Política de Privacidade

Última atualização: 15 de agosto de 2026 · Versão 1.1

1. Quem somos

A EsteticaClin é uma plataforma SaaS multi-tenant pra gestão de clínicas de estética. Esta política descreve como tratamos dados pessoais coletados via esteticaclin.com e subdomínios *.esteticaclin.com.

2. Como agimos

A EsteticaClin atua em dois papéis distintos sob a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018, "LGPD"):

• Controladora dos dados de usuários da plataforma (donas de clínica e membros da equipe que se cadastram), responsáveis pelas suas próprias contas.
• Operadora dos dados de pacientes/clientes finais das clínicas. Quem decide o que fazer com esses dados é a clínica — a EsteticaClin apenas hospeda e processa.

3. Dados que coletamos

De usuárias da plataforma (donas, recepção, profissionais): nome, e-mail, telefone, senha (hash), foto de perfil (opcional), endereço IP, user-agent, registro de ações no sistema.

De clientes finais das clínicas (controladas pela clínica): nome, CPF, telefone, e-mail, data de nascimento, endereço, fotos antes/depois, prontuário (anamnese, evoluções, fotos), histórico de agendamentos e pagamentos.

De pagamento: chaves PIX e dados de cobrança do provedor de pagamentos. Não armazenamos número de cartão de crédito — esses dados ficam diretamente no provedor.

Da navegação no site comercial: endereço IP, user-agent, páginas visitadas, URL de entrada, referência de origem e parâmetros de campanha (como UTM). Se você aceitar cookies opcionais, também tratamos identificadores de publicidade e mensuração, como _fbp, _fbc, _ga e identificadores de cliques em anúncios.

4. Base legal e finalidade

• Execução de contrato (LGPD art. 7º, V): processar agendamentos, emitir notas fiscais, processar pagamentos.
• Consentimento (art. 7º, I): fotos antes/depois (dado pessoal sensível conforme art. 11), comunicações de marketing (WhatsApp/e-mail) e mensuração/publicidade por Meta e Google no site comercial.
• Cumprimento de obrigação legal (art. 7º, II): retenção fiscal (5 anos), auditoria CFM pra prontuário (20 anos conforme Lei 13.787/2018).
• Legítimo interesse (art. 7º, IX): logs de segurança, prevenção de fraude.

5. Compartilhamento com terceiros

Para operar a plataforma, compartilhamos dados estritamente necessários com:

• Google Cloud Platform (hospedagem, armazenamento de arquivos, banco de dados) — região São Paulo (BR).
• Provedor de pagamentos — processamento de cobranças (PIX e cartão).
• Provedor de emissão fiscal — emissão de notas fiscais eletrônicas (NFS-e/NFC-e).
• Resend — envio de e-mails transacionais.
• OpenAI — quando agente IA está ativado, mensagens de cliente para atendimento via WhatsApp são processadas pela API da OpenAI (apenas o conteúdo da conversa, sem CPF/cartão).
• WAHA / Meta (WhatsApp Cloud API) — para envio e recebimento de mensagens WhatsApp.
• Meta Platforms (Meta Pixel e Conversions API) — o Pixel, no seu navegador, só carrega após seu consentimento. Dois eventos são enviados pelo nosso servidor (Conversions API) independentemente do banner, com base no legítimo interesse e nos procedimentos preliminares ao contrato (LGPD, art. 7º, V e IX): o cadastro (e-mail, telefone e ID interno apenas em hash SHA-256) e o clique em “Falar no WhatsApp” (sem e-mail nem telefone). Nos dois vão o IP, o user-agent e o identificador do clique no anúncio presente na URL que você acessou (fbclid); os identificadores _fbp/_fbc do navegador só acompanham o evento com seu consentimento.
• Google (Google Ads e Google Analytics 4) — após seu consentimento, mede visitas e cadastros, atribui conversões às campanhas e gera relatórios agregados de uso.

Não vendemos seus dados. Não usamos seus dados para treinar modelos de IA de terceiros (a OpenAI tem política contratual de não treinar com dados via API).

Alguns desses fornecedores podem processar dados fora do Brasil. Nesses casos, adotamos os mecanismos contratuais e salvaguardas aplicáveis à transferência internacional previstos na LGPD.

6. Cookies e tecnologias de mensuração

Cookies essenciais são usados para sessão, segurança e preferências do produto. Eles não dependem de consentimento quando são necessários ao funcionamento ou à segurança do serviço.

O cookie first-party de atribuição de campanha e as tags de Meta Pixel, Google Ads e Google Analytics 4 não são ativados antes de você selecionar “Aceitar marketing”. Recusar cookies opcionais não impede o uso do site nem o cadastro. A escolha fica registrada por até 180 dias; a atribuição first-party, quando autorizada, por até 90 dias.

Você pode alterar ou revogar a decisão a qualquer momento pelo botão Preferências de cookies, exibido no canto inferior do site comercial. Ao revogar, interrompemos novas coletas opcionais e tentamos remover os identificadores first-party acessíveis pelo navegador.

7. Retenção

Mantemos seus dados pelo tempo necessário pra cumprir as finalidades acima. Em geral: dados operacionais por 5 anos após o fim da relação (obrigação fiscal). Prontuário eletrônico por 20 anos (CFM/Lei 13.787). Após esse período, dados são anonimizados ou excluídos.

8. Seus direitos

Você tem direito de acesso, correção, exclusão, portabilidade, anonimização e revogação de consentimento. Veja detalhes em Direitos LGPD.

9. Segurança

Aplicamos criptografia AES-256-GCM em segredos (chaves de API, certificados digitais), TLS 1.3 em toda comunicação, isolamento multi-tenant garantido por extensão Prisma + CLS. Senhas armazenadas com Argon2id. Backups diários em região São Paulo.

10. Encarregado de Dados (DPO)

Fernando Marques — contato@esteticaclin.com

11. Mudanças nesta política

Notificaremos por e-mail qualquer alteração relevante com no mínimo 15 dias de antecedência. O histórico de versões fica disponível mediante solicitação ao DPO.