POLÍTICA DE PRIVACIDADE

Esta Política de Privacidade descreve como a Khaneland Ltda, inscrita no CNPJ sob o nº 31.127.842/0001-32, com sede na Rua Mario Silveira, 283, Jardim Conceiçãozinha, Guarujá/SP, CEP 11472-020 (“Khaneland”, “nós” ou “Boflow”), trata dados pessoais no contexto da plataforma Boflow.

O Boflow é uma plataforma digital voltada a negócios de beleza e bem-estar e a consumidores que buscam esses serviços. Inclui, entre outros, o software de gestão (SaaS), o marketplace público de descoberta e agendamento, os aplicativos móveis para clientes e profissionais, o painel web e demais interfaces oficiais disponibilizadas pela Khaneland.

Ao acessar, criar conta, contratar, integrar, agendar, pagar, assinar planos de estabelecimento (Clube) ou utilizar o Boflow, o titular declara ciência desta Política, sem prejuízo dos direitos assegurados pela legislação aplicável, em especial a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018) e o Marco Civil da Internet (Lei nº 12.965/2014).

1. Quem somos

A Khaneland Ltda é a controladora responsável pelo tratamento dos dados pessoais necessários para operar, proteger, cobrar e evoluir a plataforma Boflow, nos limites descritos nesta Política.

Para fins desta Política:

Khaneland ou Boflow: a empresa responsável pela plataforma e pelo tratamento aqui descrito.

Usuário: a pessoa física que acessa ou utiliza o Boflow, inclusive como consumidor do marketplace, titular de conta, administrador, gerente, colaborador, profissional ou afiliado.

Assinante ou cliente contratante: a pessoa física ou jurídica responsável pela contratação do plano SaaS de gestão e pelas obrigações comerciais perante a Khaneland.

Estabelecimento: salão, barbearia, clínica, spa ou outro negócio que opera ambiente (tenant) e unidades (filiais) no Boflow.

Tenant: ambiente lógico individualizado de cada estabelecimento dentro da plataforma.

Consumidor do marketplace: pessoa que se cadastra ou utiliza recursos públicos para descobrir negócios, agendar serviços, pagar online, gerenciar carteira de cartões ou assinar Clubes.

Dados pessoais: informações relacionadas a pessoa natural identificada ou identificável, conforme a LGPD.

2. Escopo desta Política

Esta Política se aplica ao tratamento de dados pessoais realizado pela Khaneland no contexto do Boflow, incluindo:

- navegação em sites, páginas públicas e landing pages;

- criação e administração de contas (gestão e marketplace);

- uso dos apps Boflow para Clientes e Boflow para Profissionais;

- contratação, cobrança e gestão de planos SaaS;

- uso do painel de gestão, agenda, clientes, equipe, estoque, vendas e caixa;

- descoberta de negócios e profissionais no marketplace;

- agendamentos online, reagendamentos, cancelamentos e avaliações;

- pagamentos online de serviços (PIX, cartão e demais meios habilitados);

- carteira de cartões salvos (Carteira);

- assinatura de planos de Clube oferecidos por estabelecimentos;

- comunicações operacionais (e-mail, WhatsApp, SMS, notificações);

- uploads e armazenamento de mídia;

- geolocalização e busca por proximidade, quando utilizadas;

- programas promocionais, de indicação e afiliação;

- suporte, segurança, auditoria e prevenção a fraudes.

Esta Política não substitui contratos específicos, termos complementares, políticas de terceiros (como Stripe, Mercado Pago, Meta/WhatsApp ou provedores de nuvem) nem as obrigações próprias dos estabelecimentos em relação aos dados que eles inserem ou tratam em sua operação.

Termos próprios de planos de Clube definidos pelo estabelecimento (quando houver texto específico do plano) são de responsabilidade do respectivo estabelecimento, sem prejuízo das regras desta Política quanto ao tratamento técnico realizado pela plataforma.

3. Quais dados pessoais podemos tratar

Dependendo da forma de uso do Boflow, poderemos tratar as seguintes categorias:

3.1. Dados cadastrais e de identificação

- nome;

- e-mail;

- telefone ou celular;

- data de nascimento, quando informada;

- gênero, quando informado;

- senha criptografada ou credenciais associadas à autenticação;

- foto/avatar e dados de perfil;

- CPF, CNPJ, RG ou outros documentos, quando necessários à operação, cobrança, prevenção a fraude ou exigidos pelo fluxo de pagamento;

- endereço residencial, comercial ou de atendimento, inclusive para serviços móveis.

3.2. Dados de conta, sessão e dispositivo

- identificadores internos de usuário;

- tenant, filial e vínculos de acesso;

- função, cargo, perfil e permissões;

- histórico de login, logout, refresh e revogação de sessão;

- identificadores de dispositivo, nome do dispositivo, sistema operacional, navegador, IP e user agent;

- códigos de handoff entre web e aplicativos, quando utilizados.

3.3. Dados do estabelecimento e da operação (gestão)

- dados de colaboradores e profissionais;

- serviços, produtos, categorias, preços, estoque e comissões;

- horários, disponibilidade, exceções de agenda e modos de atendimento (presencial, móvel ou online);

- dados de clientes finais cadastrados no CRM do estabelecimento;

- agendamentos, histórico de atendimentos, observações e anexos;

- vendas, recebíveis, caixa, lançamentos e relatórios operacionais;

- imagens de portfólio, capas, marcas e materiais enviados pelo estabelecimento.

3.4. Dados do marketplace e do consumidor

- preferências de busca e contexto de descoberta;

- endereços salvos (residência, trabalho ou outros), inclusive coordenadas e referências de mapa, quando fornecidas;

- agendamentos realizados pelo marketplace;

- avaliações e respostas;

- vínculo entre conta marketplace e cadastro de cliente no estabelecimento, quando houver correspondência legítima (por exemplo, e-mail ou telefone).

3.5. Dados financeiros e de pagamento

- no SaaS (assinatura Boflow): identificadores de cliente, assinatura, faturas, métodos de pagamento, status de cobrança e eventos processados pelo provedor de billing (atualmente Stripe);

- no marketplace e no Clube: dados de transação, valores, status, finalidade (sinal, pagamento integral, saldo remanescente, assinatura de Clube etc.), comprovantes e metadados necessários à conciliação;

- dados de PIX (incluindo QR Code e identificadores da cobrança), cartão (bandeira, últimos dígitos, validade, titularidade quando coletada) e demais meios habilitados;

- e-mail do pagador e documento do pagador, quando exigidos pelo fluxo de tokenização ou checkout;

- referências a cartões salvos na Carteira (metadados e identificadores de cofre do provedor), sem armazenamento do número completo do cartão (PAN) nem do CVV pela Khaneland;

- dados de conta Mercado Pago da filial, quando o estabelecimento conecta recebimentos online (tokens e chaves tratados com proteção adequada, inclusive criptografia quando aplicável).

3.6. Dados de Clube (planos de assinatura do estabelecimento)

- plano escolhido, benefícios, ciclos de uso e saldos;

- status da assinatura junto ao estabelecimento e ao provedor de pagamento;

- e-mail do pagador utilizado no checkout;

- eventos de autorização, renovação, cancelamento ao fim do período, suspensão e reativação.

3.7. Dados técnicos, localização e comunicações

- logs de sistema, eventos de segurança e auditoria;

- cookies, tokens e tecnologias semelhantes;

- localização aproximada por IP ou geocodificação de endereços, para busca e relevância no marketplace;

- registros de envio de e-mails transacionais e mensagens WhatsApp relacionadas a agendamentos, lembretes e status operacionais, quando habilitados.

3.8. Dados de programas promocionais e afiliados

- códigos promocionais, de indicação e de afiliado;

- registros de qualificação, recompensa, rejeição, cancelamento e pagamento de benefícios, quando aplicável.

A LGPD adota conceito amplo de dado pessoal e se aplica ao tratamento realizado em meios digitais.

4. Como coletamos os dados

Podemos coletar dados pessoais:

- diretamente do titular, ao preencher formulários, criar conta, editar perfil, agendar, pagar, assinar Clube ou contatar o suporte;

- do Assinante ou de usuários autorizados do estabelecimento, quando cadastram colaboradores, clientes, serviços, agenda e demais informações operacionais;

- automaticamente, por meio de logs, autenticação, cookies, sessão, analytics técnicos e interação com o sistema;

- por integração com serviços de terceiros necessários à operação, como Stripe, Mercado Pago, provedores de e-mail, armazenamento, mapas/geolocalização e WhatsApp;

- por meio de comunicações enviadas aos canais oficiais da Khaneland.

5. Para quais finalidades tratamos dados pessoais

A Khaneland poderá tratar dados pessoais para as seguintes finalidades:

5.1. Execução da plataforma e do contrato

- criar e manter contas;

- autenticar usuários e gerenciar sessões;

- viabilizar a estrutura multi-tenant e multi-filial;

- permitir o uso dos módulos de gestão e do marketplace;

- registrar permissões e perfis de acesso;

- manter a operação contratada e a evolução do produto.

5.2. Marketplace, agendamentos e Clube

- permitir descoberta de estabelecimentos e profissionais;

- processar agendamentos, reagendamentos, cancelamentos e avaliações;

- aplicar regras de pagamento online (desabilitado, opcional ou obrigatório), sinais e saldos;

- operacionalizar assinaturas de Clube e o consumo de benefícios;

- exibir e gerenciar atividades do consumidor (agendamentos e memberships).

5.3. Pagamentos e billing

- processar a assinatura SaaS do Boflow e cobranças recorrentes (Stripe);

- processar pagamentos de serviços e Clubes em favor do estabelecimento (Mercado Pago e demais meios habilitados);

- tokenizar cartões via campos seguros do provedor, salvar cartões na Carteira quando solicitado, e permitir checkout com cartão salvo mediante CVV ou retokenização, conforme elegibilidade técnica;

- reconciliar status financeiros, webhooks e comprovantes;

- prevenir fraude, chargeback abusivo e uso indevido de meios de pagamento.

5.4. Segurança e prevenção a fraudes

- detectar acessos indevidos;

- registrar eventos técnicos;

- identificar abuso, fraude, uso irregular ou violação contratual;

- reforçar autenticação;

- preservar a integridade e a disponibilidade da plataforma.

5.5. Atendimento e suporte

- responder solicitações;

- investigar erros;

- orientar o uso da plataforma;

- tratar incidentes e chamados.

5.6. Comunicação operacional

- enviar avisos de segurança;

- notificar alterações relevantes de conta, assinatura ou pagamento;

- comunicar lembretes e atualizações de agendamento;

- informar falhas de cobrança ou necessidade de regularização.

5.7. Melhorias do produto

- corrigir falhas;

- evoluir funcionalidades;

- medir desempenho e estabilidade;

- aprimorar fluxos de uso, inclusive de booking e checkout.

5.8. Programas comerciais

- validar campanhas promocionais;

- aplicar regras de desconto;

- apurar indicações e afiliações;

- operacionalizar recompensas, quando cabível.

5.9. Cumprimento legal e exercício regular de direitos

- cumprir obrigações legais, regulatórias ou judiciais;

- atender requisições de autoridades competentes;

- preservar provas;

- exercer defesa em processos administrativos, arbitrais ou judiciais.

A LGPD prevê bases legais como execução de contrato, cumprimento de obrigação legal, exercício regular de direitos, legítimo interesse e consentimento, conforme o caso concreto.

6. Bases legais do tratamento

Quando aplicável, o tratamento de dados pessoais realizado pela Khaneland poderá se fundamentar em uma ou mais das seguintes bases legais:

- execução de contrato ou de procedimentos preliminares relacionados ao contrato;

- cumprimento de obrigação legal ou regulatória;

- exercício regular de direitos em processo judicial, administrativo ou arbitral;

- legítimo interesse, observados os direitos e expectativas legítimas do titular;

- consentimento, quando necessário (por exemplo, comunicações de marketing opt-in);

- proteção do crédito, quando cabível;

- prevenção à fraude e segurança do titular, nos limites da lei.

Nem todo tratamento depende de consentimento. Operações essenciais de conta, autenticação, segurança, execução de agendamento, cobrança contratada e prevenção a fraude podem se apoiar em outras bases legais cabíveis.

7. Papéis: Khaneland, estabelecimento e provedores de pagamento

7.1. A Khaneland atua como controladora dos dados necessários para operar a própria plataforma Boflow: cadastro e autenticação de contas, billing da assinatura SaaS, suporte, segurança, logs, prevenção a fraude e infraestrutura do serviço.

7.2. Em relação aos dados que o estabelecimento insere e utiliza em sua operação (clientes do CRM, agenda interna, histórico de atendimento, observações, imagens e demais registros do tenant), o estabelecimento define, em regra, as finalidades e os meios essenciais do tratamento perante seus próprios clientes e colaboradores. Nesses cenários, o estabelecimento permanece responsável por observar a legislação aplicável à sua atividade, e a Khaneland pode atuar como operadora ou prestadora de infraestrutura tecnológica, conforme o contexto concreto.

7.3. Pagamentos de serviços e de Clube realizados no marketplace são processados, em regra, em favor da conta de pagamento do estabelecimento (por exemplo, via Mercado Pago conectado à filial). A Khaneland intermedia tecnicamente o fluxo na plataforma, mas não se confunde automaticamente com o prestador do serviço de beleza nem com o credor da obrigação de atendimento.

7.4. Provedores como Stripe e Mercado Pago tratam dados de pagamento segundo suas próprias políticas e contratos, na qualidade de operadores ou controladores independentes, conforme o caso. Dados sensíveis de cartão (PAN/CVV) são coletados e tokenizados nos ambientes seguros desses provedores; a Khaneland não deve receber nem armazenar o número completo do cartão nem o CVV.

7.5. O uso do software não transfere, por si só, ao Boflow a responsabilidade integral pelo cumprimento dos deveres de conformidade do estabelecimento perante seus clientes finais.

8. Compartilhamento de dados pessoais

A Khaneland poderá compartilhar dados pessoais, quando necessário, com:

- provedores de infraestrutura, hospedagem e armazenamento (incluindo serviços em nuvem, como AWS S3 ou equivalentes);

- provedores de e-mail transacional;

- processadores de pagamento e serviços financeiros, notadamente Stripe (assinatura SaaS) e Mercado Pago (pagamentos de marketplace, carteira de cartões e Clube);

- provedores de mensageria, incluindo WhatsApp/Meta, quando o estabelecimento ou a plataforma envia comunicações operacionais habilitadas;

- provedores de geocodificação, mapas ou localização por IP, para busca e relevância;

- ferramentas de comunicação e suporte;

- parceiros técnicos estritamente necessários à operação do serviço;

- o próprio estabelecimento e seus usuários autorizados, quando o dado for pertinente ao atendimento, agenda, pagamento ou Clube;

- autoridades administrativas, regulatórias, policiais ou judiciais, quando houver obrigação legal ou ordem válida;

- consultores jurídicos, contábeis, auditores e prestadores profissionais, quando necessário ao exercício regular de direitos ou à operação legítima da empresa.

O compartilhamento será limitado ao que for pertinente, necessário e compatível com a finalidade correspondente, dentro dos parâmetros da LGPD.

9. Transferência internacional de dados

Alguns prestadores utilizados pela Khaneland podem armazenar ou processar dados em infraestrutura localizada fora do Brasil.

Quando isso ocorrer, a Khaneland buscará adotar medidas compatíveis com a legislação aplicável, inclusive mecanismos contratuais e operacionais adequados para proteção dos dados pessoais, conforme exigido pela LGPD.

10. Cookies, logs e tecnologias semelhantes

O Boflow pode utilizar cookies, tokens, sessões e tecnologias similares para:

- autenticação e manutenção da sessão;

- segurança;

- preferências básicas, inclusive de consentimento de cookies quando aplicável;

- medição técnica de desempenho e estabilidade;

- prevenção a fraudes;

- melhoria da experiência de uso;

- analytics e marketing, quando houver base legal ou consentimento cabível.

Também poderemos manter logs de acesso, operação e segurança, inclusive para cumprir obrigações legais e preservar a confiabilidade da plataforma.

11. Carteira, cartões salvos e dados de pagamento

11.1. Ao optar por salvar um cartão, o consumidor autoriza o armazenamento de metadados do cartão e de referências de cofre junto ao provedor de pagamento, para uso em checkouts futuros no Boflow.

11.2. A elegibilidade para pagamento apenas com CVV, necessidade de retokenização ou nova coleta de dados depende de regras técnicas do provedor, do ambiente (teste/produção) e do vínculo do cartão com a filial.

11.3. A gestão de cartões salvos (consultar, definir padrão, remover) ocorre na Carteira do usuário, observados os fluxos disponibilizados na plataforma.

11.4. A Khaneland não solicita que o usuário envie número completo de cartão ou CVV por e-mail, chat ou canais não seguros.

12. Retenção e descarte dos dados

Os dados pessoais poderão ser mantidos:

- pelo tempo necessário à execução das finalidades descritas nesta Política;

- durante a vigência da relação contratual ou da conta;

- enquanto necessário para cumprimento de obrigação legal ou regulatória;

- pelo prazo necessário ao exercício regular de direitos;

- por período razoável para prevenção a fraude, segurança, auditoria, backup, conciliação financeira e eventual reativação de conta, quando legítimo e proporcional.

Encerradas as finalidades e inexistindo fundamento legal para retenção, os dados poderão ser excluídos, anonimizados ou submetidos a processo seguro de descarte, observadas as limitações técnicas e legais aplicáveis.

Pedidos de exclusão de conta marketplace ou de dados operacionais do estabelecimento podem depender de obrigações de retenção financeira, disputas, auditoria ou deveres do próprio estabelecimento como responsável pelo tratamento em sua operação.

13. Segurança da informação

A Khaneland adota medidas técnicas e organizacionais razoáveis e compatíveis com a natureza do serviço para proteger os dados pessoais contra acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão indevida.

Essas medidas podem incluir, conforme o contexto operacional:

- controle de acesso lógico;

- segregação por tenant e filial;

- autenticação e gestão de sessões;

- proteção de credenciais;

- criptografia de segredos e tokens sensíveis, quando aplicável;

- registros de auditoria;

- rotinas de monitoramento;

- mecanismos de backup;

- revisão de permissões;

- uso de campos seguros (Secure Fields) para dados de cartão;

- boas práticas de desenvolvimento e infraestrutura.

Nenhum ambiente digital é absolutamente imune a incidentes. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Khaneland adotará as medidas cabíveis, inclusive comunicação quando exigida pela legislação aplicável.

14. Direitos do titular de dados

Nos termos da LGPD, o titular poderá solicitar, quando aplicável:

- confirmação da existência de tratamento;

- acesso aos dados;

- correção de dados incompletos, inexatos ou desatualizados;

- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;

- portabilidade, observados segredo comercial e regulamentação aplicável;

- eliminação dos dados tratados com base em consentimento, quando cabível;

- informação sobre compartilhamento;

- informação sobre a possibilidade de não fornecer consentimento e suas consequências, quando essa base legal for usada;

- revogação do consentimento, quando aplicável;

- oposição ao tratamento em hipóteses previstas em lei;

- revisão de decisões automatizadas, nos limites da legislação aplicável.

Esses direitos não são absolutos e podem ser limitados por deveres legais, segredos comercial e industrial, proteção de terceiros, retenção obrigatória e outras hipóteses admitidas em lei.

15. Como exercer seus direitos

O titular poderá exercer seus direitos pelos canais oficiais informados nesta Política e nos meios institucionais do Boflow.

Para proteção do próprio titular e de terceiros, a Khaneland poderá solicitar informações adicionais para confirmar identidade, legitimidade e escopo do pedido.

Quando o pedido disser respeito a dados inseridos e controlados primordialmente pelo estabelecimento no contexto de seu tenant (por exemplo, histórico clínico-operacional interno, observações privadas do salão ou cadastro mantido pelo negócio), a Khaneland poderá orientar o titular a também contatar o respectivo estabelecimento responsável.

16. Dados de terceiros inseridos pelo estabelecimento ou pelo usuário

Se o usuário ou Assinante inserir dados pessoais de terceiros no Boflow, declara que possui legitimidade para isso e que cumprirá a legislação aplicável, inclusive no que se refere a dever de informação, obtenção de consentimento quando exigido, definição de base legal adequada e atendimento aos direitos dos titulares.

A Khaneland não valida, em tempo real, a origem jurídica de cada cadastro inserido pelo estabelecimento. A plataforma auxilia a operação; a conformidade do negócio permanece responsabilidade do contratante.

17. Crianças e adolescentes

O Boflow não é destinado primordialmente a crianças. Contas e contratações devem ser realizadas por pessoas com capacidade legal.

Caso haja tratamento de dados de crianças ou adolescentes no contexto operacional do estabelecimento (por exemplo, cadastro de cliente menor acompanhado), esse tratamento deverá observar estritamente a legislação aplicável e as cautelas reforçadas exigidas pelo ordenamento brasileiro, sob responsabilidade do estabelecimento.

18. Links e serviços de terceiros

A plataforma poderá conter integrações, APIs, redirecionamentos ou referências a ambientes de terceiros, incluindo checkout do Mercado Pago para Clube, portal de cobrança Stripe, WhatsApp e lojas de aplicativos.

O tratamento de dados realizado nesses ambientes se sujeita às políticas e termos próprios dos respectivos prestadores. A Khaneland não controla integralmente práticas de privacidade de serviços externos.

19. Alterações desta Política

A Khaneland poderá atualizar esta Política de Privacidade a qualquer momento para refletir mudanças legais, regulatórias, tecnológicas, operacionais ou comerciais.

A versão vigente será disponibilizada pelos canais oficiais do Boflow. Em caso de alteração relevante, a Khaneland poderá adotar medidas razoáveis de comunicação aos usuários.

20. Contato e canal de privacidade

Solicitações relacionadas a esta Política, direitos do titular, incidentes de privacidade ou dúvidas sobre tratamento de dados poderão ser encaminhadas para:

E-mail para privacidade: privacidade@boflow.com.br

E-mail para assuntos jurídicos: juridico@khaneland.com.br

Demais contatos institucionais: contato@boflow.com.br

21. Foro e legislação aplicável

Esta Política será interpretada de acordo com a legislação da República Federativa do Brasil, especialmente a LGPD e o Marco Civil da Internet.

Cláusula final

Ao utilizar o Boflow, o usuário declara ciência desta Política de Privacidade e do tratamento de dados nela descrito.