1. Quem trata os seus dados
O BizManager é desenvolvido e operado pela Async Studio, nome empresarial ASYNC STUDIO DESENVOLVIMENTO DE SOFTWARE LTDA, CNPJ 68.976.303/0001-88, com sede em Rua Bauru, 364, Canudos, Novo Hamburgo/RS, CEP 93540-180 (chamada aqui de "nós").
Somos o controlador dos dados da sua conta: cadastro, login, equipe e cobrança. Sobre os dados que você cadastra a respeito dos clientes do seu negócio, o controlador é a sua empresa e nós somos o operador (seção 7).
2. Que dados tratamos
- Cadastro: nome, e-mail, nome do negócio e, se você informar, celular ou WhatsApp, CNPJ, telefone, endereço e mensagem impressos no recibo da venda, foto de perfil e meta de receita, além da data do último acesso (usada na regra de exclusão da seção 5), da data e hora da última atividade no sistema (atualizada no máximo uma vez por minuto enquanto você usa), uma classificação interna de conta de teste quando aplicável e da versão destes documentos que você aceitou. A senha, quando cadastrada, é guardada só como hash (bcrypt); ninguém da nossa equipe consegue lê-la. Guardamos também a situação e a data da confirmação do e-mail.
- Equipe e profissionais: nome, e-mail e perfil de cada pessoa convidada, data do último acesso e da última atividade, e quem registrou cada venda, movimentação de estoque, arquivo anexado e alteração de atendimento, além da situação e data da confirmação do e-mail. A agenda compartilhada mostra dados mínimos; contatos particulares e financeiro obedecem às permissões.
- Segurança de acesso: sessões com endereço IP, identificação aproximada do navegador, criação, última atividade, expiração e revogação; vínculo opcional com o identificador estável da conta Google; segredo do autenticador protegido por criptografia; códigos de recuperação guardados apenas como hash; e identificador e chave pública das passkeys. A chave privada e os dados biométricos usados para desbloquear a passkey não são recebidos pelo BizManager.
- Cobrança: plano, situação da assinatura, datas de vencimento e pagamento, e os identificadores do Asaas, valor e data de primeira cobrança contratados e data/versão da autorização de recorrência. CPF/CNPJ, endereço, telefone e dados do cartão são recebidos transitoriamente para envio ao Asaas. Número e código de segurança não ficam no banco nem nos logs do BizManager. O provedor valida o cartão e processa a cobrança na data agendada.
- Dados do negócio: clientes (nome, CPF ou CNPJ, telefone, e-mail, endereço de entrega, observações e avaliação), fornecedores (nome, telefone, CNPJ ou CPF e observações), produtos, vendas (com o canal da venda e o endereço de entrega, quando houver), encomendas (especificação e prazo), lançamentos financeiros (com o fornecedor e o número da nota, quando informados), compromissos da agenda e preferências de apresentação dos recursos utilizadas para adaptar o menu e o painel do negócio.
- Vitrine, pedidos e atendimentos: identidade e contatos publicados pelo negócio, nome e telefone de quem solicita, mensagem, itens, profissional, datas, estados de reserva e presença, bloqueio de novas reservas e motivo, preço de referência ou combinado e comissão estimada. A conta de consumidor guarda nome, e-mail opcional, telefone brasileiro canônico, senha em hash e aceite dos termos; ela é separada do login comercial. Cada estabelecimento tem sua própria ficha do cliente, sem acesso aos atendimentos dele em outras empresas.
- Histórico migrado: correspondências de IDs entre sistemas, projeção aplicada, consentimento e verificação de telefone anteriores, faltas e convites de avaliação da origem, quando disponíveis. Esses dados documentam a migração; não comprovam recebimentos ou novo aceite.
- Arquivos anexados: fotos e PDFs de notas fiscais e comprovantes que você anexa a vendas e lançamentos. Eles podem conter dados pessoais de clientes e fornecedores (como nome, CPF e endereço) e ficam guardados no banco de dados, junto com o restante da conta.
- Planilhas importadas: a planilha é lida no seu navegador; só as colunas reconhecidas (produtos ou clientes) são enviadas e gravadas. O arquivo em si não fica guardado.
- Registros de acesso: data, hora e endereço IP de cada cadastro, login e aceite de convite.
- Registros técnicos: erros do servidor com identificador da requisição, caminho acessado e identificador da conta, sem nome, e-mail ou conteúdo dos seus dados.
- Administração do serviço: a administração da Async Studio consulta nome, e-mail e telefone do responsável, nome do negócio, plano, situação, valor e histórico de cobranças da assinatura, datas do teste grátis, último acesso, última atividade (da empresa e quantas pessoas da equipe estão usando o sistema, sem dizer quem) e contagens (clientes, produtos, vendas, lançamentos, compromissos, fornecedores, anexos e equipe) para gerenciar o serviço. Também guarda anotações internas sobre o atendimento à sua empresa (contatos, pedidos e combinados) e o registro das ações administrativas feitas na conta (extensão do teste grátis, cortesia, suspensão e reativação), com data. Não acessa por esse painel os registros de clientes, vendas, lançamentos financeiros ou compromissos da sua empresa.
Se você permitir, usamos o Google Analytics 4 para medir visitas às páginas públicas e a conclusão de cadastro. Não enviamos nomes, e-mails, telefones, documentos, senhas, tokens nem dados comerciais nos eventos. Não usamos métricas para publicidade. A decisão é opcional e pode ser alterada em Preferências de métricas no rodapé das páginas públicas.
3. Para que usamos e com qual base legal
Pedidos e agendamentos são tratados para atender à solicitação do consumidor e executar a relação com o estabelecimento. A identidade global permite acompanhar os próprios atendimentos; os vínculos comerciais continuam separados. Dados de comissão ficam restritos aos perfis autorizados. Na migração controlada, hashes bcrypt compatíveis podem manter a senha anterior do consumidor; sessões e tokens antigos não são transferidos. Preparar um convite de avaliação abre o WhatsApp do operador, que confere e decide o envio; a preparação fica registrada para evitar repetição.
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Medir visitas às páginas públicas e a conclusão de cadastro, quando autorizado | Consentimento (I), revogável a qualquer momento |
| Criar e manter a conta, prestar o serviço, confirmar o e-mail e enviar recuperação de senha, convites e avisos de segurança | Execução de contrato (V) |
| Cobrar as assinaturas e emitir as cobranças pelo Asaas | Execução de contrato (V) |
| Guardar registros de acesso por 6 meses (Marco Civil da Internet, art. 15) e registros de cobrança exigidos por lei | Cumprimento de obrigação legal (II) |
| Proteger a conta e o serviço: limite de tentativas de login, prevenção de fraude, investigação de erros | Legítimo interesse (IX) |
| Administrar as contas e acompanhar a capacidade e a operação do serviço com indicadores mínimos, como quantas empresas usam o sistema no momento | Legítimo interesse (IX) |
| Falar com o responsável pela conta sobre suporte, cobrança e mudanças no serviço, por e-mail ou pelo telefone informado | Execução de contrato (V) e legítimo interesse (IX) |
| Registrar o atendimento a cada empresa e as ações administrativas na conta (cortesia, teste grátis, suspensão) | Legítimo interesse (IX) e execução de contrato (V) |
| Reduzir a repetição indevida do teste por e-mail normalizado, conta Google e CNPJ quando informado, usando códigos de comparação (hash), e limitar temporariamente cadastros por IP e e-mail | Legítimo interesse (IX) |
| Fazer cópias de segurança diárias e criptografadas, para recuperar os dados em caso de falha | Legítimo interesse (IX) |
| Tratar os dados dos clientes do seu negócio, como operador | Instruções da sua empresa, que é a controladora |
Não vendemos dados pessoais e não os usamos para publicidade.
4. Com quem compartilhamos
Fotos e logotipos por URL externa são carregados diretamente pelo navegador; o fornecedor da imagem pode receber IP e dados técnicos de conexão. Ao abrir mapas, redes sociais ou WhatsApp escolhidos pelo estabelecimento, passam a valer as políticas desses serviços. A aplicação guarda o endereço da imagem, não copia o arquivo externo para o banco.
Para o serviço funcionar, alguns fornecedores recebem dados, só na medida necessária para o que fazem por nós:
| Fornecedor | Para quê | Dados | Onde |
|---|---|---|---|
| Google Analytics 4 (Google) | Métricas opcionais das páginas públicas e da criação de contas, somente com consentimento | Identificadores de cookies do BizManager, páginas públicas sem parâmetros, origem pública de busca quando reconhecida, evento de cadastro e informações técnicas do navegador/dispositivo. O provedor recebe o IP na conexão e pode derivar localização aproximada; não enviamos dados dos clientes ou do negócio | Infraestrutura em vários países; empresa com sede nos Estados Unidos |
| Autenticação opcional com a conta Google | Nome, e-mail, identificador da conta Google e dados técnicos do fluxo de autenticação; não há acesso ao Gmail ou Drive | Infraestrutura em vários países; empresa com sede nos Estados Unidos | |
| Asaas | Cobrança das assinaturas (Pix, boleto e cartão) | Nome, e-mail, documento, endereço e telefone do titular, dados transitórios do cartão e dados da cobrança | Brasil |
| Supabase | Banco de dados | Todos os dados da conta e do negócio, inclusive os arquivos anexados | Servidores em São Paulo; empresa com sede nos Estados Unidos |
| Hostinger | Servidor do aplicativo e e-mail do sistema (confirmação de endereço, recuperação, convites e avisos de segurança) | Dados em trânsito durante o uso, registros técnicos, e nome e e-mail do destinatário das mensagens | Servidor no Brasil; empresa com sede na Lituânia (União Europeia) |
| Cloudflare (R2) | Guarda das cópias de segurança | Cópia do banco de dados criptografada antes de sair do servidor: o fornecedor não consegue ler o conteúdo | Servidores em vários países; empresa com sede nos Estados Unidos |
O banco de dados e o servidor do aplicativo ficam no Brasil. As cópias de segurança ficam fora do país, criptografadas antes de sair do servidor, sem que o fornecedor tenha a chave. A autenticação opcional e as métricas autorizadas usam também a infraestrutura internacional do Google. Como Google, Supabase, Hostinger e Cloudflare têm sede fora do Brasil, as equipes deles também podem acessar a infraestrutura a partir do exterior para operação e suporte. Essas transferências seguem o art. 33 da LGPD, com as garantias contratuais desses fornecedores.
Também podemos fornecer dados a autoridades quando houver ordem judicial ou obrigação legal, e somente o que for exigido.
5. Por quanto tempo guardamos
- Enquanto a conta existir, guardamos os dados para prestar o serviço.
- No Google Analytics, os dados de eventos e usuários ficam sujeitos à retenção de 2 meses configurada na propriedade; relatórios agregados podem permanecer por mais tempo. A preferência de métricas neste navegador expira em até 180 dias.
- Se você só usou o teste grátis (nunca iniciou uma assinatura) e ficar 6 meses sem entrar, apagamos a conta e todos os dados dela, inclusive os arquivos anexados. Essa regra automática não vale para quem já assinou.
- Para reduzir a repetição do teste grátis, guardamos por 6 meses códigos de comparação (hash) do e-mail normalizado, do identificador Google quando utilizado e do CNPJ quando informado, mesmo que a conta seja excluída. Esses registros são pseudonimizados: não guardam os valores em texto aberto, mas dados previsíveis podem ser comparados por quem já conhece um possível valor. Não exigimos documento para liberar o teste.
- Ao excluir a conta, os dados da conta, da equipe e do negócio, as anotações internas de atendimento e o registro das ações administrativas da conta são apagados do banco de dados na hora. Eles ainda podem existir nas cópias de segurança por até 7 dias, até serem substituídos.
- Os registros de acesso ficam guardados por 6 meses, mesmo depois da exclusão da conta, porque o Marco Civil da Internet obriga. Depois disso são apagados automaticamente.
- Os registros das cobranças ficam também com o Asaas, que os guarda pelos prazos que a regulação de pagamentos e a legislação fiscal exigem dele.
6. Seus direitos
Pela LGPD (art. 18), você pode pedir a qualquer momento:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, incorretos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados, ressalvado o que a lei manda guardar (seção 5);
- informação sobre com quem compartilhamos seus dados;
- revisão de decisões tomadas só com base em tratamento automatizado (o BizManager não toma decisões desse tipo sobre você).
Boa parte disso você faz sozinho no app: corrigir dados em Configurações > Perfil, excluir a conta em Configurações > Excluir conta e, no plano Scale, exportar lançamentos, vendas, clientes e produtos em CSV. Para o resto, inclusive uma cópia completa em outros planos, use o contato da seção 12. Respondemos em até 15 dias. Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
7. Dados dos clientes do seu negócio
Quando você cadastra ou importa clientes e fornecedores, registra vendas, entregas e compromissos ou anexa notas e comprovantes, quem decide sobre esses dados é a sua empresa. Nós os tratamos só para executar o serviço, não os usamos para outras finalidades. Quando o estabelecimento habilita lembretes de atendimento, enviamos e-mails transacionais aos consumidores com conta, em seu nome. Recuperação de senha também usa e-mail. Não enviamos publicidade por esse fluxo.
Se um cliente seu pedir acesso, correção ou exclusão dos dados dele, o pedido deve ser atendido pela sua empresa, que pode editar ou excluir o cadastro no próprio app. Se o pedido chegar até nós, encaminhamos a você.
O recibo da venda traz o nome do cliente e, se estiver no cadastro, o CPF ou CNPJ dele, e é impresso no seu aparelho. A impressão direta por Bluetooth ou pela porta COM vai do navegador para a impressora, sem passar por outro fornecedor. Ao usar Enviar pelo WhatsApp, o texto do recibo sai do seu aparelho pela sua conta do WhatsApp, por decisão da sua empresa, sem o CPF ou CNPJ do cliente; a partir daí vale a política do WhatsApp.
8. Segurança
- Conexão criptografada (HTTPS) entre o navegador e o servidor.
- Senhas guardadas só como hash; links de confirmação de e-mail, recuperação e convite guardados só como hash, com validade e uso único.
- Cada empresa só acessa os próprios dados, e cada pessoa da equipe só o que o perfil dela permite.
- Limite de tentativas de login, confirmação de e-mail em novos acessos comerciais e encerramento de sessões pelo titular ou por mudança de credenciais.
- Autenticador opcional com códigos de recuperação de uso único, passkeys com verificação do usuário e vínculo Google validado no servidor. A política do serviço pode exigir segundo fator para a administração.
- Arquivos anexados aceitos só como foto (JPEG, PNG, WebP) ou PDF, conferidos pelo conteúdo, e entregues apenas a quem tem acesso ao registro.
- Cópias de segurança diárias do banco de dados, criptografadas antes de sair do servidor.
Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa trazer risco ou dano relevante a você, avisaremos você e a ANPD, como determina o art. 48 da LGPD.
9. Cookies e armazenamento no navegador
O consumidor pode excluir sua identidade mediante senha atual. Isso remove o acesso e os tokens, desfaz o vínculo global e preserva os registros comerciais sob responsabilidade de cada estabelecimento; reservas não são canceladas automaticamente pela exclusão. Correção ou exclusão desses registros é solicitada ao estabelecimento.
A sessão do consumidor e a sessão comercial usam identificadores separados. A seleção de serviços antes de entrar fica temporariamente na sessão do navegador até a confirmação; o token de acompanhamento do pedido aparece na resposta ao solicitante. Quem tiver esse token pode consultar a situação do pedido.
O BizManager não usa cookies de publicidade. Se você permitir as métricas, a tag do Google Analytics 4 é carregada e pode criar cookies com prefixo bizmanager, exclusivos deste subdomínio. Sem permissão, a tag não é carregada. As métricas ficam restritas às páginas públicas e ao evento de conclusão de cadastro; o acompanhamento é desativado ao entrar nas áreas internas. A preferência e os cookies de métricas têm validade de até 180 dias. Você pode recusar ou revogar pelo rodapé das páginas públicas; isso interrompe novos eventos e remove os cookies de métricas acessíveis neste domínio. A preferência é guardada neste navegador, sem impedir o uso do produto. Saiba como o Google usa essas informações em Como o Google usa informações de sites e apps. Para manter você conectado, usa cookies de sessão que o JavaScript da página não pode ler, enviados por conexão segura em produção. Empresa e consumidor têm cookies separados. A sessão deixa de valer em até 7 dias, ao sair, por revogação ou quando suas credenciais são alteradas. Cookies temporários protegem o fluxo de entrada com Google e passkeys. Além da preferência de métricas, o armazenamento local mantém marcadores públicos para sincronizar as abas, sem a credencial de acesso. Também ficam no navegador preferências deste aparelho, como a impressora do recibo e a largura do papel, que não são enviadas ao servidor.
10. Menores de idade
O BizManager é destinado a pessoas com 18 anos ou mais. Não criamos contas para menores de idade de forma consciente. Se souber de uma conta assim, avise-nos para que possamos excluí-la.
11. Mudanças nesta política
Quando esta política mudar de forma relevante, avisamos no app e pedimos que você leia e aceite a nova versão no próximo acesso. A data da versão vigente aparece no topo da página. Os Termos de Uso seguem a mesma regra.
12. Encarregado e contato
O encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é Caetano Apollo.
Fale com a gente pelo e-mail asyncdevstudio@gmail.com.