Política de Privacidade

1. Os dois papéis da Vatro

A LGPD separa quem decide sobre o tratamento (controlador) de quem executa em nome de outro (operador). A Vatro é as duas coisas, dependendo do dado — e entender a divisão explica o resto desta política.

1.1. A Vatro é OPERADORA dos dados que o assinante insere na plataforma: os dados dos clientes dele e da equipe dele. Quem decide por que existem, para que servem e por quanto tempo ficam é o assinante, que é o controlador desses dados.

Em uma barbearia assinante, os dados de quem agenda um corte pertencem à relação entre a barbearia e o cliente dela. A Vatro apenas os processa, conforme as instruções da barbearia.

1.2. A Vatro é CONTROLADORA dos dados do próprio assinante — cadastro, contato, CPF/CNPJ, cobrança, uso da plataforma — e dos visitantes do site.

As obrigações da Vatro como operadora estão detalhadas no Anexo de Tratamento de Dados. Esta política trata sobretudo do que a Vatro controla.

2. Dados que tratamos

• Assinante: nome, e-mail, telefone e nome do negócio.
• Cobrança: CPF ou CNPJ e telefone do responsável, histórico de cobranças e pagamentos e, quando enviado, o comprovante. Visíveis apenas para a administração da Vatro — nunca para outros assinantes nem para clientes finais. Não coletamos nem armazenamos dados de cartão de crédito: o pagamento é feito por Pix, no aplicativo do seu banco.
• Clientes finais do assinante: nome, telefone e e-mail, quando fornecidos. Tratados pela Vatro como operadora (item 1.1).
• Interessados: o contato informado ao pedir um sistema ou material no site, junto com o segmento, a cidade e a página de origem do pedido.
• Uso e navegação: registros de acesso, páginas visitadas e ações na plataforma.

3. Para que usamos

• prover, manter e dar suporte à plataforma;
• processar agendamentos, avisos e notificações;
• emitir e conferir cobranças, e cumprir obrigações fiscais;
• responder a pedidos de contato e orçamento;
• prevenir fraude e abuso;
• entender o uso do site e do produto, de forma agregada, para melhorá-los.

Não vendemos dados pessoais, não os cedemos para publicidade de terceiros e não os usamos para treinar modelos comercializados a terceiros.

4. Base legal (art. 7º)

• Execução de contrato: prestar o serviço assinado.
• Obrigação legal: guarda de registros fiscais e financeiros.
• Legítimo interesse: segurança, prevenção a fraude e melhoria do produto.
• Consentimento: comunicações de marketing, sempre com opção de sair.

5. Com quem compartilhamos

Apenas com os fornecedores necessários para o serviço funcionar, e com autoridades quando exigido por lei. Cada fornecedor, o que ele acessa e onde processa estão listados em vatro.com.br/subprocessadores, com aviso prévio de 30 dias antes de qualquer inclusão.

Transferência internacional. Parte desses fornecedores processa dados fora do Brasil. Essas transferências observam os arts. 33 a 36 da LGPD e o regulamento da ANPD sobre o tema. Detalhes na página de subprocessadores.

6. Isolamento entre assinantes

Cada assinante tem seus dados isolados dos demais. Nenhum assinante acessa dados de outro. O isolamento é aplicado em todas as operações de banco de dados e verificado por testes automatizados.

7. Segurança

Entre as medidas técnicas e organizacionais adotadas:

• senhas guardadas com algoritmo de derivação (bcrypt), nunca em texto claro;
• todo o tráfego cifrado em trânsito (TLS/SSL);
• sessões com token de curta validade, renovação rotativa e detecção de reuso;
• segundo fator obrigatório no painel administrativo, com o segredo cifrado em repouso;
• rotas administrativas bloqueadas na borda da rede;
• segredos de integração mantidos fora do banco de dados;
• registro de autoria e histórico imutável nas operações financeiras.

Nenhuma medida elimina o risco por completo. Não garantimos inviolabilidade absoluta — obrigamo-nos ao padrão de segurança esperado pelo art. 44 da LGPD.

8. Incidentes

Havendo incidente de segurança com risco ou dano relevante, comunicamos a Autoridade Nacional de Proteção de Dados e os titulares afetados nos prazos da Resolução CD/ANPD nº 15/2024 — 3 (três) dias úteis do conhecimento do incidente.

Quando a Vatro atua como operadora, quem comunica é o assinante, na qualidade de controlador; nós o avisamos em até 2 (dois) dias úteis, justamente para que ele consiga cumprir o prazo dele.

9. Retenção e eliminação

Os dados são mantidos enquanto a conta existir. Encerrada a assinatura, você pode pedir a exclusão a qualquer momento — ela é permanente e irreversível, e apaga em cascata os dados vinculados à conta.

Se você não pedir a exclusão, os dados permanecem armazenados, de modo que a conta possa ser reativada. Antes de excluir, solicite sua cópia (item 10): depois não há como recuperar.

Exceção — registros financeiros. O histórico de cobranças e pagamentos (valor, data, forma e comprovante) é conservado mesmo após a exclusão da conta, pelo prazo da legislação fiscal e civil, com base em cumprimento de obrigação legal (arts. 7º, II e 16, I). Fica acessível apenas à administração da Vatro.

Medição do site. Os eventos brutos de navegação são eliminados automaticamente após 90 dias. O que permanece é um resumo estatístico por dia, sem identificação individual.

10. Seus direitos (art. 18)

Você pode, a qualquer tempo:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários;
• obter cópia dos seus dados em formato estruturado (portabilidade);
• saber com quem compartilhamos;
• revogar consentimento;
• opor-se a tratamento fundado em legítimo interesse.

Escreva para admin@vatro.com.br com o assunto "LGPD". Respondemos em até 15 (quinze) dias corridos. O atendimento é feito manualmente, e por isso pode demandar esse prazo integral.

O exercício desses direitos não depende de estar em dia com o pagamento. Podemos suspender o acesso à plataforma por inadimplência, mas não recusamos a você uma cópia dos seus próprios dados.

Se a Vatro for operadora dos dados em questão (item 1.1), encaminhamos seu pedido ao assinante responsável e avisamos você — porque quem decide, nesse caso, é ele.

11. Cookies e armazenamento local

Não utilizamos cookies de publicidade, nem ferramentas de rastreamento de terceiros. Não há Google Analytics, Meta Pixel ou equivalente em operação neste site.

A medição de audiência é própria e roda em infraestrutura da Vatro. Ela usa o armazenamento local do navegador para guardar um identificador aleatório, que não contém nome, e-mail, telefone nem endereço IP — o servidor não guarda IP.

No painel, o armazenamento local mantém a sua sessão autenticada, e é apagado ao sair ou após período de inatividade.

Você pode limpar esse armazenamento nas configurações do navegador a qualquer momento, sem perder acesso à sua conta.

12. Controlador e encarregado

O controlador é Nícolas Do Carmo Dias Tavares, pessoa física, com atuação em São José dos Campos/SP, que também exerce a função de encarregado (art. 41 da LGPD).

A Vatro se qualifica como agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022.

Contato para assuntos de proteção de dados: admin@vatro.com.br.

13. Alterações

Mudanças relevantes são comunicadas por e-mail com 30 (trinta) dias de antecedência, e a versão vigente consta no topo desta página.