a sessão e a proteção contra requisições forjadas (CSRF), o idioma escolhido, o tema e preferências da interface, como notificações silenciadas ou o negócio ativo. Não usamos cookies de publicidade nem ferramentas de análise de terceiros, por isso não pedimos consentimento para cookies.

10. Seus direitos

Você pode pedir acesso aos seus dados, correção, exclusão, limitação do tratamento e portabilidade, e se opor aos tratamentos baseados em legítimo interesse. Quando o tratamento se basear em consentimento, você pode revogá-lo a qualquer momento. O titular da conta pode exportar os dados do negócio e pedir o encerramento diretamente nas configurações.

Para exercer esses direitos, escreva para contato@noctelo.site. Respondemos em até um mês, prazo que pode ser prorrogado nos casos previstos em lei. Podemos pedir informações para confirmar a sua identidade.

Se considerar que seus direitos não foram respeitados, você pode reclamar à Agencia Española de Protección de Datos ou à autoridade de proteção de dados do país onde vive ou trabalha. No Brasil, a Lei Geral de Proteção de Dados (LGPD) garante direitos equivalentes, que você pode exercer pelo mesmo e-mail ou perante a ANPD.

11. Menores de idade

O serviço é destinado exclusivamente a maiores de 18 anos. Não coletamos intencionalmente dados de menores; se soubermos que isso aconteceu, excluímos os dados.

12. Alterações desta Política

Podemos atualizar esta Política, por exemplo ao trocar de fornecedor. A data e a versão em vigor ficam no topo da página; alterações relevantes são comunicadas aos titulares de conta por e-mail ou no painel.