Política de Privacidade — Hadar

Última atualização: 4 de setembro de 2026.

Esta política explica que dados o Hadar coleta de você, pra que serve cada um, e como você controla. Linguagem direta. Em caso de dúvida, fale com a gente pelo WhatsApp dentro do app, na tela de Perfil.

Quem somos

O Hadar é um app que conecta donos de salão de beleza a distribuidores de produtos profissionais. Atende a região da Hadar Manaus (Manaus / Amazonas). O app é operado pela Hadar (CNPJ 46.014.311/0001-00) em parceria com a Hadar Manaus.

Pra efeitos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018):

• Controlador dos dados de venda e relacionamento comercial: Hadar Manaus.
• Operador do app: Hadar — CNPJ 46.014.311/0001-00 (responsável pela infraestrutura).
• Encarregado (DPO): contato via WhatsApp dentro do app, na tela de Perfil.

O que coletamos

Coletamos o mínimo possível pra você comprar pelo app, receber seus produtos, e ganhar pontos no programa de fidelidade.

Quando você cria sua conta

• Telefone (WhatsApp) — pra autenticação por código SMS (não usamos senha)
• Nome do salão + nome do responsável — pra identificar você nos pedidos
• CPF ou CNPJ — exigido pelo PSP de pagamento (Asaas) pra cobrar Pix em conformidade com o Banco Central
• Endereço de entrega — pra entregar os produtos
• Como você nos conheceu (opcional) — se chegou via convite ou indicação de outro salão

Quando você usa o app

• Histórico de pedidos — itens, valores, status de entrega
• Saldo e movimentação de pontos — ganhos, resgates, expirações
• Tier de fidelidade — calculado automaticamente com base nas compras dos últimos 90 dias
• Token de notificação push — só se você der permissão. Serve pra te avisar sobre status do pedido e bônus de pontos.

Quando você indica alguém

• Código de indicação seu — gerado automaticamente, vinculado à sua conta
• Link de indicação compartilhado — se o indicado entrar e fazer a primeira compra, quem indicou ganha 200 pontos (quem chega já recebeu o bônus de cadastro de 500)

O que NÃO coletamos

• Localização em tempo real
• Lista de contatos do celular
• Histórico de navegação fora do app
• Dados biométricos
• Dados de saúde

Pra que usamos

Com quem compartilhamos

Compartilhamos só com quem é estritamente necessário pra operação:

• Supabase Inc. (supabase.com) — armazena o banco de dados e gerencia autenticação. Servidores em São Paulo (AWS sa-east-1). Subprocessador da AWS. Política Supabase
• Asaas IP Ltda. — processa os pagamentos Pix. Recebe nome, CPF/CNPJ e valor da transação. Política Asaas
• Twilio Inc. (twilio.com) — envia os códigos de acesso por SMS quando você escolhe esse canal no cadastro. Recebe seu telefone no momento do envio. Política Twilio. Se você escolher WhatsApp em vez de SMS, quem entrega o código e recebe seu telefone é a Meta — ver WhatsApp LLC, abaixo.
• Expo Inc. (expo.dev) — distribui as notificações push. Recebe o token de notificação (não recebe seu telefone). Política Expo
• Sentry (sentry.io) — captura falhas técnicas do app pra debugarmos. Recebe stack traces, sem dados pessoais. Política Sentry
• WhatsApp LLC (whatsapp.com) — entrega as mensagens de WhatsApp que a Hadar te manda e as que você manda pra Hadar, inclusive o código de acesso quando você escolhe esse canal no cadastro em vez de SMS. Recebe seu telefone e o conteúdo das mensagens. Falamos com você por ali quando você escreve primeiro (inclusive vindo de um anúncio), pra avisar sobre seu pedido, pra entregar seu código de acesso, ou pra mandar novidades e ofertas da Hadar; pra parar de receber ofertas, responda PARAR em qualquer mensagem. Política WhatsApp · Aviso de Privacidade do Brasil · Política WhatsApp Business
• Anthropic PBC (anthropic.com) — quando você manda mensagem pelo WhatsApp vindo de um anúncio e ainda não é cliente cadastrado, quem responde primeiro pode ser um atendimento automatizado. A Anthropic recebe o conteúdo dessa conversa (texto e foto) pra gerar a resposta. Servidores nos Estados Unidos. Política Anthropic
• Groq Inc. (groq.com) — quando esse mesmo atendimento recebe um áudio seu, a Groq transcreve pra texto antes de qualquer resposta. Recebe o áudio no momento da transcrição. Servidores nos Estados Unidos. Política Groq
• Meta Platforms Inc. (meta.com) — mede o resultado dos nossos próprios anúncios no Instagram e no Facebook. Recebe: no site, o que o cookie de medição registra, e só se você aceitar (ver Cookies e tracking); no app e no WhatsApp, um aviso de que houve um cadastro ou uma compra, com seu telefone e e-mail embaralhados por uma função de hash (a Meta não recebe o valor original, e o hash não pode ser revertido pra chegar no seu número). Não mandamos o que você comprou, nem seu endereço, nem seu documento. Política Meta
• Hadar Manaus — recebe internamente todos os dados pra processar pedidos e atendimento.

Não vendemos seus dados pra ninguém. Não entregamos seus dados pra outras empresas anunciarem pra você. O que mandamos pra Meta é medição dos nossos anúncios — quantas pessoas que clicaram viraram cliente — e nada disso monta perfil seu fora do contexto do Hadar.

Onde ficam seus dados

• Banco de dados principal: Supabase, região sa-east-1 (São Paulo, Brasil). Servidores físicos da AWS no Brasil.

• Pagamentos: Asaas, datacenters no Brasil.

• Notificações push: Expo, servidores nos EUA. Token push não contém seu telefone nem nome.

• Falhas técnicas: Sentry, servidores nos EUA. Não enviamos PII (dados pessoais identificáveis) pra Sentry — só stack trace do código.

• Medição de anúncios: Meta, servidores nos EUA. Recebe telefone e e-mail em hash, nunca em claro (ver Com quem compartilhamos).

• Atendimento automatizado por WhatsApp (lead de anúncio): Anthropic e Groq, servidores nos EUA. Recebem o conteúdo da conversa (texto, foto, e o áudio no momento de transcrever) enquanto você ainda não é cliente cadastrado e escreveu primeiro pra um número que veio de anúncio.

Transferências internacionais (Expo, Sentry, Meta, Anthropic, Groq) acontecem porque esses provedores não têm infra no Brasil. Os dados que viajam não permitem identificar você diretamente, exceto pela Meta, que recebe seu telefone e o conteúdo das mensagens de WhatsApp pra poder entregá-las, e pela Anthropic/Groq, que recebem o conteúdo da conversa (e o áudio) enquanto o atendimento automatizado está te respondendo.

Por quanto tempo guardamos

• Conta + histórico de pedidos: enquanto sua conta estiver ativa, ou até você pedir exclusão.
• Dados de pagamento (Asaas): 5 anos a partir da transação (exigência regulatória do Banco Central).
• Logs de falha técnica (Sentry): 90 dias.
• Token push: até você desinstalar o app ou revogar a permissão.
• Cookie de medição do site: até 90 dias, ou até você limpar os dados do site no navegador.
• Origem do clique em anúncio (quando você chega pelo WhatsApp vindo de um anúncio): 90 dias, e depois disso o identificador é anonimizado.
• Respostas do atendimento automatizado (lead de anúncio, antes de virar cliente): 90 dias, no mesmo ritmo da origem do clique — depois disso apagamos o texto que o atendimento gerou e o motivo da escalada, mantendo só a contagem e o custo pra fins de auditoria interna. As suas mensagens no WhatsApp continuam guardadas junto com o resto do histórico de atendimento (é a mesma caixa de entrada de quando você fala com uma pessoa da Hadar) — você pode pedir a exclusão delas a qualquer momento pelos seus direitos LGPD, abaixo.

Se você excluir sua conta, apagamos todos os dados pessoais em até 30 dias, exceto o que somos obrigados a guardar por lei (registros de transação no Asaas).

Seus direitos LGPD

Por lei, você pode pedir:

1. Confirmação se a gente trata seus dados
2. Acesso aos dados que temos sobre você
3. Correção de dados incompletos, inexatos ou desatualizados
4. Anonimização ou eliminação de dados desnecessários
5. Portabilidade dos seus dados pra outro fornecedor
6. Eliminação dos dados tratados com seu consentimento
7. Informação sobre com quem compartilhamos
8. Informação sobre a possibilidade de não consentir
9. Revogação do consentimento a qualquer momento

Pra exercer qualquer direito, abra o app e use o WhatsApp na tela de Perfil com o assunto "LGPD — direito de acesso/correção/exclusão" e seu telefone cadastrado. Respondemos em até 15 dias.

Cookies e tracking

No app (iOS e Android): nenhum cookie, nenhum rastreador de terceiros. Não há Google Analytics, não há pixel, não há SDK de publicidade embutido. Isso não mudou.

No site hadar.app.br: existe um cookie de medição da Meta, e ele só liga se você aceitar.

• Quando você abre o site pela primeira vez, aparece um aviso com duas opções: Aceitar e Recusar. Enquanto você não escolhe, nada da Meta é carregado — nem o script, nem o cookie.
• Se você recusar, nada é carregado, e não perguntamos de novo. O site funciona igual.
• Se você aceitar, carregamos o pixel da Meta, que grava cookies (_fbp e, se você chegou por um anúncio, _fbc) e registra quais páginas você visitou.

Pra que serve: saber quais anúncios trazem donos de salão pro Hadar. Não usamos pra montar perfil seu, não usamos pra decidir preço, e não influencia nada dentro do app.

Como mudar de ideia depois de aceitar: limpe os dados do site hadar.app.br no seu navegador (nas configurações do navegador, em "cookies e dados de sites"). O aviso volta a aparecer e você pode recusar.

Crianças e adolescentes

O Hadar é destinado a maiores de 18 anos responsáveis por estabelecimentos comerciais (salões de beleza). Não coletamos intencionalmente dados de menores de 18 anos. Se descobrirmos que coletamos por engano, apagamos imediatamente.

Mudanças nesta política

Se mudarmos algo material, te avisamos via push do app e pelo WhatsApp do Glauco. A data no topo deste documento sempre reflete a última atualização. Versões anteriores ficam no histórico do nosso repositório público em github.com/davidkhk/hadar-app/tree/main/docs/legal/.

Contato

Pra qualquer pergunta sobre privacidade ou exercício de direitos LGPD, abra o app e use o WhatsApp na tela de Perfil.