Política de Privacidade

Última atualização: 14 de outubro de 2026

A Tarcisio Pedro Gomes dos Santos LTDA, CNPJ 58.435.222/0001-17 ("Glowz", "nós"), é responsável pela plataforma Glowz, composta pelo aplicativo de gestão para negócios de estética automotiva, pela área do negócio na web (negocio.glowz.com.br), pela loja online de cada estabelecimento e pelo site glowz.com.br.

Esta Política explica quais dados pessoais tratamos, por quê, com quem compartilhamos e como você exerce seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Dois papéis diferentes, e por que isso importa para você

O Glowz trata dados pessoais em duas posições distintas. Saber qual é a sua muda a quem você deve pedir acesso ou exclusão.

Somos controladores dos dados de quem se relaciona diretamente conosco: o dono ou operador do estabelecimento que cria uma conta, quem trabalha na estética e aceita o convite para entrar no aplicativo com conta própria, quem entrou na lista de espera do site e quem nos procura por qualquer canal de contato. Nesses casos, nós decidimos as finalidades do tratamento e respondemos diretamente a você.

Somos operadores dos dados que um estabelecimento cadastra na plataforma sobre os próprios clientes: nome, telefone, e-mail, veículos, histórico de atendimentos e valores. Esses dados são do estabelecimento, que é o controlador deles e decide o que coletar e por quanto tempo manter. Nós apenas armazenamos e processamos sob instrução dele.

O mesmo vale para os dados que o estabelecimento cadastra sobre quem trabalha com ele — a equipe. Também aí somos operadores: quem decide cadastrar, o que registrar e por quanto tempo manter é o estabelecimento.

Se você trabalha numa estética que usa o Glowz, as duas posições valem ao mesmo tempo, e a divisa é simples. A sua conta é sua: nome, e-mail, credencial e os registros de acesso dela são tratados por nós, como controladores, e é conosco que você fala sobre eles. O registro do seu trabalho — o que você executou, o que foi combinado de pagamento e o que foi apurado — é do estabelecimento, e é com ele que você fala sobre isso. Uma coisa não arrasta a outra: revogar o seu acesso àquele negócio não encerra a sua conta.

Se você é cliente de uma estética automotiva que usa o Glowz e quer acessar, corrigir ou apagar seus dados, procure primeiro o estabelecimento. Se ele não responder, fale conosco pelos canais da seção 10 e nós o acionaremos.

2. Dados que tratamos

2.1 Quando você cria uma conta no Glowz

Vale para quem abre o estabelecimento e para quem entra por convite da equipe. A diferença é que os dados do negócio abaixo só existem para quem cadastra o estabelecimento.

• Identificação e contato: nome, e-mail, telefone e, quando você entra por Google ou Apple, o identificador da conta e o e-mail associado. Não recebemos sua senha desses provedores.
• Dados do negócio: nome do estabelecimento, CNPJ ou CPF, endereço, horário de funcionamento, logotipo e demais informações que você preenche para a loja e para os documentos do negócio.
• Credenciais: senha armazenada em formato irreversível (hash). Nunca temos acesso à senha em texto. Se você usa Face ID ou leitor biométrico, a verificação acontece no seu aparelho: a biometria não é enviada nem armazenada por nós.
• Conta de recebimento: quando o estabelecimento ativa o pagamento online, abrimos em nome dele uma conta no Asaas, que exige identificar o titular. Para isso enviamos ao Asaas o nome ou a razão social, o CPF ou CNPJ, a data de nascimento (quando o titular é pessoa física), o e-mail, o celular, o endereço, o tipo de empresa e o faturamento mensal informado. O Asaas faz a própria análise, como instituição de pagamento, e guardamos o resultado dela. Se o estabelecimento ainda recebe repasses pela conta da plataforma, guardamos também a chave Pix e o nome do titular informados para o repasse.
• Assinatura da plataforma: o plano, o histórico de cobranças e o meio de pagamento escolhido. Do cartão, guardamos só a bandeira e os últimos dígitos (seção 2.7).

2.2 Se você entrou na lista de espera do site

O site não recebe mais cadastros na lista de espera desde 14 de outubro de 2026. De quem já tinha entrado, guardamos apenas o e-mail informado, a página de origem do cadastro, o endereço IP e o identificador do navegador registrados no envio, e usamos isso só para avisar sobre a abertura da plataforma.

2.3 Dados que o estabelecimento cadastra sobre os clientes dele

Nesses dados atuamos como operadores (seção 1). São eles:

• Cadastro: nome, telefone, e-mail e, quando o estabelecimento emite nota fiscal ou o meio de pagamento exige, CPF ou CNPJ;
• Veículos e atendimentos: placa, tipo, modelo e cor, atendimentos realizados, valores, formas de pagamento e avaliações;
• Vistoria e orçamento: fotos do veículo, o estado dele e dos pertences deixados no carro (inclusive dinheiro, com o valor declarado), o aceite ou a contestação do cliente e os orçamentos enviados;
• Pacotes, planos mensais, cartão fidelidade e indicações: saldos, uso, carimbos, prêmios e quem indicou quem;
• Pagamentos online: endereço de cobrança e, quando o cliente escolhe salvar o cartão, um token do Asaas guardado cifrado, com a bandeira, os últimos dígitos e a validade. Número do cartão e código de segurança nunca são guardados;
• Comunicação: se o cliente aceitou ou recusou mensagens de relacionamento, quando e quem registrou, o registro das mensagens de WhatsApp enviadas e as conversas com o atendimento automático do estabelecimento.

Mensagens de relacionamento. Além dos avisos do serviço contratado, o estabelecimento pode enviar por WhatsApp boas-vindas, lembrete de manutenção, convite para voltar, pedido de avaliação e aviso de prêmio do cartão fidelidade. Elas saem por padrão para quem é cliente dele, cada uma traz como parar de receber, e param assim que a pessoa recusa. O estabelecimento pode desligar cada uma delas e responde, como controlador, pela base legal desse contato.

2.4 Dados que o estabelecimento cadastra sobre a equipe dele

O estabelecimento pode registrar quem trabalha com ele para controlar mão de obra e comissão:

• Identificação: nome da pessoa;
• Forma de pagamento combinada: se recebe por diária ou por percentual sobre o serviço, e o valor ou percentual correspondente;
• Chave Pix e nome do titular, quando o estabelecimento quiser gerar o código de pagamento pela plataforma;
• Execução e comissão: quais serviços a pessoa executou, quanto cada um gerou de comissão, e o fechamento de cada período com a data em que o estabelecimento marcou como pago.

Nesses dados também somos operadores: quem cadastra é o estabelecimento, e é dele a responsabilidade de ter a autorização da pessoa e de manter a informação correta.

Quando o estabelecimento convida a pessoa para entrar no aplicativo, tratamos também o e-mail do convite: para enviá-lo, para conferir no aceite que quem entrou é o dono daquela caixa, e para registrar em que pé ele está — pendente, aceito, recusado, cancelado ou vencido. O convite vale 48 horas. Aceito, o cadastro da equipe passa a apontar para a conta da pessoa.

A partir daí convivem as duas posições da seção 1: da conta somos controladores, e ela é da pessoa; do registro de trabalho, comissão e chave Pix seguimos operadores do estabelecimento. Quando o estabelecimento revoga o acesso, a porta do aplicativo naquele negócio fecha na hora — e a conta continua existindo.

A chave Pix da equipe não é compartilhada com ninguém — nem com outros estabelecimentos, nem com nossos fornecedores, nem com instituições financeiras. Ela existe só para o próprio estabelecimento gerar o código de pagamento na tela do aplicativo. O pagamento acontece fora da plataforma, direto entre as partes: nós não movimentamos esse dinheiro nem sabemos se a transferência foi feita.

2.5 Dados gerados pelo uso

Registros de acesso (data, hora e IP), tipo de aparelho e sistema, páginas e telas acessadas e erros da aplicação. Guardamos esses registros para segurança, prevenção a fraude e correção de falhas.

No site glowz.com.br, na área do negócio e nas lojas online, medimos a audiência de forma agregada, com uma ferramenta hospedada por nós e sem cookies: páginas vistas, de onde a visita veio, tipo de aparelho e navegador, e o país, estimado pelo endereço IP. O IP serve só para essa estimativa e não identifica o visitante no relatório. Nas lojas, o endereço da página é reduzido antes do envio: sai sem o nome da loja, sem links de vistoria ou orçamento e sem nenhum identificador, e as páginas de senha não são medidas.

2.6 Integrações que o estabelecimento conecta

O estabelecimento pode ligar a plataforma a serviços do Google com a própria conta dele. Ao conectar o Google Agenda, cada agendamento vira um evento na agenda escolhida, com o nome do cliente e os serviços. Ao conectar o Perfil da Empresa no Google, a plataforma lê as avaliações da ficha e publica as respostas que o estabelecimento escrever. Nesses fluxos seguimos como operadores, e o que vai para o Google passa a obedecer também aos termos que o estabelecimento aceitou lá.

2.7 Dados que não tratamos

• Não armazenamos número de cartão, CVV ou senha bancária. Esses dados vão direto ao provedor de pagamento (seção 4), que é certificado para isso. Guardamos apenas o suficiente para reconhecer o meio na tela — a bandeira, os últimos dígitos e a validade — e, quando a pessoa escolhe salvar o cartão, o token cifrado que o Asaas devolve, que só serve para cobrar naquele estabelecimento.
• Não tratamos dados sensíveis na acepção do art. 5º, II da LGPD (origem racial, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico). Se você inserir esse tipo de informação em um campo livre, como observações de um atendimento, o estabelecimento é responsável por essa escolha.

3. Para que usamos, e com qual base legal

Quando a base é o legítimo interesse, avaliamos se ele não se sobrepõe aos seus direitos e liberdades fundamentais, registramos essa avaliação e limitamos o tratamento ao necessário para a finalidade. Você pode pedir para conhecer essa avaliação e se opor ao tratamento (seção 8).

A tabela trata do que fazemos como controladores. Nos dados que o estabelecimento cadastra (seções 2.3 e 2.4), a base legal é definida por ele.

4. Com quem compartilhamos

Não vendemos dados pessoais. Compartilhamos apenas o necessário para a plataforma funcionar, com fornecedores que atuam como operadores sob contrato:

Também podemos compartilhar dados com autoridades públicas quando houver ordem judicial, requisição legal ou obrigação regulatória, e com terceiros em caso de reorganização societária, hipótese em que esta Política continua valendo para os dados transferidos.

Quando trocarmos ou incluirmos um fornecedor desta lista, atualizamos esta Política antes de passar dados a ele.

Transferência internacional (art. 33 da LGPD): parte dos fornecedores acima processa dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências acontecem porque são necessárias para prestar o serviço que você contratou (art. 33, IX) e são feitas sob contratos com cláusulas de proteção de dados, seguindo a Resolução CD/ANPD nº 19/2024. O compartilhamento se limita ao necessário para a finalidade descrita.

5. Cookies e tecnologias parecidas

No site glowz.com.br não usamos cookies: nem de publicidade, nem de rastreamento entre sites, nem para medir a audiência (seção 2.5).

No aplicativo, na área do negócio na web e na loja online, usamos cookie de sessão para manter você conectado. Ele é necessário: sem ele não é possível autenticar o acesso. A medição de audiência dessas páginas também funciona sem cookies.

6. Por quanto tempo guardamos

• Dados de conta: enquanto a conta existir. Quando você pede a exclusão e a confirma pelo e-mail, apagamos perfil, credenciais, sessões e aceites ligados a você. Do que precisa ficar como prova — cobranças, pagamentos e notas fiscais —, retiramos o que identifica você sempre que a lei permite.
• Dados fiscais e financeiros: pelo prazo exigido pela legislação tributária, hoje de 5 anos.
• Para impedir que a conta apagada seja recriada por engano ou por fraude, guardamos por um prazo limitado apenas um código derivado do e-mail e dos identificadores de login (um resumo criptográfico, que não permite recuperar o endereço).
• Registros de acesso: 6 meses, conforme o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).
• Mensagens de WhatsApp enviadas: o registro de cada envio é apagado após 180 dias.
• Cartões salvos: até a pessoa remover, sair do cadastro daquele estabelecimento ou excluir a conta.
• E-mail da lista de espera: até você pedir a remoção ou até 12 meses após o lançamento da plataforma, o que vier primeiro.
• Dados cadastrados por um estabelecimento sobre os clientes e sobre a equipe dele: pelo tempo que o estabelecimento determinar. Encerrado o contrato com o Glowz, eliminamos ou devolvemos esses dados conforme a instrução dele, respeitadas as retenções obrigatórias.
• Registro de comissão e fechamento: enquanto o estabelecimento mantiver a conta, porque é o histórico de quanto foi apurado e pago a cada pessoa. Quando a pessoa é removida do cadastro, o nome dela permanece nos atendimentos já registrados — apagá-lo destruiria o histórico de quem executou o quê.
• Conta de quem entrou por convite: segue o mesmo prazo dos dados de conta acima, e é independente do vínculo. Perder o acesso a um estabelecimento não encerra a conta; encerrá-la é decisão da própria pessoa.
• Convites: o registro do convite e do aceite fica enquanto o vínculo existir, porque é a prova de quando e por quem o acesso foi concedido.

Encerrado o prazo, os dados são eliminados ou anonimizados.

7. Segurança

Adotamos medidas técnicas e administrativas para proteger seus dados, entre elas: tráfego criptografado (HTTPS), senhas guardadas com hash, tokens de cartão e chaves de acesso guardados cifrados, acesso restrito por perfil e por organização, isolamento dos dados de cada estabelecimento, confirmação de identidade antes de ações sensíveis, limite de tentativas em endpoints públicos e registro de acessos.

O papel de cada pessoa dentro de um estabelecimento decide o que ela recebe, e essa decisão é do servidor: o dado que o papel não alcança não sai da nossa infraestrutura, em vez de sair e ficar escondido na tela.

Nenhum sistema é imune a incidentes. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, comunicaremos você e a ANPD em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Se o incidente atingir dados que tratamos como operadores, avisamos o estabelecimento, que é quem comunica os clientes dele, e damos a ele as informações de que precisar.

8. Seus direitos

Você pode, a qualquer momento e sem custo (art. 18 da LGPD):

• confirmar se tratamos dados seus e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• pedir a portabilidade a outro fornecedor;
• pedir a eliminação dos dados tratados com base em consentimento;
• saber com quem compartilhamos seus dados;
• saber o que acontece se você não consentir;
• revogar o consentimento, inclusive sair da lista de espera;
• se opor a tratamento feito com base no legítimo interesse, ou que considere em desconformidade com a lei;
• pedir a revisão de decisões tomadas só por meio automatizado que afetem seus interesses (art. 20). Hoje a plataforma não toma esse tipo de decisão sobre você.

Para exercer qualquer um deles, escreva para [email protected]. Respondemos em até 15 dias. Podemos pedir informações que confirmem sua identidade, para não entregar dados seus a outra pessoa.

Se você for cliente de um estabelecimento que usa o Glowz, veja a seção 1: o pedido deve ir primeiro ao estabelecimento. Se você trabalha em um, a seção 1 também vale, e ela divide o pedido: o que é da sua conta você pede a nós; o que é registro do seu trabalho, ao estabelecimento.

Você também pode peticionar à ANPD (gov.br/anpd).

9. Crianças e adolescentes

O Glowz é uma ferramenta de trabalho, destinada a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Se identificarmos um cadastro nessa situação, ele será eliminado.

10. Encarregado e contato

Encarregado pelo tratamento de dados pessoais (art. 41 da LGPD): Tarcisio Pedro Gomes dos Santos.

Fale conosco por [email protected], para privacidade e para qualquer outro assunto. Se o pedido for sobre proteção de dados, comece a mensagem com "LGPD" no assunto: isso nos ajuda a tratar dentro do prazo.

11. Alterações desta Política

Podemos atualizar esta Política. Quando a mudança for relevante, avisaremos pelo aplicativo ou por e-mail antes de ela valer. A data no topo indica a versão vigente, e o histórico de versões fica registrado na plataforma.