Política de Privacidade

Esta Política explica como o Gaalhoo trata dados pessoais no aplicativo Gaalhoo e no site gaalhoo.com.br (juntos, a “Plataforma”), conforme a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, “LGPD”). Ela vale para clientes, prestadores, membros de equipe e visitantes do site.

Os termos com inicial maiúscula têm o mesmo significado dos Termos de Uso.

1. Quem cuida dos seus dados

• Controladora: MEYETH CAPITAL PARTNERS LTDA, CNPJ 63.013.465/0001-05, responsável pela Plataforma Gaalhoo.
• Encarregado pelo tratamento de dados pessoais (DPO): atendimento pelo e-mail contato@gaalhoo.com.br, com o assunto “Privacidade”.

O Prestador que recebe seus dados para atender um pedido também decide como usá-los fora da Plataforma (por exemplo, numa conversa no WhatsApp) e responde por esse uso como controlador independente.

2. Dados que tratamos

2.1. Conta e perfil: nome, e-mail, celular, foto (opcional), preferências de tema e notificações, aceites dos Termos e consentimentos. A senha é guardada pelo provedor de autenticação apenas em formato irreversível (hash). Se você entrar com Apple ou Google, recebemos deles o identificador da conta, o nome e o e-mail autorizados por você.

2.2. Localização e endereços: localização do aparelho, somente durante o uso do app e com a sua permissão; CEP; endereços salvos com apelido; bairro e cidade usados na busca; lista de espera da sua cidade.

2.3. Uso da Plataforma: buscas, serviços e categorias consultados, favoritos, registro de contatos por WhatsApp ou ligação (data, Prestador e canal, sem o conteúdo da conversa), pedidos de orçamento (descrição, fotos e áudios), orçamentos, mensagens do chat (textos, fotos e áudios), respostas ao “Fechou?”, avaliações, denúncias, bloqueios, chamados de suporte, suspensões e contestações.

2.4. Prestadores e equipes: CPF ou CNPJ, nome completo ou razão social, data de nascimento, documento de identificação com foto, resultado das consultas cadastrais (como situação do CPF ou CNPJ e quadro de sócios), registro em conselho profissional e certidões quando o serviço é regulado, endereço e telefones do negócio, WhatsApp comercial, serviços, preços informados, área de atendimento, portfólio, horários, agenda, respostas prontas, orçamentos emitidos, membros da equipe (nome, e-mail e papel) e métricas de resultado.

2.5. Assinatura: plano, situação, período grátis, cupons, histórico de renovação e cancelamento e identificadores da compra recebidos da loja ou do processador de pagamento. O Gaalhoo não recebe o número completo do seu cartão.

2.6. Aparelho e dados técnicos: modelo e sistema do aparelho, versão do app, idioma, identificador da instalação, token de notificação, endereço IP, data e hora de acesso, registros de erro, sinal de integridade do aparelho (App Attest e Play Integrity) e token de CAPTCHA.

2.7. Atendimento: e-mails e mensagens trocados com o nosso suporte.

2.8. Dados sensíveis: não há campo obrigatório para informar dados de saúde. Porém, ao descrever livremente um pedido ou conversar sobre serviços de saúde, bem-estar ou exercícios, você pode enviar sintomas, informações médicas ou objetivos de condicionamento físico, inclusive em fotos e áudios. Esse conteúdo é usado para encaminhar e atender sua solicitação e fica sujeito às regras de acesso, exclusão e retenção desta Política. Evite incluir dados sensíveis que não sejam necessários ao serviço solicitado. Se você ativar o desbloqueio por biometria, a verificação é feita pelo sistema do seu aparelho e o Gaalhoo não recebe nem armazena dados biométricos.

2.9. Crianças e adolescentes: a Plataforma não se destina a menores de 18 anos e não tratamos intencionalmente dados deles.

3. Para que usamos e com qual base legal

• Criar e manter a conta, autenticar o acesso e registrar aceites: execução de contrato (art. 7º, V).
• Mostrar Prestadores perto de você, buscar e ordenar resultados: execução de contrato (art. 7º, V).
• Contatos, pedidos de orçamento, chat, “Fechou?” e avaliações: execução de contrato (art. 7º, V).
• Enviar seu endereço completo ao Prestador, quando você decidir: consentimento (art. 7º, I).
• Verificar o cadastro do Prestador (CPF, CNPJ, documento e conselho): execução de contrato (art. 7º, V) e legítimo interesse na segurança dos Usuários e na prevenção a fraude (art. 7º, IX).
• Gerir a assinatura, o período grátis e os cupons: execução de contrato (art. 7º, V).
• Guardar registros de cobrança: cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Enviar mensagens de serviço (códigos, avisos de pedido e segurança): execução de contrato (art. 7º, V).
• Enviar novidades e ofertas por e-mail, notificação ou WhatsApp: consentimento (art. 7º, I), revogável a qualquer momento.
• Medir o uso do app para melhorar o produto: consentimento (art. 7º, I), revogável a qualquer momento.
• Transcrever áudios enviados na Plataforma: execução de contrato (art. 7º, V).
• Prevenir fraude e abuso (CAPTCHA, integridade do aparelho, limite de tentativas, bloqueio de burla de suspensão): legítimo interesse (art. 7º, IX).
• Guardar registros de acesso à aplicação: cumprimento de obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15).
• Moderar Conteúdo, tratar denúncias, chamados, suspensões e contestações: execução de contrato (art. 7º, V), legítimo interesse (art. 7º, IX) e exercício regular de direitos (art. 7º, VI).
• Mostrar ao Prestador as métricas do próprio negócio: execução de contrato (art. 7º, V), com dados agregados.
• Atender ordens judiciais e pedidos de autoridades: cumprimento de obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI).

Decisões automatizadas. Parte da verificação do cadastro do Prestador é automática (por exemplo, a conferência da situação do CPF ou do CNPJ). Quando o resultado não é aprovado automaticamente, o cadastro vai para análise da nossa equipe. Você pode pedir a revisão de qualquer decisão tomada só com base em tratamento automatizado (art. 20 da LGPD).

4. Com quem compartilhamos

4.1. Entre Usuários. O perfil público do Prestador (nome ou nome do negócio, foto, serviços, preços informados, área de atendimento, avaliações e selos) é visível para todos. Quando você chama um Prestador ou envia um pedido, ele vê seu nome, sua foto, a mensagem e o bairro e a cidade; o endereço completo só quando você decidir. No WhatsApp e na ligação, o Prestador também vê o seu número. Quando o Prestador compartilha um orçamento por link ou em PDF, ele mostra o nome e a foto do Prestador e, no plano Empresa, o logo, a razão social e o CNPJ; nunca os seus dados. Suas avaliações aparecem com seu nome e foto.

4.2. Operadores. Contratamos empresas que tratam dados em nosso nome, somente para as finalidades desta Política e com obrigações de segurança e confidencialidade:

• Supabase: banco de dados, autenticação e armazenamento de arquivos, em servidores em São Paulo (AWS sa-east-1).
• Vercel: plataforma preparada para hospedar a API e o site; só tratará esses dados quando o deploy for ativado.
• Amazon Web Services (AWS Transcribe): transcrição dos áudios, em São Paulo, sem uso dos áudios para treinar os modelos da AWS.
• Sentry: monitoramento de erros do app, da API e do painel, com dados pessoais mascarados.
• PostHog: medição de uso do app, somente com o seu consentimento.
• Resend: envio de e-mails de serviço, como códigos de acesso e avisos.
• Expo: envio de notificações e de atualizações do app.
• Apple: App Store, compras dentro do app, login com Apple e notificações no iPhone.
• Google: Google Play, compras dentro do app, login com Google, notificações no Android (Firebase Cloud Messaging) e caixa de e-mail do nosso atendimento.
• RevenueCat: gestão das assinaturas dos Prestadores compradas nas lojas (App Store e Google Play).
• Asaas: processamento de pagamentos da assinatura, no Brasil.
• Mapbox: mapas e conversão de endereços em coordenadas.
• Serpro: consulta da situação do CPF e do CNPJ dos Prestadores em bases oficiais.
• Cloudflare: DNS, túnel HTTPS temporário do site e da API, roteamento do e-mail de contato e verificação contra robôs (Turnstile).

A consulta de CEP é feita em serviços públicos (ViaCEP e BrasilAPI) apenas com o número do CEP, sem dados que identifiquem você.

4.3. Autoridades. Compartilhamos dados quando a lei exigir ou por ordem judicial ou requisição de autoridade competente, e para defender direitos do Gaalhoo e dos Usuários.

4.4. Operações societárias. Em fusão, aquisição ou reorganização, os dados podem ser transferidos à sucessora, que continuará obrigada por esta Política.

Não vendemos dados pessoais.

5. Transferência internacional

Alguns operadores (como Sentry, PostHog, Expo, Apple, Google, RevenueCat, Mapbox e Cloudflare) podem tratar dados fora do Brasil, principalmente nos Estados Unidos. Essas transferências seguem o art. 33 da LGPD e a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD), com cláusulas contratuais de proteção de dados e medidas técnicas de segurança. Sempre que possível, escolhemos processar dados no Brasil: banco de dados, arquivos e transcrição de áudios ficam em São Paulo. A API é servida atualmente por uma origem temporária no Brasil via Cloudflare Tunnel.

6. Por quanto tempo guardamos

• Conta ativa: enquanto você usar a Plataforma.
• Depois da exclusão da conta: o acesso é encerrado na hora e os dados são apagados ou anonimizados em até 30 dias, inclusive nas cópias de segurança, com as exceções abaixo.
• Registros de acesso à aplicação (IP, data e hora): 6 meses, como exige o Marco Civil da Internet (art. 15).
• Registros de assinatura e cobrança: 5 anos, para cumprir obrigações fiscais.
• Atendimentos em disputa (pedido, contato, chat, avaliação, denúncia ou chamado ligados a uma análise, reclamação ou processo): até a conclusão e o fim dos prazos legais.
• Suspensões: se uma conta foi suspensa, guardamos um código irreversível (hash) do CPF ou CNPJ do negócio enquanto a suspensão durar, para impedir um novo cadastro que burle a medida.
• Avaliações que você fez: continuam publicadas de forma anônima, sem seu nome e foto, para não distorcer a nota do Prestador.
• Cópia dos seus dados (Conta → Meus dados): o arquivo fica disponível por 7 dias e depois é apagado.
• Registros de erro: até 90 dias.

7. Seus direitos

Você pode, a qualquer momento:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desacordo com a LGPD;
• pedir a portabilidade dos seus dados;
• pedir a eliminação dos dados tratados com base no seu consentimento;
• saber com quem compartilhamos seus dados;
• saber que pode não dar o consentimento e o que acontece se não der;
• revogar o consentimento;
• se opor a um tratamento feito sem consentimento, quando ele não cumprir a LGPD;
• pedir a revisão de decisões tomadas só com base em tratamento automatizado;
• reclamar à ANPD.

Como exercer: no app, em Conta → Meus dados (baixar uma cópia), Conta → Consentimentos (conceder ou revogar) e Conta → Excluir conta; ou pelo e-mail contato@gaalhoo.com.br, com o assunto “Privacidade”. Para proteger você, podemos pedir a confirmação da sua identidade. Respondemos em até 15 dias.

8. Exclusão da conta

Você pode excluir sua conta em Conta → Excluir conta no app, confirmando com o código enviado ao seu e-mail, ou pedir a exclusão pelo e-mail contato@gaalhoo.com.br. O passo a passo está na página Excluir conta. Excluir a conta não cancela assinaturas feitas nas lojas: cancele antes na App Store ou no Google Play.

9. Segurança

Adotamos medidas técnicas e administrativas para proteger os dados, entre elas:

• conexão criptografada (HTTPS) em todo o tráfego;
• controle de acesso por perfil, com isolamento entre contas e negócios no banco de dados;
• documentos de verificação em armazenamento privado, acessados só por links temporários e com registro de cada acesso;
• autenticação em dois fatores obrigatória para a equipe interna e registro de todas as ações administrativas;
• dados pessoais mascarados nos registros técnicos e de erro.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, avisaremos a ANPD e as pessoas afetadas, como determina a LGPD.

10. Cookies e tecnologias parecidas

No site: o site gaalhoo.com.br não usa cookies de publicidade nem de medição de audiência. A página de verificação contra robôs usa o Cloudflare Turnstile, que analisa sinais técnicos do navegador (como IP e características do dispositivo) para distinguir pessoas de robôs e pode usar armazenamento técnico próprio para funcionar.

No app: usamos armazenamento local do aparelho para manter sua sessão de forma segura, guardar preferências e acelerar o carregamento. A medição de uso do app só acontece com o seu consentimento, que pode ser revogado em Conta → Consentimentos.

11. Links para serviços de terceiros

A Plataforma abre serviços de terceiros, como WhatsApp, mapas e lojas de aplicativos. Nesses serviços valem as políticas de privacidade de cada empresa.

12. Mudanças nesta Política

Podemos atualizar esta Política. Cada versão tem número e data de publicação. Mudanças relevantes são avisadas pelo app ou por e-mail e, quando exigido, pediremos um novo aceite.

13. Contato

MEYETH CAPITAL PARTNERS LTDA · CNPJ 63.013.465/0001-05 · contato@gaalhoo.com.br