Política de Privacidade
Versão 1.0 — 23 de setembro de 2026
| Versão | 1.0 — 23 de setembro de 2026 |
| Controlador desta política | L G THOMPSON VAZ LTDA ("Naduk"), CNPJ [00.000.000/0001-00], [endereço] |
| Canal de privacidade | privacidade@naduk.com.br |
1. Para quem é esta política
A Naduk é um sistema de gestão para estabelecimentos de estética e beleza, fornecido por assinatura. Ela trata dados pessoais em dois papéis diferentes, e esta política cobre os dois:
| Papel | De quem são os dados | Quem decide como tratar |
|---|---|---|
| Controladora | Das pessoas que criam login e usam o sistema: administradoras, profissionais, recepção. E de quem nos contata. | A Naduk. Esta política diz o que fazemos. |
| Operadora | Das clientes dos estabelecimentos (cadastro, agenda, anamnese, prontuário, fotos, documentos assinados). | O estabelecimento que a atende é o controlador. A Naduk trata esses dados em nome dele e sob as instruções dele. Para essas pessoas, quem responde é o estabelecimento; a Naduk dá os meios (seção 8). |
Se você é cliente de um estabelecimento que usa a Naduk, o aviso de privacidade que vale para você é o do estabelecimento.
2. Que dados a Naduk trata como controladora
De quem usa o sistema (administradora, profissionais, recepção):
| Dados | Para quê | Base legal (LGPD art. 7º) |
|---|---|---|
| Nome, e-mail, senha (só em forma irreversível) | Criar e manter o login; autenticar | Execução de contrato (V) |
| Nome, CPF, CNPJ (profissional PJ), telefone, data de nascimento, foto, função, registro profissional, regime, percentual de comissão, contrato de parceria | Cadastro da equipe do estabelecimento, feito pela administradora; cálculo de comissões e relatórios | Execução de contrato (V) e obrigação legal (II — Lei 13.352/2016 para parceria, legislação trabalhista e fiscal) |
| Dados do estabelecimento: CNPJ, razão social, endereço, inscrição municipal, regime tributário | Cadastro da empresa, relatório fiscal | Execução de contrato (V) e obrigação legal (II) |
| Endereço IP, identificador do navegador, data e hora | Segurança: captcha, limite de tentativas, trilha de auditoria, prova de assinatura eletrônica; registro de acesso à aplicação exigido pelo Marco Civil da Internet (Lei 12.965/2014, art. 15) | Obrigação legal (II) e legítimo interesse (IX) em segurança e prevenção a fraude |
| Registros de uso: entradas, saídas, telas abertas, alterações feitas | Trilha de auditoria (seção 6) | Legítimo interesse (IX) e obrigação de segurança (art. 46) |
| Mensagens enviadas ao suporte | Atender o pedido | Execução de contrato (V) |
De quem visita o site naduk.com.br ou nos procura:
| Dados | Para quê | Base legal (LGPD art. 7º) |
|---|---|---|
| Nome, estabelecimento, telefone/WhatsApp, e-mail e mensagem enviados pelo formulário de contato ou por WhatsApp/e-mail | Responder o contato e apresentar o serviço | Procedimentos preliminares a contrato, a pedido do titular (V) |
| Endereço IP e sinais do navegador | Verificação anti-robô do formulário | Legítimo interesse (IX) em prevenção a abuso |
Mensagens de contato que não viram contrato são apagadas em até 12 meses após a última conversa.
Não coletamos dados de navegação para publicidade, não usamos cookies de rastreamento nem ferramentas de análise de terceiros no sistema nem no site. O navegador guarda localmente apenas a sessão de login e preferências de tela.
3. Que dados a Naduk trata como operadora
Em nome de cada estabelecimento, o sistema guarda os dados das clientes dele: identificação e contato, histórico de atendimentos e pagamentos, anamnese (informações de saúde), prontuário (evolução clínica em texto e fotos), documentos assinados (contrato, termo de consentimento, autorização de imagem) com a prova da assinatura (data e hora, endereço IP, navegador).
Dados de saúde e fotos clínicas são dados sensíveis (LGPD art. 5º, II). A base legal para o estabelecimento tratá-los é o consentimento específico e destacado da cliente (art. 11, I), colhido nos documentos assinados dentro do sistema. A Naduk não define finalidades para esses dados nem os usa para nada além de prestar o serviço ao estabelecimento.
4. Com quem os dados são compartilhados
A Naduk não vende, não cede e não usa para publicidade nenhum dado. Os dados passam apenas por fornecedores de infraestrutura necessários para o serviço funcionar (suboperadores):
| Fornecedor | Função | Localização |
|---|---|---|
| Supabase (sobre Amazon Web Services) | Banco de dados, autenticação, armazenamento de arquivos | Estados Unidos (região Ohio) |
| Vercel | Hospedagem e entrega do aplicativo; armazenamento privado da cópia de segurança diária (retenção de 30 dias) | Aplicativo: rede global, sede nos EUA. Cópia de segurança: Brasil (região São Paulo) |
| Cloudflare (Turnstile) | Verificação anti-robô no login, no cadastro e no formulário do site | Rede global, sede nos EUA |
| Brevo | Envio dos e-mails automáticos do sistema (ex.: recuperação de senha) e das mensagens do formulário do site para a Naduk | União Europeia (França) |
| Apple (iCloud Mail) | Caixas de e-mail da Naduk, inclusive o canal de privacidade | Rede global, sede nos EUA |
| Google Fonts | Fontes tipográficas do aplicativo e do site (recebe IP de quem acessa) | Rede global, sede nos EUA |
| BrasilAPI / OpenCNPJ | Consulta pública de CNPJ no cadastro da empresa (só o CNPJ) | Brasil |
O botão de WhatsApp abre o aplicativo no seu próprio dispositivo; nenhum dado passa pela Naduk nem é enviado por ela ao WhatsApp.
Transferência internacional (art. 33). Os dados ficam hospedados nos Estados Unidos. Os e-mails automáticos do sistema passam pela Brevo, na União Europeia. A transferência se apoia no contrato de tratamento de dados (DPA) firmado com o provedor, que incorpora cláusulas contratuais padrão de proteção de dados (DPA do Supabase, versão de 1º de agosto de 2026). A Brevo, sediada na União Europeia, está sujeita ao Regulamento Geral de Proteção de Dados europeu (GDPR).
Além dos fornecedores acima, dados podem ser compartilhados por obrigação legal ou ordem de autoridade competente, no limite do exigido.
5. Por quanto tempo guardamos
| Dados | Prazo |
|---|---|
| Conta e cadastro de quem usa o sistema | Enquanto durar o contrato com o estabelecimento; depois, conforme a seção 9 |
| Registros financeiros e fiscais | 5 anos (Código Tributário Nacional, art. 173 e 174) |
| Registros de acesso à aplicação (entradas, IP) | Mínimo de 6 meses (Marco Civil da Internet, art. 15); mantidos junto com a trilha de auditoria |
| Trilha de auditoria | Mesmo prazo dos registros a que se refere; entradas ligadas a uma cliente são limpas de conteúdo pessoal quando o cadastro dela é encerrado e apagadas quando ele é eliminado |
| Dados das clientes dos estabelecimentos (operadora) | Definido pelo estabelecimento. O sistema aplica, para cadastros encerrados, guarda de 5 anos após o último atendimento (CDC art. 27) dos registros que servem de prova, e eliminação por ação da administração após esse prazo. |
O sistema não apaga nada por tempo, sozinho. Toda eliminação é ação humana registrada.
Cópias de segurança. Uma cópia diária de todo o banco é guardada por 30 dias em armazenamento privado no Brasil. Dados eliminados a pedido de um titular permanecem nas cópias anteriores até que elas expirem (no máximo 30 dias); nesse período, as cópias não são usadas para nada além de recuperação em caso de perda de dados.
6. Segurança
Medidas em vigor:
- Isolamento entre estabelecimentos e entre perfis aplicado no banco de dados, não apenas na tela;
- Criptografia em trânsito (TLS) e em repouso (AES-256, pelo provedor);
- Arquivos (fotos, documentos) em armazenamento privado, acessíveis só por link temporário para quem tem permissão;
- Senhas guardadas apenas em forma irreversível; a Naduk não tem acesso a senhas;
- Captcha e limite de tentativas de login;
- Trilha de auditoria gravada pelo banco: quem fez o quê, quando, com valor anterior e novo; leituras de ficha, impressões, entradas e saídas. Imutável; consultável pela administradora do estabelecimento;
- Documentos assinados imutáveis, com prova gerada pelo servidor;
- Cópia de segurança diária, privada, no Brasil, com retenção de 30 dias e verificação automática (fotos e PDFs do armazenamento de arquivos ficam fora da cópia).
Nenhum sistema é totalmente seguro. Em caso de incidente com risco a titulares, seguimos a seção 10.
7. Acesso da Naduk aos dados dos estabelecimentos
Para prestar suporte, importar dados a pedido e corrigir problemas, a equipe da Naduk consegue acessar os dados de qualquer estabelecimento, inclusive dados sensíveis das clientes. Esse acesso:
- é restrito a suporte técnico, importação solicitada, correção de incidente e cumprimento de obrigação legal;
- é feito por pessoas com dever de sigilo formalizado;
- fica registrado na trilha de auditoria do estabelecimento, identificado como "Naduk (suporte)", inclusive leituras;
- nunca é usado para finalidade própria, comercial ou estatística identificável.
8. Seus direitos (LGPD art. 18)
Você pode pedir, a qualquer tempo: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação do que for desnecessário ou tratado em desconformidade; portabilidade; informação sobre compartilhamento; informação sobre a possibilidade de não consentir e as consequências; revogação do consentimento.
Como pedir: pelo canal de privacidade indicado no cabeçalho. Para proteger você, podemos pedir confirmação de identidade antes de atender. Resposta em formato simplificado de imediato, ou completa em até 15 dias (art. 19, II).
Se você é cliente de um estabelecimento: dirija o pedido ao estabelecimento, que é o controlador. Se preferir, pode nos escrever; encaminharemos ao estabelecimento e ajudaremos a atender no prazo.
9. Fim do contrato com o estabelecimento
Ao término do contrato, o estabelecimento tem 30 dias para exportar seus dados. Depois, a Naduk elimina os dados em até 60 dias, exceto o que precisar guardar por obrigação legal (fiscal, registros de acesso), e emite declaração de eliminação a pedido.
10. Incidentes de segurança
Se ocorrer incidente que possa causar risco ou dano relevante aos titulares, a Naduk comunica os estabelecimentos afetados em até 24 horas da ciência e coopera na comunicação à ANPD e aos titulares, que cabe ao controlador em 3 dias úteis (art. 48; Resolução CD/ANPD nº 15/2024). Todo incidente é registrado internamente, comunicado ou não.
11. Encarregado / canal de contato
A Naduk é agente de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022) e, nos termos da Resolução CD/ANPD nº 18/2024, mantém canal de comunicação para titulares e para a ANPD:
- E-mail: privacidade@naduk.com.br
- Responsável: [nome], [cargo]
12. Alterações
Esta política pode mudar. A versão vigente fica publicada em naduk.com.br/privacidade, com data. Mudanças relevantes são comunicadas aos estabelecimentos por e-mail com antecedência.
Referências: Lei 13.709/2018 (LGPD), arts. 5º, 6º, 7º, 8º, 9º, 11, 14, 16, 18, 19, 33, 37, 39, 41, 46, 48; Lei 12.965/2014 (Marco Civil), art. 15; Lei 8.078/1990 (CDC), art. 27; Resoluções CD/ANPD nº 2/2022, 15/2024, 18/2024 e 19/2024.