Política de Privacidade

1. Quem somos

A Bladiq é operada pela CazaTech (CNPJ 34.496.827/0001-50), Avenida 9 de Julho, 1981, São Paulo, Brasil (“nós”). Operamos uma plataforma de agendamento usada por negócios locais (“tenants”) para gerenciar compromissos. Esta política explica como tratamos dados pessoais quando você visita nossa plataforma, se cadastra como tenant, ou agenda um horário pela página de um tenant. Os dados completos da empresa estão nos nossos Dados da Empresa.

2. Dados que coletamos

• Dados de conta: nome, e-mail, senha com hash, dados da organização.
• Dados de agendamento: nome, e-mail, telefone (opcional), detalhes do compromisso, status de pagamento.
• Dados de pagamento: processados inteiramente pela Stripe — nunca armazenamos números de cartão.
• Dados técnicos: endereço IP, logs de requisição (para segurança e limitação de taxa), cookies.
• Fingerprint de dispositivo: coletado no cadastro e no checkout da assinatura, para prevenção de fraude.
• Imagens enviadas: fotos de equipe e logos ou imagens de capa que você opta por enviar, armazenadas via Cloudinary.

3. Como usamos seus dados e nossa base legal (LGPD, Art. 7º)

• Para criar e gerenciar seu agendamento ou assinatura — execução de contrato, Art. 7º, V.
• Para prevenir fraude, aplicar limitação de taxa e manter o serviço seguro — legítimo interesse, Art. 7º, IX.
• Para manter registros fiscais e de pagamento — cumprimento de obrigação legal/regulatória, Art. 7º, II. O prazo exato exigido pela legislação fiscal e consumerista brasileira está em confirmação com assessoria jurídica; ver §4 abaixo.
• Para enviar e-mails de marketing ou definir cookies não essenciais — consentimento, Art. 7º, I, apenas quando você autorizar.

4. Por quanto tempo mantemos os dados

• Dados pessoais de clientes (nome, e-mail, telefone, notas): mantidos enquanto sua conta ou organização estiver ativa; anonimizados mediante solicitação ou apagamento de conta.
• Registros de agendamento e pagamento: mantidos pelo prazo exigido pelas obrigações fiscais e de defesa do consumidor aplicáveis no Brasil, mesmo após um pedido de apagamento — apenas os campos diretamente identificáveis são anonimizados, os registros em si não são apagados. O prazo exato está em revisão jurídica; esta seção será atualizada assim que confirmado (a versão anterior indicava 10 anos pela lei fiscal alemã, que não se aplica mais a este produto).
• Logs de segurança e auditoria: mantidos apenas pelo tempo necessário à finalidade para a qual foram coletados.

5. Com quem compartilhamos dados (subprocessadores)

• Railway — hospedagem da aplicação e banco de dados.
• Stripe — processamento de pagamentos.
• Resend — e-mail transacional.
• Cloudinary — armazenamento de imagens enviadas por você (fotos de equipe, logos).
• Sentry — rastreamento de erros para diagnóstico de bugs; campos sabidamente sensíveis são removidos antes do registro.
• Vercel Analytics — análise agregada de visitantes, sem cookies, das nossas páginas de marketing.
• Google — login via OAuth, caso você opte por usá-lo.

6. Transferência internacional de dados

Alguns dos nossos subprocessadores podem processar dados fora do Brasil. Quando isso ocorre, contamos com as garantias oferecidas por esses provedores e com os mecanismos de transferência internacional reconhecidos pela LGPD (ex.: cláusulas contratuais padrão). Estamos trabalhando para confirmar e documentar a região de hospedagem de cada subprocessador; esta seção será atualizada assim que essa revisão for concluída.

7. Cookies

Usamos apenas os cookies necessários para manter você conectado e operar o fluxo de agendamento, além de análise agregada sem cookies (Vercel Analytics). Não usamos cookies de publicidade de terceiros ou rastreamento entre sites.

8. Decisão automatizada

Não usamos seus dados pessoais para decisões automatizadas ou perfilamento que produzam efeitos jurídicos ou similarmente significativos.

9. Seus direitos (LGPD, Art. 18)

Você pode solicitar acesso, correção, anonimização ou exportação (portabilidade) dos seus dados pessoais. Pedidos de apagamento e exportação podem ser feitos via POST /api/gdpr/erase e GET /api/gdpr/export enquanto estiver autenticado (nomes de rota mantidos de antes do pivô de mercado, mesmos direitos garantidos agora pela LGPD), ou entrando em contato diretamente conosco. Registros de agendamento e pagamento são mantidos quando legalmente exigido (ver §4) mesmo após um pedido de apagamento — apenas os campos diretamente identificáveis são anonimizados. Você também tem o direito de apresentar reclamação à ANPD (Autoridade Nacional de Proteção de Dados).

10. Contato para questões de proteção de dados

E-mail: privacy@bladiq.com. A CazaTech é estabelecida no Brasil (São Paulo), então não há exigência de representante estrangeiro sob a LGPD.

11. Alterações a esta política

Podemos atualizar esta política conforme o serviço evolui. A data acima será alterada quando isso acontecer.