Política de Privacidade do AgendaPix

Última atualização: 9 de outubro de 2026

Esta Política explica quais dados pessoais o AgendaPix trata, para quê, com quem compartilha e quais são os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD").

1. Quem é o controlador#

O AgendaPix é oferecido por Matheus de França Torres, pessoa física, que é o controlador dos dados descritos aqui, salvo o que está explicado na seção 3.

• E-mail: francatorresmatheus@gmail.com
• WhatsApp: +55 14 99750-4655

2. Encarregado (DPO)#

Encarregado pelo tratamento de dados pessoais: Matheus de França Torres.

• E-mail: francatorresmatheus@gmail.com
• WhatsApp: +55 14 99750-4655

3. A quem esta Política se aplica e quem decide sobre cada dado#

3.1. Assinante (dono do negócio): quem cria conta no AgendaPix. Para os dados da conta, do negócio e da assinatura, o AgendaPix é o controlador.

3.2. Cliente final: quem marca horário na página pública de um negócio. Esses dados são coletados para que o negócio atenda o seu cliente. Por isso, em regra, o negócio (Assinante) é o controlador dos dados dos seus clientes, e o AgendaPix atua como operador: trata esses dados em nome do negócio, conforme as configurações que ele faz no painel.

3.3. Se você é Cliente final e quer exercer seus direitos, pode falar com o negócio onde agendou ou com a gente. Quando o pedido couber ao negócio, vamos encaminhá-lo ou orientar você.

4. Quais dados tratamos#

4.1. Assinante#

4.2. Negócio#

4.3. Conexão com o Mercado Pago (Assinante)#

4.4. Cliente final#

O banco de dados tem um campo para o e-mail do Cliente final, mas o formulário de agendamento atual não pede e-mail.

4.5. CPF do Cliente final#

• Quando é pedido: o campo de CPF só aparece se a exigência de CPF do pagador estiver ligada na configuração do AgendaPix. Hoje ela vem desligada.
• Com quem é compartilhado: só quando essa exigência está ligada, o CPF vai direto ao Mercado Pago, como identificação do pagador, para gerar o Pix.
• Como fica guardado: o AgendaPix não guarda o CPF. Ele não é gravado no banco de dados, não entra no resumo técnico do pedido, não aparece no painel e não fica no armazenamento do navegador.

4.6. Dados técnicos e de segurança#

• Endereço IP: usado para limitar tentativas e evitar abuso no agendamento, no envio de códigos e no cadastro. Isso só acontece quando o IP vem de uma fonte confiável, conforme a configuração do servidor; sem ela, o envio de códigos é limitado apenas por e-mail. Nesses controles, o IP e o e-mail são guardados só como hash (código irreversível com chave secreta), e não em texto aberto.
• Registros de pagamento e de avisos do Mercado Pago: guardamos identificadores, resumos (hash) e o resultado do processamento, sem o conteúdo bruto, o telefone ou segredos.
• Registros da aplicação (logs): o código evita registrar dados pessoais nas mensagens de erro de autenticação. Os registros gerados pela hospedagem seguem as regras do provedor.

4.7. Dados guardados no seu navegador#

Veja a seção 11.

5. Para que usamos os dados e com qual base legal#

Não usamos os dados para publicidade e não vendemos dados pessoais. O código atual não inclui ferramentas de análise de navegação (analytics) nem rastreadores de terceiros.

6. Com quem compartilhamos#

Compartilhamos dados apenas com quem precisa deles para o serviço funcionar:

7. Transferência internacional#

A aplicação roda na região São Paulo da Vercel. A Vercel é uma empresa estrangeira, e alguns fornecedores (como a Resend, que envia os e-mails, e o provedor do banco de dados) podem tratar dados fora do Brasil.

8. Por quanto tempo guardamos#

Hoje não existe exclusão automática de contas. A exclusão é feita manualmente, a pedido (seção 10). Depois dos prazos definidos, os dados serão apagados ou anonimizados, salvo quando a lei permitir ou exigir a guarda.

9. Como protegemos os dados#

Medidas que existem no código hoje:

• Tokens do Mercado Pago cifrados com AES-256-GCM e chave própria.
• Chaves Pix antigas guardadas cifradas e inativas.
• Código e link de acesso guardados só como hash, válidos por 30 minutos, com no máximo 3 tentativas por código.
• Limite de 5 envios de código por hora por e-mail. Também há limite por IP (20 por hora no envio de códigos) e limites no agendamento e no cadastro, aplicados quando o IP vem de uma fonte confiável, conforme a configuração do servidor.
• IP e e-mail usados nos controles antiabuso guardados só como hash com chave secreta.
• Acesso a cada agendamento por um código individual; no servidor fica só um resumo dele.
• Cookies técnicos com a opção HttpOnly (não são lidos por scripts da página) e SameSite=Lax.
• Cabeçalhos de segurança: política de segurança de conteúdo (CSP), HSTS em produção, proteção contra exibição em frames e bloqueio de câmera, microfone, localização e pagamento pelo navegador.
• Separação dos dados de cada negócio no banco de dados.
• Verificação de assinatura dos avisos (webhooks) do Mercado Pago.

Nenhum sistema é 100% seguro. Se houver um incidente de segurança que possa causar risco ou dano relevante, avisaremos os titulares afetados e a ANPD, conforme a LGPD.

10. Seus direitos#

Pela LGPD (art. 18), você pode pedir:

• confirmação de que tratamos seus dados;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei;
• portabilidade, nos termos da regulamentação da ANPD;
• eliminação de dados tratados com base no consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não consentir e as consequências disso;
• revogação do consentimento;
• revisão de decisões tomadas apenas com base em tratamento automatizado (art. 20).

Como pedir: envie um e-mail para francatorresmatheus@gmail.com (ou mensagem no WhatsApp +55 14 99750-4655) com o seu pedido. Podemos pedir dados para confirmar a sua identidade. Responderemos em até 10 dias.

Exclusão de conta: hoje não há botão de exclusão no painel. A exclusão é feita manualmente, a pedido pelo e-mail acima, em até 10 dias. Alguns dados podem ser mantidos mesmo depois do pedido, quando a lei permitir ou exigir (por exemplo, registros de pagamentos e devoluções).

Assinante: pelo painel, você pode alterar os serviços, os horários e o WhatsApp de contato, e desconectar o Mercado Pago quando quiser. Para outras correções (como o nome do negócio ou o e-mail), fale com a gente.

11. Cookies e armazenamento no navegador#

Usamos apenas recursos necessários ao funcionamento. Não usamos cookies de publicidade nem de análise.

Cookies

Armazenamento local (localStorage), que fica no navegador até ser apagado

Armazenamento da aba (sessionStorage), apagado ao fechar a aba

Você pode apagar esses dados nas configurações do navegador, mas partes do serviço podem deixar de funcionar.

12. Crianças e adolescentes#

O AgendaPix é destinado a donos de negócio maiores de 18 anos. O formulário de agendamento não pergunta a idade do Cliente final. Se um agendamento for feito para ou por menor de idade, o negócio é responsável por observar o art. 14 da LGPD e o melhor interesse da criança ou do adolescente.

13. Mudanças nesta Política#

Podemos atualizar esta Política. A data da última atualização fica no topo. Mudanças relevantes serão avisadas aos Assinantes pelo e-mail da conta.

14. Onde encontrar esta Política#

15. Autoridade Nacional de Proteção de Dados (ANPD)#

Se você entender que seus direitos não foram atendidos, pode procurar a ANPD (www.gov.br/anpd). Pedimos que antes fale com a gente pelo e-mail francatorresmatheus@gmail.com, para tentarmos resolver.